Red team vs blue team
Respuesta breve: El red team prueba la organización como lo haría un adversario: objetivo primero, no un listado cerrado de IPs. El blue team vigila, detecta y responde. Coordinarlos (purple team) evita que ofensiva y defensa trabajen de espaldas.
Definición
Red team y blue team se confunden con “hacking ético” en genérico. Preguntan cosas distintas. El equipo rojo adopta la mentalidad del atacante para encontrar rutas y puntos ciegos (pentest, pivoting, emulación de amenaza) sin convertir el ejercicio en un incidente real. El equipo azul analiza, monitoriza y responde: patrones anómalos, malware, forense, planes ante phishing o ransomware. Un purple team no sustituye a ninguno: hace que los hallazgos ofensivos entren en la defensa, y que la defensa informe el siguiente ejercicio.
Qué hace el red team
Parte de un objetivo, no solo de un alcance de IPs. Puede combinar reconocimiento, explotación y movimiento lateral para ver si los controles resisten un ataque encadenado, no un aviso aislado.
Un pentest de una aplicación concreta sigue siendo útil: profundiza en un sistema. El red team pregunta además qué ruta usaría un atacante cuando el perímetro no es el que está en el diagrama.
Qué hace el blue team
Defiende: monitoriza redes y sistemas, investiga lo que se sale del patrón y responde cuando el incidente es real. Diseña cómo actuar ante tipos distintos de ataque; no se limita a un informe ofensivo.
Sin un mapa de lo expuesto y sin ensayos, la defensa trabaja sobre el perímetro que cree tener. El red team no sustituye esa función; la pone a prueba.
El purple team
Coordina ofensiva y defensa para que no se pisen ni se ignoren. El valor no es un tercer color: es que un hallazgo se traduzca en un control, y que un control se vuelva a probar.
Sin esa coordinación, el red team entrega un PDF y el blue team sigue con la cola de alertas. El ejercicio no cambia la exposición.
En el modelo de Azuba
Ciberseguridad trata la superficie de ataque y el pentesting continuo como capacidades distintas de la validación profunda de una aplicación o una red.
En Ciberseguridad Ofensiva y Gestión de la Exposición, FireCompass cubre superficie y pentesting continuo con ASM y CART.
Continuar
¿Un pentest anual es un red team?
No necesariamente. Un pentest suele acotar sistemas conocidos. Un red team parte de un objetivo y puede descubrir superficie que no estaba en el alcance. Pueden complementarse.
¿Hace falta tener los tres equipos en plantilla?
No lo afirmamos. Ofensiva, defensa y coordinación son funciones. Cómo se cubren (interno, servicio o tecnología) se evalúa en cada entorno.