Ejecutar un escaneo Multi Asset
Esta guía le explica cómo crear un escaneo Multi Asset, un escaneo que combina varios activos, como aplicaciones móviles, aplicaciones web, rangos de red, repositorios de código y archivos, en un único escaneo con un conjunto de ajustes compartido y un informe consolidado.
Para conocer el funcionamiento del escaneo Multi Asset y cuándo utilizarlo, consulte Perfil de escaneo Multi Asset. Para ver la lista completa de activos que puede añadir, consulte Tipos de activos admitidos.
Crear un escaneo Multi Asset
Paso 1: seleccionar el activo principal
- Haga clic en New Scan en la barra superior.
- (Opcional) Indique un título descriptivo para su escaneo.
- Seleccione el tipo de su activo principal y configúrelo; después, haga clic en Continue. Por ejemplo, seleccione PlayStore y busque la aplicación.
Paso 2: añadir sus activos
El paso Extra Context es donde añade los demás activos del escaneo. Es opcional para un escaneo de un solo activo; añada aquí al menos un activo para ejecutar un escaneo Multi Asset.
-
Haga clic en Add asset.
-
En el cuadro de diálogo Add Asset, seleccione el tipo de activo. Utilice las pestañas All, Mobile, Web, Network y Code para filtrar la lista. Los tipos de activo móvil no aparecen cuando el activo principal es una aplicación móvil, porque un escaneo puede incluir como máximo una. Documentation añade URL de páginas de documentación para ayudar al agente a comprender su aplicación.
-
Configure el activo y haga clic en Add.
- Repita el proceso para cada activo que desee incluir en el escaneo.
Seleccionar Repository Archive le permite escanear código fuente cargando un archivo comprimido, sin conectar un proveedor de Git ni conceder a Ostorlab acceso a su repositorio.
Paso 3: seleccionar el perfil de escaneo
Una vez que haya añadido un activo en Extra Context, el perfil Multi Asset Deep Agentic Scan aparece en la lista. Selecciónelo. Se trata de un escaneo agéntico impulsado por IA que descubre fallos lógicos complejos, encadena múltiples vulnerabilidades entre varios activos y valida los hallazgos mediante exploits de prueba de concepto.
Haga clic en Continue y revise los Guardrails: elija si los agentes de IA ejecutan las acciones de riesgo por su cuenta o le consultan primero y, opcionalmente, defina el alcance de vulnerabilidades, las IP bloqueadas y las instrucciones adicionales. Haga clic en Continue.
Paso 4: seleccionar el proveedor de IA
Elija cómo se alimenta el análisis de IA del escaneo:
- Cybermodels: ejecute el escaneo usando tokens de Cybermodels, sin necesidad de clave API. Su saldo disponible se muestra aquí, junto con un botón Provision Tokens.
- BYOK Simple o BYOK Advanced: ejecute el escaneo usando su propia clave API.
Para más detalles, consulte Generar una clave de escaneo BYOK y Descripción general de Cyber Models.
Paso 5: elegir el nivel de esfuerzo
El nivel de esfuerzo determina con qué profundidad analiza el escaneo sus activos. Un esfuerzo mayor cubre más riesgos, pero consume más tokens.
| Esfuerzo | Tokens | Equivalente en pentest |
|---|---|---|
| Core | 50 | ~1 semana |
| Advanced | 200 | ~2-4 semanas |
| Elite | 400 | ~4-8 semanas |
El equivalente en pentest estima el tiempo que necesita un solo pentester para evaluar los riesgos cubiertos por el nivel de esfuerzo seleccionado.
Los niveles de esfuerzo cuyo coste supera su saldo de tokens disponible se desactivan, y la interfaz muestra un mensaje Insufficient Balance. Utilice Provision Tokens en el paso del proveedor de IA para añadir más.
Paso 6: configurar los pasos opcionales
Los pasos restantes son todos opcionales. Puede configurarlos o hacer clic en Continue para omitirlos.
Prompts
Añada instrucciones para guiar el comportamiento del escaneo. Consulte la Guía de prompts para AI Pentest para obtener orientación sobre cómo redactar instrucciones eficaces.
Test Credentials
Seleccione credenciales de prueba predefinidas o añada nuevas para aumentar la cobertura del análisis dinámico. Las credenciales también se pueden gestionar desde el menú Test Credentials.
Al hacer clic en Test Credentials se muestran los tipos de autenticación admitidos:
- Login & Password: autenticación mediante una combinación de nombre de usuario y contraseña.
- Custom Credentials: pares clave-valor que se emparejan semánticamente durante las pruebas.
- 2FA SMS, 2FA Email, 2FA TOTP, 2FA Manual: gestión de la autenticación de dos factores. Consulte 2FA para escaneos autenticados.
- Basic Authentication: el esquema HTTP Basic Authentication.
