Los ejercicios de Red Team son una herramienta ampliamente utilizada para evaluar la seguridad de las infraestructuras TI. Un equipo simula el comportamiento de un atacante y pone a prueba tanto la defensa como la capacidad del centro de operaciones de seguridad (SOC). Sin embargo, estos ejercicios presentan tres limitaciones importantes.
Limitaciones de los ejercicios de Red Team
El número de vectores de ataques ejecutados está limitado por la duración y los objetivos definidos. El Red Team opera desde posiciones o posiciones de inicio acordadas con la organización. Los ejercicios ofrecen una imagen estática del estado de la seguridad, que puede quedar obsoleta ante cambios en la infraestructura o configuración.
Alternativas para superar las limitaciones
La clave para superar estas limitaciones radica en considerar el carácter multietapa de los ataques. Un ataque está compuesto por acciones interdependientes que pueden analizarse individualmente, aunque participen en una estrategia global intrusiva. Los informes de Red Team ya consideran esta descomposición para ayudar a entender el progreso del ataque y desarrollar nuevas defensas.
Marco ATT&CK® y TTP
Se utiliza el marco ATT&CK® que recoge acciones individuales como Tácticas, Técnicas y Procedimientos (TTP). Los resultados de los ejercicios pueden resumirse en un conjunto de TTP ejecutadas en un momento preciso. La idea de evaluar estas TTP individualmente se basa en servicios de tipo Breach and Attack Simulation (BAS).
Herramientas BAS y su implementación
En este modelo, las pruebas son tipificadas y no se evita la generación de alertas. El objetivo es evaluar si los mecanismos de seguridad pueden identificar las TTP y generar una alerta útil o bloquear la acción. Existen herramientas como el software open source Caldera, desarrollado por MITRE, que permite implementar servicios BAS.
Caldera incluye un conjunto de plugins que contienen TTP ya listas para ser ejecutadas, correspondiendo a diferentes perfiles de ataque. Entre ellos destaca el plugin "Atomic", que adapta las pruebas del GitHub Atomic Red Team de Red Canary. Otras plataformas comerciales como AttackIQ o XM Cyber también implementan tecnología BAS.