Para reforzar la seguridad de las organizaciones es esencial trabajar en equipo. En particular, en lo que respecta a la ciberseguridad, esta tarea se ejecuta mejor desde una perspectiva de equipo rojo vs. equipo azul.
El equipo rojo tiene por función imitar el papel de un atacante que intenta encontrar vulnerabilidades y sortear las defensas de ciberseguridad dentro de la red. Por otro lado, el equipo azul sigue un enfoque defensivo: toma precauciones y responde a los incidentes una vez que se han producido. Ambos buscan mejorar la seguridad general de la empresa.
Pero existe algo más que equipo rojo vs. equipo azul: la rueda de colores de InfoSec. En las próximas líneas vamos a explorar las tareas y ejercicios de los dos grupos y, también, los beneficios de combinar ambas perspectivas.
Así que, sigue leyendo si quieres enterarte sobre este enfoque "colorido" y la forma en que te ayudará a mejorar la seguridad general de tu empresa.
La rueda de colores de InfoSec
La especialista cibernética April C. Wright desarrolló la rueda de colores de InfoSec como una ampliación del enfoque equipo rojo vs. equipo azul. Esta perspectiva incluye otros colores que abogan por la colaboración entre seguridad de la información y desarrollo de software.
La idea es que el concepto de seguridad se encuentre presente en todo el proceso de la concepción del producto, es decir, que estén incorporadas medidas o mecanismos que eviten posibles intrusiones.
Estos son los colores y sus funciones en la rueda de InfoSec:
- Equipo rojo: hackers que se ocupan de la seguridad ofensiva.
- Equipo azul: defensores que se encargan de crear escudos.
- Equipo violeta: integra los conocimientos obtenidos de los equipos rojo y azul.
- Equipo amarillo: formado por arquitectos y programadores.
- Equipo verde: a partir de los aprendizajes obtenidos del equipo azul, mejora el código desarrollado por el amarillo.
- Equipo naranja: se ocupa de formar y comunicar lo aprendido del equipo rojo. Anima al amarillo a ser más consciente de los posibles ataques.
- Equipo blanco: gerentes y analistas de cumplimiento.
¿Qué es un equipo rojo?
Un equipo rojo está formado por especialistas en seguridad que emulan a los hackers -en este caso se los llama éticos- con la intención de sortear las medidas de ciberseguridad. Recurren a diversas técnicas para encontrar fallos o puntos débiles en la tecnología y los procedimientos para obtener acceso no autorizado a la red. Su objetivo es evaluar la seguridad para reforzarla en caso de ser necesario.
Responsabilidades del equipo rojo
Las responsabilidades de un especialista en equipos rojos son las siguientes:
- Determinar un objetivo y hacer un reconocimiento.
- Extraer información irrumpiendo en las instalaciones, invadiendo el sistema o recurriendo a la ingeniería social.
- Aprovechar los puntos débiles.
- Evitar ser detectado por el equipo azul.
- Realizar pruebas de penetración para evaluar diversos aspectos.
- Elaborar un informe basado en las conclusiones y formular recomendaciones para mejorar la seguridad.
Para comprometer la ciberseguridad de la organización, los miembros del equipo rojo deben actuar como un hacker, por lo que tendrán que realizar las siguientes tareas:
- Ingeniería social a través del phishing, por ejemplo, engañando a los empleados para que faciliten sus credenciales.
- Clonación de tarjetas para entrar en las instalaciones.
- Interceptar la comunicación entre empleados.
- Pruebas de penetración para identificar vulnerabilidades en las aplicaciones.
Competencias necesarias de los miembros del equipo rojo
- Experiencia: se requiere haber trabajado como especialista en ciberseguridad.
- Creatividad: es necesario tener una visión creativa, sortear defensas y ejecutar técnicas efectivas de ingeniería social.
- Codificación: esto ayudará a los miembros del equipo rojo a estar mejor preparados para identificar cualquier posible fallo o vulnerabilidad.
- Ingeniería social: deben ser capaces de ejecutar técnicas de ingeniería social como phishing o vishing para evaluar cuán vulnerables son las personas de la organización a estas estafas.
- Pruebas de penetración: se requiere saber identificar y explotar diferentes vulnerabilidades en la red.
- Inteligencia sobre amenazas: implica recopilar información sobre posibles ataques de diversas fuentes.
Perfil profesional de los expertos del equipo rojo
Un especialista del equipo rojo pertenece al grupo de profesionales de la seguridad. Como dijimos, podría denominarse hacker ético o especialista en vulnerabilidades. Es posible exigirle una certificación que valide sus conocimientos en la materia, como:
- Hacker Ético Certificado o Certified Ethical Hacker (CEH).
