Análisis de vulnerabilidades (Vulnerability Assessment)

El primer paso para mejorar tu seguridad es saber dónde estás expuesto. El análisis de vulnerabilidades te da una foto completa de tus riesgos técnicos, priorizada por criticidad.

Última actualización:

Dimensiona tu proyecto · Solicitar análisis de vulnerabilidades

¿Prefieres hablarlo? Llámanos al +34 960 730 013

Análisis de vulnerabilidades vs. Pentesting: ¿qué necesita tu empresa?

El análisis de vulnerabilidades (VA) identifica y clasifica vulnerabilidades conocidas en tus sistemas mediante escaneo y revisión técnica, sin explotarlas activamente. El pentesting va un paso más allá: un experto intenta explotar esas vulnerabilidades para demostrar impacto real. El VA es ideal como revisión periódica o punto de partida; el pentesting es necesario para demostrar impacto real, cumplimiento normativo avanzado o preparación ante Red Team.

Qué cubre el análisis de vulnerabilidades

  • Escaneo de vulnerabilidades en red interna y perímetro externo
  • Servidores y virtualización: hosts VMware ESXi, vCenter y las máquinas virtuales que alojan
  • Contenedores: imágenes Docker y configuración del clúster de Kubernetes frente a los benchmarks CIS
  • Identificación de CVEs activos en tu stack tecnológico
  • Revisión de configuraciones de seguridad (hardening)
  • Evaluación de software desactualizado y sin soporte (EOL)
  • Análisis de servicios expuestos innecesariamente
  • Priorización por CVSS v3.1/v4.0 y explotabilidad real (CISA KEV)
  • Inventario de activos TI como subproducto del escaneo
  • Contratable de forma puntual o como servicio recurrente mensual o trimestral

Proceso

  1. Definición de alcance: Identificamos todos los activos en scope: IPs, rangos de red, aplicaciones web, servidores.
  2. Escaneo automatizado: Escaneo con herramientas especializadas (Nessus, OpenVAS, Nuclei) para detectar CVEs y misconfiguraciones.
  3. Validación manual: Los expertos revisan y validan los resultados para eliminar falsos positivos y añadir contexto.
  4. Priorización inteligente: Clasificamos los hallazgos por criticidad real: CVSS v4 + explotabilidad activa + impacto en tu negocio.
  5. Informe y seguimiento: Entregamos el informe con hoja de ruta de remediación y hacemos seguimiento hasta el cierre.

Entregables

  • Inventario de activos identificados durante el escaneo
  • Lista priorizada de vulnerabilidades con CVSS v4 y explotabilidad
  • Informe ejecutivo con resumen de riesgo global
  • Informe técnico con detalle por vulnerabilidad y recomendación de remediación
  • Comparativa de evolución si es un servicio recurrente

Cuándo es suficiente con un VA

  • Revisión periódica de seguridad sin necesidad de demostrar explotabilidad
  • Auditoría previa a un pentesting para acotar el alcance
  • Inventario de deuda técnica de seguridad en sistemas legacy
  • Verificación de remediación tras un pentesting previo
  • Cumplimiento de requisitos de auditoría interna o de clientes

Preguntas frecuentes

¿Se puede contratar de forma puntual o solo como servicio recurrente?

Las dos cosas. Lo hacemos como proyecto puntual, con alcance y precio cerrados, o como servicio recurrente mensual o trimestral. Lo habitual es empezar por un análisis puntual, que da la línea base, y decidir después si compensa repetirlo: el servicio recurrente compara cada ciclo con el anterior y deja ver qué se ha corregido y qué ha aparecido nuevo.

¿Cuánto cuesta un análisis de vulnerabilidades?

La horquilla orientativa es de 500 a 2.500 €. Es el rango de referencia para un entorno mediano, de unos 20 equipos entre servidores, máquinas virtuales sobre VMware y servicios web en Docker o Kubernetes, con análisis externo e interno. Lo que mueve la cifra: el número de IPs y hosts, si el alcance es solo externo o también interno, si entran las imágenes de contenedor y la configuración del clúster, y si es puntual o recurrente. Cerramos el alcance en una llamada y enviamos la propuesta con precio cerrado en 24-48 horas.

¿Analizáis entornos con VMware, Docker y Kubernetes?

