Red teams vs. blue teams: una guía de los roles de seguridad

¡Red teams, blue teams y purple teams, vaya! Muchos hemos oído estos términos, pero ¿qué significan exactamente? ¿Y dónde encajan nuestros intereses y conocimientos individuales? En seguridad hay muchos roles especializados, pero en esta publicación repasaremos los conceptos básicos de los equipos red, blue y purple, y explicaremos cómo colaboran para mejorar la postura de seguridad de una organización.

¿Qué es un equipo blue?

Si tu trabajo (o pasión) tiene que ver con garantizar que un sistema sea lo más seguro posible, ¡podrías considerarte parte del equipo blue! Blue teamer es un término general para quienes tienen la tarea de defender sistemas en una empresa o incluso en un entorno gamificado. Todos, desde los equipos internos de TI hasta los ingenieros de respuesta a incidentes (IR), los Security Champions y los ingenieros del SOC, podrían considerarse parte de un equipo blue. Quienes quieren proteger redes informáticas complejas realizan un análisis muy exhaustivo de la configuración de las redes y los hosts de un objetivo. Intentan identificar vulnerabilidades en estas configuraciones antes de que un adversario pueda causar daños reales a los servicios, robar datos o realizar otras actividades indeseables, como desplazarse lateralmente por la red.

¡Una de las mejores formas de empezar en el blue teaming es adquirir experiencia práctica! Empieza a probar herramientas que se usan en el sector, como Splunk, Autopsy, Wireshark y las reglas de Yara; puedes adquirir experiencia práctica en blue teaming desde tu propia red doméstica. TryHackMe incluso tiene una ruta de aprendizaje completa que te ayudará a convertirte en especialista en blue teaming. Este plan de estudios abarca desde redes y Active Directory hasta detección de amenazas, monitoreo de sistemas, análisis forense de sistemas y análisis de malware.

El blue teaming es un campo amplio que abarca muchas especializaciones y roles diferentes. Uno de ellos es aprender sobre código seguro. Una excelente forma de empezar es analizar proyectos con una herramienta como Snyk para encontrar y corregir vulnerabilidades en código de código abierto y propietario. Corregir estas vulnerabilidades te mostrará cómo es la superficie de ataque de aplicaciones del mundo real en el lenguaje de programación o framework que elijas.

En los entornos técnicos pueden salir mal muchas cosas y, potencialmente, provocar vulnerabilidades que se pueden explotar para obtener un punto de apoyo en el entorno objetivo. Por eso, el equipo blue tiene mucho trabajo por delante. Quienes forman parte de estos equipos adquieren experiencia real en la detección y contención de este tipo de amenazas, y aprenden una amplia variedad de habilidades para hacerlo. El fortalecimiento de servicios críticos, la elaboración de perfiles de distintos tipos de riesgo y el uso de un SIEM para interpretar eventos de seguridad son habilidades esenciales para un equipo blue. Aunque fortalecer los sistemas puede prevenir ataques comunes, no es una solución infalible. Saber analizar registros, identificar comportamientos sospechosos y aislar sistemas es prácticamente indispensable ante un evento de seguridad sospechoso. Como nadie puede saberlo todo sobre seguridad, quienes integran equipos blue suelen especializarse en áreas como SIEM, ingeniería inversa de malware, seguridad de redes, seguridad de aplicaciones y muchas otras disciplinas. En lugar de dejar que los actores de amenazas prueben sus técnicas más recientes contra el equipo blue «en el mundo real», las organizaciones suelen contratar un equipo red para poner a prueba y mejorar la eficacia de sus esfuerzos.

¿Qué es un equipo red?

