Ciberseguridad

Manifiesto

NUREQ opera como una unidad de Purple Team: integramos en un mismo equipo la perspectiva ofensiva (Red Team) y defensiva (Blue Team). No vendemos auditorías sueltas — vendemos un ciclo continuo de detección, defensa y mejora.

Cada vulnerabilidad que encuentra el equipo ofensivo se traduce en una regla concreta de defensa. Cada defensa es testeada por el propio equipo ofensivo. Eso cierra la brecha clásica entre las empresas que solo testean y las que solo defienden.

Trabajamos bajo PTES, OWASP, MITRE ATT&CK, Cyber Kill Chain y NIST SP 800-115. Cada hallazgo se mapea a estándares internacionales — no a metodologías improvisadas.

Nº 004 / Qué hacemos · Seis áreas de servicio

— 01 / 06

Auditorías de seguridad

Lo que se ve desde afuera, y lo que pasa adentro.

Externa: dominios, subdominios, APIs y paneles expuestos al mundo. Interna: red corporativa, simulando un atacante ya dentro. Tres modalidades de alcance — Caja Negra, Gris o Blanca — según cuánta información compartas.

Auditoría externa
Auditoría interna
Modalidades Black/Grey/White Box

— 02 / 06

Pentesting

Probamos lo que un atacante real probaría.

Pruebas de penetración sobre todos los vectores modernos: aplicaciones web y APIs (OWASP Top 10), infraestructura, Active Directory, nube, mobile, redes Wi-Fi e ingeniería social. Hasta ejercicios de Red Team completos contra objetivos específicos.

Web & APIs · Infraestructura
Active Directory · Cloud (AWS/Azure/GCP)
Mobile · Wireless · Social Engineering
Red Team & Assumed Breach

— 03 / 06

Servicios defensivos

Diseñar, implementar, operar.

Construimos y operamos la infraestructura de seguridad del cliente. Firewalls de próxima generación, sistemas de detección de intrusiones, SIEM, endpoint protection y hardening de servidores y servicios según estándares CIS.

Firewalls (NGFW) y segmentación
IDS/IPS · SIEM · EDR/XDR
Hardening (CIS Benchmarks)
Monitoreo 24/7 según necesidad

— 04 / 06

Forense y respuesta a incidentes

Después del ataque, las respuestas.

Cuando un incidente ya ocurrió, reconstruimos el cómo. Por dónde entraron, qué tocaron, qué se llevaron. Reporte forense con cadena de custodia útil para causas legales, denuncias regulatorias o reclamos a aseguradoras.

Análisis post-incidente (DFIR)
Línea de tiempo y vector inicial
Contención, erradicación y recuperación
Reporte forense con cadena de custodia

— 05 / 06

Purple Team & Detection Engineering

Red y Blue, un solo equipo.

Más allá de auditar y defender, generamos valor continuo. Cada hallazgo del Red Team se traduce en reglas de detección concretas (Sigma, YARA, Suricata, KQL) que quedan operando en el SIEM del cliente. Adversary emulation contra los grupos que efectivamente atacan a tu sector.

Adversary Emulation
Detection Engineering (Sigma/YARA/Suricata/KQL)
Tabletop exercises con directivos

— 06 / 06

Compliance & normativa

Lo que la auditoría externa va a pedir.

Alineamos nuestros servicios con los marcos regulatorios que aplican al cliente — desde estándares globales hasta normativas locales del sector financiero, salud y datos personales.

PCI-DSS · ISO 27001 · SOC 2
GDPR · HIPAA
Ley 25.326 · BCRA · LATAM

Scroll

Estándares

Comparable a cualquier referente internacional

PTES

Penetration Testing Execution Standard

Metodología estándar para pruebas de penetración. La columna vertebral de cómo se planifica y ejecuta cada engagement.

OWASP

Open Web Application Security Project

Referente mundial en seguridad de aplicaciones web y APIs. El OWASP Top 10 marca el piso técnico de cualquier auditoría web.

MITRE

ATT&CK Framework

Matriz pública que clasifica todas las tácticas y técnicas reales que usan los atacantes. Cada hallazgo se mapea a este estándar.

CKC

Cyber Kill Chain

El modelo de Lockheed Martin que describe las fases de una intrusión. Útil para entender en qué eslabón cortar el ataque.

NIST

SP 800-115

Guía técnica del Instituto Nacional de Estándares de EE.UU. para evaluaciones de seguridad de la información.

Entregables

Lo que recibís al cierre

— 01

Reporte ejecutivo

2 a 4 páginas en lenguaje de negocio, para directorio y C-level. Riesgo concreto, impacto en el negocio, recomendaciones priorizadas — sin tecnicismos innecesarios.

— 02

Reporte técnico

Documento detallado para el equipo técnico. Cada hallazgo con descripción, evidencia (capturas, payloads, pruebas de concepto), severidad (CVSS 3.1/4.0) y guía de remediación paso a paso.

— 03

Mapeo a MITRE ATT&CK

Cada técnica usada queda clasificada según el estándar internacional. Tu equipo puede leer el reporte y entender exactamente qué se simuló.

— 04

Retest incluido

Una vez que aplicaste las correcciones, validamos sin costo adicional que las vulnerabilidades quedaron cerradas correctamente. No es un cierre formal — es un cierre real.

— 05

Sesión de cierre

Reunión con tu equipo para explicar el reporte, responder preguntas y acompañar la planificación de la remediación. Quedamos como referencia, no desaparecemos.

Defensa que piensa como atacante