Las organizaciones pueden invertir en firewalls, EDR, SIEM, gestión de vulnerabilidades y controles de identidad, pero existe una pregunta fundamental: ¿realmente funcionan cuando un atacante intenta comprometer la empresa?
Los ejercicios de Red Teaming y Blue Teaming permiten responder esta pregunta mediante simulaciones controladas de ataques. El Red Team adopta el comportamiento de un adversario y busca alcanzar objetivos previamente definidos, mientras que el Blue Team debe detectar, investigar, contener y responder a esas actividades. NIST define este enfoque como una forma de evaluar la capacidad de seguridad de una organización frente a ataques reales o simulados.
Para un gerente de TI, un responsable de seguridad o el dueño de una empresa, el verdadero valor de estos ejercicios no está en demostrar que una organización puede ser comprometida, sino en identificar qué tan preparada está para detectar y responder ante una amenaza real.
¿Qué diferencia existe entre Red Team, Blue Team y Purple Team?
El Red Team representa al adversario. Su objetivo consiste en simular las tácticas, técnicas y procedimientos que podría utilizar un atacante para alcanzar una meta determinada, siempre bajo autorización y reglas previamente establecidas.
El Blue Team representa al equipo defensor. Supervisa los sistemas, analiza alertas, realiza threat hunting, investiga comportamientos anómalos y ejecuta acciones de contención y respuesta.
Cuando ambos equipos trabajan de manera coordinada para transformar los hallazgos en mejoras concretas, se habla de Purple Teaming. MITRE ATT&CK proporciona un lenguaje común para planificar la emulación de adversarios y utilizar sus comportamientos para mejorar las capacidades de detección y defensa.
1. Definir el objetivo del ejercicio
El primer paso no es comenzar a atacar, sino definir qué se quiere comprobar.
Un ejercicio puede buscar determinar, por ejemplo, si la empresa puede detectar el compromiso de una cuenta privilegiada, identificar movimiento lateral, proteger información sensible o responder ante una posible intrusión.
El objetivo debe estar relacionado con los riesgos reales del negocio. Una empresa cuyo principal activo sea su plataforma de comercio electrónico tendrá prioridades diferentes de una organización que administra infraestructura industrial o información financiera.
2. Establecer alcance y reglas de compromiso
Un Red Teaming profesional necesita límites claros.
Antes de iniciar deben documentarse los sistemas autorizados, horarios, técnicas permitidas, activos excluidos, criterios de interrupción y responsables que deben ser contactados ante una situación crítica.
También debe existir una figura de coordinación o White Team que supervise el ejercicio cuando sea necesario. NIST destaca la importancia de establecer reglas y contar con mecanismos de coordinación para que las pruebas se desarrollen en un entorno controlado y autorizado.
Esto permite obtener resultados útiles sin poner en riesgo innecesariamente la operación empresarial.
3. Construir un escenario basado en amenazas reales
El escenario debe representar una situación que la organización tenga razones para considerar posible.
Por ejemplo, puede plantearse un escenario en el que un atacante obtiene acceso inicial mediante credenciales comprometidas y posteriormente intenta acceder a recursos de mayor valor.
MITRE ATT&CK permite estructurar estos escenarios utilizando tácticas y técnicas conocidas de adversarios. Sus planes de Adversary Emulation buscan precisamente ayudar a los equipos a probar defensas frente a comportamientos asociados con amenazas reales.
La ventaja es que la prueba deja de ser una revisión genérica y pasa a evaluar la capacidad de detectar comportamientos concretos.
4. Ejecutar el ejercicio de forma progresiva
La simulación debe comenzar con los objetivos y técnicas acordados y avanzar progresivamente.
Dependiendo del alcance, el Red Team puede evaluar diferentes etapas de una intrusión: acceso inicial, ejecución, persistencia, escalamiento de privilegios, descubrimiento, movimiento lateral y acceso a objetivos definidos.
No es necesario ejecutar todas las etapas en cada ejercicio. Lo importante es comprobar aquellas capacidades que presentan mayor riesgo para la organización.
Además, las actividades deben mantenerse dentro del alcance autorizado y evitar acciones que puedan provocar indisponibilidad o pérdida de información real.
5. Medir la capacidad del Blue Team
Mientras el Red Team ejecuta la simulación, el Blue Team debe actuar como lo haría durante un incidente real.
