Servicios de Red Team y Purple Team

Pensamiento adversario

Por qué los Red Teams son críticos para estrategias de ciberseguridad resilientes

• Check Point Research
• Informe de investigación de brechas de datos de Verizon 2024 (DBIR)
• Informe de Positive Technologies

¿Está preparado para hacer frente a un ciberataque? ¿Cómo lo sabe?

Red Team Los ejercicios son cruciales para evaluar la preparación de una organización para hacer frente a un problema de seguridad. Estos ejercicios ayudan a determinar si el personal puede prevenir, detectar y responder a los ciberataques. Identifican escenarios que representan amenazas realistas para la organización específica.

Red Team Los ejercicios, guiados por el modelado de amenazas y la inteligencia de amenazas actual, brindan a los defensores la oportunidad de ejecutar sus playbooks de detección y respuesta. Estos emplean las mismas tácticas, técnicas y procedimientos (TTP) que los actores de amenazas del mundo real, pero son llevados a cabo por expertos éticos en ciberseguridad con el objetivo de mejorar la seguridad. Esto genera métricas útiles para evaluar la eficacia del personal, los procesos y las tecnologías de la organización.

Por qué necesitas un servicio Red Team en el actual panorama de amenazas.

La inteligencia de amenazas analiza evidencia del mundo real sobre ciberataques reales para ayudar a los expertos a identificar problemas y crear escenarios representativos de emulación de amenazas.

Desarrollamos TTPs basándonos en ese análisis y en nuestra propia investigación y experiencia. Por ejemplo, si su organización está preocupada por la criminalidad financiera, IOActive puede desarrollar TTPs basados en el comportamiento del grupo de hackers FIN7. Si su organización está preocupada por el espionaje o las amenazas de Estado, los TTPs podrían emplear los métodos de APT29.

Este no es un problema que vaya a desaparecer. Nuevos actores de amenazas aparecen con una regularidad preocupante. Además, su agresividad sigue creciendo, al igual que su empleo por parte de los gobiernos.

Las fuentes que catalogan actores de amenazas y sus actividades incluyen:

• Grupos de ataque de MITRE ATT&CK
• Blog de Threat Intelligence de Microsoft

Más te vale estar preparado para ellas.

Y la única forma de saber si están preparados es poner a prueba esa preparación. Los centros educativos y los edificios de oficinas realizan simulacros de incendio periódicos para asegurarse de que todos sepan qué hacer en una emergencia. Piense en los simulacros Red Team como una práctica similar, pero para la ciberseguridad.

Por qué debería considerar los Red Teams para su negocio

Las pruebas de penetración y las auditorías de seguridad son esenciales, pero por sí solas no son suficientes. Los ejercicios Red Team evalúan la seguridad de una organización identificando brechas en la prevención, la detección y la capacidad de respuesta.

Considerad estos ejercicios como sesiones de sparring entre el Red Team (atacante) y el Blue Team (defensor) de vuestra organización. Si una organización no participa en el concurso, no realiza pruebas realistas ni ejecuta su plan de respuesta a incidentes, no podrá saber si dicho plan es eficaz ni dónde residen sus debilidades.

El uso de Red Teams permite a los CISO y CIO saber, con total confianza, si la inversión existente en ciberseguridad de la organización es adecuada y dónde requiere mejoras.

El uso de los comportamientos y TTPs de un atacante en un ejercicio aporta información valiosa para ajustar los controles de seguridad. La respuesta a Red Team escenarios pone de manifiesto la preparación de la organización para hacer frente a un ciberataque real. Esto ayuda al equipo a mejorar la detección, la respuesta, el aislamiento y la recuperación antes de que se produzca un ataque real.

El enfoque de emulación de adversarios integral de IOActive permite combatir la fuerte motivación y tenacidad de los atacantes observadas en el actual panorama de amenazas, y garantizar que su organización se mantenga a la vanguardia.

Descripción general de los servicios de emulación de amenazas de IOActive:

• Red Team Ejercicio
• Purple Team Ejercicio
• Seguridad física y evaluación de brechas
• Ingeniería social

Obtenga la ficha técnica red/purple team

Equipos Red, Blue y Purple: diferencias

Los ciberatacantes actuales y sus tácticas son tan variados como las víctimas a las que atacan. Por ello, en una era digital prioritaria, necesitamos garantías y validación de que nuestras defensas son eficaces y van más allá de la gestión de vulnerabilidades y los ciclos de parches.

