Red team
En seguridad ofensiva, un red team es un grupo que hace de adversario en un ejercicio dirigido por objetivos, y prueba no solo qué es vulnerable sino si una organización detecta y responde a una intrusión real. El nombre viene de los ejercicios militares en los que una fuerza roja hace de enemigo frente a una fuerza azul que defiende.
Cómo funciona
Un ejercicio de red team parte de un objetivo (llegar a un sistema concreto, obtener unos datos determinados, demostrar un impacto de negocio) y no de una lista de sistemas que escanear. El red team trabaja hacia esa meta como lo haría un adversario real, eligiendo su propio camino y haciendo poco ruido, mientras que normalmente a los defensores no se les avisa de que el ejercicio está en marcha, para que su detección y su respuesta se midan con honestidad. A su alrededor hay varios papeles. El blue team es la defensa que se está poniendo a prueba. Un grupo de control reducido, a veces llamado célula blanca, sabe que el ejercicio se está ejecutando y se encarga de que sea seguro y de que no choque con la operación real. Un purple team no es un grupo aparte, sino un modo de trabajo colaborativo en el que rojo y azul convierten juntos cada hallazgo en una mejora de detección.
Qué sale mal
Es fácil confundir el valor de un red team con el de un pentesting, y los dos responden preguntas distintas. Un pentesting pregunta qué es explotable dentro de un alcance definido, buscando amplitud de cobertura. Un red team hace una pregunta más estrecha y más difícil: si un adversario capaz persiguiera este objetivo, ¿lo veríamos, y podríamos detenerlo? Los fallos que saca a la luz rara vez son una vulnerabilidad suelta. Son la detección que existía y nunca alertó, la alerta que cayó en una cola que nadie trabaja, y el playbook de respuesta que daba por hecho un paso que el atacante se saltó, que es el terreno que explora de la forma más realista una emulación de adversarios.
Dónde aparece esto en una auditoría
Un informe de red team se escribe como el relato de una intrusión: el objetivo, el camino recorrido hacia él, qué detectaron los defensores y cómo respondieron, con sus tiempos. El hallazgo es el hueco de detección o de respuesta, no la técnica concreta, y una repetición posterior junto al blue team convierte cada hueco en una mejora tangible. Cuando lo exige un regulador, esto adopta la forma supervisada de un threat-led penetration test. Así es como ejecutamos un encargo dirigido por objetivos.