Qué es una Threat Emulation de infraestructura

Además de aplicaciones web y APIs, puedes testear tu infraestructura de forma continua dentro de la plataforma: servidores e IPs expuestas. Para hacerlo, creas una Threat Emulation de tipo Infrastructure e incluyes en ella las IPs que quieres testear.

Cómo funciona

El agente de IA de Strike analiza cada host por separado:

1. Identifica la superficie expuesta: qué puertos, servicios y versiones están expuestos, por ejemplo SSH, SMTP, servicios web y paneles de administración, bases de datos, recursos compartidos SMB/NFS o Active Directory.

2. Planifica qué explorar: según lo que encuentra, decide qué vulnerabilidades probar, por ejemplo CVEs conocidos, credenciales por defecto, accesos anónimos o configuraciones TLS débiles.

3. Valida con explotación real: confirma los hallazgos con una explotación real, no solo porque la versión de un servicio coincida con una versión vulnerable.

4. Avanza sobre el resto del scope: reutiliza las credenciales que obtiene para seguir avanzando sobre los demás hosts y servicios.

Cada hallazgo se reporta con descripción, pasos de reproducción, impacto, remediación y severidad CVSS.

Qué puedes testear

En esta versión, una Threat Emulation de infraestructura acepta IPs estáticas (IPv4):

• IPs públicas expuestas a internet: por ejemplo servidores Windows y Linux, appliances de borde (VPN, firewalls, gateways), equipos de red y servicios de aplicación expuestos por IP.

• IPs privadas de tu red interna: siempre que haya un acceso por VPN compatible y las IPs sean alcanzables a través de ese túnel.

Cada asset corresponde a una sola IP, y una Threat Emulation puede incluir todas las IPs que necesites.

Para orientar el ataque, el agente usa el contexto que cargas en el asset: el rol del host, el tipo de equipo y la documentación técnica. Para más detalle, consulta Qué incluir en la Description de un asset y en Additional information.

Los rangos de red y los dominios todavía no están disponibles como assets de infraestructura. Si necesitas testearlos, contacta a tu CSM para hacerlo mediante un Project.

Infraestructura o Web/API, no ambos

Al crear una Threat Emulation eliges qué quieres testear: Web/API o Infrastructure. Esa elección define qué assets puedes incluir:

• Una Threat Emulation de infraestructura solo acepta IPs estáticas.

• Una Threat Emulation de Web/API solo acepta assets web y API, que se pueden combinar entre sí como hasta ahora.

Si necesitas testear infraestructura y aplicaciones web o APIs, crea dos Threat Emulations separadas.

Consumo de créditos

Cada IP incluida en la Threat Emulation consume 85 créditos por ejecución. El cálculo es:

IPs en scope × 85 créditos × ejecuciones por año

• IPs en scope: se cuentan todas las IPs que incluiste en la Threat Emulation.

• Ejecuciones por año: dependen de la recurrencia. Mensual equivale a 12 ejecuciones por año, trimestral a 4 y semestral a 2. Con la recurrencia desactivada, es una sola ejecución.

Ejemplo: una Threat Emulation con 3 IPs y recurrencia trimestral consume 3 × 85 = 255 créditos por ejecución, es decir 1.020 créditos por año.

Si activas Human hacking, cada ejecución suma una human review, igual que en Web/API. Mientras configuras, la tarjeta de estimación muestra el consumo total. Para más detalle, consulta Créditos: qué son y cómo se consumen.

Antes de la primera ejecución

• Agrega las IPs de Strike a tu firewall. Para más detalle, consulta Cómo autorizar las IPs de Strike.

• Si las IPs están en una red privada, configura el acceso por VPN. Para más detalle, consulta Acceso a tu red interna mediante VPN.

En las Threat Emulations de infraestructura no aplica el Pre-flight Check. Si una IP no es accesible, el problema se detecta durante la ejecución. Por eso es importante revisar la conectividad antes de confirmar.

Preguntas frecuentes

¿Puedo incluir IPs y aplicaciones web en la misma Threat Emulation?

No. Una Threat Emulation es de infraestructura o de Web/API. Si necesitas ambas, crea dos Threat Emulations.

¿Puedo testear un rango de IPs o un dominio?

Todavía no como asset de infraestructura. Por el momento, puedes testearlos mediante un Project. Contacta a tu CSM para coordinarlo.

¿Puedo configurar una Focused o una Change-based sobre infraestructura?

No. Las Threat Emulations de infraestructura son de tipo Full security.

¿Puedo cargar credenciales SSH o de Active Directory para un testing autenticado?

Todavía no. Por el momento, las Threat Emulations de infraestructura se ejecutan sin credenciales.

¿Puedo pedir un retest de una vulnerabilidad de infraestructura?

Por el momento, el retest no está disponible para vulnerabilidades de infraestructura.

¿Una IP que no responde consume créditos?

Sí. Se cuentan todas las IPs incluidas en la Threat Emulation, aunque alguna no sea accesible durante la ejecución. Si te pasa, contacta a tu CSM para revisar tu caso y definir cómo seguir.