Para proteger a las organizaciones de las amenazas actuales, debemos emplear conceptos de ciberseguridad tanto defensivos como ofensivos y adaptar nuestro enfoque para gestionar escenarios del mundo real.

Las pruebas de red team y purple team ayudan a las organizaciones a construir redes verdaderamente resilientes, proteger su propiedad intelectual y sus activos, y garantizar el cumplimiento de las estrictas leyes de seguridad y protección de datos vigentes.

Cada equipo desempeña un papel crucial. Los Red teams simulan una fuerza de ataque, mientras que el personal de seguridad del cliente – conocido como blue team – representa a los defensores. Un red team y un blue team pueden trabajar conjuntamente como un purple team para mejorar de forma colaborativa los controles de seguridad existentes.

Para ayudarle a decidir si nuestras soluciones de red team y purple team son las adecuadas para usted, a continuación explicamos exactamente cómo estos equipos pueden mejorar la postura de seguridad de su organización.

¿Qué es un Red Team?

Un red team es un grupo ético de expertos en ciberseguridad encargado de simular ciberataques e intrusiones del mundo real y asesorar a las organizaciones sobre cómo mejorar sus defensas.

Los equipos Red Team adoptan una mentalidad ofensiva y trabajan para identificar vulnerabilidades, brechas de visibilidad y vías que los ciberdelincuentes podrían utilizar para moverse lateralmente dentro de una red sin ser detectados. Las actividades del Red Team incluyen la emulación realista de amenazas y buscan poner a prueba tecnologías, personas y controles físicos.

Los red teams se forman y emplean el comportamiento de los atacantes reales para demostrar cómo un actor de amenazas real puede infiltrarse en su red sin ser detectado. Al comprender las técnicas, tácticas y procedimientos de los ciberdelincuentes actuales, los red teams pueden preparar a las empresas para gestionar los incidentes y eventos de seguridad modernos.

Las pruebas de penetración y las actividades de red team pueden, a veces, confundirse entre sí. Una prueba de penetración se centra típicamente en vulnerabilidades en software, plataformas y servicios específicos, mientras que una evaluación de red team puede incluir:

• Escenarios de ataque y campañas: los Red Teams simularán ciberataques del mundo real para probar las defensas de una organización. Los enfoques de caja negra se llevan a cabo sin información privilegiada ni interna, mientras que las actividades de caja gris disponen de información limitada. Por el contrario, los ejercicios de caja blanca, como un Assumed Breach Scenario, requieren que los clientes proporcionen información completa sobre el sistema y el control de seguridad al red team.
• Pruebas de defensa: un red team comprende que los ciberdelincuentes utilizarán cualquier vía posible para comprometer redes y activos. Los miembros del red team investigarán también estas vías y pondrán a prueba los controles físicos, tecnológicos y humanos de la empresa. Irán mucho más allá de las evaluaciones de vulnerabilidades, y todo puede considerarse ‘in-scope’ salvo que se defina lo contrario en las reglas de enfrentamiento.
• Rutas de ataque: al evaluar los controles de seguridad existentes e identificar las debilidades, los red teams demostrarán las posibles rutas de ataque de los intrusos en incidentes de seguridad reales.
• Mapeo: A medida que se descubren posibles rutas de ataque, los red teams emularán cómo se mueven los atacantes – de forma discreta y lateral a través de las redes – en un intento por acceder a sistemas y recursos corporativos adicionales.
• Intrusiones físicas: los equipos de red team también pueden intentar acceder a ubicaciones físicas mediante medios como la ingeniería social y phishing.
• Cadenas de exploits: los ejercicios de Red Team combinarán vulnerabilidades y exploits para crear rutas de ataque a través de recursos técnicos, físicos y humanos. Los factores pueden incluir desde una seguridad deficiente en ubicaciones físicas y tarjetas de acceso clonadas hasta ingeniería social, phishing, explotación de deuda técnica y vulnerabilidades de software. Los servicios de Red Team se centran en la visión global en lugar de en aspectos aislados del negocio.
• Evaluaciones del blue team: durante las simulaciones de ataque, los red teams evaluarán y analizarán las defensas existentes y la respuesta de los defensores internos ante los ciberataques.

