Objetivos de impacto vs listas de hallazgos

En una prueba de penetración tradicional, el auditor tiene un tiempo limitado para encontrar tantas debilidades como sea posible dentro de un rango de direcciones o aplicaciones. Si encuentra diez vulnerabilidades, reporta diez. En un ejercicio de Red Team, el objetivo no es enumerar fallos, sino emular los objetivos y comportamientos de un actor de amenaza concreto (Threat Actor).

Si el Red Team encuentra tres vulnerabilidades pero solo necesita una para lograr el acceso y mantenerse invisible durante semanas, utilizará únicamente esa y evitará tocar las otras para no activar alarmas innecesarias en el Centro de Operaciones de Seguridad (SOC).

Abre el archivo pentest_vs_redteam.txt en la terminal del laboratorio. Revisa la tabla comparativa y localiza la métrica principal utilizada para evaluar el resultado de una operación de Red Team.

En un pentest, el informe se resume en una gráfica de barras con vulnerabilidades críticas, altas, medias y bajas. En Red Team, las métricas fundamentales miden el tiempo: cuánto tardó la defensa en notar la presencia hostil (Mean Time to Detect - MTTD) y cuánto tardó en aislar o mitigar la intrusión una vez detectada (Mean Time to Respond - MTTR).

En la mayoría de los pentests, los administradores de sistemas y los analistas del SOC están informados de las fechas de la prueba o incluso agregan la dirección IP del auditor a listas de excepciones para permitirle avanzar rápido.

En un ejercicio de Red Team, la prueba es ciega (Blind test): el SOC no debe saber que la actividad corresponde a una prueba autorizada. Si el SOC fuera avisado, su comportamiento no reflejaría la postura real de seguridad del día a día, invalidando la evaluación de los tiempos de detección y escalamiento de incidentes.