Red Team o test de penetración: ¿en qué se diferencian y cuál elegir?

Un pentest busca el mayor número posible de puntos débiles en sistemas acordados de antemano, mientras que un Red Team comprueba si tu empresa detectaría y pararía un ataque dirigido real. Si todavía no sabes dónde están tus fallos, empieza por un pentest; un Red Team tiene sentido cuando los hallazgos principales ya están corregidos y hay personas que vigilan la seguridad y responden a las alertas.

Abajo tienes los dos formatos explicados con palabras sencillas, una tabla comparativa, las condiciones para estar preparado para un Red Team y una regla que te ayuda a decidir en cinco minutos.

En resumen

• Un pentest responde a «qué puntos débiles tienen estos sistemas y qué podría hacer un atacante con ellos». El alcance es estrecho y claro, y el equipo suele saber que hay una prueba.
• Un Red Team responde a «llegaría un ataque real a un objetivo importante y alguien lo notaría». El alcance es más amplio: personas, procesos y tecnología a la vez, y solo unas pocas personas saben de la prueba.
• Un pentest suele durar una semana o más. Un Red Team suele llevar varias semanas o más, porque imita a un atacante paciente.
• Un Red Team sin monitorización funcionando y sin personas que respondan a las alertas solo muestra lo evidente: «nadie se dio cuenta».
• Para la mayoría de las empresas el orden correcto es: escaneo, después pentest, y Red Team más adelante, cuando ya hay un equipo de seguridad.

Qué significa pentest y qué significa Red Team

Un pentest (test de penetración) significa una prueba en la que especialistas, dentro de límites acordados, intentan saltarse la protección de sistemas concretos como lo haría un atacante. NIST lo describe así: imitar ataques reales para encontrar formas de evitar la seguridad de una aplicación, sistema o red, a menudo combinando varias vulnerabilidades. ^[3]

Un Red Team significa un grupo de personas autorizadas para imitar a un posible adversario, con el fin de mostrar el impacto de un ataque con éxito y comprobar qué funciona de verdad para los defensores. ^[1] El ejercicio, según NIST, reproduce condiciones reales y evalúa la seguridad de toda la organización, no de un solo sistema. ^[2] En esta terminología a los defensores se les llama Blue Team (el equipo que detecta ataques y responde).

Dicho de forma sencilla: un pentest revisa las puertas, las ventanas y las cerraduras. Un Red Team comprueba si los vigilantes ven a alguien que ya camina por el pasillo hacia la caja fuerte.

Comparación

Qué aprendes con cada formato

Después de un pentest tienes una lista de problemas concretos: por ejemplo, un cliente ve pedidos ajenos, un panel de administración es accesible desde internet, una contraseña se puede adivinar sin límite de intentos. Cada hallazgo tiene descripción, prueba y recomendación. Los corriges y pides una segunda comprobación (retest).

Después de un Red Team aprendes otra cosa: si la detección funcionó cuando el atacante ya estaba dentro, si la persona de guardia entendió lo que pasaba, cuánto tiempo pasó desde la primera señal hasta la respuesta. Un Red Team puede pasar por alto decenas de vulnerabilidades pequeñas, porque le basta un camino que funcione hasta el objetivo. Por eso no sustituye al pentest.

Para describir lo que hacen los atacantes es útil MITRE ATT&CK, una base de conocimiento abierta de tácticas y técnicas reunida a partir de ataques reales observados. ^[4] El informe de un Red Team suele mostrar cuáles de esas técnicas detectó tu defensa y cuáles no.

Cuándo una empresa está preparada para un Red Team

Un Red Team solo es útil cuando hay algo que comprobar. Señales de que estás preparado:

• los hallazgos críticos y altos del último pentest están corregidos y confirmados con un retest;
• los registros de eventos (inicios de sesión, programas ejecutados, conexiones de red) se recogen en un solo lugar;
• alguien revisa de verdad las alertas: tu propio equipo, un administrador de guardia o un servicio externo de monitorización;
• hay un plan de respuesta a incidentes y la gente sabe a quién llamar;
• la dirección está dispuesta a oír un resultado incómodo y a dedicar recursos a las correcciones;
• hay una persona que puede dirigir la prueba desde dentro y pararla si algo va mal.

Si la mayoría de estos puntos todavía no van contigo, un Red Team solo mostrará una cosa: nadie notó el ataque. Ese dinero rinde más en un pentest y en poner en marcha la monitorización.

Cómo hacen Red Team las entidades financieras en Europa

El Banco Central Europeo describe el marco TIBER-EU para Red Team ético basado en inteligencia de amenazas. ^[5] La prueba imita las tácticas y técnicas de atacantes reales, elegidas a medida para cada entidad, y se dirige a sus funciones críticas.