Los red teams ofrecen una valiosa perspectiva sobre la mentalidad de los atacantes actuales. Los consultores de red teaming son fundamentales para que las organizaciones comprendan realmente su postura de seguridad y la eficacia de sus defensas, equipos y protocolos de seguridad existentes ante un ataque real y activo.

Además, los red teams pueden ayudar a perfeccionar las salvaguardas, los controles y los planes de respuesta a incidentes existentes mediante objetivos medibles y formación.

Pruebas de penetración y ejercicios Red Team: comparativa

El red teaming y las pruebas de penetración son enfoques probados y bien documentados para evaluar la eficacia de las defensas de una organización en un entorno cibernético hostil. Determinar cuál funciona mejor para una organización concreta depende de comprender cómo opera cada método y en qué difieren en la práctica, su objetivo principal y su alcance.

Las pruebas de penetración identifican vulnerabilidades evaluando aplicaciones, redes y sistemas específicos, mientras que los ejercicios red team emulan a actores de amenazas reales para evaluar la seguridad general de la organización y sus capacidades de respuesta ante incidentes. Los ejercicios de red team son más realistas, de mayor duración y no anunciados, con el fin de imitar ataques de la vida real. Se centran en toda la organización, incluyendo las capas humana, física y digital.

Ambos métodos desempeñan un papel importante en la mejora de la postura de ciberseguridad de una organización, ya que las pruebas de penetración se centran más en encontrar vulnerabilidades y las ejercicios red team evalúan el programa de seguridad completo, la concienciación de los empleados y la planificación de la respuesta a incidentes.

Lea nuestro blog para explorar estos red team y enfoques de pentest, casos de uso y mejores prácticas, y aprenda cómo estos ejercicios adversarios pueden reforzar las defensas de su organización frente a amenazas y reducir significativamente el riesgo global.

¿Qué es un Blue Team?

Los blue teams son las defensas internas de una organización frente a las ciberamenazas modernas. Las responsabilidades de un blue team varían, pero, en esencia, los miembros del equipo son responsables de:

• Gestión de vulnerabilidades: Los defensores suelen navegar por el mundo del descubrimiento de vulnerabilidades y los lanzamientos de parches para aplicar las correcciones pertinentes a los sistemas y servicios de una organización. Esto incluye también la aplicación de correcciones de emergencia publicadas para vulnerabilidades zero-day.
• Descubrimiento de vulnerabilidades: En algunos casos, los equipos internos también analizan y examinan el software y los sistemas orientados al cliente en busca de bugs explotables. Estas responsabilidades también pueden externalizarse mediante programas de recompensas por errores.
• Monitorización de redes: los equipos de Blue Team pueden ser responsables de la monitorización de redes mediante el uso de herramientas, incluidos los sistemas de detección de intrusiones (IDS) y las plataformas de gestión de información y eventos de seguridad (SIEM). Las alertas de seguridad sospechosas se investigan posteriormente con mayor detalle.
• Respuesta a incidentes: si se produce una brecha de datos o un incidente de seguridad, los blue teams pueden ser responsables de mitigar los ataques y, en la fase posterior, pueden tener asignadas responsabilidades de ciberforense.

Los miembros del blue team pueden incluir analistas de ciberseguridad, ingenieros de red o de seguridad, administradores de sistemas y firewalls, personal de respuesta a incidentes, analistas del centro de operaciones de seguridad (SOC) y otros.

Los blue teams son fundamentales para la defensa de una organización y pueden colaborar con los red teams para mejorar sus propias habilidades, profundizar en el conocimiento de las amenazas y reforzar las defensas existentes.

¿Qué es un Purple Team?

Los equipos purple se forman mediante un ejercicio colaborativo en el que los red team trabajan junto con sus blue team en cada paso del proceso para garantizar la máxima visibilidad en toda la red empresarial y los endpoints.

