Operaciones Red Team
Un ejercicio adversarial completo y sigiloso contra objetivos de negocio concretos. No mide vulnerabilidades: mide su capacidad de detectar y responder.
- Para quién es
- Organizaciones con un programa de seguridad maduro, SOC propio o tercerizado, y controles ya desplegados que necesitan saber si realmente funcionan bajo un adversario paciente.
- Duración típica
- 4 a 12 semanas
- Marcos de referencia
- MITRE ATT&CKTIBER-EUCBEST
Una prueba de penetración responde “¿es esto vulnerable?”. Un ejercicio de Red Team responde una pregunta distinta y más incómoda: “si alguien capaz y paciente decidiera entrar, ¿nos daríamos cuenta?”
La diferencia con un pentest
| Pentest | Red Team | |
|---|---|---|
| Objetivo | Cobertura amplia de vulnerabilidades | Objetivos de negocio específicos |
| Sigilo | No es un requisito | Es el requisito central |
| Alcance | Sistemas definidos | Toda la organización, incluido el factor humano |
| Mide | La superficie técnica | La capacidad de detección y respuesta |
| Su equipo | Está informado | Solo lo sabe un grupo mínimo |
Sobre el sigilo y quién sabe
Un ejercicio de Red Team pierde su valor si el equipo defensivo sabe que está ocurriendo. Trabajamos con un grupo de control reducido —normalmente el CISO y un patrocinador ejecutivo— que conoce el ejercicio y puede detenerlo en cualquier momento.
Esto exige confianza y reglas claras por escrito: qué está permitido, qué nunca lo está, y un canal directo disponible las 24 horas para que el grupo de control detenga la operación si el impacto en el negocio lo amerita. Nunca comprometemos la disponibilidad de sistemas productivos ni exfiltramos datos reales de clientes: demostramos el acceso y documentamos el alcance, sin extraerlos.
El valor está en el cierre
La operación en sí es la mitad del servicio. La otra mitad es la sesión conjunta donde reconstruimos, hora por hora, lo que hicimos contra lo que su SOC registró. Casi siempre aparece el mismo patrón: la telemetría existía, la alerta se generó, y se perdió entre el ruido. Ese hallazgo vale más que cualquier ruta de explotación.
Cómo lo ejecutamos
- 01
Definición de objetivos
No buscamos "vulnerabilidades". Acordamos objetivos de negocio concretos — acceder a la base de datos de clientes, iniciar una transferencia, alcanzar el entorno de producción — y ese es el criterio de éxito.
- 02
Inteligencia de amenazas
Perfilamos qué grupos atacan realmente a su sector y su geografía, y emulamos sus técnicas documentadas. Un ejercicio contra su modelo de amenaza real, no contra un adversario genérico.
- 03
Acceso inicial y persistencia
Phishing dirigido, exposición externa, o el vector que la inteligencia indique. Establecemos persistencia y evaluamos si su equipo lo nota.
- 04
Movimiento lateral hacia el objetivo
Avanzamos con la paciencia de un adversario real, priorizando el sigilo sobre la velocidad. La mayoría de los atacantes no tienen prisa; nosotros tampoco.
- 05
Reconstrucción conjunta
Al cerrar, sentamos a los dos equipos en la misma sala y reconstruimos la operación completa contra los registros de su SOC. Aquí es donde ocurre el aprendizaje real.
Qué recibe
- Narrativa completa de la operación, día por día, con las rutas de ataque utilizadas
- Mapeo de cada técnica empleada a MITRE ATT&CK
- Análisis de brechas de detección — qué se registró, qué se alertó y qué pasó inadvertido
- Ejercicio conjunto de reconstrucción con su equipo defensivo (purple team)
- Recomendaciones de detección en forma de reglas concretas, no de principios generales