Red Teaming y pruebas de penetración basadas en amenazas

Comprueba si realmente serías capaz de atrapar a un atacante

Los simulacros de ataque (red teaming) y las pruebas basadas en amenazas van más allá de la simple detección de vulnerabilidades. Sirven para evaluar si tu equipo es capaz de detectar, responder y detener un ataque real con un objetivo concreto.

Habla sobre una campaña de «red team»

De la detección de vulnerabilidades a la resiliencia real

Una prueba de penetración busca detectar qué es lo que tiene vulnerabilidades. El «red teaming» se pregunta si tu equipo siquiera se daría cuenta. Las pruebas de penetración basadas en amenazas van un paso más allá. Utilizan información real sobre amenazas para simular a los adversarios con más probabilidades de atacarte. Ese es el modelo en el que se basa TIBER-EU y las expectativas de pruebas de resiliencia avanzadas que establece la DORA para las entidades financieras incluidas en su ámbito de aplicación.

evoila diseña proyectos orientados a objetivos y alineados con el marco MITRE ATT&CK que ponen a prueba toda la cadena defensiva: prevención, detección y respuesta. Como evoila también ofrece servicios de SOC/MDR, el proyecto no se limita a la perspectiva del atacante. Evalúa cómo funciona realmente tu sistema defensivo cuando está bajo presión.

Ventajas para la empresa:

  • Mide la capacidad de detección y respuesta, no solo la exposición a vulnerabilidades
  • Escenarios basados en la inteligencia sobre amenazas y alineados con las expectativas de TIBER-EU y DORA
  • Un punto de referencia realista sobre el nivel de preparación para consejos de administración, organismos reguladores y aseguradoras

Pregúntate: ¿Con qué rapidez podemos detectar y detener una brecha de seguridad antes de que se extienda?

La mayoría de las organizaciones nunca se han planteado la pregunta más importante en caso de una filtración real: ¿con qué rapidez la detectaríamos y podríamos detenerla antes de que el daño se extienda?

El reto

Que una prueba de penetración salga bien no significa que vayas a detectar un ataque

Muchas organizaciones superan las pruebas de penetración, pero nunca han comprobado si realmente detectarían a un atacante sigiloso y paciente. Las herramientas de seguridad generan alertas, pero sin una campaña realista y evasiva, nadie sabe ante qué señales actuaría el equipo, qué detecciones fallarían y cuánto tiempo podría moverse un atacante antes de que alguien reaccionara. Para las entidades financieras, esto ya no es solo una cuestión de seguridad, sino también una cuestión normativa. La DORA exige pruebas avanzadas de resiliencia, y TIBER-EU ofrece el enfoque europeo establecido.

Tiempo de permanencia no detectado

Los atacantes se mueven sigilosamente por los sistemas durante semanas cuando nunca se han puesto a prueba conjuntamente la detección y la respuesta. Para cuando alguien se da cuenta, el daño ya está hecho.

Inversiones en seguridad sin pruebas

Ya se han implantado herramientas de EDR, SIEM y SOC, pero aún no se ha comprobado su eficacia frente a un adversario realista y evasivo. Se han gastado los presupuestos, pero no se sabe en qué punto está la preparación.

Riesgos de cumplimiento para las entidades reguladas

Las entidades financieras reguladas por la DORA tienen que hacer pruebas tipo TLPT siguiendo marcos como el TIBER-EU. Las organizaciones que no tengan un plan para cumplir esa norma se enfrentan a un riesgo regulatorio cada vez mayor.

Planes de respuesta ante incidentes que no dan la talla

Los planes de respuesta parecen sólidos sobre el papel. Pero se desmoronan cuando un atacante real ya está dentro, la presión del tiempo es alta y el equipo nunca ha ensayado esa situación.

La buena noticia: todas y cada una de estas carencias se pueden medir y solucionar

Una operación bien gestionada te permite ver en qué punto de la cadena de ataque se pasó por alto algo y qué hay que arreglar primero.

Nuestra solución

Iniciativas orientadas a objetivos que refuerzan tus defensas


evoila diseña simulacros de «equipo rojo» y basados en amenazas partiendo de objetivos realistas, en lugar de una simple lista de comprobación. El simulacro empieza por el objetivo del atacante —por ejemplo, acceder a datos bancarios críticos o provocar un impacto similar al del ransomware en una zona de tecnología operativa (OT)— y, a partir de ahí, se va construyendo hacia atrás hasta crear un escenario de amenaza realista. La campaña se ajusta al marco MITRE ATT&CK, se lleva a cabo por fases y se evalúa en función de lo que tus defensores detectan realmente y de cómo responden.

