Informe de muestra de pentesting sanitario | Vista previa del PDF de 68 páginas

Proyecto Meridian: ejercicio ficticio de Healthcare AG que abarca tres funciones críticas, tres escenarios y doce hallazgos. Todos los sistemas, participantes y resultados son inventados.

El equipo consigue ejecutar comandos sin privilegios de root en un host de diagnóstico expuesto a Internet, accede a CI y utiliza un token de servicio para modificar una derivación canaria. El resumen diferencia esa cadena de ataque sin asistencia de los resultados obtenidos con ayuda en CRM y recuperación, e identifica los controles de validación clínica, datos esenciales y copias inmutables que se mantuvieron eficaces.

La arquitectura conecta los canales de clientes, la identidad y los proveedores con las zonas perimetrales, operativas y de soporte. Las derivaciones, las cuentas digitales y la tesorería dependen de los datos centrales, la detección y la recuperación. Las flechas representan dependencias lógicas, no acceso irrestricto a la red.

El equipo envía una prueba literal de inyección de comandos y recibe un 403 del WAF. Una variante con escape Unicode recibe un 200 y devuelve la salida de id, hostname y pwd como svc_diag en hc-diag-01. Ambos intercambios HTTP, los ID de solicitud y las horas UTC se muestran como evidencias sintéticas.

F-03 muestra una solicitud PATCH con la identidad svc_care_orch obtenida, el cambio aceptado del destino de enrutamiento en MER-REF-0042 y una lectura de verificación independiente. El servicio modifica el borrador canary, mientras que una autorización clínica de publicación independiente impide el envío en producción.

F-06 especifica una repetición desde la solicitud WAF aceptada, pasando por CI, hasta la API de derivaciones. Un caso debe vincular el host, la solicitud, el artefacto, la identidad principal y la derivación, con un objetivo de triaje de 15 minutos. El procedimiento se marca expresamente como no ejecutado todavía; una validación futura no se presenta como una repetición de pruebas superada.

Tres hallazgos tienen comprobaciones de cierre registradas: inyección de comandos, revocación de sesiones y limpieza. Quedan nueve abiertos, con fechas para las credenciales, la autoridad sobre derivaciones y recuperación, la vinculación de aprobaciones, la segmentación, la detección y los controles de apoyo. Son objetivos ficticios para proveedores, no plazos legales de subsanación.

La correspondencia vincula los resultados evaluados con los objetivos de control, los responsables designados, las pruebas de verificación y los límites de la evaluación. No afirma que exista una certificación reglamentaria.