Mediante purple team ejercicios, el red team elabora un plan de ataque detallado junto con su blue team, teniendo en cuenta los controles de seguridad y los puntos de estrangulamiento de la red donde se puede detectar la actividad del atacante.

Durante cada fase del ataque, el red team ejecuta cada acción mientras el blue team supervisa sus sistemas para lograr una detección exitosa y una visibilidad completa. Las tácticas, técnicas y procedimientos (TTPs) se documentan y se asignan al Mitre ATT&CK framework para un seguimiento preciso y métricas accionables.

La diferencia de IOActive

Para defenderse de los ciberataques, es necesario comprender la mentalidad del atacante. Los expertos de IOActive Red Team emulan los métodos de compromiso de red que un atacante podría emplear, replicando de forma ética las cadenas de ataque multicapa del mundo real a las que se enfrentan hoy las organizaciones.

Red Team Ejercicio

Ayudamos a su organización a desarrollar una comprensión clara de las amenazas cibernéticas desde la perspectiva de los atacantes, no de los auditores de cumplimiento.

Las evaluaciones de vulnerabilidades frecuentes son cruciales para mejorar la postura de seguridad de su organización, pero para mitigar realmente el riesgo de un ciberataque exitoso, debe comprender la psicología del cibercriminal y las rutas que podría exploit para comprometer su red.

En IOActive, vamos más allá de las pruebas de penetración estándar para ofrecer una emulación completa del adversario.

Nuestro servicio red team y nuestro enfoque único de ‘mentalidad del atacante’ aprovechan vectores de ataque del mundo real y exploits que encadenan riesgos que podrían poner en peligro a una organización. Emulamos de forma exhaustiva las amenazas específicas dirigidas a su organización y le dotamos de los conocimientos y habilidades necesarios para combatir las amenazas modernas.

Seguridad física y evaluación de brechas

La seguridad física es crucial para un programa corporativo de ciberseguridad, pero a menudo se pasa por alto en lo que respecta a las pruebas de penetración y la auditoría de los controles de seguridad. IOActive puede comenzar realizando una inspección física con su equipo de seguridad para identificar brechas en la visibilidad de las cámaras, posibles elusiones de puertas y problemas de instalación física que un atacante determinado podría aprovechar para acceder a espacios de oficina y centros de datos seguros. Con acceso a puertos de red, armarios de datos y estaciones de trabajo, nuestros expertos realizarán ataques coordinados para probar los mecanismos de detección y respuesta con su blue team.

¿Busca una validación completa mediante una prueba no anunciada y de alcance total? En IOActive, pensamos como atacantes y diseñamos nuestros ejercicios red team con el objetivo de comprometer sus activos más importantes explotando sus vulnerabilidades de seguridad física y los comportamientos de sus empleados para demostrar el impacto en sus operaciones comerciales. Utilizando cualquier medio necesario, nuestro Red Team se infiltra en su sede central y en sus oficinas sucursales hackeando sistemas de cámaras, clonando tarjetas RFID, eludiendo cerraduras, colándose tras alguien (tailgating) y mediante ingeniería social.

Es fundamental que las empresas comprendan que el cumplimiento normativo y la seguridad en el mundo real no son lo mismo. Nuestro objetivo es ayudarle a centrarse en una seguridad eficaz. Eso es lo que logran nuestras actividades de red team y purple team.

En ciberseguridad, los red team actúan como adversarios, asumiendo los roles, tácticas y comportamientos de los atacantes cibernéticos actuales. El Red Team de IOActive, compuesto por expertos en seguridad con décadas de experiencia, ofrece y asesora en la creación de servicios continuos, independientes y de emulación de atacantes en el mundo real.

IOActive Red Team adopta las tácticas, técnicas y procedimientos (TTP) de un atacante decidido a infiltrarse en su red. Este enfoque se centra en ataques multi-vector y en cadena, emulando los métodos de los actores de amenazas reales para penetrar en sus defensas de seguridad. Infiltramos activos digitales, oficinas corporativas y recursos humanos para determinar los riesgos y vulnerabilidades en los activos de IT y humanos de una organización.

