Red Team: simulación de adversario real para medir tu capacidad de detección
Un pentesting encuentra vulnerabilidades en un alcance acotado y conocido de antemano. Un Red Team simula lo que haría un atacante real con un objetivo concreto —acceder a tu ERP, exfiltrar datos de clientes, comprometer el dominio— combinando vectores técnicos, sociales y, cuando aplica, físicos, sin que tu equipo de seguridad sepa que está ocurriendo. La pregunta que responde no es "¿qué vulnerabilidades tenéis?", sino "¿nos habríais detectado?".
Última actualización:
Dimensiona tu proyecto · Solicitar ejercicio de Red Team
¿Prefieres hablarlo? Llámanos al +34 960 730 013
- Encubierto — tu SOC no sabe que el ejercicio está en marcha
- MITRE ATT&CK — cada técnica usada, mapeada y documentada
- MTTD / MTTR — tiempos reales de detección y respuesta, medidos
- Desde 12.000 € — precio orientativo según objetivo y vectores
Resumen para dirección
- Qué riesgo de negocio cubre: Que un atacante real alcance un objetivo de negocio —el ERP, los datos de clientes, el dominio— sin que nadie lo detecte, aunque hayáis invertido en SOC y herramientas.
- Qué podrás demostrar, y a quién: A tu consejo y a quien supervise tu seguridad: si el objetivo se alcanzó, en cuánto tiempo y qué alertas saltaron y cuáles no, con los tiempos de detección y respuesta medidos. Es la base para justificar, o redirigir, la inversión en defensa.
- Plazo e inversión: Desde 12.000 €, según el objetivo y los vectores que se acuerden: digitales, sociales y, si se pacta, físicos. Objetivo, reglas de intervención y precio quedan cerrados antes de empezar.
¿Por qué un pentesting no basta para saber si estáis preparados?
Un pentesting técnico es imprescindible, pero responde a una pregunta distinta: dentro de un alcance definido y en un plazo fijo, ¿qué vulnerabilidades existen? El equipo defensivo suele saber que está ocurriendo, lo que cambia su comportamiento. Un atacante real no avisa, no se limita a un único vector y no se detiene ante el primer control que encuentra: combina phishing dirigido, explotación técnica, movimiento lateral y, si hace falta, ingeniería social presencial, durante semanas, buscando el camino más silencioso hacia un objetivo de negocio concreto. Un Red Team es la única forma de comprobar si tu SOC, tus alertas y tu equipo de respuesta funcionan de verdad cuando nadie les avisa de antemano.
¿En qué punto nos habríais cortado el paso?
Un Red Team no termina en «llegamos al objetivo». Lo valioso es la línea de detección: en cada fase, qué vio vuestra defensa, qué ignoró y qué no llegó a ver. Así se ve un ejercicio tipo.
- Reconocimiento OSINT (Reconnaissance): Organigrama, tecnologías expuestas y credenciales filtradas de empleados, sin tocar un solo sistema. Fuera del perímetro: invisible para el SOC
- Spear phishing dirigido (Initial Access): Un correo creíble a finanzas captura una sesión de Microsoft 365 con MFA incluida. Un empleado lo reporta; nadie lo investiga
- Implante persistente (Persistence): Un implante en el portátil sobrevive a reinicios y se comunica imitando tráfico legítimo. El EDR registra el evento, sin alerta
- Movimiento lateral (Lateral Movement): Kerberoasting de una cuenta de servicio con privilegios y saltos hasta los servidores del ERP. Alerta de severidad baja, cerrada como falso positivo
- Exfiltración simulada (Exfiltration): Datos de prueba enviados a infraestructura controlada por nosotros, nunca datos reales. La DLP lo detecta: contención a las 36 h
Lo que se mide: No solo si se alcanzó el objetivo, sino dónde se podía haber cortado. Cada señal perdida se convierte en una regla de detección que revisamos con tu equipo azul en la sesión de purple teaming.
Ejemplo ilustrativo de un ejercicio tipo. Vectores, objetivos y límites se acuerdan con dirección en cada caso.
Qué cubre un ejercicio de Red Team
- Definición de objetivo de negocio (crown jewels): qué activo o dato debe "capturar" el equipo rojo para considerar el ejercicio exitoso
- Reconocimiento OSINT: superficie expuesta, empleados, tecnologías, filtraciones previas de credenciales
- Vector de entrada inicial: phishing dirigido (spear phishing), explotación de servicios expuestos o ingeniería social
- Post-explotación y movimiento lateral: escalada de privilegios, pivoting entre sistemas, persistencia
- Evasión activa de EDR/AV y de las capacidades de detección del SOC (blue team)
- Simulación de exfiltración de datos hacia infraestructura controlada, sin extraer datos reales de producción
- Ingeniería social presencial cuando el alcance lo incluye: acceso físico a instalaciones, tailgating, dispositivos USB
- Medición del tiempo de detección (MTTD) y de respuesta (MTTR) reales del equipo defensivo
Metodología del ejercicio (alineada con TIBER-EU / MITRE ATT&CK)
- Definición de objetivo y reglas de intervención: Acordamos con dirección o CISO el objetivo de negocio, los sistemas estrictamente fuera de alcance y el protocolo de parada de emergencia. El equipo defensivo NO es informado del ejercicio.