Como quizá ya lo imaginabas, el equipo red se centra en atacar redes, hosts e infraestructura para explotar las vulnerabilidades ocultas en estos sistemas. ¡Lo mejor de contar con un equipo red es que puedes simular situaciones que tu equipo blue podría enfrentar en el mundo real! Los equipos red deben ofrecer una perspectiva externa e imparcial para identificar debilidades y mejoras necesarias. Esto prepara a la empresa para escenarios de ataque realistas y ofrece una mirada invaluable desde la perspectiva de un atacante. Realizar este tipo de ejercicios de red teaming es muy rentable en comparación con el costo de una posible filtración. Quienes integran equipos red, al igual que quienes forman parte de equipos blue, sienten una gran pasión por la seguridad. Una persona del equipo red debe ser creativa, comunicarse con eficacia y contar con sólidas habilidades analíticas y de resolución de problemas. Por supuesto, la principal diferencia entre los equipos red y blue son sus roles dentro de un ecosistema.

Quienes integran un equipo red hacen todo lo posible por eludir las protecciones técnicas actuales de un entorno, determinar qué protecciones faltan y presentar hallazgos que permitan mejorar la seguridad. Sin importar en qué sector trabajes, es probable que haya alguien interesado en lo que proteges. Contar con un equipo red que simule el comportamiento de posibles actores maliciosos puede preparar a una organización para los peores escenarios.

Aunque crear un equipo red no suele ser lo primero en la lista de prioridades de un CISO nuevo, ¡hoy en día muchas de las empresas de comercio y servicios más grandes del mundo ya contratan a profesionales de red teaming! Este enfoque proactivo de la seguridad permite a estas organizaciones responder a los atacantes actuales y prepararse para las amenazas desconocidas del futuro.

El red teaming se ha vuelto mucho más accesible en los últimos años. Hay plataformas en línea, aplicaciones intencionalmente vulnerables y programas de recompensas por errores en los que puedes participar para adquirir experiencia muy relevante. Si utilizas plataformas de desafíos en línea como Hack The Box, OverTheWire, TryHackMe y Hacker101, pronto comprenderás los protocolos comunes, los defectos de las aplicaciones y cómo explotarlos.

La organización Snyk Labs también mantiene muchas aplicaciones intencionalmente vulnerables que puedes alojar, analizar y explotar según tus hallazgos. Si estás listo para dar el siguiente paso, ¡participa en algunos CTF! Los CTF de ataque/defensa, a diferencia de los CTF estilo Jeopardy, son una excelente forma de practicar ataques a distintos tipos de entornos, ¡porque podrás atacar infraestructura que defienden personas reales! Estas experiencias son invaluables: aprenderás muchas habilidades prácticas de tu equipo y de tus oponentes. Mientras el equipo blue intenta dejarte fuera, tendrás que encontrar formas de eludir sus controles, mantener el acceso a su equipo e interrumpir sus servicios, e incluso bloquearles el acceso a su infraestructura. ¿Qué mejor forma de simular comportamientos maliciosos? Si desarrollas estas habilidades, estarás muy bien preparado para trabajar en cualquier equipo red o incluso convertirte en cazador de recompensas por errores.

¿Qué es un equipo purple?

Si combinas los colores rojo y azul, obtienes el morado. En seguridad, un equipo purple está formado por personas que defienden y atacan sistemas. Al igual que los equipos red, un equipo purple vulnera un sistema objetivo para determinar cómo hacerlo más seguro. La principal diferencia respecto a los ejercicios tradicionales de red teaming es que, durante su actividad, los equipos purple colaboran en tiempo real con los defensores, explican sus acciones y participan en la creación de mejores defensas. Debido a la naturaleza particular de un equipo purple, es común que quienes se enfocan más en atacar y quienes se enfocan más en defender trabajen juntos para identificar y corregir posibles amenazas. Aunque llamar a alguien «purple teamer» podría dar a entender que sabe tanto de ataques como de defensa, algunas personas que trabajan en un equipo purple quizá se enfoquen solo en una de estas áreas.

Encuentra tu lugar en la seguridad para desarrolladores

Ya sea que ataques, defiendas o hagas un poco de ambas cosas, es importante que sepas qué ocurre en el mundo de la ciberseguridad. Con investigadores de seguridad dedicados que trabajan sin descanso, Snyk te mantiene al tanto de los últimos ataques, exploits, malware y mucho más. Así, Snyk es una herramienta útil para encontrar y corregir vulnerabilidades, sin importar en qué equipo de seguridad estés.