Nuestra experiencia en análisis de brechas nos proporciona una visión detallada de cómo los hackers logran penetrar en organizaciones de una amplia variedad de sectores. Nuestros ejercicios de emulación de amenazas y red team aplican esta visión en su beneficio. Es solo otra forma en que nuestra experiencia única se traduce en un valor excepcional para usted.

Las metodologías incluyen emulación adversaria sigilosa, estratagemas físicas y tácticas de ingeniería social que implican suplantación de identidad, phishing, smishing y pretexting.

Ingeniería Social

Emulando los métodos utilizados en las mayores brechas actuales, nuestro red team emplea ingeniería social para exploit el factor humano de su organización. Aplicamos técnicas como spear-phishing, vishing (llamadas de voz), smishing (mensajes SMS/texto), suplantación in situ y ataques en redes sociales para obtener acceso a sus activos críticos físicos y de TI. El Red Team de IOActive va más allá de la habitual prueba de concienciación sobre seguridad del usuario, analizando su empresa y elaborando perfiles de sus empleados para crear campañas de ingeniería social realistas diseñadas con un único objetivo: el acceso a los activos más valiosos de su empresa.

¿Qué pasaría si el asistente administrativo del CEO fuera víctima de un phishing o si un ingeniero de DevOps fuera engañado para realizar un cambio de código malicioso? Nuestro equipo ayuda a responder a estas preguntas desarrollando escenarios específicos para su industria y los actores de amenazas activos. Mediante el robo de credenciales o la obtención de un punto de apoyo en una estación de trabajo interna, demostramos cómo un atacante podría moverse más a fondo o lateralmente con rapidez para escalar privilegios y comprometer sistemas críticos para el negocio.

Purple Team Ejercicio

Las responsabilidades de IOActive Red Team no se limitan a mostrar a las organizaciones los vectores de ataque potenciales que los ciberdelincuentes podrían utilizar para infiltrarse en sus redes.

Nuestros red team también trabajarán en colaboración con un blue team interno –el personal propio de operaciones de seguridad de una organización– para crear un purple team.

En conjunto, estos purple team miembros trabajan juntos para explorar los principios ofensivos y defensivos. Intercambian conocimientos e ideas, con retroalimentación sobre los controles defensivos existentes y las nuevas vulnerabilidades y vectores de ataque descubiertos por las simulaciones red team.

Mediante la colaboración, los miembros de los equipos red y blue team pueden desarrollar estrategias y planes de seguridad para preparar a la organización frente a futuros adversarios, garantizando una mayor resiliencia de la red y un retorno óptimo de la inversión en seguridad.

Nuestras evaluaciones de red team y purple team tienen como objetivo determinar la resiliencia de sus operaciones de seguridad frente a un actor de amenazas determinado e identificar brechas en la preparación de su organización para responder a un ataque dirigido.

Respondemos a la pregunta: «¿Hasta qué punto resisten los controles y procesos de seguridad de su empresa un ataque sofisticado, se recuperan y responden ante él?»

Diseñamos rutas de ataque y campañas adaptadas al entorno, las operaciones y el sector de su empresa. A continuación, ejecutamos los ataques de forma metódica basándonos en la inteligencia recopilada en la fase de planificación.

Durante la ejecución del ataque en un ejercicio purple team, el Red Team de IOActive trabaja estrechamente con su blue team para evaluar la visibilidad del ataque y validar si los controles de seguridad existentes pueden detectar, señalar o bloquear cada ataque.

Nuestros purple team ejercicios incluyen escenarios de Assumed Breach basados en amenazas reales dirigidas a su organización para demostrar el verdadero impacto causado por exploits de vulnerabilidades, amenazas internas, credenciales robadas, acceso VPN/RDP y compromiso de activos físicos.

Mediante los esfuerzos colaborativos durante el ejercicio y el debriefing final de las lecciones aprendidas, su blue team estará preparado con la experiencia y la comprensión necesarias para resolver las brechas en sus controles de seguridad y crear planes de respuesta a incidentes eficaces.

En última instancia, el objetivo de nuestros equipos red y purple es evaluar los riesgos de su empresa, descubrir sus vulnerabilidades, identificar rutas de ataque y ayudarle a garantizar visibilidad y resiliencia frente a los ciberdelincuentes modernos y sofisticados de la actualidad.

