Marco, herramientas y referencia de red team
Lo que usamos y lo que consultamos. Ordenado por el momento del ejercicio en el que hace falta, no por popularidad en GitHub.
Sobre esta lista
Todo lo que aparece aquí es de uso legítimo en ejercicios autorizados y con alcance firmado. Publicar la herramienta no es publicar el permiso: sin autorización expresa del titular del sistema, usar cualquiera de estas cosas en España es un delito del artículo 197 bis del Código Penal.
Marco y planificación
La parte que distingue un red team de una colección de exploits.
MITRE ATT&CK
TaxonomíaLa base de todo el vocabulario del sector. Su valor real no es el catálogo sino que permite que el informe del atacante y las detecciones del defensor hablen el mismo idioma y se puedan cruzar.
TIBER-EU
RegulaciónEl marco del Banco Central Europeo para pruebas dirigidas por inteligencia en el sector financiero, y la referencia sobre la que se construye el TLPT que exige el artículo 26 del Reglamento DORA. Si su entidad está sujeta a DORA, esto no es material de consulta: es el pliego.
The C2 Matrix
ComparativaComparativa de frameworks de mando y control por capacidades. Ahorra la discusión estéril sobre cuál es mejor: la pregunta correcta es cuál encaja con el escenario de amenaza que se ha acordado emular.
Ejecución
Herramientas de uso corriente. Ninguna es mágica y todas dejan rastro; esa es precisamente la parte que interesa medir.
Sliver
C2De Bishop Fox. Multiplataforma, en Go y con perfilado de tráfico razonable. Es el punto de partida más sensato hoy para quien no quiere pagar licencia.
Mythic
C2Modular y con agentes intercambiables. Su ventaja es operativa: permite cambiar de agente sin rehacer la infraestructura cuando el defensor empieza a detectarle a media operación.
Havoc
C2Alternativa moderna con buena capacidad de evasión de serie. Útil como segundo canal, que es una práctica que debería ser obligatoria y casi nunca lo es.
Impacket
ProtocoloLa biblioteca de referencia para hablar protocolos de Windows a bajo nivel. Media disciplina depende de ella; conviene leerla, no solo invocarla.
NetExec
LateralSucesor mantenido de CrackMapExec. Barrido de red y ejecución en entornos Windows. Es rapidísimo y por eso mismo es la forma más fácil de que le detecten: úselo con criterio.
BloodHound
Active DirectoryDe SpecterOps. Convierte un directorio activo en un grafo de rutas de escalada. Cambió la disciplina: antes se buscaban credenciales, ahora se buscan caminos. Vale igual para el defensor, y ahí está infrautilizado.
Certipy
Active DirectoryEnumeración y abuso de servicios de certificados. Las rutas ESC siguen abiertas en una mayoría incómoda de dominios que se creen bien configurados.
Rubeus
KerberosInteracción con Kerberos en toda su amplitud. Es de los pocos sitios donde conviene entender el protocolo antes de ejecutar nada.
Referencia
Lo que se consulta a las tres de la mañana.
HackTricks
ReferenciaLa referencia más completa en abierto, y en español además. Amplísima y desigual: verifique antes de aplicar.
The Hacker Recipes
ReferenciaMás selectiva y mejor explicada que HackTricks, sobre todo en Active Directory. Cuando las dos discrepan, suele tener razón esta.
ired.team
ReferenciaNotas de laboratorio con el detalle suficiente para reproducir. Fuerte en evasión y en interiores de Windows.
PayloadsAllTheThings
CargasCompendio de cargas y técnicas por tipo de vulnerabilidad. Punto de partida para adaptar, nunca para copiar y pegar.
LOLBAS
Vivir de la tierraBinarios firmados de Windows que hacen cosas que no deberían. Es la lista que explica por qué el antivirus no ve nada raro.
GTFOBins
Vivir de la tierraEl equivalente en Unix. Consulta obligada en cuanto aparece un sudo mal configurado.
Unprotect Project
EvasiónBase de datos de técnicas de evasión y anti-análisis, con código. Sirve igual para construir y para detectar.
Purple team y validación
Lo que convierte un informe en una mejora medible.
Atomic Red Team
PruebasDe Red Canary. Pruebas atómicas mapeadas a ATT&CK. Es la forma más barata de que un cliente compruebe si su detección funciona de verdad, y de que lo compruebe él, que es lo importante.
Caldera
EmulaciónDe MITRE. Emulación automatizada de adversarios. Cubre lo repetible y libera al operador para lo que exige criterio.
Sigma
DetecciónFormato común de reglas de detección, traducible a cada SIEM. Entregar reglas Sigma junto al informe convierte un hallazgo en algo que el SOC puede desplegar el mismo día.
Última revisión:
Empecemos por el alcance
Una conversación de treinta minutos basta para determinar si el encargo tiene sentido, qué modalidad encaja y qué orden de magnitud tiene. Sin coste y sin compromiso.