La carta de encargo de Pórtico Digital

4 tareas · 45 min · Principiante

Esto es un simulacro: no se enseña nada nuevo, se transfiere lo ya practicado contra un encargo real de principio a fin. Pórtico Digital es un mercado en línea donde vendedores publican productos y compradores pagan; el ticket PD-0308 te contrata para evaluar su portal web y su API pública antes de abrirlos a más vendedores. Tienes el alcance firmado, las reglas de enfrentamiento y el barrido de hosts del reconocimiento. No hay pistas de por dónde empezar ni una lista de qué mirar primero: el criterio para fijar el encargo es el mismo con el que ya trabajaste, aplicado a una empresa y unos números que no habías visto.

0 de 4 · 0%

Objetivo de la sala

El alcance firmado de Pórtico Digital cubre un clon de staging con datos sintéticos: el portal y la API pública. Dos días después de firmado, alguien del equipo de Producto te escribe por el chat interno pidiendo que amplíes las pruebas a producción, «para ver el riesgo real antes del comité». Suena razonable y viene de alguien del cliente, pero no es quien autorizó el alcance, y el mensaje no es un documento firmado.

El criterio no cambia porque lo pida alguien con buena intención: lo que no está en el alcance firmado no se toca hasta que se amplíe por escrito, por quien tiene la potestad de ampliarlo.

Responde para continuar

Producto te pide por chat que amplíes las pruebas a producción «para ver el riesgo real». ¿Qué haces?

Probar producción solo de forma pasiva durante unos minutos, ya que una prueba pasiva no se considera una actividad intrusiva Ampliar ya mismo a producción, porque quien lo pide conoce el negocio y el comité necesita ver el riesgo real cuanto antes No tocar producción: no está en el alcance firmado; eso se documenta y se pide ampliarlo por escrito antes de continuar

Ver pista de ayuda

Un mensaje de alguien del cliente no es un documento firmado por quien autorizó el alcance. El criterio de siempre no cambia por venir de buena fe.

Durante el reconocimiento autorizado aparece un host más de los que lista el alcance firmado: responde, y comparte el dominio de Pórtico Digital, lo que invita a pensar que «de todas formas es de ellos». El alcance existe precisamente para este caso: lo que no está dentro no se toca, aunque pertenezca al mismo cliente.

Responde para continuar

Compara el alcance firmado con los hosts que respondieron en el reconocimiento. ¿Qué host responde y no figura en el alcance? Escríbelo tal cual.

Ver pista de ayuda

Está en la lista de hosts que respondieron, marcado como fuera del alcance firmado. Compara las dos tablas, no adivines por el nombre.

El jueves de la ventana de pruebas encuentras algo grave: un control que, si se explotara fuera del laboratorio, dejaría ver datos de cualquier vendedor sin ninguna condición extra. Las reglas de enfrentamiento de Pórtico Digital fijan un tiempo máximo para avisar un hallazgo de esa magnitud, y ese plazo es más corto que lo que queda de ventana.

Responde para continuar

Encuentras un hallazgo crítico el jueves, a mitad de la ventana de pruebas. ¿Qué haces?

Seguir probando el resto de la ventana completa y guardar la mención de esto para el informe final del domingo, sin avisar antes Detener todo el engagement de inmediato y cancelar el resto de la ventana de pruebas hasta recibir una nueva orden del cliente Avisar por el canal de guardia dentro del plazo que fija el contrato, y seguir con el resto del alcance con normalidad

Ver pista de ayuda

Las reglas de enfrentamiento fijan un plazo de aviso para un hallazgo crítico. Ese plazo es el que manda, no el cierre del informe.

El barrido de red muestra que, desde el entorno de staging, se puede alcanzar la pasarela de pagos de un tercero. Está ahí, responde, y sería fácil seguir investigando «ya que se llega». El alcance firmado la deja fuera de forma explícita: es de un tercero y Pórtico Digital no puede autorizar pruebas sobre su infraestructura.

Responde para continuar

Desde el entorno de staging se alcanza la pasarela de pagos de un tercero, que no está en el alcance firmado. ¿Qué haces?

La pruebas también: si se alcanza desde el entorno autorizado, el alcance la cubre de forma implícita La ignoras sin anotarla, porque es de un tercero y no corresponde mencionarla La documentas como observación fuera de alcance y preguntas si se amplía por escrito, sin tocarla

Ver pista de ayuda

Que algo se alcance desde dentro del entorno autorizado no lo mete en el alcance. Un tercero no lo puede autorizar Pórtico Digital.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Lo que el encargo autoriza y lo que no Lab

2 El host que comparte dominio y no está en la lista Lab

3 El hallazgo que no espera al informe Lab

4 Lo que está cerca y sigue fuera Lab

Whoami-Labs Pro utiliza cookies