Aunque a simple vista resulte difícil determinar el retorno de la inversión de los ejercicios de red y purple team, el verdadero retorno es incalculable si se tiene en cuenta cómo pueden identificarse y corregirse las vulnerabilidades de seguridad, cómo obtener información sobre las formas más rentables de mejorar la seguridad, cómo mejorar la respuesta ante incidentes y mitigar los riesgos de futuras brechas de datos, y cómo la realización de estos ejercicios puede garantizar el cumplimiento de los estándares normativos de las leyes modernas de privacidad y protección de datos.

Cómo prepararse para un ejercicio red team

Los ejercicios de Red Team son imprescindibles para identificar brechas de visibilidad y respuesta dentro de la empresa, y deben incluirse en un enfoque multicapa de ciberseguridad y defensa.

Las pruebas de penetración suelen centrarse en técnicas de «smash and grab» para demostrar vulnerabilidades existentes en aplicaciones, software, plataformas en línea y redes. Los pentesters no necesitan ser discretos y pueden ser «ruidosos» durante las pruebas, ya que el objetivo general es identificar vulnerabilidades propicias para la explotación antes de que lo hagan los atacantes cibernéticos.

El pentesting es, por naturaleza, de alcance limitado. Una organización puede solicitar un pentest sobre un único servicio, red o conjunto de software, pero los ejercicios red team están libres de tales restricciones.

En comparación, las prácticas red team demuestran el impacto empresarial de explotar vulnerabilidades y debilidades de seguridad reales en una organización mediante un enfoque integral.

Estos ejercicios emplean ataques en cadena y multicapa que abarcan las debilidades que un adversario podría aprovechar. Las áreas potencialmente propicias para la explotación incluyen, entre otras, los empleados, la infraestructura, las ubicaciones físicas, el software y las cadenas de suministro. Los Red teams pueden evaluar así las respuestas blue team y la forma en que los distintos departamentos colaboran como un equipo para gestionar un incidente de seguridad.

El valor de los ejercicios de red teaming y purple team es incalculable, pero es necesario sentar las bases y plantear las preguntas adecuadas antes de emplear un red team para obtener el mejor retorno de la inversión.

• Preparación: Para obtener los mejores resultados, las organizaciones deben prepararse estableciendo procedimientos de seguridad formales. Los programas de seguridad, la formación del personal y los planes de respuesta a incidentes deben formalizarse, probarse y ser comprendidos por los empleados antes de que se lleven a cabo los ciberataques simulados.
• Definición de objetivos: las organizaciones deben preguntarse qué desean lograr con un engagement red team, por ejemplo, si quieren una evaluación general de su postura de seguridad o un conocimiento más profundo de áreas específicas, como la identificación de debilidades en las cadenas de suministro.
• Reglas de enfrentamiento: es imprescindible definir y comprender las reglas de enfrentamiento antes de lanzar un ejercicio de red team. Aunque los ejercicios de red team suelen incluir todo el alcance, puede ser necesario establecer limitaciones por motivos de cumplimiento normativo o legales.
• ¿Caja negra, caja gris o caja blanca?: Las actividades de caja negra realizadas por los red teams simulan ataques llevados a cabo por atacantes sin privilegios, mientras que las actividades de caja gris implican información limitada, como un conjunto de credenciales de acceso. Por el contrario, los ejercicios de caja blanca requieren que los clientes proporcionen datos completos del sistema y de la red al red team.
• Abordar el aspecto físico: las organizaciones deben considerar si las ubicaciones físicas, como oficinas, almacenes o filiales, están dentro del alcance. De ser así, cuántas son, durante cuánto tiempo y dónde se encuentran.
• Concienciación y aprobación: los ejercicios de Red Team pueden iniciarse sin el conocimiento de los defensores para medir su respuesta ante lo que creen que es un incidente real de ciberseguridad. No obstante, se debe informar con antelación a los directivos, líderes empresariales y partes interesadas. Si es necesario, se deben obtener los permisos legales pertinentes.

Una vez que estos elementos estén en su lugar, estará en una posición mucho mejor para ver el verdadero valor de su futura colaboración red team.

Preguntas frecuentes