La investigación parte del activo crítico que no puede ser comprometido y correlaciona las rutas capaces de llegar hasta él — técnicas, de identidad, de regla de negocio y de proceso.
Cada plan evoluciona en metodología, alcance y duración de pruebas de revisión — no en volumen de promesas. Compare y elija según el modelo de amenazas que necesita cubrir.
Startups y Cumplimiento
Alcance de CumplimientoOWASP Top 10 · Controles alineados con LGPD · baseline de controles ISO 27001 · Controles PCI-DSS esencialesEntornos Críticos
Entornos Críticos y Regulados
Validación ofensiva manual conducida por especialistas en seguridad ofensiva — no es escaneo automatizado de checklist.
Startups validando lanzamiento, empresas en cumplimiento y bancos con exposición crítica.
Informe con evidencias, severidad CVSS, hoja de ruta de corrección y repruebas incluidas.
Cada engagement genera evidencias reproducibles: payload, solicitud, respuesta del objetivo, prueba de impacto. Este es un extracto de una sesión Gold real (saneada).
# 14:32:07 — Reconhecimento da superfície de aplicação $ berghem-recon --target app.cliente.com.br --depth 3 [+] 142 endpoints · 8 com input dinâmico · 3 com auth quebrada # 14:47:21 — Identificada lógica de autorização por parâmetro de URL $ curl -s "https://app.cliente.com.br/api/v2/orders?account_id=1043" { "status": "ok", "items": [ { "id": 88291, "value": 14580.00 } ] } # 14:48:02 — IDOR confirmado: troca account_id devolve dados de terceiros $ curl -s "https://app.cliente.com.br/api/v2/orders?account_id=1042" { "status": "ok", "items": [ { "id": 88112, "value": 9230.50, "owner": "outro_cliente" } ] } # 14:51:14 — Severidade: ALTA · CVSS 8.1 · Exploração: trivial · Escopo: PII + transações [✓] Evidência capturada · ticket BRG-2826 aberto · cliente notificado em <15min
Combinamos OWASP, NIST SP 800-115 y PTES con nuestra experiencia ofensiva — sin black-box mágico, sin alcance elástico.
Alcance, reglas de combate, autorización escrita, ventanas y contactos.
Superficie de ataque: activos, subdominios, integraciones, leaks.
Tecnologías, versiones, endpoints, flujos de autenticación y datos.
Validación manual, encadenamiento de vectores, prueba de impacto.
Movimiento lateral y escalada en el perímetro autorizado.
Hallazgos priorizados, evidencias, hoja de ruta ejecutiva y técnica.
Sin letra pequeña. Lo que está marcado se ejecuta y documenta en el informe final.
| Área de prueba | Silver | Gold | Diamond |
|---|---|---|---|
| OWASP Top 10 (Web) | ● | ● | ● |
| OWASP API Security Top 10 | ◐ | ● | ● |
| OWASP ASVS Nivel 2 | — | ● | ● |
| OWASP ASVS Nivel 3 (completo) | — | — | ● |
| Modelado de amenazas STRIDE | — | ● | ● |
| Análisis de lógica de negocio | — | ● | ● |
| Detección de fraude transaccional | — | — | ● |
| Análisis asistido por código fuente | — | — | ● |
| Mapeo PCI-DSS / ISO 27001 | — | ◐ | ● |
| Add-on Seguridad de IA / LLM | ◐ | ● | ● |
| Repruebas | 1 en 30 días | 2 en 90 días | Ilimitadas / 6 meses |
Son enfoques complementarios. La diferencia está en el punto de partida, en la metodología y en el criterio de éxito.
Empieza por un activo, aplicación, API o infraestructura.
Empieza por el objetivo adversarial y por el activo crítico del negocio.
Berghem estructura misiones orientadas al negocio en cuatro dimensiones conectadas.
Dinero, datos, identidad, operación crítica, confianza y secretos.
Especialistas, agentes, modelos, herramientas y fuentes autorizadas.
Tecnología, identidades, reglas, procesos, controles y contexto.
Acciones registradas, impacto comprensible, reproducción y recomendación.
La misión termina cuando se alcanza el criterio de evidencia o cuando un límite exige intervención humana.
Nuestros consultores de seguridad evaluarán su entorno, requisitos de cumplimiento y perfil de riesgo para recomendar el plan ideal para su organización.
Hablar con un Especialista