Aquí aparecen algunas de las preguntas más importantes:
¿Se generó una alerta? ¿Cuánto tiempo tardó en detectarse? ¿El equipo identificó correctamente la actividad? ¿Pudo determinar el alcance? ¿Se activaron los procedimientos de respuesta?
CISA ha documentado ejercicios de Red Team en los que organizaciones con una postura de seguridad madura no detectaron determinadas actividades durante la evaluación. La agencia destaca la importancia de recopilar y monitorizar registros y realizar pruebas continuas para descubrir estas brechas.
6. Evaluar las herramientas de ciberseguridad
Estos ejercicios también permiten comprobar si las tecnologías implementadas realmente proporcionan visibilidad.
Un SIEM puede ser evaluado por su capacidad de correlacionar eventos. Un EDR/XDR, por su capacidad para detectar comportamientos anómalos. Los controles de identidad pueden comprobarse frente a accesos no autorizados y los sistemas de red pueden evaluarse respecto de actividades sospechosas.
El resultado puede revelar que una organización dispone de muchas herramientas, pero existen zonas sin telemetría, reglas de detección insuficientes o alertas que nunca son investigadas.
7. Convertir los hallazgos en mejoras concretas
El informe final no debe limitarse a indicar que el Red Team consiguió o no alcanzar su objetivo.
Debe identificar qué ocurrió, por qué ocurrió, qué control falló y cómo puede corregirse.
Por ejemplo, un hallazgo podría revelar que una actividad relevante no generó ninguna alerta. La acción de mejora podría consistir en incorporar registros adicionales, desarrollar una nueva regla de detección, ajustar una política de acceso o implementar una solución de seguridad complementaria.
Este enfoque convierte el ejercicio en una herramienta de mejora continua de la postura de ciberseguridad.
8. Repetir las pruebas y comprobar la evolución
Un único ejercicio no garantiza que una organización permanezca protegida.
Después de corregir los hallazgos críticos, es recomendable repetir determinados escenarios para comprobar si las mejoras realmente funcionan.
MITRE señala que ATT&CK puede utilizarse para crear escenarios de emulación y verificar las capacidades de detección y mitigación de una organización frente a comportamientos adversarios.
La evolución puede medirse mediante indicadores como tiempo de detección, tiempo de respuesta, cobertura de técnicas, cantidad de actividades detectadas y porcentaje de hallazgos corregidos.
¿Qué beneficios aporta un ejercicio de Red Teaming?
Para la dirección empresarial, el valor del Red Teaming y Blue Teaming se encuentra en convertir la ciberseguridad teórica en evidencia práctica.
Estos ejercicios ayudan a identificar debilidades que pueden no aparecer en una auditoría tradicional, comprobar la efectividad de los controles, mejorar la capacidad del SOC, fortalecer los procesos de respuesta y priorizar inversiones de seguridad.
Además, permiten conocer cómo interactúan realmente las personas, procesos y tecnologías durante un incidente.
¿Cómo puede ayudar Pawa Peru?
Diseñar un ejercicio de Red Teaming y Blue Teaming requiere experiencia técnica, objetivos claros y una metodología que permita obtener resultados accionables sin afectar la continuidad del negocio.
En Pawa Peru, ayudamos a las organizaciones a evaluar y fortalecer su postura de ciberseguridad mediante servicios y soluciones orientados a identificar vulnerabilidades, mejorar la detección y fortalecer la capacidad de respuesta ante amenazas.
Para dueños de empresas, gerentes de TI y oficiales de seguridad de la información, un ejercicio bien diseñado permite responder una pregunta crítica:
¿Nuestra organización está realmente preparada para detectar y responder cuando un atacante intenta comprometerla?
Conclusión
Los ejercicios de Red Teaming y Blue Teaming son una herramienta estratégica para evaluar la seguridad de una organización desde una perspectiva práctica.
La clave no está simplemente en ejecutar una simulación de ataque, sino en diseñar un escenario basado en riesgos reales, establecer reglas claras, medir la capacidad defensiva y convertir cada hallazgo en una mejora concreta.
Una estrategia madura de ciberseguridad no debería depender de asumir que los controles funcionan. Debe probarlos, medirlos y mejorarlos continuamente.
Cuando el Red Team y el Blue Team trabajan con objetivos claros y utilizan marcos como MITRE ATT&CK, la organización obtiene algo más importante que un informe: obtiene evidencia sobre su capacidad real para resistir una amenaza y una hoja de ruta para fortalecer sus defensas.
