La empresa propone un ejercicio de purple team en vez de un pentest, ¿qué es esto y lo necesitamos?

Técnicamente, el red team ataca y el blue team intenta detectar. El purple team es un árbitro o un protocolo de trabajo conjunto. El atacante prueba una técnica concreta, se mira si ha quedado registro en el log para el equipo azul, y si no, se escribe la regla. Si dentro no hay nadie que gestione activamente el log centralizado y el EDR, no podréis integrar el resultado técnico de este ejercicio en vuestra infraestructura.

El año pasado, con nuestro equipo de 45 personas, entramos en este ejercicio con el mismo entusiasmo pagando 14.500 dólares. Nuestro ingeniero de sistemas no pudo levantar cabeza de las reuniones en 10 días y nuestras actualizaciones rutinarias de servidores se retrasaron. Al final del día solo nos quedaron decenas de recomendaciones de ajustes pero no tuvimos tiempo de aplicarlas. Cuando volvimos al test clásico nos relajamos.

Las consultoras de seguridad últimamente inflan la factura continuamente con este tipo de conceptos porque los márgenes de los tests rutinarios han bajado. Intentar vender un ejercicio conjunto de 16.000 dólares a quien tiene una plantilla de infraestructura de dos personas no es un enfoque de consultoría de buena fe. Os han empaquetado un servicio que no os encaja.

edit: escrito desde el móvil, perdonad las erratas.

Para q un ejercicio de purple team sea eficiente tienen q darse estas tres condiciones: 1) Q haya un recolector central de logs y un sistema de detección de endpoints instalado, 2) Q haya al menos una persona de tiempo completo del equipo azul gestionando estos sistemas todos los días, 3) Q las vulnerabilidades básicas de pentesting ya se hayan cerrado por completo en el pasado. Si no hay nada de esto, es tirar el dinero.

Ed: ya se preguntó abajo, dejé la respuesta en el segundo mensaje.

nuestro equipo de infra de dos personas se pierde en esas reuniones. conectar a los admins de sistemas durante dos semanas tb bloquea la empresa a nivel operativo. bueno yo diría q no os salgáis del pentest clásico.

Escribidle claramente a la empresa: En nuestra estructura interna no contamos con un equipo propio de ciberdefensa, por lo q os pedimos q saquéis el alcance de purple team y reviséis la propuesta solo como pentest externo e interno. Si no lo aceptan, seguid con la empresa con la q trabajasteis antes u otra auditora independiente.

Un tema q yo no conozco, lo q llamamos equipo azul no puede ser la empresa de soporte q contratamos como servicio externo? No podríamos incluirlos tb en este test?

En los modelos de madurez corporativa el purple team es un proceso de nivel avanzado. Cuando la normativa o grandes clientes corporativos os pidan un informe de auditoría independiente, tb querrán ver un informe oficial de pentest en lugar de un acta de ejercicio de purple team. Desde ese punto de vista tb prima el test clásico.

¿Creen que esto funciona a cualquier escala? Tomar notas durante dos semanas da mejores resultados que estimar seis meses.

exacto y encima no es tan conocido pero si decidimos sin medir siempre acabamos en el mismo punto.

la mayoría de los incidentes no empiezan por una vulnerabilidad sino por una contraseña filtrada.

Totalmente. Si tuviera que añadir algo más: Al tomar decisiones, escribe también el peor escenario, no solo el mejor.

Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.

¿Podría ampliar un poco esto? Todos los que se apresuran con purple team ciberseguridad se atascan en el mismo punto.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Os cuento lo que me pasó a mí, a ver si os sirve de ayuda. Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

Lo dejo como nota, por si sirve.

voy a contar mi experiencia. si obtienes tres respuestas distintas sobbre un tema la pregunta está mal formulada.

los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Permíteme resumir lo que se ha dicho hasta ahora. Ningún proceso mejora si no se registran datos porque no sabes qué tienes que arreglar.

Ánimo.

Tema muy oportuno.

Estoy siguiendo esto. Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Muchas gracias, lo probaré hoy.