Narrativa de ataque completa
Cronología del acceso inicial al objetivo, con vector, comando, captura y marca temporal en cada salto. Escrita para que su equipo pueda reproducir cada paso.
Servicio 01
Red team y simulación de adversario
Un red team no mide vulnerabilidades: mide si su organización detiene a un atacante decidido antes de que llegue al objetivo. Se ejecuta contra metas de negocio acordadas, con sigilo, durante semanas, y termina midiendo lo único que importa —qué vio su SOC y cuándo.
Criterio
Cuándo tiene sentido y cuándo no
Un red team es caro y lento. Solo rinde si su organización ya ha corregido lo evidente y dispone de capacidad de detección que quiera poner a prueba. Si aún no ha hecho un test de intrusión interno, el red team le dirá lo que ya sabe a un coste muy superior.
- Tiene un SOC o un servicio de detección gestionado y quiere saber si funciona ante un adversario real.
- Es entidad financiera sujeta a DORA y debe acreditar pruebas de penetración basadas en amenazas (TLPT).
- El consejo o un cliente clave exige una evaluación independiente que vaya más allá de un escaneo.
- Ha sufrido un incidente y necesita verificar que las medidas implantadas resisten al mismo tipo de actor.
Alcance
Qué se entrega
Cuatro documentos y dos sesiones. Nada de esto es opcional ni se factura aparte.
Informe
Informe
Resumen para dirección
Cuatro páginas sin jerga: qué objetivo se alcanzó, en cuánto tiempo, qué lo habría impedido y qué decisión hay que tomar. Es el documento que llega al consejo.
Detección
Tabla de trazabilidad para el SOC
Cada acción ofensiva con su hora exacta, IP de origen y artefacto esperado, para que su equipo contraste qué generó alerta, qué generó registro sin alerta y qué no dejó rastro.
Cierre
Purple team y retest
Sesión conjunta reproduciendo las técnicas no detectadas junto a su equipo de defensa, y verificación posterior de las correcciones con acta de cierre.
Ejecución
Cómo se ejecuta
Alineado con el marco TIBER-EU. La fase de inteligencia de amenazas condiciona todo lo demás: se emulan actores con motivación e intención real sobre su sector, no técnicas genéricas.
01
Alcance y ROE
Objetivos de negocio, sistemas excluidos, criterio de parada, personal conocedor y autorización firmada.
02
Inteligencia de amenazas
Actores relevantes para su sector, TTP documentadas y superficie real frente a la documentada.
03
Acceso inicial
Vector elegido entre perímetro, ingeniería social o físico. Sigilo como requisito, no como preferencia.
04
Operación
Escalada, movimiento lateral, persistencia y aproximación al objetivo, con registro completo de actividad.
05
Cierre
Informe, sesión técnica, sesión de dirección, purple team y retest de correcciones.
FAQ
Preguntas frecuentes
¿Cuánto dura un red team?
Entre seis y doce semanas de calendario para un alcance estándar de una entidad mediana. Un ejercicio TIBER-EU completo, con su fase formal de inteligencia de amenazas y la coordinación con el equipo de control, suele situarse entre cuatro y seis meses. Cualquiera que le ofrezca un red team de dos semanas le está vendiendo un test de intrusión con otro nombre.
¿Qué diferencia hay entre red team y test de intrusión?
El test de intrusión busca cobertura: enumerar el máximo de vulnerabilidades explotables en un alcance definido, con conocimiento de su equipo. El red team busca profundidad y sigilo: alcanzar un objetivo concreto sin ser detectado, midiendo de paso la capacidad de detección y respuesta. Son complementarios, y el orden correcto es primero el test de intrusión.
¿Sirve para cumplir el TLPT que exige DORA?
El artículo 26 del Reglamento DORA obliga a determinadas entidades financieras a realizar pruebas de penetración basadas en amenazas siguiendo el marco TIBER-EU. Un ejercicio TLPT formal exige además un equipo de control interno, un proveedor de inteligencia de amenazas y la validación de la autoridad competente. Diseño y ejecuto la parte de red team dentro de ese esquema; la coordinación con el supervisor corresponde a la entidad.
¿Se avisa al equipo de seguridad?
No, y ese es el punto. Solo un grupo reducido —el equipo de control— conoce el ejercicio, y su composición se acuerda por escrito antes de empezar. Existe siempre un contacto de emergencia disponible para detener la operación en minutos si algo afecta a producción.
¿Cuál encaja con su caso?
Describa el entorno y el motivo del encargo. Le respondo con la modalidad recomendada y el orden de esfuerzo estimado.