Algunas ideas útiles de este marco que vale la pena copiar aunque no tengas regulador:

• El resultado no es «aprobado o suspendido». El objetivo es ver los puntos fuertes y débiles de tu defensa y aprender de ellos.
• Solo el equipo de control sabe de la prueba, un grupo pequeño dentro de la empresa. El equipo de defensa trabaja como cualquier otro día.
• El escenario se basa en inteligencia de amenazas: quién podría atacarte de verdad y cómo.
• Después de la prueba se redacta un plan de corrección, en vez de guardar el informe en un cajón.

El marco se diseñó para entidades que prestan infraestructura financiera clave, pero según el BCE puede usarse en todos los sectores críticos. También ayuda a cumplir los requisitos del reglamento DORA sobre pruebas de penetración guiadas por amenazas. ^[5]

Regla de decisión

Elige un pentest si:

• nadie ha revisado tus sistemas a mano, o la última vez fue hace mucho;
• preparas un lanzamiento, una actualización grande o una integración nueva;
• un socio, cliente o regulador pide un informe de prueba de un sistema concreto;
• en la empresa nadie vigila las alertas de seguridad.

Elige un Red Team si:

• ya haces pentests con regularidad y los hallazgos están corregidos;
• tienes monitorización y personas que responden a incidentes, y quieres ponerlas a prueba a ellas;
• la dirección pregunta «nos daríamos cuenta de un ataque», no «tenemos vulnerabilidades».

Si aún no tienes claro ni siquiera el pentest, empieza por el artículo pentest o escaneo de vulnerabilidades: ahí se explica el primer paso.

Errores habituales

• Contratar un Red Team en lugar del primer pentest. Recibes un informe caro que dice que nadie notó el ataque y aprendes muy poco sobre qué corregir.
• Avisar a todo el equipo. Entonces no pruebas la respuesta, sino lo atenta que está la gente el día que espera un ataque.
• No definir objetivos. Un Red Team necesita un objetivo claro: acceso al sistema de pagos, a la base de clientes o al correo del director. Sin él, el resultado es difícil de valorar.
• No acordar las reglas por escrito. El alcance, las acciones prohibidas, la persona de contacto y la forma de parar la prueba se fijan antes de empezar.

Lista: ¿estás preparado para un Red Team?

• El último pentest fue hace menos de un año, y los hallazgos críticos están corregidos y confirmados con un retest.
• Los registros de eventos de los sistemas clave se recogen en un solo lugar.
• Alguien revisa las alertas de seguridad cada día, también los fines de semana.
• Hay un plan escrito de respuesta a incidentes con contactos.
• Hay uno o varios objetivos definidos: lo que más importa al negocio.
• Hay un grupo de control de dos o tres personas que sabrán de la prueba.
• El alcance, las acciones prohibidas y la autorización por escrito están acordados antes de empezar.
• El presupuesto y el tiempo para las correcciones después del informe están planificados.

Descargar la lista de preparación (PDF)PDF · A4

FAQ

¿Cuál es la diferencia entre un Red Team y un pentest, en pocas palabras?

Un pentest busca el máximo de puntos débiles en sistemas concretos. Un Red Team comprueba si tu empresa notaría y pararía un ataque real contra un objetivo importante, y para eso usa un camino silencioso, no todos los posibles.

¿Un Red Team puede sustituir a un pentest?

No. Un Red Team busca un camino que funcione hasta el objetivo y no intenta encontrar todas las vulnerabilidades. Sigues necesitando pentests para revisar sistemas concretos, sobre todo después de cambios.

¿Cuánto dura un Red Team?

Depende de los objetivos y del alcance. Normalmente son varias semanas de trabajo activo más la preparación y el informe, bastante más que un pentest típico.

¿Sabrán mis empleados que hay un Red Team?

Normalmente solo lo sabe un pequeño grupo de control, que dirige la prueba y puede pararla. El resto del equipo trabaja como siempre; si no, no se puede comprobar la respuesta.

¿Una empresa pequeña necesita un Red Team?

Casi nunca, al menos no como primer paso. A una empresa pequeña le aporta más un pentest de sus sistemas clave y poner en marcha la monitorización. Un Red Team tiene sentido cuando hay personas que responden a las alertas.

Referencias

1. NIST CSRC Glossary: Red Team csrc.nist.gov
2. NIST CSRC Glossary: Red Team Exercise csrc.nist.gov
3. NIST CSRC Glossary: Penetration Testing csrc.nist.gov
4. MITRE ATT&CK attack.mitre.org
5. ECB: What is TIBER-EU? ecb.europa.eu