- Profesional Certificado en Operaciones de Equipos Rojos o Certified Red Team Operations Professional (CRTOP).
- Master en Tester de Penetración con Licencia o Licensed Penetration Tester Master (LPT).
- Profesional Certificado en Seguridad Ofensiva u Offensive Security Certified Professional (OSCP).
- Tester de Penetración GIAC o GIAC Penetration Tester (GPEN).
- Investigador de Exploits y Tester de Penetración Avanzado GIAC o GIAC Exploit Researcher and Advanced Penetration Tester (GXPN).
¿Qué es un equipo azul?
A diferencia del rojo, que tiene una perspectiva ofensiva, el equipo azul posee una estrategia defensiva orientada a proteger la información y otros activos de la empresa.
Responsabilidades del equipo azul
Un equipo azul forma parte de un centro de operaciones de seguridad, responsable de defender y prevenir los ataques del equipo rojo, realizados por los actores amenazantes. Si el ataque del rojo tiene éxito, entonces el azul será el encargado de dar una respuesta al incidente, es decir, encargarse del proceso por el cual la organización maneja un ataque.
Además, el equipo de seguridad debe analizar las estrategias utilizadas en la intrusión e implementar mecanismos para evitar que vuelva a ocurrir en el futuro.
Estas son algunas de las tareas de un miembro del equipo azul:
- Utilizar Sistemas de Detección de Intrusos o Intrusion Detection Systems (IDS) para identificar cualquier posible ataque y defensa de la infraestructura de la organización.
- Realizar evaluaciones de DNS para asegurarse de que no hay actividades que puedan comprometer la seguridad de la red.
- Gestionar los controles de firewalls y el software de end-point para proteger las estaciones de trabajo.
- Realizar un análisis de la huella que se dejó para identificar cualquier posible brecha.
Competencias necesarias de los miembros del equipo azul
Desde una perspectiva defensiva, los miembros del equipo azul deben contar con las siguientes aptitudes:
- Atención a los detalles: es esencial estar abierto a recibir información, ya que es crucial para identificar cualquier posible fallo de seguridad o vulnerabilidad.
- Realizar evaluaciones de los riesgos: deben saber manejar herramientas de evaluación para identificar riesgos y establecer recursos y medios para proteger los activos en juego.
- Manejar sistemas de detección: es necesario conocer herramientas específicas como sistemas de prevención de intrusiones o Intrusion Prevention Systems (IPS), sistemas de detección de intrusiones o Intrusion Detection Systems (IDS) y software de gestión de eventos de seguridad e información o Security and Information Event Management (SIEM).
- Realizar inteligencia de amenazas: implica recopilar datos sobre los diferentes riesgos y amenazas a los que puede estar expuesta la organización. Esto es importante para diseñar un plan de defensa fiable.
- Manejar técnicas de hardening: es necesario saber cómo solucionar grietas de seguridad y vulnerabilidades detectadas.
- Utilizar sistemas de detección: es fundamental utilizar sniffers de paquetes, software de gestión de eventos de seguridad e información (SIEM), sistemas de detección de intrusiones (IDS) y sistemas de prevención de intrusiones (IPS).
Perfil profesional de los expertos del equipo azul
Un equipo azul forma parte de la estrategia defensiva del grupo de seguridad. Estos profesionales también podrían denominarse analistas de ciberseguridad o de inteligencia de amenazas.
Existen otras funciones relacionadas con el equipo azul, como arquitecto de seguridad o experto en seguridad de la información.
Este tipo de trabajo es ideal para alguien que cuente con una mentalidad analítica y a quien le guste planificar y seguir reglamentos y normas establecidos. Es posible que a los miembros del equipo azul se les exijan determinadas certificaciones para validar sus conocimientos, como las siguientes:
- Auditor Certificado de Sistemas de Información o Certified Information Systems Auditor (CISA).
- Certificación de Elementos Esenciales de Seguridad de GIAC o GIAC Security Essentials Certification (GSEC).
- Profesional Certificado en Seguridad de Sistemas de Información o Certified Information Systems Security Professional (CISSP).
- Certificado GIAC en Gestión de Incidentes o GIAC Certified Incident Handler (GCIH).
- Profesional Avanzado de Seguridad CompTIA o CompTIA Advanced Security Practitioner (CASP+).
- Profesional Certificado en Seguridad de Sistemas o Systems Security Certified Practitioner (SSCP).
5 ventajas del enfoque equipo rojo vs. equipo azul
El enfoque equipo rojo vs. equipo azul tiene varias ventajas en términos de ciberseguridad:
- Competencia sana entre ambos equipos. Esto puede mejorar el rendimiento.
