Purple team

El formato es sencillo y lo que lo hace funcionar es la disciplina. Se eligen unas técnicas relevantes para tu parque. Por cada una, el lado ofensivo la ejecuta de forma controlada, anunciando qué y cuándo. El lado defensivo comprueba entonces tres cosas separadas, por este orden: si la actividad quedó registrada en algún sitio, si saltó algo, y si el proceso produjo una respuesta.

Esas tres respuestas son tres fallos distintos con tres dueños distintos. No registrado es un hueco de telemetría, y se arregla con una fuente de registros o con un agente. Registrado y en silencio es un hueco de ingeniería de detección, y se arregla con contenido. Saltó y no pasó nada es un hueco de proceso, y se arregla con personas, con procedimientos y con autoridad, y no lo va a arreglar ningún producto.

Cuando falta una detección, se escribe durante el propio ejercicio, y después se vuelve a ejecutar la técnica para confirmar que la regla nueva salta y que no inunda la consola. Ese bucle de construir y verificar es el valor entero: un ejercicio que produce una lista de huecos y ninguna detección verificada ha producido un informe, y de esos la organización ya tiene de sobra.

Todo se mapea contra MITRE ATT&CK para que el resultado sea una lista de identificadores de técnica con su estado probado al lado, que se puede comparar entre ejercicios y que entiende alguien que no estuvo en la sala.

El fallo más común es hacer uno antes de que haya nada que medir. Si no se recoge telemetría y no existe contenido de detección, el ejercicio produce una lista larga de «no detectado» que ya se sabía y que no necesitaba dos equipos durante una semana. El requisito previo es una capacidad defensiva que merezca la pena probar.

El segundo es hacerlo como ejercicio encubierto con otro nombre. En el momento en que al equipo defensivo no se le cuenta lo que está pasando, aquello es un red team, y desaparece el bucle colaborativo que produce detecciones. Los dos formatos son valiosos y no son el mismo ejercicio. Decidir cuál se está comprando, y ser honesto sobre el porqué, es una conversación que conviene tener bien.

El tercero es pararse en la alerta. Una regla que salta en un laboratorio y una regla que sobrevive al contacto con el volumen de producción son dos objetos distintos. Una detección sin ajustar se desactiva en un mes por ruido, y el resultado del ejercicio se vuelve cero en silencio. La verificación tiene que incluir un periodo funcionando contra tráfico real.

El cuarto es el vacío de propiedad de después. Un ejercicio genera una cola de contenido de detección pendiente. Si nadie es dueño de esa cola, los mismos huecos aparecen en el ejercicio siguiente, y la organización concluye que el purple team no funciona cuando lo que no funcionó fue el seguimiento.

Del lado ofensivo, conviene resistirse a la tentación de lucir sofisticación. Las técnicas que importan son las que se usan contra organizaciones como esta, ejecutadas como se ejecutan de verdad, partes aburridas incluidas. Una técnica novedosa que no usa nadie produce una tarde interesante y ninguna reducción de riesgo.

Tres términos que se usan a la ligera, también por quien los vende. Dos son papeles y uno es una forma de trabajar.

Lo importante de la tercera columna es que no es un equipo que se contrata. Es lo que pasa cuando los otros dos dejan de trabajar en secuencia y empiezan a trabajar en la misma sala. Algunas organizaciones sí mantienen una función permanente que ejecuta estos ejercicios, pero el valor está en la forma de trabajar y no en el nombre del puesto.

Comprarlo como si fuera un producto. Es un formato de ejercicio que requiere que participen tus propios defensores. Un proveedor puede poner la mitad ofensiva y la metodología; lo que no puede poner es tu blue team.

Hacerlo una sola vez. Los parques cambian, las reglas se rompen en silencio con las actualizaciones y la cobertura se degrada. La cadencia importa más que la profundidad de un ejercicio suelto.