- Inteligencia de amenazas y reconocimiento: Construimos el perfil de ataque con TTPs (tácticas, técnicas y procedimientos) de actores reales relevantes para tu sector, y mapeamos la superficie expuesta: dominios, empleados, tecnologías, credenciales filtradas.
- Intrusión inicial: Ejecutamos el vector de entrada acordado —phishing dirigido, explotación de un servicio expuesto o ingeniería social— buscando el punto de apoyo inicial con el menor ruido posible.
- Post-explotación y persistencia: Escalamos privilegios, nos movemos lateralmente hacia el objetivo definido y establecemos persistencia evadiendo activamente EDR, AV y las alertas del SOC, documentando cada TTP usado.
- Consecución del objetivo y cierre: Alcanzamos (o intentamos alcanzar) el objetivo de negocio acordado. Entregamos un informe conjunto con la cronología completa del ataque, qué detectasteis y cuándo, y un plan de mejora priorizado para el equipo azul.
Un ejercicio en el tiempo: qué ocurre cada semana y quién lo sabe
Así se reparte en el tiempo un Red Team de tamaño medio. Las fases se solapan, las señales de la defensa aparecen cuando aparecen y solo el equipo de control sabe que hay un ejercicio en marcha hasta el cierre.
- Semana 1 · Objetivo y reglas de intervención: Con dirección o el CISO fijamos el activo que hay que alcanzar, lo que queda fuera de alcance y el protocolo de parada de emergencia.
- Semanas 1–3 · Inteligencia de amenazas y OSINT: Perfil de ataque con TTPs de actores reales de tu sector y mapa de la superficie expuesta: dominios, empleados, tecnologías y credenciales filtradas.
- Semanas 3–4 · Intrusión inicial: El vector acordado —phishing dirigido, un servicio expuesto o ingeniería social— busca el primer punto de apoyo con el menor ruido posible.
- Semanas 4–7 · Post-explotación y movimiento lateral: Escalada de privilegios, persistencia y saltos hacia el objetivo evadiendo el EDR y el SOC, con cada técnica documentada.
- Semana 7 · Objetivo y exfiltración simulada: Se alcanza (o se intenta alcanzar) el activo crítico y se simula la salida de datos de prueba hacia infraestructura controlada.
- Semana 8 · Informe y purple teaming: Cronología completa, qué se detectó y cuándo, y sesión con el equipo azul para convertir cada señal perdida en una regla de detección.
- Semana 3: Un empleado reporta el phishing; nadie lo investiga
- Semana 4: El EDR registra el implante, sin alerta
- Semana 6: Alerta de severidad baja en el ERP, cerrada como falso positivo
- Semana 7: La DLP detecta la exfiltración simulada
Equipo azul: No sabe que hay un ejercicio → Purple teaming (Semana 8)
Ejemplo ilustrativo. Un ejercicio dura habitualmente entre 4 y 12 semanas, según el objetivo, el tamaño de la organización y el sigilo requerido.
Qué recibes al finalizar el ejercicio
- Informe ejecutivo: si se alcanzó el objetivo, en cuánto tiempo y con qué nivel de sigilo
- Cronología técnica completa del ataque (kill chain) con TTPs mapeados a MITRE ATT&CK
- Línea temporal de detección: qué alertas se dispararon, cuáles no y por qué
- Sesión conjunta con el SOC/equipo azul (purple teaming) para revisar cada técnica y mejorar reglas de detección
- Plan de mejora priorizado: qué reforzar primero según el impacto real demostrado, no una lista genérica de hardening
- Re-test de los vectores de detección corregidos, según el proyecto y lo acordado
Qué técnicas vio vuestra defensa, antes y después del purple teaming
El informe mapea cada técnica usada a MITRE ATT&CK y dice qué hizo la defensa con ella. Cambia de momento para ver cómo se mueve la matriz cuando las señales perdidas se convierten en reglas.
- En el primer ejercicio casi todo pasó sin ser visto, y casi todo lo que dejó rastro se quedó en un log sin alerta: había datos, faltaban reglas.
- En la sesión de purple teaming repasamos cada técnica con vuestro equipo azul y la convertimos en una regla de detección o en un caso de uso del SOC.