- Script: un script de Puppeteer personalizado para flujos de autenticación complejos.
- Certificate: un certificado de cliente TLS/SSL para mutual TLS.
- HTTP Headers: encabezados personalizados para la autenticación, habituales en las API.
Advanced Settings
Advanced Settings permite:
- Limitar la tasa de solicitudes (QPS).
- Configurar un Proxy.
- Incluir las URL que se van a escanear en la lista blanca, con una expresión regular por línea.
Paso 7: iniciar el escaneo
Haga clic en Start scan en el panel de la derecha para iniciar el escaneo. Una vez finalizado, los hallazgos de todos los activos aparecen juntos en un único informe, cada uno con su gravedad, el activo afectado y las recomendaciones de corrección.
Ejemplo: una aplicación móvil, su API y su código
Este ejemplo define el alcance de un único escaneo en torno a una aplicación bancaria y los sistemas que la respaldan. Todos los nombres son marcadores de posición:
- La aplicación Android
com.example.bank, publicada en Play Store. - La API web a la que llama la aplicación,
https://api.example.com. - El código fuente de la aplicación y de su backend, como archivo comprimido del repositorio.
- Un esquema OpenAPI que describe
https://api.example.com.
Seleccione la aplicación como activo principal en el paso 1 y añada los demás en el paso 2:
| Activo | Dónde añadirlo | Qué aporta |
|---|---|---|
com.example.bank (PlayStore) |
Activo principal (paso 1) | El cliente que se va a probar. |
https://api.example.com (Web App) |
Pestaña Web | El backend y las API con los que se comunica la aplicación. |
| Código fuente (Repository Archive) | Pestaña Code | El código de la aplicación y de su backend, a partir de un archivo comprimido subido. |
| Esquema OpenAPI (File) | Cuadro de diálogo Add Asset | Archivos de apoyo, como esquemas de API, scripts y configuraciones, que ayudan a que el escaneo refleje cómo se construye y despliega realmente el sistema. |
Para encontrar la aplicación en la tienda, búsquela por su name o su package name. Si solo está disponible en un país específico, seleccione ese país en el menú Country.
Si el código está en un proveedor de Git conectado, añada un activo Code Repository en lugar del archivo comprimido. Esto requiere una integración de código fuente configurada; consulte Escaneo de Código Fuente.
Credenciales. Las credenciales que seleccione en Test Credentials se aplican a todos los activos del escaneo. En este ejemplo, añada una credencial Login & Password para una cuenta de prueba de la aplicación, y una credencial HTTP Headers si https://api.example.com espera un encabezado con una clave de API. Consulte también Análisis Web autenticado.
Alcance. El alcance es el conjunto de activos que añade: al menos uno, y como máximo una aplicación móvil. Para restringir qué URL se prueban, añada la expresión regular https://api\.example\.com en Advanced Settings.
Contexto. El activo File aporta el esquema OpenAPI; añada scripts y configuraciones de la misma forma. El Repository Archive acepta archivos comprimidos .zip, .tar.gz, .tgz o .7z. Los archivos SBOM y lock no son activos: súbalos en Escaneos con SBOM o Lockfile. Utilice Prompts para orientar el escaneo, por ejemplo con la plantilla de evaluación de seguridad de API de la Guía de prompts para AI Pentest.
Hallazgos conectados. Los hallazgos de la aplicación, su API y su código fuente aparecen en el único informe descrito en el paso 7. El perfil Multi Asset Deep Agentic Scan encadena vulnerabilidades entre ellos, por ejemplo desde la aplicación hasta la API a la que llama, de modo que una cadena y los hallazgos que conecta permanecen en un mismo informe. Consulte Perfil de escaneo Multi Asset.
Preguntas frecuentes
¿Cuántos activos puede incluir un escaneo Multi Asset?
Un escaneo puede incluir como máximo una aplicación móvil. Las aplicaciones web, los rangos de red, los repositorios de código, los archivos comprimidos y los archivos se pueden añadir sin límite.
¿Todos los activos comparten los mismos ajustes de escaneo?
Sí. El perfil de escaneo, el proveedor de IA, el esfuerzo, las credenciales de prueba y las instrucciones se configuran una sola vez para el escaneo y se aplican a todos los activos que contiene.
¿Necesito dar a Ostorlab acceso a mi repositorio?
No. Puede conectar un proveedor de Git si lo prefiere, pero también puede añadir un activo Repository Archive y cargar un archivo .zip, .tar.gz, .tgz o .7z para escanear el código sin conceder ningún acceso.
¿Por qué escanear varios activos juntos en lugar de por separado?
Las aplicaciones modernas abarcan clientes móviles, backends web, infraestructura y código fuente. Escanearlos juntos permite que el escaneo encadene vulnerabilidades entre activos y mantenga los hallazgos relacionados en un mismo informe. Consulte Perfil de escaneo Multi Asset.