Recibimos propuestas de «red team/blue team»: ¿cuál es la diferencia práctica y cuál necesitamos realmente?

Contratar un red team sin tener un blue team (es decir, monitoreo defensivo) es como contratar a un ladrón profesional para ver si puede entrar a tu casa sin haber puesto antes candados ni alarma. Obvio q va a entrar y tu dinero se irá a la basura. Primero construye la defensa.

Para decidirte mira estos 3 pasos: 1) ¿Tienes una estructura q monitoree movimientos sospechosos 24 horas? Si no, necesitas blue team sí o sí. 2) ¿Los pentests bianuales salen limpios? Si no salen limpios, no necesitas red team. 3) Si tu defensa ya es fuerte y quieres probar su resistencia, ahí sí se contrata red team.

En nuestro equipo de 40 personas nos entusiasmamos y pagamos directamente 95.000 AED por un red team. En dos semanas se metieron a la empresa y nos dieron el reporte. Dijeron 'su blue team ni se enteró', claro, xq ni teníamos equipo monitoreando. No nos sirvió de nada, primero había q montar el monitoreo.

A las consultoras les encanta venderles paquetes con nombres rimbombantes a las PYMEs. Lee con cuidado los pliegos que te piden tus clientes; la mayoría de las veces no piden red team, sino un pentest completo de aplicaciones web hecho por una firma independiente.

Si dudáis entre los dos modelos, preguntad a las empresas si hacen ejercicios de 'purple team'. En el purple team los atacantes y los defensores no juegan a las escondidas; mientras se aplica la técnica de ataque se mira la pantalla junto a tus desarrolladores y se escribe la regla de defensa al mismo tiempo. Es mucho más didáctico para vuestro presupuesto.

en el sector financiero a nosotros tb nos llegaron propuestas parecidas. primero montamos un sistema de monitoreo q recopila logs del servidor y el costo fue mucho más razonable. hacer pruebas de ataque sin monitoreo es pura fachada.

edit: he corregido unas erratas.

Las regulaciones en el sector fintech exigen principalmente la conservación de trazas de auditoría, controles de acceso y capacidad de monitoreo continuo. En el nivel de madurez actual de su empresa, las inversiones centradas en defensa y supervisión deben ser la prioridad legal y operativa.

Montos como 180.000 AED al año no son cualquier cosa para una empresa de 35 personas no gastes el presupuesto de golpe. bueno resuelve el pentest mínimo q exigen las especificaciones y el monitoreo básico de logs; conforme la empresa crezca ya pasarás a estas simulaciones grandes.

A mí me pasó justo al revés, por eso escribo. Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

yo tamién tengo curiosidad.

Exacto, y encima no es tan conocido. Las decisiones apresuradas son las que hay que corregir seis meses después.

Que todo el mundo haga algo no significa que sea lo correcto. Esta es mi opinión, no lo escribo como una verdad absoluta.

Hay una cosa a la que hay que prestar atención... El error cometido por red team blue team suele ser reversible, pero caro.

Espero que le sea útil.

Tiene razón. Una copia de seguridad no probada no es una copia de seguridad.

De acuerdo, incluso me gustaría recalcarlo. No confíes en una sola medida; ve capa por capa.

Lo dejo como nota, por si sirve.

Gracias por escribir esto, es lo correcto. Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.

Lo que se dice aquí es exactamente lo que nos pasó. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Pienso diferente. Si no lo pones por escrito desde el principio, luego surgen discusiones.

Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones. También me gustaría saber si alguien lo hace de otra manera.

Rara vez se encuentra un texto que lo explique tan claro.