Diseño de escenarios

Objetivos basados en inteligencia sobre amenazas y adaptados a tu sector y perfil de riesgo. Los ataques se diseñan teniendo en cuenta quién ataca realmente a organizaciones como la tuya, no a partir de estrategias genéricas.

Simulación de adversario

Pruebas evasivas en varias fases que abarcan el acceso inicial, el movimiento lateral y el impacto, y que se corresponden con toda la cadena de ataque de MITRE ATT&CK.

Equipo morado

Los equipos rojo y azul colaboran en tiempo real para mejorar las detecciones, técnica por técnica. El objetivo es ir más allá de la mera evaluación.

Evaluación de la detección y la respuesta

Medir el MTTD y el MTTR frente a un ataque real y realista para crear una lista concreta de tareas pendientes que mejoren la detección.

Preparación para el TLPT

Preparamos a las entidades financieras para las pruebas del tipo TIBER-EU exigidas por la DORA, con toda la documentación, los procedimientos de gobernanza y la metodología necesarios.

Análisis técnico en profundidad

Cómo funciona una interacción basada en amenazas

Una operación de «equipo rojo» o TLPT es una campaña controlada y basada en la información de inteligencia que pone a prueba de forma conjunta a las personas, los procesos y la tecnología.

Lo primero es la información sobre amenazas

evoila analiza a los actores maliciosos más relevantes para tu sector y traduce sus tácticas en escenarios de ataque realistas. Esa es la lógica fundamental que subyace a las expectativas de pruebas avanzadas basadas en amenazas de TIBER-EU y DORA. Te informo de que…

Ejecución de MITRE ATT&CK

La campaña abarca toda la cadena de ataque de ATT&CK, incluyendo el acceso inicial, la ejecución, la persistencia, la escalada de privilegios, el movimiento lateral y el impacto. Se usan técnicas evasivas para poner a prueba la detección en condiciones realistas, y cada acción se registra para poder reproducirla posteriormente de forma estructurada.

Evaluación del equipo azul

A diferencia de una prueba de penetración, los defensores forman parte del proceso. evoila mide el tiempo medio de detección y el tiempo medio de respuesta, analiza qué técnicas han activado las alertas e identifica en qué punto de la cadena de ataque se pasó por alto algo. El resultado es una lista concreta de tareas pendientes para mejorar la detección.

Opción de «purple teaming»

Cuando el objetivo es mejorar en lugar de limitarse a medir, los equipos rojo y azul colaboran directamente y ajustan las detecciones técnica por técnica. Eso refuerza de inmediato la cobertura del SOC/MDR.

Seguridad y gobernanza

Las operaciones se llevan a cabo siguiendo unas normas estrictas de intervención con un grupo de control, diseñadas para evitar interrupciones operativas.

Para las organizaciones que aún no estén preparadas para un «red team» completo, te recomendamos que empieces con un «purple team» o una prueba de penetración con alcance limitado y que vayas avanzando hacia pruebas basadas en amenazas.

Ventajas técnicas

Lo que obtienes de un proyecto bien gestionado

1. Detección, no solo exposición

Los resultados van más allá de una simple lista de vulnerabilidades. Cada hallazgo está vinculado a una métrica real de detección y respuesta, para que tu SOC sepa exactamente qué debe mejorar.

2. Escenarios basados en la inteligencia sobre amenazas

Los escenarios de ataque reflejan a los adversarios que realmente tienen en el punto de mira a tu sector, no son casos de prueba genéricos sacados de una plantilla.

3. Resultados asignados al marco MITRE ATT&CK

Estos hallazgos se traducen directamente en mejoras en la detección de SOC, ya que cada técnica se asigna al marco ATT&CK. No se pierde nada en el proceso.

4. Mejora del «purple team»

Las detecciones se ajustan técnica por técnica junto con tu equipo azul. La evaluación y la mejora se llevan a cabo durante la misma intervención.

5. Alineación entre DORA y TIBER-EU

Para las entidades financieras, estos compromisos están directamente relacionados con tu programa de cumplimiento y te ofrecen una vía documentada para alcanzar un TLPT conforme a la normativa.