Sí. En la parte de sistemas entran los hosts de virtualización (VMware ESXi y vCenter), las máquinas virtuales y los servicios que exponen. En contenedores revisamos las imágenes Docker en busca de paquetes y librerías con vulnerabilidades conocidas, y la configuración del clúster de Kubernetes (permisos, exposición del API server, políticas de red y de pods) frente a los benchmarks CIS. Comprobar si un atacante puede escapar de un contenedor o moverse por el clúster ya es un pentesting, no un análisis de vulnerabilidades.

¿El análisis incluye también el código de las aplicaciones?

El análisis de vulnerabilidades cubre los sistemas: sistemas operativos, servicios, configuraciones y software desplegado, incluidas las librerías que van dentro de las imágenes de contenedor. El código de vuestras aplicaciones es otro trabajo, la auditoría de código fuente, que combina análisis estático (SAST), revisión de dependencias (SCA) y lectura manual de las partes críticas. Se pueden contratar juntos en el mismo proyecto.

¿Cómo se hace el análisis externo y el interno?

El externo se lanza desde internet contra vuestras IPs y dominios públicos, tal como los vería un atacante. El interno se hace desde dentro de vuestra red, con un acceso que acordamos con vuestro equipo (remoto o presencial), y muestra lo que podría alcanzar alguien que ya está dentro: un empleado, un equipo comprometido o un proveedor con acceso. Las ventanas de ejecución y los activos sensibles se fijan por escrito antes de empezar.

¿Un análisis de vulnerabilidades es suficiente para cumplir con NIS2 o ISO 27001?

Depende del nivel de madurez requerido. NIS2 e ISO 27001 requieren gestión continua de vulnerabilidades, que puede cubrirse con un VA recurrente. Para demostraciones de impacto real o evaluaciones de Red Team, se requiere pentesting.

¿Con qué frecuencia debería hacer un análisis de vulnerabilidades?

Recomendamos un ciclo mensual para activos críticos y trimestral para el resto. Tras cambios significativos en la infraestructura (nueva aplicación, migración cloud, etc.) siempre recomendamos un análisis puntual.

¿El VA incluye aplicaciones web?

Sí. El alcance puede incluir infraestructura de red, servidores, aplicaciones web y APIs. También ofrecemos el análisis de vulnerabilidades como primer paso antes de un pentesting web completo.

¿En qué se diferencia de un pentesting?

El análisis de vulnerabilidades identifica y clasifica debilidades conocidas de forma automatizada y recurrente, con validación manual de los hallazgos relevantes. El pentesting va más allá: explota esas debilidades, encadena fallos y demuestra el impacto real sobre el negocio. El VA responde a "qué tengo expuesto"; el pentesting, a "hasta dónde puede llegar un atacante".

¿Cómo priorizáis los hallazgos?

Combinamos tres señales en vez de fiarnos solo de la severidad teórica: CVSS para el impacto técnico, EPSS para la probabilidad de explotación en los próximos 30 días, y el catálogo KEV de CISA para saber qué se está explotando ya. Un CVSS 9.8 sin explotación observada rara vez es más urgente que un 7.5 con exploit público circulando.

¿Qué hacéis con los falsos positivos?

Los descartamos antes de entregarte el informe. Un escáner sin revisión humana genera ruido que acaba desactivando el proceso: el equipo deja de leer los informes. Validamos manualmente los hallazgos de criticidad alta y media, y documentamos por qué se descarta lo que se descarta. Lo confirmado se entrega en dos informes: uno ejecutivo con el riesgo global y otro técnico con cada vulnerabilidad, su prioridad y cómo corregirla.

¿El escaneo puede afectar al rendimiento de los sistemas?

Trabajamos con perfiles de intensidad ajustados al entorno y acordamos ventanas de ejecución para los activos sensibles. En producción usamos configuraciones no intrusivas por defecto. Si un test concreto implica riesgo de indisponibilidad, se consulta antes de lanzarlo, nunca después.

Recursos relacionados

¿Listo para proteger tu empresa?

Responde la ficha de alcance a tu ritmo y la usaremos para preparar tu propuesta. Si prefieres hablarlo antes, reserva una llamada gratuita de 30 minutos.

Dimensiona tu proyecto · Solicitar análisis de vulnerabilidades