Auditoría de red interna grey box: alcance, jornadas y evidencias para ISO 27001

Qué significa grey box en una red interna

Una auditoría de red interna grey box parte de una premisa distinta a la de un pentest externo: se entrega al equipo auditor un punto de acceso a la red y, normalmente, una cuenta de dominio sin privilegios especiales. Es el escenario realista de un empleado comprometido o de un intruso que ya ha superado el perímetro, y es el que permite responder a la pregunta que de verdad importa: hasta dónde puede llegar alguien dentro de la red corporativa.

Alcance: segmentos, dominio y exclusiones

El alcance debe cerrarse por escrito antes de empezar. En un encargo tipo se incluyen varios segmentos de red, por ejemplo tres rangos /24, y un dominio Active Directory completo en modo auditoría. Conviene especificar también lo que queda fuera: sistemas de terceros, entornos de producción sensibles, pruebas que puedan afectar a la disponibilidad y cualquier actividad que requiera interacción con empleados. Sin exclusiones escritas, el informe se vuelve incomparable con cualquier otra oferta.

Qué se prueba con una cuenta de dominio

Con una cuenta de dominio se prueban cosas que el escaneo externo nunca ve. Se revisa la política de contraseñas y bloqueo, la delegación de Kerberos, los permisos efectivos sobre recursos compartidos, la configuración de Group Policy, la exposición de LDAP y los caminos de escalado desde un usuario estándar. El objetivo no es acumular vulnerabilidades sueltas, sino demostrar qué rutas permiten a un atacante pasar de usuario común a administrador de dominio.

Cuántas jornadas requiere una auditoría de este tamaño

La pregunta habitual es cuántas jornadas hacen falta. En un alcance de tres segmentos más un dominio, con pruebas manuales y validación de rutas de ataque, lo razonable son entre cinco y ocho jornadas de campo, más el tiempo de análisis y redacción del informe. El número sube si hay muchos recursos compartidos, varias sedes o un dominio con múltiples trusts, y baja si el alcance se limita a un segmento único. Un presupuesto sin jornadas desglosadas no permite comparar.

Evidencias que sirven para ISO 27001

Para un auditor, la calidad de la evidencia importa tanto como el hallazgo. El informe debe declarar la fecha de ejecución, los rangos y el dominio incluidos, el perfil de la cuenta utilizada y las limitaciones aplicadas. Cada camino de escalado se documenta con la secuencia reproducible, el impacto y la recomendación concreta. Esa trazabilidad es la que permite correlacionar la prueba con los controles de acceso y monitorización del sistema de gestión.

Retest: el paso que cierra el hallazgo

El retest es la pieza que cierra el ciclo. No basta con marcar un hallazgo como resuelto: hay que verificar que la corrección funciona y que no ha abierto otro camino. Por eso el retest se planifica como partida propia, con alcance limitado a los hallazgos críticos y altos, y se entrega como anexo al informe original. Si el resultado debe servir para una auditoría de certificación, el anexo con la evidencia de cierre pesa tanto como el informe inicial.

Si tu organización está preparando una auditoría de red interna con dominio o necesitas evidencia técnica para ISO 27001, revisa cómo enfocamos la auditoría de infraestructura y la auditoría de Active Directory, o consulta el alcance y precio de un pentesting. Para el encaje con la norma, la guía de pentesting para ISO 27001 y ENS explica qué evidencias revisa el auditor.