Nos recomendaron un ejercicio de Red Team — ¿qué es esto y en qué se diferencia de una prueba de penetración a nuestra escala?

Un pentest es como un escaneo de inventario; busca puertos, servicios y errores de código, y te los reporta para que los cierres. El red team se enfoca en no ser detectado. Ejecuta el ataque paso a paso sin activar los logs de tu firewall o antivirus. Si no tienes un SIEM analizando logs adentro o un especialista monitoreando activamente, nadie verá el ataque de todos modos, por lo que el test no cumple su propósito.

El año pasado, con un entusiasmo similar, pagamos 210.000 TL por un red team para nuestra infraestructura de e-commerce de 80 personas. ¿El resultado? Un empleado hizo clic en un e-mail falso de una empresa de envíos y desde ahí obtuvieron permisos de dominio. El 80% del informe que nos dieron eran cosas que se resolvían con capacitación básica al personal y restricción de permisos. Ojalá hubiéramos usado esa plata para completar los respaldos e aislamiento de servidores en la infraestructura.

Huele a que la empresa proveedora solo quiere llegar a su cuota de ventas. Amplía el alcance de tu pentest anual con tu presupuesto actual; por ejemplo, agrega análisis de código fuente o pruebas de seguridad en APIs. Dar el salto de 65.000 TL a 260.000 TL es muy apresurado para tu escala.

¿Qué escenario presentó la empresa que cotizó? ¿Cuántas semanas de trabajo prevén y el alcance es solo digital o incluye pasos de ingeniería social como colarse en la oficina o llamar por teléfono? Esos detalles cambian muchísimo el precio.

Para que una empresa llegue a la etapa de red team se deben cumplir estas tres condiciones: 1) Haber solucionado todos los hallazgos críticos y altos de los pentests regulares, 2) Contar con una estructura centralizada de logs/alertas escuchando la red 24/7, 3) Tener un plan de respuesta a incidentes probado que defina qué hace cada quien ante un ciberataque.

en mi anterior empresa tb lo hicieron, suplantaron el mail del gerente general y el contador dio la clave al toque. coincido en q no hace falta soltar un cuarto de millon de liras pa saber eso.

Las consultoras, como los márgenes del pentest cayeron, viven intentando vender paquetes llamativos como red team o purple team. Si no hay un equipo adentro defendiendo, ¿contra quién van a jugar a ser el equipo rojo? Se van a hacer goles solos y van a escribir un informe.

Amigo cuida tu dinero. Con la cuarta parte de eso dale a tu equipo una buena capacitación en desarrollo seguro de código y con el resto actualiza las herramientas de escaneo de vulnerabilidades. en fin hacer una charla interna de concientización te va a servir más que ese informe.

Hay una cosa a la que hay que prestar atención. Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.

Un informe de escaneo automático no es lo mismo que una prueba de penetración. Ánimo.

Perdona, pero esto no es válido en todos los casos. Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

Corrijanme si me equivoco.

Voy a contar mi experiencia. Al tomar decisiones, escribe también el peor escenario, no solo el mejor.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Me han quedado claras las dudas, gracias.

En su momento, nosotros también nos atascamos ahí. Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Eso es todo, disculpa si me he extendido demasiado.

Aquí hay que hacer una distinción. Si el permiso y el alcance no están por escrito, que no empiece la prueba.

Si tenéis dudas, escribid, os responderé en la medida de lo posible.

Ha sido una buena idea abrir este hilo. La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

Si no me equivoco, quieres decir esto: Lo importante no es la cifra, sino en qué se basa esa cifra.

Sí, la situación con que es red team es exactamente así. Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

Esta es mi opinión, no lo escribo como una verdad absoluta.

exactamente así. todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

si escribís el resultado aquí también servirá de ayuda a otros.