Atacamos tu sistema antes que ellos.

Servicios de ciberseguridad para empresas en todo el mundo: pruebas de penetración, auditoría de vulnerabilidades, cumplimiento normativo y monitoreo con respuesta a incidentes. Hechos por ingenieros que también construyen software de producción, en español e inglés y en cualquier zona horaria.

Hallazgos reales. Reportes accionables. Re-test incluido.

kilauea / security-assessment
$ kilauea scan --scope app.cliente.mx --profile owasp-asvs-l2
recon: 14 subdominios · 38 endpoints · 3 servicios expuestos
✓ TLS 1.3 · HSTS preload · cabeceras de seguridad OK
! MEDIA · CVSS 5.3 · rate-limit ausente en /api/login
✗ CRÍTICA · CVSS 9.1 · IDOR en /api/v2/facturas/:id
! ALTA · CVSS 7.5 · dependencia con CVE conocido (SCA)
✓ reporte ejecutivo + técnico generado → plan de remediación
✓ re-test programado tras corrección

Ejemplo ilustrativo de un hallazgo típico. No corresponde a un cliente real.

◆OWASP Top 10◆OWASP ASVS◆OWASP MASVS◆NIST CSF◆MITRE ATT&CK◆PTES◆ISO/IEC 27001◆SOC 2◆PCI-DSS◆CIS Controls◆LFPDPPP

Servicios

Cuatro frentes. Un mismo equipo.

Desde una prueba puntual antes de un lanzamiento hasta un programa de seguridad continuo.

01OFENSIVO

Pentesting y ethical hacking

Simulamos ataques reales contra tus aplicaciones web, APIs, apps móviles, red interna e infraestructura cloud. Caja negra, gris o blanca, según lo que necesites validar.

  • Aplicaciones web y APIs (OWASP Top 10 / API Top 10)
  • Apps iOS y Android (OWASP MASVS)
  • Red interna, externa y Active Directory
  • AWS, GCP y Azure
02PREVENTIVO

Auditoría y análisis de vulnerabilidades

Revisión sistemática de código, dependencias y configuración para encontrar fallas antes de que lleguen a producción, e integrarla a tu pipeline de CI/CD.

  • Revisión de código seguro (SAST)
  • Análisis dinámico (DAST)
  • Dependencias y supply chain (SCA)
  • Configuración cloud, contenedores y secretos
03NORMATIVO

Cumplimiento y normativas

Diagnóstico de brechas, mapeo de controles y acompañamiento para que tu empresa llegue a la auditoría con evidencia, políticas y procesos en orden.

  • ISO/IEC 27001
  • SOC 2 (preparación)
  • PCI-DSS
  • LFPDPPP y derechos ARCO en México
04DEFENSIVO

Monitoreo SOC y respuesta a incidentes

Visibilidad continua de lo que pasa en tu infraestructura, alertas priorizadas y un plan claro para contener, erradicar y recuperarse cuando algo sucede.

  • Monitoreo y correlación de eventos (SIEM)
  • Detección y alertas 24/7
  • Plan y simulacros de respuesta a incidentes
  • Análisis forense y postmortem

Metodología

Cómo trabajamos un pentest.

Alcance y reglas de enfrentamiento firmadas antes de tocar un solo sistema.

01 / 05

  1. STEP_01

    Alcance y reglas

    Definimos activos, ventanas de prueba, contactos de emergencia y límites. Todo por escrito y bajo NDA.

  2. STEP_02

    Reconocimiento

    Mapeamos superficie de ataque: dominios, endpoints, tecnologías, servicios expuestos y credenciales filtradas.

  3. STEP_03

    Explotación controlada

    Validamos manualmente cada vulnerabilidad para eliminar falsos positivos y medir el impacto real, sin afectar tu operación.

  4. STEP_04

    Reporte

    Reporte ejecutivo para dirección y técnico para desarrollo, con severidad CVSS, evidencia y pasos para reproducir.

  5. STEP_05

    Remediación y re-test

    Acompañamos a tu equipo en la corrección y volvemos a probar para confirmar que cada hallazgo quedó cerrado.

Entregables

Lo que recibes al terminar.

> 01.pdf

Reporte ejecutivo

Riesgo de negocio en lenguaje claro para dirección y consejo.

> 02.pdf

Reporte técnico

Cada hallazgo con CVSS, evidencia, pasos para reproducir y referencia CWE.

> 03.pdf

Plan de remediación

Priorizado por impacto y esfuerzo, con recomendaciones de código concretas.

> 04.pdf

Re-test y carta de validación

Verificamos las correcciones y emitimos constancia para clientes o auditores.

Preguntas frecuentes

Ciberseguridad, sin rodeos.

Kilauea Tec Lab ofrece cuatro servicios de ciberseguridad: pruebas de penetración (pentesting) a aplicaciones web, APIs, apps móviles, red y cloud; auditoría y análisis de vulnerabilidades (SAST, DAST, SCA); acompañamiento en cumplimiento ISO 27001, SOC 2, PCI-DSS y LFPDPPP; y monitoreo SOC con respuesta a incidentes.

Un escaneo de vulnerabilidades es automático y lista posibles fallas. Un pentest es una simulación de ataque hecha por personas: valida manualmente cada falla, la explota de forma controlada para medir su impacto real y elimina falsos positivos.

Depende del alcance. Una aplicación web o API típica toma de una a tres semanas entre reconocimiento, pruebas y reporte. El alcance exacto se define en la llamada inicial.

Las pruebas se ejecutan bajo reglas de enfrentamiento firmadas, en ventanas acordadas y con contacto de emergencia. Las pruebas destructivas o de denegación de servicio no se realizan salvo autorización explícita, y pueden hacerse en un ambiente de staging.

Sí. Hacemos el análisis de brechas, mapeamos controles, preparamos políticas y evidencia, y acompañamos al equipo hasta la auditoría. La certificación la emite un organismo certificador independiente.

Sí. Revisamos el tratamiento de datos personales, avisos de privacidad, consentimiento, derechos ARCO y el plan de respuesta ante vulneraciones conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

Sí. Kilauea Tec Lab trabaja con empresas de todo el mundo, en español e inglés, de forma remota y en cualquier zona horaria. Cada proyecto se ejecuta bajo NDA y con reglas de enfrentamiento por escrito.

Todo el trabajo se hace bajo NDA. Los reportes se entregan cifrados, solo a los contactos autorizados, y la evidencia se elimina al cierre del proyecto.

¿Cuándo fue la última vez que alguien intentó entrar?

Agenda una llamada de 30 minutos. Definimos alcance, tiempos y el tipo de evaluación que tu empresa necesita. Respondemos en menos de 24 horas.