Red Team y Blue Team son formas de organizar ejercicios de seguridad. El primero simula las acciones de un adversario dentro de un alcance autorizado; el segundo monitorea, investiga y responde. El objetivo compartido es descubrir carencias y mejorar la capacidad de protección.
Este artículo explica qué hace cada función, qué distingue un ejercicio útil de una demostración técnica y por qué la colaboración entre ambos equipos produce más aprendizaje que la competición.
Primero: una prueba de penetración no es un ejercicio de Red Team
Los términos se utilizan como sinónimos y no lo son. La diferencia está en el objetivo:
| Prueba de penetración | Ejercicio de Red Team | |
|---|---|---|
| Pregunta | ¿Qué fallas existen en este alcance? | ¿La organización detectaría y respondería a este adversario? |
| Alcance | Sistemas definidos, cobertura amplia | Objetivo definido, camino libre |
| ¿La defensa lo sabe? | Generalmente sí | Generalmente no: forma parte de la prueba |
| Éxito | Lista de vulnerabilidades encontradas | Entender qué se vio, qué no y por qué |
| Mide | Superficie técnica | Capacidad de detección y respuesta |
Una prueba de penetración evalúa sistemas. Un ejercicio de Red Team evalúa a la organización, incluidas personas, procesos y telemetría. Hacer uno llamándolo de otra forma genera expectativas equivocadas e informes que no responden a la pregunta que tenía la dirección.
El trabajo del Red Team
Un ejercicio empieza con reglas claras: sistemas permitidos, periodo, técnicas aceptadas, contactos y criterios para interrumpir una actividad. Estas reglas no son burocracia: separan un ejercicio profesional de un acceso indebido.
Las reglas de enfrentamiento mínimas registran:
- qué sistemas y direcciones están dentro del alcance y cuáles están explícitamente fuera;
- ventana de ejecución y horarios permitidos;
- técnicas aceptadas y prohibidas: por ejemplo, si se excluyen la denegación de servicio o la ingeniería social con terceros;
- límites de impacto: qué no puede modificarse, borrarse o exfiltrarse realmente;
- contactos de emergencia de ambas partes, disponibles durante toda la ventana;
- criterio de parada inmediata y quién tiene autoridad para activarlo;
- cómo se tratarán y destruirán al final los datos recopilados.
La autorización por escrito de quien tiene facultad para concederla no es opcional. Sin ella, la misma acción técnica deja de ser un ejercicio.
El equipo ofensivo intenta alcanzar objetivos definidos —demostrar una cadena de exposición, por ejemplo— sin causar daños innecesarios. El valor está en las evidencias y las recomendaciones: una demostración técnica aislada dice poco si no explica la causa, el impacto y cómo verificar la corrección.
El trabajo del Blue Team
El equipo defensivo observa señales en registros, redes y endpoints, investiga alertas y coordina la respuesta. También refuerza configuraciones, mejora la visibilidad y define procedimientos para incidentes.
Una buena defensa no depende de detectar inmediatamente cada evento. Depende de priorizar, entender el contexto y reducir el tiempo entre una señal relevante y una acción adecuada. Detectarlo todo es imposible; detectar lo que importa y actuar a tiempo es el objetivo realista.
Conviene observar la asimetría que define el trabajo: el Red Team necesita un camino que funcione; el Blue Team debe cubrirlos todos. Por eso la defensa se organiza en capas: si cada etapa del adversario tiene alguna probabilidad de ser vista, la probabilidad de atravesarlas todas sin ruido disminuye rápidamente.
Un vocabulario común: MITRE ATT&CK
ATT&CK es una base pública que cataloga el comportamiento de adversarios observado en el mundo real, organizada en tácticas —el objetivo del adversario en ese momento— y técnicas, las formas de alcanzarlo. La matriz Enterprise abarca desde reconocimiento y acceso inicial hasta movimiento lateral, mando y control, exfiltración e impacto, además de dominios específicos para dispositivos móviles y sistemas de control industrial.
Su utilidad práctica es servir de idioma común entre ambos equipos. En lugar de «conseguimos obtener las credenciales», el reporte pasa a ser «utilizamos la técnica X de la táctica de acceso a credenciales», y el Blue Team puede responder «tenemos recopilación para eso, pero no una regla», que es una conclusión sobre la que se puede actuar.
Este vocabulario también revela carencias de cobertura: mapear qué tácticas puede detectar la organización muestra las columnas vacías con una sinceridad incómoda y productiva.
Cuando los equipos colaboran
En ejercicios conjuntos, los equipos comparan lo ejecutado con lo observado. Para cada acción del Red Team hay cuatro respuestas posibles:
| Resultado | Qué significa | Qué corregir |
|---|---|---|
| Generó una alerta investigada | Funcionó | Nada: documentar |
| Generó un evento, sin alerta | Falta una regla de detección | Escribir y probar la regla |
| No hubo ningún evento | Falta recopilación de telemetría | Habilitar la fuente de datos |
| Alerta ignorada entre el ruido | Exceso de falsos positivos | Ajustar la calidad de la señal |
Esta tabla es el producto más valioso de un ejercicio, más que la narración del ataque. Cada fila indica una corrección diferente: adquirir telemetría, escribir detecciones o reducir el ruido son proyectos distintos, con costos distintos.
La pregunta más útil al final no es «¿quién ganó?», sino «¿qué se volvió más difícil para un atacante después del ejercicio?». Un ejercicio en el que el Red Team no consiguió nada puede significar defensa madura o un alcance tímido. Uno en el que lo consiguió todo puede significar defensa frágil o reglas de enfrentamiento demasiado generosas. El resultado bruto dice poco sin contexto.
Cómo estudiar el tema
Empieza por fundamentos de redes, identidad y registro de eventos. Entender la defensa mejora el trabajo ofensivo; entender las técnicas ofensivas mejora la defensa. Quien solo conoce un lado produce un trabajo peor en ambos.
Un ejercicio de estudio que cabe en un laboratorio propio:
- Elige una técnica de ATT&CK, preferiblemente sencilla.
- Antes de ejecutarla, escribe tu hipótesis: ¿qué evidencia debería dejar y en qué fuente de datos?
- Ejecútala en el laboratorio.
- Busca la evidencia. Compárala con la hipótesis.
- Escribe qué encontraste, qué no y qué faltaba recopilar.
El paso 2 es lo que convierte la actividad en aprendizaje. Ejecutar y observar enseña una herramienta; predecir y comprobar enseña el razonamiento que sirve para cualquier herramienta.
Una sesión de colaboración entre ambos equipos —a veces llamada ejercicio Purple Team— resulta especialmente útil para estudiantes: conecta una técnica simulada con registros, hipótesis de detección y documentación, sin convertir la actividad en competición ni en demostración de acceso indebido.
Siguiente paso
Monta un laboratorio aislado, elige una sola técnica y sigue los cinco pasos anteriores documentando cada uno. Un cuaderno con diez técnicas estudiadas así vale más, tanto en una entrevista como en la práctica, que una lista de treinta herramientas instaladas.
Practica únicamente en entornos propios o con autorización explícita y por escrito. Las técnicas ofensivas fuera del alcance autorizado no son estudio: son acceso indebido, con consecuencias legales reales.
