El ciclo de vida de la operación

El ciclo operativo comienza mucho antes de enviar un paquete o registrar un dominio. La fase inicial define las «Joyas de la Corona» (Crown Jewels): los activos de mayor valor del cliente cuya afectación o acceso demostraría el impacto crítico de un adversario real (por ejemplo, la base de datos de clientes, el sistema de transferencias interbancarias o el plano de control de identidad).

Posteriormente se ejecuta la fase de desarrollo de recursos (adquisición de infraestructura C2) y la fase de acceso inicial, donde se valida si los controles perimetrales de filtrado y concienciación del usuario logran contener la entrada.

Una de las fases más descuidadas en ejercicios mal planificados y a la vez más críticas desde el punto de vista ético y de seguridad es la fase de sanitización y limpieza. Al finalizar los días de actividad interactiva, el Red Team tiene la obligación deontológica y contractual de eliminar cada persistencia, cerrar cada canal C2, revocar llaves temporales y desinstalar cualquier baliza o script depositado en los sistemas del cliente.

Si una baliza o una cuenta creada por el Red Team quedara olvidada en un servidor de producción, podría ser aprovechada semanas más tarde por un intruso real externo, transformando una prueba de seguridad en una puerta trasera desatendida.

Abre tiber_eu_framework.txt y revisa la última fase.

El producto final más valioso de un Red Team no es el trofeo de haber alcanzado el controlador de dominio o el sistema transaccional, sino el informe que traduce lo sucedido a dos audiencias: un resumen ejecutivo para la Junta Directiva (centrado en riesgo, tiempo de detección y madurez) y un reporte técnico para los ingenieros con la línea de tiempo completa para reproducir cada evento y construir detecciones duraderas.