Matriz de desconflicción con el SOC

Abre guia_desconfliccion.txt en la consola del laboratorio. Revisa la sección «3. Clasificación de Incidentes en Desconflicción».

El marco clasifica las anomalías en tres tipos según su origen real. Si el SOC investiga un evento y la White Cell verifica que fue producido directamente por una baliza del Red Team registrada en la bitácora, nos encontramos ante una Colisión Positiva.

Identifica la denominación formal de este tipo de incidente según la guía.

Cuando se confirma un Tipo A (Colisión Positiva), la White Cell tiene dos opciones según el diseño del ejercicio:

1. Permitir que el Blue Team continúe con su proceso habitual de respuesta para medir su capacidad de contención e investigación forense completa.
2. Intervenir discretamente indicando al líder del SOC que la alerta ha sido evaluada y desescalada por motivos internos de control, evitando aislar servidores si se desea medir la fase de persistencia posterior.

En ningún caso se revela al personal operativo del SOC que se trata de un ejercicio de Red Team hasta la reunión final de cierre.

Revisa la descripción del Tipo B en guia_desconfliccion.txt.

Si los analistas del SOC detectan un comando malicioso, una exfiltración o una conexión a un servidor extranjero que no coincide en tiempo, IP ni técnica con la bitácora del Red Team, la situación cambia radicalmente. La organización está sufriendo un ataque cibernético genuino en paralelo al ejercicio. En ese instante, la White Cell debe pausar la campaña y volcar todos los recursos humanos y técnicos a contener la amenaza real.