Red Team
Una simulación de un atacante real que persigue un objetivo concreto a través de tu gente, tus procesos y tu tecnología. A diferencia de un pentest, lo que se mide sobre todo es tu capacidad de detección y respuesta. Las TTP se asignan a MITRE ATT&CK, y cerramos con una sesión de debrief purple team para que tus defensores aprendan de la experiencia.
Personas, procesos y tecnología
Un Red Team es acotado, orientado a objetivos y sigiloso. Mide si tu organización puede prevenir, detectar y responder, no cuántas vulnerabilidades existen. Usamos el enfoque de assumed breach para dedicar más tiempo al objetivo, y asignamos cada técnica a MITRE ATT&CK.
- OSINT e inteligencia de amenazas para diseñar un escenario realista
- Acceso inicial mediante phishing, ingeniería social, acceso físico o exploit, o bien assumed breach
- Punto de apoyo y mando y control, sin ser detectados (Stealth, Defense Impairment)
- Escalada de privilegios, movimiento lateral y descubrimiento hacia las joyas de la corona
- Acción sobre los objetivos con una simulación controlada de exfiltración
- Detección y respuesta del Blue Team medidas en todo momento
Basado en objetivos, mapeado a ATT&CK
Estructuramos el proyecto según PTES y asignamos la actividad a MITRE ATT&CK, apoyándonos en sus planes de emulación de adversarios para diseñar los escenarios. Todo requiere autorización previa explícita, y por lo general no se avisa a los defensores de antemano para que la prueba sea realista. No hay aprobado ni suspenso: el valor está en lo que aprende el equipo.
- 1
Fase previa y reglas
Acordamos los objetivos, el alcance, el perfil de amenaza y las reglas de actuación, con autorización explícita y un NDA.
- 2
Inteligencia de amenazas y diseño de escenarios
El OSINT y la inteligencia de amenazas (Reconnaissance, Resource Development) dan forma a un escenario a medida, mapeado a ATT&CK.
- 3
Acceso inicial y punto de apoyo
Establecemos un punto de apoyo y el C2 mediante phishing, ingeniería social, acceso físico o explotación, o partimos de un assumed breach.
- 4
Objetivos
Escalamos, nos movemos lateralmente y perseguimos los objetivos acordados mientras permanecemos ocultos, con exfiltración controlada.
- 5
Informe y debrief purple-team
Un informe con la narrativa del ataque y una sesión colaborativa de debrief purple-team convierten los hallazgos en mejoras defensivas.
Qué recibes
El entregable central muestra lo que tus defensores vieron y lo que se les escapó. Se presenta como el relato del ataque con un heatmap de ATT&CK y después lo trabajamos juntos.
- Resumen ejecutivo como relato del ataque
- Objetivos logrados y no logrados, frente a las metas acordadas
- Narrativa completa del ataque / kill chain mapeada a MITRE ATT&CK
- Brechas de detección y rendimiento del Blue Team: el hallazgo central
- Un mapa de cobertura / heatmap de técnicas de ATT&CK
- Remediación priorizada y un taller de debrief purple-team
Fundamentado en MITRE ATT&CK y PTES
Las técnicas se asignan a MITRE ATT&CK (Enterprise v19, quince tácticas; la antigua táctica Defense Evasion se ha dividido en Stealth y Defense Impairment). El proyecto se estructura según PTES y usa los planes de emulación de adversarios de ATT&CK. Un Red Team mide la detección y la respuesta. Es un ejercicio de aprendizaje, no una prueba de aprobado o suspenso.