- Seguridad sólida. Mientras que el equipo rojo identifica las vulnerabilidades del sistema, el azul sabe cómo solucionar esos problemas.
- Cooperación. Es posible lograrlo con una estrategia que mejore la comunicación entre ambos equipos. El rojo comparte las amenazas identificadas y sus conocimientos sobre técnicas de pirateo, mientras que el azul revela sus mecanismos defensivos.
- Procedimiento de respuesta. Combinar ambos tipos de información y perspectivas permite diseñar mejores planes de respuesta.
- Sensibilizar. Ambos equipos trabajan juntos y ayudan a concientizar sobre la seguridad a los demás miembros de la organización.
¿Cómo organizar un ejercicio de equipo rojo vs. equipo azul?
La idea detrás del ejercicio equipo rojo vs. equipo azul es que el primero ataca la red mientras que el otro grupo intenta defenderla. El objetivo no es solo detectar los problemas de seguridad, sino también obtener información que ayude a mejorarlos. También constituye una oportunidad para concientizar y formar a los empleados sobre la importancia de tomar precauciones, así como de la necesidad de incluir la ciberseguridad al momento de desarrollar productos y servicios.
Pasos para realizar este ejercicio
Paso 1: Brainstorming
Es recomendable reunir a ambos equipos y dedicar al menos un día a debatir los posibles escenarios. Esto ayudará a que los miembros mejoren sus técnicas antes de que comience el ejercicio.
Paso 2: Formulación de objetivos generales
Resulta esencial establecer los objetivos a alcanzar. La meta final es mejorar la seguridad, pero podría ser útil reducir el alcance y decidir centrarse en dos o tres aspectos en particular.
Paso 3: Establecer límites
Antes de iniciar el juego, es necesario establecer límites: ¿Habrá algo fuera de ellos? ¿El equipo rojo puede llegar hasta donde quiera? ¿Hasta dónde es posible llegar en la simulación? De todas maneras, cuantos menos límites, mejor porque será más realista. Quizá haya cuestiones específicas que la empresa prefiera preservar.
Paso 4: Recolectar datos
Determina cómo se reunirán y compartirán los datos del ejercicio, lo cual es imprescindible para llevar a cabo la actividad y asegurarse de que la organización sacará provecho de toda la experiencia. Así como es crucial organizar cómo se recopilará la información, también resulta indispensable saber cómo se entregarán los informes.
Puntos clave
Ya vimos las funciones del equipo rojo vs. equipo azul: el primero imita la mente de un hacker que quiere entrar en tu organización, mientras que el segundo se encarga de defender la red de cualquier ataque posible. La interacción entre estos dos grupos aportará a tu empresa valiosas ideas para mejorar tus medidas de seguridad.
Dentro de la rueda de colores de InfoSec, otros equipos reciben distintos colores (amarillo, morado, verde, naranja y blanco) en función de las tareas realizadas. El concepto central aquí es que todos los miembros de la organización deben incluir la ciberseguridad en sus rutinas y trabajos. Este aspecto estará integrado en los productos y formará parte del día a día para que no caigan en ninguna trampa de un ciberatacante.
Preguntas frecuentes
¿Por qué se llama equipo rojo?
El equipo rojo está formado por expertos en ciberseguridad que desempeñan el papel de un atacante. La intención es identificar las grietas de seguridad en una red.
¿Qué es más desafiante: pertenecer al equipo rojo o al azul?
Ambos trabajos requieren estar actualizados. Los integrantes del equipo rojo deben ser creativos y persistentes para irrumpir en una red bien defendida. Los del azul tienen que invertir mucha energía en hacer frente a los posibles ataques. Esto es duro y estresante.
¿Qué es el equipo violeta?
Este equipo es responsable de recopilar y compartir los aprendizajes de ciberseguridad obtenidos de la interacción entre el equipo rojo vs. equipo azul.
¿Cuál es el objetivo de un equipo rojo vs. equipo azul?
El objetivo final es mejorar las medidas de ciberseguridad y aumentar la concientización y el cumplimiento de los empleados.
¿Qué es un equipo gris en ciberseguridad?
Está formado por expertos en ciberseguridad que a veces infringen las normas éticas para descubrir vulnerabilidades, pero no tienen la intención maliciosa de un hacker de sombrero negro.
A diferencia de los hackers éticos que irrumpen en la red a petición de la organización para realizar una evaluación, los miembros del equipo gris pueden hacerlo sin permiso. Pero una vez que encuentran la vulnerabilidad, la revelarán a la empresa para que pueda solucionarla.
