Red team, purple team y emulación de adversario

Cómo se diferencian

• Prueba de penetración: cobertura amplia de debilidades en un alcance definido, por lo general anunciada a los defensores, con tiempo limitado y una lista de hallazgos.
• Red team: basado en objetivos (por ejemplo, llegar a la base de datos de clientes o tomar el control del proveedor de identidad), encubierto, más largo y dirigido a toda la organización: personas, procesos y tecnología.
• Purple team: red y blue trabajan juntos abiertamente. El lado red ejecuta una técnica, el lado blue verifica si se detectó y las brechas se corrigen en el acto. La forma más rápida de mejorar la detección.
• Emulación de adversario: un ejercicio red o purple que reproduce el comportamiento documentado de un actor de amenaza específico y relevante para ti.

Ejecutando un ejercicio

• Elige el adversario y el escenario a partir de threat intelligence: quién ataca tu sector y qué técnicas usa.
• Define objetivos y criterios de éxito, un pequeño grupo de control que conoce el ejercicio (el white cell) y las reglas: acciones prohibidas, paradas de seguridad y un proceso de deconfliction para que un incidente real nunca se confunda con el ejercicio.
• Emula las técnicas en orden, usando sus identificadores ATT&CK, y registra para cada una: qué se hizo, cuándo y qué telemetría debería generar.
• Haz el debrief con apertura: qué pasos se previnieron, detectaron, alertaron, investigaron y contuvieron, y cuánto tardó cada uno.
• Convierte las brechas en trabajo: nuevas detecciones, hardening y cambios en los playbooks, y luego reteste.

Un registro de purple team

attack_id,technique,executed_at_utc,expected_telemetry,detected,alert_fired,time_to_detect,action
T1059.001,ejecución de PowerShell,2026-11-05T10:02Z,process_creation + script block log,sí,sí,2m,ajustar severidad de la alerta
T1003,intento de credential dumping,2026-11-05T10:20Z,acceso a LSASS,parcial,no,n/d,agregar regla de EDR + detección Sigma
T1021.001,movimiento lateral por Remote Desktop,2026-11-05T10:45Z,logon type 10 + nueva fuente,no,no,n/d,habilitar logging en el jump host; escribir detección

Principios

• El objetivo es una defensa más fuerte. Un red team que nunca comparte sus técnicas con el blue team está desperdiciando el ejercicio.
• Realismo con seguridad: emula el comportamiento sin causar daño y mantén controles para detener el ejercicio al instante.
• Usa frameworks públicos y procedimientos de prueba benignos para la emulación, no malware personalizado, a menos que el alcance y la base legal lo cubran explícitamente.
• Las reglas legales y éticas del primer tema se aplican aquí con aún más fuerza: autorización, alcance, manejo mínimo de datos e informes honestos.
• Mide la mejora a lo largo del tiempo: cobertura de detección, tiempo para detectar, tiempo para contener.