Red Team vs Blue Team, diferencias entre dos estrategias para proteger tu empresa

Desde las grandes epopeyas clásicas, la humanidad ha estado obsesionada con los conflictos épicos: griegos contra troyanos, David frente a Goliat, Kárpov contra Kaspárov… y el propio Kaspárov representando al ser humano frente a Deep Blue, la IA desarrollada por IBM a finales de los 90…

En el ámbito de la ciberseguridad, el duelo más icónico es el Red Team vs Blue Team. Sin embargo, estamos ante un enfrentamiento muy diferente a los anteriores. ¿Por qué? Ambos contendientes buscan lo mismo, aunque jueguen roles antagónicos: mejorar las capacidades defensivas de una empresa.

A continuación, vamos a desentrañar las claves del enfrentamiento entre Red Team frente al Blue Team y poner en valor la importancia de realizar ejercicios de Red Team en compañías maduras tecnológicamente.

¿En qué consiste la misión del Blue Team?

Popularmente, se cree que el Blue Team es un equipo encargado de detectar y responder a los ciberataques. Sin embargo, estamos ante un concepto mucho más amplio, puesto que en él se encapsulan todas las actividades defensivas que realiza una empresa para cumplir con su política de seguridad y protegerse frente a los ataques.

Así, el Blue Team debe prestar atención a todas las cuestiones relacionadas con las capas defensivas de una compañía:

• Gobernanza en materia de seguridad y coordinación de todos los equipos y profesionales que conforman las capas defensivas.
• Prevención de riesgos desde el diseño seguro de software hasta el bastionado de sistemas.
• Búsqueda, evaluación y mitigación de vulnerabilidades.
• Detección y respuesta a incidentes.
• Análisis de los incidentes de seguridad.
• Formación y concienciación del conjunto de la plantilla.

Para ello, el Blue Team debe:

• Estar conformado por profesionales con experiencia en múltiples actividades de ciberseguridad, desde la realización de auditorías hasta el Threat Hunting.
• Afrontar la protección de una empresa desde su propio interior y desde la óptica de esta. Mientras que el Red Team lleva a cabo sus funciones actuando desde el punto de vista de los actores hostiles.
• Trabajar de manera continua, desde el diseño de las políticas de seguridad hasta el análisis de los incidentes sufridos por una compañía.
• Disponer de un conocimiento amplio sobre cómo funciona el modelo de negocio de la empresa para poder proteger sus activos y procesos críticos y conjugar las necesidades de seguridad con los objetivos empresariales.

Ante un panorama de amenazas tan peligroso y complejo como el actual, el Blue Team se ha transformado en un activo crítico para las empresas, puesto que es su principal protector frente a ataques que pueden causar daños económicos, reputacionales y legales gravísimos.

Del otro lado, los ejercicios de Red Team

Los servicios de Red Team consisten en el diseño de escenarios de ataque realistas y la ejecución de ejercicios en los que se simulan ataques para poner a prueba a las empresas en el sentido más amplio posible:

• La tecnología que emplean.
• Los profesionales que las conforman.
• Los procedimientos que realizan.

Los ejercicios de Red Team siguen habitualmente el siguiente esquema:

1. Se pactan los objetivos que se deben cumplir con la empresa que contrata el ejercicio.
2. Los profesionales del Red Team deben ser discretos y pasar desapercibidos. De tal manera que el Blue Team no debe saber que la empresa se está sometiendo a un ejercicio de Red Team, sino que ha de pensar que se está produciendo un ataque real.
3. Las fases de la metodología del Red Team son análogas a las de la Cyber Kill Chain que desarrollan los actores maliciosos: se empieza recopilando información de inteligencia sobre la empresa, se buscan y explotan vulnerabilidades, se realizan movimientos laterales y escalado de privilegios y se busca persistir en la red corporativa hasta lograr los objetivos.
4. Se busca desarrollar toda clase de técnicas, tácticas y procedimientos y realizar un ataque simulado que sea representativo de un compromiso real que podría afectar a la empresa.
5. Al finalizar los ejercicios se analizan los datos recopilados y se proponen recomendaciones para optimizar las capacidades defensivas de las compañías.

Habida cuenta de lo que venimos de exponer, resulta evidente que las diferencias entre el Red Team y el Blue Team son notorias y, precisamente, ahí reside la valía del enfrentamiento Red Team vs Blue Team. Pues la labor que llevan a cabo los profesionales del Red Team sirve para enriquecer y complementar el trabajo continuo del Blue Team.

Las diferencias entre Red Team y Blue Team son valiosas a la hora de colaborar

El final de un ejercicio de Red Team implica la conclusión del enfrentamiento Red Team vs Blue Team. De hecho, es habitual (y recomendable) que los profesionales que forman parte del Blue Team y del Blue Team:

• Participen en sesiones de trabajo para identificar áreas de mejora y estudiar medidas que incrementen la capacidad de resistencia frente a los ciberataques.
• Realicen recreaciones conjuntas de actividades desarrolladas por el Red Team para asegurar que se comprenden en su totalidad.
• Compartan experiencias y conocimientos adquiridos para optimizar su manera de trabajar en el futuro.

Así, el Red Team vs Blue Team da paso a una valiosa colaboración entre ambos equipos, que redunda en una mejora de las capas defensivas de las empresas y su capacidad de prevenir, detectar y responder a ataques reales.

Cinco beneficios para las empresas que trae consigo el enfrentamiento Red Team vs Blue Team

¿Por qué deben las empresas invertir en el duelo Red Team vs Blue Team? ¿Por qué las diferencias entre Red Team y Blue Team pueden ser enriquecedoras para una compañía?

Estos son los principales beneficios de realizar un ejercicio de Red Team en una empresa:

1. Detectar brechas de seguridad que han pasado desapercibidas para el Blue Team antes de que sean explotadas con éxito por atacantes reales.
2. Evaluar las capacidades detección y respuesta y proponer recomendaciones para optimizarlas.
3. Incrementar la resiliencia de una empresa ante ataques complejos y sofisticados y evidenciar cuáles serían las consecuencias de que estos se produjesen.
4. Formar a los profesionales del Blue Team enfrentándolos a simulaciones de ciberataques 100% realistas que emplean las mismas tácticas, técnicas y procedimientos que los actores maliciosos.
5. Cumplir con la normativa de ciberseguridad. Tanto en Europa como en Estados Unidos se están aprobando normas que imponen medidas de seguridad y protección de datos más estrictas a las empresas, especialmente a aquellas que operan en sectores críticos. Tal es así que, por ejemplo, las entidades financieras europeas deben someterse a pruebas TLPT que incluyen la realización de ejercicios de Red Team para incrementar la ciberresliencia del sector financiero como estipula el reglamento DORA. Igualmente, los ejercicios de Red Team también son relevantes para cumplir con la directiva NIS2.

En definitiva, a diferencia de otros duelos épicos, en el caso del Red Team vs Blue Team la victoria no consiste en la derrota del oponente, sino en la optimización de las capacidades defensivas de una organización.

Así, las diferencias entre Red Team y Blue Team tienen como consecuencia que no se traten de servicios opuestos, sino complementarios. Hasta el punto de que los servicios de Red Team son esenciales para formar a los profesionales a cargo de la defensa de una empresa y detectar posibilidades de mejora en su estrategia de seguridad.