ESEN
Assessment
REPORTE DE EJEMPLO · TODOS LOS DATOS SON FICTICIOS
NullGhostNullGhostReporte ejecutivo y técnico

Empresa Ejemplo, S.A. de C.V.

Dominio
empresa-ejemplo.example
Fecha
Octubre 2026
Referencia
NG-EJEMPLO-001
Alcance
Revisión externa autorizada, sin exploits. Auditoría cloud de solo lectura (en este ejemplo, AWS; también Azure, Google Cloud y Oracle Cloud según el proyecto).
Descargar PDF ↓

1. Resumen ejecutivo

2Críticos
5Altos
8Medios
100%Con evidencia

La superficie externa de Empresa Ejemplo tiene dos hallazgos críticos que conviene atender esta semana: credenciales de empleados en un corpus de brechas y un bucket de respaldos con lectura pública. Ambos se verificaron con evidencia y ninguno requiere explotar nada para confirmarse.

Detrás de ellos hay cinco hallazgos altos, la mayoría de configuración cloud y TLS, y ocho medios que mejoran la postura general sin urgencia inmediata.

Qué atender primero

Esta semana

Rotar credenciales filtradas y cerrar el acceso público del bucket (NG-01, NG-02).

30 días

Reducir permisos del rol de despliegue, retirar TLS antiguo y proteger el panel de administración (NG-03 a NG-07).

90 días

Higiene de DNS, cabeceras y cifrado en reposo (NG-08 a NG-15).

2. Alcance y metodología

Revisión externa autorizada por escrito. Fuentes: registros públicos de certificados, motores de infraestructura expuesta, corpus de brechas y enumeración activa. Auditoría cloud con acceso de solo lectura acordado en el alcance (en este ejemplo, AWS).

Cada hallazgo se prueba antes de anotarse. El reporte distingue lo verificado de lo observado y de los indicios.

Niveles de validación

  • Verificado Se comprobó con evidencia reproducible.
  • Observado Se observó la señal; falta confirmar impacto con una prueba autenticada.
  • Indicio Señal débil; se lista aparte y no cuenta como hallazgo.

3. Hallazgos

IDHallazgoSeveridadFuenteEvidenciaEstado
NG-01Credenciales filtradas (infostealer)CRITBrechasregistro verificadoVerificado
NG-02Bucket de respaldos con lectura públicaCRITCloud AWSlistado públicoVerificado
NG-03IAM con privilegio excesivoHIGHAWSIAM policyVerificado
NG-04TLS con protocolo obsoletoHIGHHandshakeTLS versionVerificado
NG-05Panel de administración expuesto sin MFA visibleHIGHHosts vivosstatus 200 + loginObservado
NG-06Clave de acceso de servicio sin rotar en más de un añoHIGHAWScredential reportVerificado
NG-07Certificado próximo a vencer en servicio críticoHIGHHandshakefecha de expiraciónVerificado
NG-08Subdominio de desarrollo expuestoMEDHosts vivosstatus 200Verificado
NG-09SPF en softfail, no hardfailMEDDNSdig TXTVerificado
NG-10DMARC en modo monitoreo (p=none)MEDDNSdig TXTVerificado
NG-11Cabeceras de seguridad ausentes (HSTS, CSP)MEDHandshakeHTTP headersVerificado
NG-12Versión del servidor visible en el bannerMEDHosts vivosHTTP bannerObservado
NG-13Registros DNS huérfanosMEDDNSCNAME sin destinoVerificado
NG-14Puerto de administración abierto a un rango amplioMEDAWSsecurity groupVerificado
NG-15Dos volúmenes sin cifrado en reposoMEDAWSEBS configVerificado

Hallazgos desarrollados

NG-01CRIT

Credenciales filtradas (infostealer)

Impacto

Con credenciales válidas de un empleado, un atacante puede entrar a servicios sin pasar por ninguna defensa de red.

Recomendación

  • Rotar la contraseña de las cuentas afectadas y revocar sesiones activas.
  • Activar MFA en todos los servicios donde esa cuenta tenga acceso.
  • Revisar el equipo del usuario: el origen suele ser un infostealer en el endpoint.

Evidencia

corpus: breach-corpus (registro de infostealer)
cuenta : a***@empresa-ejemplo.example
fecha  : coincide con la ventana de infección reportada
contraseña: [censurada en este reporte]

Validación

Verificado: el registro del corpus coincide en dominio y fecha. No se probó acceso a ningún servicio.

