PRUEBAS DE SEGURIDAD DE
APLICACIONES MÓVILES

¿Cuáles son los beneficios?

Cada vez más, las aplicaciones móviles son la forma predeterminada en que los usuarios interactúan con dispositivos móviles. Las aplicaciones brindan
funcionalidad rica y nativa a un dispositivo móvil de una manera que supera lo que generalmente es posible con una aplicación web. El aumento de la prevalencia de las aplicaciones móviles ha resultado en un aumento de los niveles de datos personales y funcionalidad sensibles manejados por ellos.

Las pruebas de penetración de aplicaciones móviles implican a especialistas en seguridad móvil que siguen una metodología rigurosa para determinar el nivel de seguridad global de una aplicación determinada. En pocas palabras, estos expertos reproducen la amenaza planteada por una serie de actores de amenazas de todos los niveles de sofisticación. Serán capaces de determinar el nivel de resistencia de su aplicación móvil a estos diferentes actores de amenazas. Cuando se detecten deficiencias en la seguridad, se le explicará en términos fáciles de entender cuál es el impacto y, lo que es más importante, cómo solucionar el problema. Cuando se identifiquen controles de seguridad positivos, una prueba de penetración de aplicaciones móviles en profundidad también le informará al respecto, para que pueda seguir haciendo esas cosas, con la seguridad de que las está haciendo de la
forma correcta.

Hay muchos grupos que se benefician de una prueba de penetración de aplicaciones móviles

• Desarrolladores ganan la seguridad de que su producto es seguro y seguro para sus clientes.
• Las organizaciones ganan la seguridad de que una determinada aplicación móvil es segura para introducir en su entorno empresarial.
• Los usuarios se sienten más seguros con el conocimiento de que se ha llevado a cabo una prueba de seguridad móvil, lo que les permite usar confiadamente la aplicación..

En resumen, una prueba de penetración de aplicaciones móviles de alta calidad le indica lo que una aplicación móvil está haciendo bien y lo que está haciendo mal en términos de su postura de seguridad cibernética.

¿Están seguras sus aplicaciones móviles?

Las aplicaciones móviles son una parte regular del mundo de hoy. El comportamiento y la preferencia del usuario se están moviendo cada vez más hacia un mundo de computación móvil. Las diferencias entre estaciones de trabajo, computadoras portátiles, tabletas y teléfonos son cada vez más reducidas.

¿Dónde encaja la seguridad cibernética en esta imagen? ¿Sabías que…?

• Se estima que más de 5 mil millones de personas en todo el mundo tienen al menos un dispositivo móvil.
• En 2008, la tienda de aplicaciones iOS se lanzó con 500 aplicaciones. Hoy, esa cifra está alrededor de 2 millones.
• Likewise, Android users can now choose from over 2.5 million applications.

Del mismo modo, los usuarios de Android ahora pueden elegir entre más de 2,5 millones de aplicaciones.

¿Por qué LRQA Nettitude?

En LRQA Nettitude, entendemos la necesidad de garantizar la seguridad de las aplicaciones móviles. También entendemos que no todas las actividades de
garantía se crean por igual. Nos esforzamos por ser siempre un proveedor de primer nivel de pruebas de penetración de aplicaciones móviles.

• Tenemos expertos de pruebas de penetración que se especializan en diferentes disciplinas. Siempre obtendrá uno o más expertos que se especializan específicamente en seguridad de aplicaciones móviles. No nos encontrará poniendo a los expertos de aplicaciones web en su prueba de aplicación móvil si no se especializan también en aplicaciones móviles.
• Tenemos las credenciales para respaldarnos. Si bien no creemos que la certificación sea el único factor importante, entendemos su importancia. Nuestro equipo de probadores de penetración tiene una amplia variedad de certificaciones prácticas muy solicitadas, incluyendo CREST y Offensive Security.
• No utilizamos un enfoque genérico. Nos tomamos el tiempo para comprender su organización, sus objetivos y sus principales preocupaciones de seguridad. Realizamos su prueba de penetración de aplicaciones móviles con esos objetivos en mente.
• Proporcionamos una prueba de penetración, no un análisis de vulnerabilidades. El valor principal de una prueba de penetración de aplicaciones móviles de LRQA Nettitude proviene de uno o más probadores de penetración expertos que piensan como un atacante y evalúan manualmente su aplicación móvil. Somos grandes en la explotación: estableceremos reglas de compromiso y luego, dentro de esas reglas, demostraremos el impacto de una vulnerabilidad al explotarla completamente.
• Tenemos un equipo de expertos en seguridad entusiastas. Somos apasionados de la ciberseguridad y entendemos la importancia de un equipo feliz que se mantenga a la vanguardia. Todos los empleados tienen acceso a nuestro equipo de investigación e innovación, reciben capacitación regular y a menudo van a conferencias. Esto se traduce en la prueba de penetración de aplicaciones móviles de la más alta calidad posible para usted.
• Proporcionamos un servicio altamente consultivo. No somos una caja negra donde entra un alcance y sale un informe. Todo el proceso es comunicativo y consultivo. Nos enorgullecemos de mantener a nuestros clientes informados durante todo el proceso.
• Informamos de manera flexible y fácil de comprender. Por defecto, recibirá un informe de gestión que habla en términos de riesgo empresarial, y un informe técnico que entra en más detalles, incluyendo declaraciones de impacto claras, una descripción de la explotación, instrucciones claras de reproducción y asesoramiento personalizado de remedición. Si necesita una salida un poco diferente, díganoslo: nos enorgullecemos de nuestra flexibilidad.
• Ofrecemos informes ejecutivos y técnicos para cada prueba de penetración de aplicación móvil que llevamos a cabo, independientemente de si la prueba duró un día o cien días. Nuestros probadores de penetración están capacitados para poder hablar en términos técnicos y empresariales.
• Queremos forjar relaciones duraderas. Queremos ser su socio de ciberseguridad, lo que implica hacer que todo nuestro equipo esté disponible para usted mucho después de que finalice su prueba de penetración de aplicaciones móviles, incluido como parte del servicio.

