Gestión de la superficie de ataque y pentest automatizado
KIRA automatiza lo que un equipo de pentesting hace a mano: descubre lo que tienes expuesto, lo prueba de forma controlada y te entrega hallazgos verificados y priorizados. Lo repite con la frecuencia que programes, para medir el riesgo entre una auditoría y la siguiente.
DisponibleUn pentest al año deja once meses a oscuras
Tu infraestructura cambia cada semana y cada día se publican vulnerabilidades nuevas. Un pentest anual es una foto. KIRA convierte esa foto en una medida que se repite, sin depender de que alguien se acuerde de lanzarla.
- ¿Qué tienes de verdad expuesto hoy?Dominios, servicios, puertos y aplicaciones que nadie tiene en el inventario.
- ¿Qué es explotable y qué es ruido?Un escáner genera cientos de alertas. KIRA verifica cada hallazgo y te dice con qué confianza.
- ¿Por dónde empiezas?Prioriza con datos de explotación real: probabilidad (EPSS) y explotación confirmada (CISA KEV).
Aplicaciones web e infraestructura, con agentes especializados
Un motor multiagente dirigido por IA encadena hallazgos en rutas de ataque y genera pruebas de concepto en un entorno aislado. Varios modelos revisan los casos dudosos antes de que lleguen a tu informe.
Aplicaciones y APIs
OWASP Top 10 y más: inyecciones, XSS, control de acceso, autenticación, APIs, subida de ficheros, lógica de negocio y configuración. Integra Nuclei, Nikto y WPScan.
Red y servicios
Reconocimiento de red, puertos y servicios, cifrado, credenciales por defecto, vulnerabilidades conocidas y explotación controlada. Mapa de Active Directory.
Técnicas de ataque
Los hallazgos de infraestructura se mapean a técnicas de MITRE ATT&CK, para entender cómo los usaría un atacante.
Inventario desde tu nube
Integración de solo lectura: importa dispositivos y recursos en uso y descarta los inactivos o duplicados.
El mismo método que un pentester, automatizado
Preparación
Acceso a la aplicación, rastreo y detección de las tecnologías que usa.
Descubrimiento
Los agentes buscan vulnerabilidades en paralelo.
Correlación
Encadena hallazgos en rutas de ataque y planifica la explotación.
Explotación dirigida
Agentes específicos según la tecnología, por ejemplo WordPress.
Inteligencia de explotación
Cruza cada hallazgo con NVD, EPSS y CISA KEV en el momento del análisis.
Verificación
Confirma, calibra la confianza y elimina duplicados.
Informe
Técnico y ejecutivo, con la marca de tu empresa.
Una puntuación de 0 a 100 para cada activo
Cada escaneo alimenta un inventario único de activos con sus servicios, hallazgos y CVE. El riesgo de cada activo se calcula siempre igual, así que puedes comparar una ejecución con la anterior y ver qué se ha cerrado.
La puntuación del conjunto pondera la exposición: un activo en internet pesa el triple que uno de exposición desconocida.
| Componente del riesgo | Peso | Proporción |
|---|---|---|
| Vulnerabilidades por severidad | 60 % | |
| CVE activos | 15 % | |
| Exposición (internet, interna) | 15 % | |
| Puertos de alto riesgo (RDP, SMB, Telnet…) | 10 % |
Si algo no se puede comprobar, no se ejecuta
Solo lo que es tuyo
La titularidad de cada dominio se demuestra y se vuelve a comprobar antes de ejecutar. Los rangos IP los aprueba una persona.
Externo o interno
El escaneo externo corre en la plataforma central. Para la red interna se instala una sonda ligera, sin el motor y sin abrir puertos de entrada.
Pruebas no destructivas
Las pruebas de inyección desde la sonda no son destructivas y solo se hacen dentro del alcance autorizado.
Tus hallazgos, en tu casa
El resultado se guarda en tu instancia. En la plataforma central solo quedan datos básicos de la ejecución, nunca hallazgos ni objetivos.
KIRA no sustituye a tu pentest: lo complementa
Entre una auditoría manual y la siguiente, KIRA mide el riesgo de forma programada. Sus hallazgos marcan los controles afectados en RITRA vCISO y se alimentan de los activos que descubre TARA.
Superficie de ataque y pentest automatizado
¿Qué es la gestión de la superficie de ataque (ASM)?
Es descubrir de forma periódica todo lo que tu empresa tiene expuesto (dominios, servicios, aplicaciones y puertos), evaluar su riesgo y hacer seguimiento de cómo cambia. KIRA lo combina con pruebas de pentest automatizadas sobre esos activos.
¿Es un pentest continuo?
KIRA repite los escaneos con la frecuencia que programes, por ejemplo semanal o mensual, en lugar de una vez al año. Cada ejecución sigue el mismo método y puedes comparar qué aparece y qué se ha cerrado.
¿Sustituye al pentest manual?
No. Automatiza el trabajo repetitivo y te da visibilidad entre auditorías. Un pentest manual sigue siendo necesario para pruebas que una herramienta no cubre, como la lógica de negocio más compleja o las sesiones autenticadas avanzadas.
¿Cómo reduce los falsos positivos?
Cada hallazgo pasa por un verificador; varios modelos de IA revisan los casos dudosos, se calibra la confianza (confirmado, probable o sospechoso) y se eliminan duplicados antes de informar.
¿Puede romper algo en mis sistemas?
Las pruebas se limitan al alcance autorizado y las pruebas de inyección desde la sonda interna no son destructivas. Además, ningún escaneo arranca sin titularidad demostrada.
¿Qué informes genera?
Informe técnico y ejecutivo por escaneo en PDF, Word y PowerPoint con tu marca, y exportación de hallazgos a Excel, CSV y un formato estándar para otras herramientas.
Mide tu superficie de ataque antes que el atacante
El alcance de los escaneos se acuerda por escrito antes de empezar y nuestro equipo te acompaña en la puesta en marcha.