NG-02CRIT

Bucket de respaldos con lectura pública

Impacto

Los respaldos pueden contener datos de clientes y secretos de aplicación. Cualquier persona en Internet puede listarlos y descargarlos.

Recomendación

  • Bloquear el acceso público a nivel de cuenta (S3 Block Public Access).
  • Revisar los registros de acceso para saber si hubo descargas ajenas.
  • Rotar cualquier secreto que haya vivido en esos respaldos.

Evidencia

$ curl -s https://respaldos-ejemplo.s3.amazonaws.com/ | head
<ListBucketResult>
  <Name>respaldos-ejemplo</Name>
  <Contents><Key>db/2026-09-30.sql.gz</Key>...
(listado público; no se descargó ningún objeto)

Validación

Verificado: el listado es visible sin autenticación. No se descargó contenido.

NG-03HIGH

IAM con privilegio excesivo

Impacto

Un rol con permisos de administrador amplía el daño de cualquier credencial comprometida: el atacante hereda el control de la cuenta.

Recomendación

  • Reemplazar la política por permisos mínimos para el despliegue.
  • Separar el rol de despliegue del de ejecución.
  • Activar alertas de uso inusual del rol.

Evidencia

{
  "RoleName": "app-deploy",
  "Statement": [{ "Effect": "Allow", "Action": "*", "Resource": "*" }]
}

Validación

Verificado: revisión de la política con acceso de solo lectura acordado en el alcance.

NG-04HIGH

TLS con protocolo obsoleto

Impacto

Los protocolos TLS antiguos tienen debilidades conocidas y pueden incumplir requisitos de cumplimiento.

Recomendación

  • Deshabilitar TLS 1.0 y 1.1; permitir solo TLS 1.2 y 1.3.
  • Verificar que ningún cliente legítimo dependa del protocolo antiguo.

Evidencia

$ openssl s_client -connect portal.empresa-ejemplo.example:443 -tls1
Protocol  : TLSv1
Cipher    : ECDHE-RSA-AES256-SHA
Verify return code: 0 (ok)

Validación

Verificado: el servidor aceptó el handshake con TLS 1.0.

NG-09MED

SPF en softfail, no hardfail

Impacto

Con SPF en softfail, un correo falsificado con el dominio puede llegar a la bandeja de entrada.

Recomendación

  • Pasar SPF a -all cuando DMARC esté en cuarentena o rechazo.
  • Publicar DKIM para todos los remitentes legítimos.

Evidencia

$ dig +short TXT empresa-ejemplo.example
"v=spf1 include:_spf.proveedor.example ~all"

Validación

Verificado: el registro DNS público lo confirma.

4. Plan de remediación

Orden sugerido según severidad real y esfuerzo. Las fechas se acuerdan en la llamada de cierre.

Esta semana
  • NG-01 Credenciales filtradas (infostealer)
  • NG-02 Bucket de respaldos con lectura pública
30 días
  • NG-03 IAM con privilegio excesivo
  • NG-04 TLS con protocolo obsoleto
  • NG-05 Panel de administración expuesto sin MFA visible
  • NG-06 Clave de acceso de servicio sin rotar en más de un año
  • NG-07 Certificado próximo a vencer en servicio crítico
90 días
  • NG-08 Subdominio de desarrollo expuesto
  • NG-09 SPF en softfail, no hardfail
  • NG-10 DMARC en modo monitoreo (p=none)
  • NG-11 Cabeceras de seguridad ausentes (HSTS, CSP)
  • NG-12 Versión del servidor visible en el banner
  • NG-13 Registros DNS huérfanos
  • NG-14 Puerto de administración abierto a un rango amplio
  • NG-15 Dos volúmenes sin cifrado en reposo

5. Notas

Este documento es un ejemplo con datos ficticios: dominio, direcciones, cuentas y resultados no corresponden a ninguna empresa real.

Un reporte real incluye la evidencia completa de cada hallazgo, la remediación detallada y una sesión de resultados. El alcance y los entregables se definen en la propuesta.

¿Quieres uno de estos para tu dominio?

Empieza con un scan gratuito: resumen inicial por correo en 24–48 h.

Pedir scan gratis →