- El re-test vuelve a lanzar las mismas técnicas para comprobar que las reglas nuevas saltan de verdad, y deja a la vista lo que sigue sin cubrir.
Ejemplo ilustrativo con las tácticas de MITRE ATT&CK Enterprise; cada casilla es una técnica probada. «Impact» queda fuera de alcance: un Red Team no ejecuta acciones destructivas.
¿Cuándo tiene sentido un Red Team en vez de un pentesting?
- Ya tenéis un programa de pentesting maduro y las vulnerabilidades críticas obvias están corregidas
- Tenéis SOC propio o externalizado y necesitáis validar que detecta ataques reales, no solo que existe
- Estáis sujetos a DORA y vuestra entidad puede ser designada para TLPT (Threat-Led Penetration Testing)
- Necesitáis justificar ante dirección una inversión en detección y respuesta con evidencia real, no hipotética
- Habéis sufrido un incidente y necesitáis validar que las medidas correctivas realmente funcionan bajo un ataque real
- Sector financiero, energético, sanitario o infraestructura crítica con exigencias regulatorias de resiliencia avanzada
Pentesting, Red Team o TLPT: en qué se diferencian
Los tres son pruebas ofensivas, pero miden cosas distintas. El TLPT es un Red Team con el marco regulatorio que exige DORA a las entidades financieras designadas.
| Pentesting | Red Team | TLPT (DORA) | |
|---|---|---|---|
| Qué responde | ¿Qué vulnerabilidades tiene este sistema? | ¿Nos detectaría y pararía un atacante real? | ¿Resiste la entidad un ataque dirigido, ante el supervisor? |
| Objetivo | Encontrar el máximo de fallos en un alcance acotado | Alcanzar un activo crítico de negocio sin ser detectado | Comprometer las funciones críticas de la entidad |
| Equipo defensivo | Normalmente avisado | No avisado | No avisado; solo el equipo de control lo sabe |
| Vectores | Técnicos, dentro del alcance | Técnicos, humanos y, si se acuerda, físicos | Basados en inteligencia de amenazas específica de la entidad |
| Duración típica | 3–10 días hábiles | Varias semanas | Fase activa de 12 semanas como mínimo (TIBER-EU) |
| Marco | OWASP, PTES, OSSTMM | MITRE ATT&CK, alineado con TIBER-EU | TIBER-EU / TIBER-ES, con supervisor |
Compara con
Preguntas frecuentes sobre Red Team
¿En qué se diferencia exactamente un Red Team de un pentesting de Active Directory?
Un pentesting de Active Directory analiza el entorno AD en profundidad con un alcance técnico conocido, buscando el máximo de vulnerabilidades de configuración y escalada de privilegios. Un Red Team parte de fuera del perímetro, con un objetivo de negocio concreto, sin que el equipo defensivo lo sepa, y solo entra en AD si ese es el camino más realista hacia el objetivo — es una prueba de la organización completa, no del entorno AD en sí.
¿Es lo mismo que el TLPT que exige DORA?
El TLPT es un Red Team ejecutado bajo el marco regulatorio TIBER-EU, con proveedores acreditados específicamente y coordinación con el supervisor, obligatorio para entidades financieras designadas como críticas. Nuestro Red Team estándar sigue la misma lógica metodológica y es la preparación ideal antes de un TLPT formal; para el TLPT regulatorio en sí, te orientamos sobre el proceso de acreditación necesario.
¿Qué pasa si el equipo defensivo nos detecta el primer día?
Es un resultado válido y valioso — significa que vuestras defensas funcionan para ese vector. En ese caso, con vuestro consentimiento, podemos ajustar el ejercicio para seguir probando otros vectores o técnicas de evasión más avanzadas, maximizando el aprendizaje del ejercicio.
¿Incluye ingeniería social presencial y acceso físico?
Solo si se acuerda explícitamente en el alcance. No es un componente por defecto: algunas organizaciones lo incluyen (tailgating, dispositivos USB, suplantación de personal técnico) y otras prefieren limitarlo a vectores digitales. Se define en la fase de reglas de intervención.
¿En qué se diferencia de una simulación de phishing (ingeniería social)?
Una simulación de phishing evalúa un único vector —el humano— de forma aislada y con un alcance conocido de antemano por quien la contrata. Un Red Team puede usar el phishing como uno de varios vectores de entrada, pero solo si sirve para alcanzar el objetivo de negocio definido, combinado con explotación técnica y movimiento lateral; no es un fin en sí mismo ni se mide de forma independiente.
Servicios especializados
Entender el ejercicio
Regulación y sector financiero
Preparar a tu organización
Fuentes
¿Listo para proteger tu empresa?
Responde la ficha de alcance a tu ritmo y la usaremos para preparar tu propuesta. Si prefieres hablarlo antes, reserva una llamada gratuita de 30 minutos.