Intervenciones del red team
Una intervención del «red team» no es un análisis de vulnerabilidades con otro nombre. Se trata de un intento de alcanzar un objetivo específico y realista —acceder a un sistema concreto, sustraer un tipo concreto de datos, demostrar que un control concreto fallaría realmente bajo presión real— utilizando cualquier combinación de explotación técnica, ingeniería social y acceso físico que un adversario real emplearía razonablemente. El objetivo no es obtener una larga lista de hallazgos, sino dar una respuesta sincera a la pregunta: «Si alguien realmente quisiera conseguirlo, ¿podría hacerlo?».
¿En qué se diferencia esto de una prueba de penetración?
Una prueba de penetración suele plantearse la pregunta «¿qué vulnerabilidades existen en este sistema?». Una intervención del red team se pregunta «¿puede un atacante motivado alcanzar este objetivo específico?», y ese enfoque lo cambia todo en cuanto a cómo se desarrolla la intervención. Podría comenzar con un correo electrónico de phishing dirigido a un empleado, en lugar de un ataque técnico directo a un servidor. Podría consistir en llamar al servicio de asistencia técnica e intentar restablecer una contraseña mediante ingeniería social. Pone a prueba las brechas entre sus controles de seguridad: aquellos puntos en los que una regla de cortafuegos técnicamente sólida se ve socavada por una persona que intenta ser servicial, o en los que un control técnico robusto tiene una vía alternativa en el proceso que nadie había considerado como una vía de ataque.
Cómo gestiono un proyecto
Comienzo acordando con usted unos objetivos y unas reglas de actuación claros, ya que un ejercicio de red team sin un alcance y unos límites definidos es imprudente y poco realista. A partir de ahí, desarrollo la intervención tal y como lo haría un adversario real —reconocimiento, acceso inicial, escalada y avance hacia el objetivo— documentando cada paso, incluidos aquellos que no funcionaron, ya que saber qué me detuvo es tan valioso como saber qué sí funcionó. Al final, recibirá un informe claro de lo que funcionó, de lo que su equipo o sus controles detectaron durante el proceso y, concretamente, de lo que hay que corregir, priorizado en función de lo que realmente importa, en lugar de una puntuación genérica de gravedad.
Asimismo, informo directamente a su equipo de defensa cuando resulta útil, ya que el objetivo de un ejercicio de «red team» es mejorar de verdad su capacidad de detección y respuesta, y no solo demostrar una tesis.
A quién va dirigido
Organizaciones con un programa de seguridad lo suficientemente maduro como para que una prueba de penetración estándar no les aporte nada nuevo, empresas que deseen comprobar si sus sistemas de detección y respuesta funcionan realmente frente a un ataque realista, y cualquier persona que necesite una auténtica prueba de resistencia antes de poner en juego el futuro de su negocio confiando en sus defensas actuales.
Si está listo para descubrir qué es lo que realmente funciona, Contacte conmigo.