Calificaciones

Estamos acreditados por CREST como organización, y cada uno de nuestros empleados está altamente certificado. Las certificaciones que creemos son más relevantes para la prueba de penetración de aplicaciones móviles se muestran a continuación. Todas requieren una demostración práctica rigurosa de habilidad para obtener.

• CREST CRT. La mayoría de nuestros testers de penetración tienen el CRT, y consideramos que es una de las formas de demostrar competencia en general para pruebas de penetración cuando se trata de certificación.
• CREST CCT. Tenemos muchos testers con la variante de Infraestructura y la variante de Aplicación de este certificado; algunos incluso tienen ambos. Es un certificado más especializado y avanzado en comparación con el CRT. Para su prueba de penetración de aplicaciones móviles, la variante de Aplicación es más relevante.
• Offensive Security OSCP. Obtener el OSCP requiere la finalización exitosa de un examen práctico de 24 horas que evalúa una amplia gama de habilidades de prueba de penetración. Los testers con esto realmente pueden pensar como un atacante.
• Offensive Security OSCE. Obtener el OSCE requiere la finalización exitosa de un examen práctico de 48 horas que evalúa un conjunto de habilidades más especializadas, incluyendo la explotación binaria. Muchos de los conceptos demostrados en el examen son relevantes para los testers de penetración de aplicaciones móviles. Esta no es una lista exhaustiva de nuestras certificaciones, eso ocuparía mucho más espacio.

Preguntas frecuentes

A menudo se nos hacen preguntas similares sobre las pruebas de penetración de aplicaciones móviles. Hemos recopilado esas preguntas y las hemos respondido aquí.

• ¿Cuál es su tiempo de espera para una prueba de penetración de aplicaciones móviles?
  Tenemos un equipo de expertos testers de penetración de aplicaciones móviles y siempre están en demanda. Combinamos la capacitación y el reclutamiento internos con la demanda externa de la manera más eficiente posible. Nuestro objetivo es poder comenzar las pruebas de penetración de aplicaciones móviles en un plazo de dos semanas. Donde hay urgencia, normalmente podemos hacer lo que sea necesario para cumplir con sus plazos.

• ¿Cuánto tiempo lleva una prueba de penetración de aplicaciones móviles?
  La duración de una prueba móvil depende en gran medida de la complejidad de su requisito y del nivel de garantía que requiera. La mayoría de las pruebas móviles duran al menos tres días por aplicación. Proporcionamos un servicio de prueba de penetración manual en lugar de un escaneo automatizado. Hable con uno de nuestros expertos para obtener una propuesta personalizada para su prueba de aplicación móvil.

• ¿Cuál es su metodología de prueba de penetración de aplicaciones móviles?
  Nuestra metodología de prueba móvil sigue las fases clave de reconocimiento, enumeración, descubrimiento, explotación y post-explotación. Utilizamos herramientas automatizadas en algunos lugares para lograr una amplitud de cobertura, pero la mayor parte del valor proviene de la prueba de penetración manual. Aquí, proporcionamos profundidad de cobertura y es en lo que pasamos la mayor parte de nuestro tiempo. Estamos felices de proporcionar información más detallada a pedido.

• ¿Cómo me informará de los hallazgos de mi prueba de penetración de aplicaciones móviles?

  Somos comunicativos y consultivos. Durante el compromiso, lo actualizaremos periódicamente con los hallazgos hasta el momento, tanto positivos como negativos. Donde identifiquemos fallas críticas de gravedad, le informaremos de inmediato por teléfono y seguiremos con una comunicación escrita. Al final del compromiso, recibirá un resumen de todos los hallazgos. Para cuando reciba sus informes detallados unos días después, no tendrá sorpresas: comunicamos a medida que avanzamos. Después de la entrega de los informes, estaremos más que felices de brindarle explicaciones técnicas y ejecutivas. Finalmente, tendrá acceso completo a nuestro equipo de probadores de penetración de aplicaciones móviles una vez que se complete el compromiso. Estamos aquí para responder cualquier pregunta de seguridad que pueda tener en el futuro.

   

• ¿Me ayudarán a remediar las vulnerabilidades identificadas durante la prueba de penetración?
  Nuestro equipo de probadores de aplicaciones móviles entiende cómo construir aplicaciones, así como cómo romperlas. Le proporcionaremos orientación personalizada de remedio para cada vulnerabilidad que identifiquemos durante la prueba. Si tiene limitaciones, trabajaremos con usted para entenderlas y proponer una solución adecuada para cualquier vulnerabilidad en particular.