6. Diseñado para garantizar la seguridad operativa

Unas normas de actuación estrictas, un grupo de control acordado de antemano y unos límites bien definidos protegen los sistemas de producción sin que por ello la prueba deje de ser realista.

Tu socio ideal

Conocemos las dos caras de este compromiso

La mayoría de los equipos rojos entregan un informe y se van. evoila está desarrollando su programa de equipos rojos en estrecha colaboración con sus operaciones de SOC/MDR. Eso significa que la misma organización que simula el ataque también entiende cómo se configuran las detecciones, cómo se clasifican las alertas y cómo funciona realmente la respuesta cuando la presión es real. Por eso, esta iniciativa genera mejoras en la defensa, no solo un relato dramático de lo que pasó.

Conocimientos en ataque y defensa

Evaluadores con certificación CEH, PNPT y PJPT, en perfecta sintonía con la práctica de SOC/MDR de evoila.

Procesos con certificación ISO 27001

Todos los proyectos se llevan a cabo siguiendo procesos certificados, con normas de actuación estrictas y una estructura de gestión bien definida.

Metodología DORA / TIBER-EU

Las entidades financieras disponen de un proceso documentado y conforme a la normativa para realizar pruebas basadas en amenazas que cumplen con los requisitos reglamentarios.

Integración de SOC y MDR

Los hallazgos del equipo rojo se incorporan directamente a los servicios de detección de evoila. Las mejoras se implementan, no solo se recomiendan.

Tecnologías y socios

Desarrollado sobre los marcos que realmente importan

Nuestros proyectos se basan en el marco MITRE ATT&CK y, para las entidades financieras, en el marco TIBER-EU, que sustenta los requisitos TLPT de la DORA. Combinamos información actualizada sobre amenazas con herramientas ofensivas estándar del sector y técnicas manuales. evoila cuenta con la certificación ISO 27001. Los resultados del equipo rojo se integran directamente con los servicios de detección SOC/MDR de evoila.

Descúbrelo antes de que lo haga un atacante

Empieza por el nivel de madurez que tienes ahora mismo. Ya sea con un «purple teaming», una prueba de penetración específica o un proyecto completo centrado en las amenazas, evoila te dirá qué es lo que mejor se adapta a tu situación.

Habla sobre una campaña de «red team»

Habla con alguien que vea las dos caras de la moneda

Nuestros especialistas del equipo rojo también colaboran directamente con el departamento de SOC/MDR de evoila. Eso significa que te dan una respuesta clara sobre qué nivel de colaboración te conviene más, sin intentar venderte nada más.

Patrick Cosic

Patrick Cosic

Business Unit Lead Security

Preguntas frecuentes

Preguntas frecuentes sobre el «Red Teaming» y las pruebas de penetración basadas en amenazas

Una prueba de penetración detecta y demuestra la existencia de vulnerabilidades dentro de un ámbito definido. El «red teaming» es una simulación sigilosa y orientada a objetivos que, además, pone a prueba la capacidad de tu equipo para detectar y responder. La prueba de penetración mide la exposición; el «red teaming» mide la resiliencia y la capacidad de respuesta.

Las pruebas de penetración basadas en amenazas utilizan información real sobre amenazas para simular a los adversarios con más probabilidades de atacarte. DORA exige a las entidades financieras importantes que realicen pruebas avanzadas basadas en amenazas, utilizando TIBER-EU como marco europeo establecido.

Si todavía no tienes una capacidad real de detección, un «red team» completo suele ser prematuro. En ese caso, evoila suele recomendar empezar con una prueba de penetración o un «purple teaming», para luego ir ganando madurez hasta llegar a las pruebas basadas en amenazas.

Sí. Las pruebas se llevan a cabo siguiendo unas normas estrictas, con un grupo de control y unos límites acordados de antemano, pensadas para evitar interrupciones operativas y, al mismo tiempo, que la prueba siga siendo realista para los defensores.

Tendrás una visión clara de la ruta de ataque, de los indicadores de detección y respuesta —como el MTTD y el MTTR—, de las técnicas relacionadas con el marco MITRE ATT&CK, y de una lista priorizada de mejoras en la detección y los procesos sobre las que tu equipo de seguridad y la dirección pueden actuar directamente.