Medir por técnicas ejecutadas. El número que cuenta son las detecciones verificadas, y cuántas sobrevivieron treinta días en producción.

Saltarse la pregunta de la respuesta. Una alerta que saltó y sobre la que nadie actuó fuera de horario es un fallo, y es el fallo que con más probabilidad se anota discretamente como aprobado.

Dejar fuera el plano de identidad. Casi todas las intrusiones modernas se ven primero en los registros de identidad. Un ejercicio limitado a técnicas de endpoint prueba el sensor en el que ya confías.

Empieza por tu propio cuadro de amenazas y no por la matriz entera. Una docena de técnicas que se correspondan con cómo se ataca de verdad a las organizaciones de tu sector produce más contenido aprovechable que cincuenta elegidas por cobertura.

Anota tres estados por técnica y no uno, y mantenlos separados: hay telemetría, la detección salta, hubo respuesta. Informar de un único aprobado o suspenso esconde cuál de los tres falló, y van a dueños distintos.

Escribe la detección en la sala y vuelve a ejecutar para verificarla. Después déjala funcionando contra tráfico de producción y comprueba un mes más tarde si sigue habilitada, porque esa es la prueba de verdad de si se ajustó bien.

Guarda los artefactos. La técnica, el comando o la acción exactos, la telemetría que produjo, la regla escrita y el resultado de la verificación. Ese registro es lo que convierte el ejercicio siguiente en una comparación en vez de en una repetición, y es lo que le enseñas a un auditor que pregunte cómo sabes que tu vigilancia funciona.

Mete el resultado en la cola de trabajo del SIEM con un responsable y una fecha, y revísala antes del ejercicio siguiente en vez de durante.

El entregable es una tabla de técnicas con los tres estados anotados en cada una, más las detecciones escritas durante el ejercicio y su resultado de verificación. Esa tabla sirve directamente como evidencia de auditoría, porque responde a lo que los auditores preguntan sobre la vigilancia, que no es si tienes una herramienta, sino cómo sabes que funciona.

Escribimos de forma explícita como «no probado» todo lo que quedó sin probar, en vez de dejarlo en blanco, porque una celda en blanco la lee como «cubierto» quien vea el documento después. Y anotamos los resultados de respuesta con sus tiempos, porque la distancia entre que salta una alerta y que actúa una persona suele ser el número más grande del informe y el que nadie había medido.

Cuando una organización no ha hecho nunca uno, la recomendación honesta es muchas veces empezar por la ingeniería de detección y no por el ejercicio, porque tiene que haber algo que verificar.

Este formato va al lado de la mitad encubierta de los ejercicios de adversario que hacemos con clientes, y en la mayoría de las organizaciones produce más mejora por día empleado.

¿Un purple team es un equipo permanente? Normalmente no. Es una forma de trabajar que una organización ejecuta como ejercicios recurrentes con sus defensores actuales y una capacidad ofensiva, propia o externa. Algunas organizaciones grandes sí mantienen una función permanente que los ejecuta, y eso es una decisión de escala y no una definición.

¿Qué diferencia hay entre un purple team y un red team? La visibilidad y el objetivo. Un red team intenta alcanzar una meta sin que lo detecten, y a los defensores no se les avisa. Un purple team anuncia cada acción para que los dos lados puedan revisar juntos la telemetría, la detección y la respuesta, y mejorarlas en el momento.

¿Cada cuánto hay que hacer uno? Trimestral es una cadencia viable para casi todas las organizaciones, más una sesión después de cualquier cambio importante de plataforma, porque las actualizaciones rompen el contenido de detección en silencio y no hay nada que avise de la rotura.

¿Qué hace falta antes de hacer uno? Que se estén recogiendo las fuentes de registros, que haya algo de contenido de detección, y que los defensores estén disponibles durante el ejercicio. Sin eso, el ejercicio mide la ausencia de una capacidad, que se puede establecer muchísimo más barato.