Red Team
Un equipo de operadores replica durante semanas a un adversario real: phishing, acceso físico, movimiento lateral y exfiltración. Usted descubre hasta dónde llegaría un atacante, y su equipo aprende a detenerlo.
- Inteligencia de amenazas
- Acceso inicial
- Movimiento lateral
- Purple team final
- de los ejercicios alcanzan un objetivo crítico
- 94 %
- de los ejercicios alcanzan un objetivo crítico
- de duración media por campaña
- 6 sem
- de duración media por campaña
- metodología alineada con DORA TLPT
- TIBER-EU
- metodología alineada con DORA TLPT
En detalle
Un adversario real, con reglas claras y un objetivo de negocio.
Un pentest le dice qué vulnerabilidades tiene. Un Red Team le dice si un atacante decidido llegaría a lo que más le importa: la tesorería, los datos de clientes, el ERP o la planta. Partimos de un objetivo concreto (por ejemplo, ordenar una transferencia o leer el correo del CEO) y trabajamos hacia atrás.
Durante la campaña combinamos ingeniería social, explotación técnica y abuso de configuraciones legítimas en Active Directory, Entra ID, AWS o Google Workspace. Medimos no solo si entramos, sino cuánto tardó su equipo en vernos y qué hizo al detectarnos.
El valor real llega al final: repetimos cada técnica junto a su SOC en sesiones de purple team, de modo que cada hallazgo se convierte en una regla de detección probada y no en una página más de un informe.
Casos reales
Lo que suele pasar cuando lo probamos.
Del correo al dominio en 3 días
Un phishing con un documento compartido legítimo nos dio una sesión en un portátil. Una cuenta de servicio con permisos excesivos nos llevó a administrador de dominio sin una sola alerta.
La tarjeta de acceso clonada
Clonamos una tarjeta de proximidad en la cafetería del edificio y colocamos un dispositivo de red en una sala de reuniones. El tráfico salía cifrado por HTTPS y nadie lo vio.
El proveedor como puerta
Comprometimos la cuenta de soporte remoto de un proveedor de mantenimiento y, desde ella, llegamos al entorno de producción. La vía no estaba en ningún inventario de riesgos.
Qué recibe
Un informe que entiende el consejo y otro que usa su SOC.
- Informe ejecutivo con la cadena de ataque y el impacto en negocio
- Informe técnico con cada técnica mapeada a MITRE ATT&CK
- Línea temporal del ataque frente a lo que detectó su equipo
- Plan de remediación priorizado por riesgo y esfuerzo
- Reglas de detección validadas en sesiones de purple team
- Presentación de resultados a dirección
Cómo trabajamos
Tres formatos según su madurez.
Assumed breach
Empezamos dentro, como si un empleado ya hubiera caído.
- 2 a 3 semanas
- Foco en movimiento lateral
- Ideal como primer ejercicio
- Más elegido
Full scope
Desde fuera, sin información previa y con todos los vectores.
- 5 a 8 semanas
- Phishing, físico y técnico
- Purple team incluido
TLPT / TIBER-EU
Ejercicio regulado para entidades financieras bajo DORA.
- Inteligencia de amenazas
- Coordinación con el regulador
- Informes en formato oficial
Seguridad ofensiva
Qué incluye
- 01
Inteligencia de amenazas
Perfilamos a los grupos que atacan su sector y diseñamos el escenario a partir de sus técnicas reales.
- 02
Acceso inicial
Phishing dirigido, vishing, credenciales filtradas y, si lo autoriza, intrusión física en oficinas.
- 03
Movimiento lateral
Escalamos privilegios en Active Directory, cloud y OT sin hacer saltar las alarmas.
- 04
Purple team final
Repetimos el ataque junto a su SOC para que cada técnica deje una detección nueva.
Red Team
Cómo trabajamos
- 1
Alcance y reglas
Definimos objetivos, líneas rojas y el equipo de control que conoce el ejercicio.
- 2
Reconocimiento
Mapeamos su superficie externa, personas clave y proveedores.
- 3
Ejecución
Campaña sigilosa con informe diario al equipo de control.
- 4
Cierre
Informe ejecutivo, técnico y sesión de purple team.
FAQ
Preguntas frecuentes
¿Puede afectar a la operativa?
No. Trabajamos con líneas rojas pactadas y un equipo de control que puede pausar el ejercicio en cualquier momento.
¿Sirve para DORA?
Sí. Seguimos el marco TIBER-EU, que es la base de las pruebas TLPT exigidas por DORA a entidades financieras.
¿Quién en mi empresa debe saberlo?
Solo un pequeño equipo de control, normalmente el CISO y una o dos personas de dirección. El resto de la organización, incluido el SOC, no debe saberlo para que la medición sea real.
¿Qué pasa si encontramos algo crítico a mitad del ejercicio?
Se lo comunicamos de inmediato al equipo de control. Si el riesgo es grave, pausamos y le ayudamos a corregirlo antes de continuar.
¿Cada cuánto conviene repetirlo?
Una vez al año es lo habitual. DORA exige pruebas TLPT al menos cada tres años para las entidades obligadas.
También le puede interesar
Siguiente paso
¿Hablamos de su caso?
30 minutos con un socio, no con un comercial. Sin compromiso.