Test de intrusión y auditoría de Active Directory

Depende del número de activos, de la modalidad y de si incluye red interna. El orden de magnitud habitual en España para una auditoría externa de una pyme con pocos activos publicados arranca en unos pocos miles de euros; una auditoría interna completa de un dominio corporativo mediano se mueve en la decena de miles. Le doy una cifra cerrada tras una conversación de treinta minutos, no un presupuesto por hora sin alcance definido.

La caja gris es la más eficiente en la mayoría de encargos: parte de una posición de empleado o proveedor comprometido y va directa a la profundidad, sin consumir presupuesto en reconocimiento. La caja negra mide exposición real y es la adecuada si lo que quiere evaluar es su perímetro. La caja blanca, con acceso a diseño y código, da la máxima cobertura por euro cuando el objetivo es corregir o certificar, no medir detección.

Las técnicas con riesgo de indisponibilidad —denegación de servicio, explotación de fallos de corrupción de memoria en servicios críticos, ataques de fuerza bruta masivos— quedan fuera por defecto y solo se ejecutan con autorización explícita y ventana pactada. El criterio de parada figura por escrito en las reglas de enfrentamiento antes de tocar nada.

Sí, siempre, y no es un extra. Sin la segunda pasada un informe de intrusión es un documento, no una mejora de seguridad. La verificación de correcciones se ejecuta dentro de los tres meses siguientes a la entrega y termina con un acta de cierre que puede presentar ante un auditor o un cliente.