Plan de emulación de amenazas aprobado

Un plan de emulación profesional debe detallar cada fase operativa vinculada a las técnicas de ATT&CK:

1. Fase de Preparación y C2: Perfil del servidor de mando, puertos y perfiles de tráfico.
2. Fase de Acceso Inicial: Plantilla de pretexto, formato del artefacto y lista de destinatarios autorizados.
3. Fase de Reconocimiento y Movimiento: Comandos permitidos para consultar el directorio y protocolos de transporte (SMB, WinRM, WMI).
4. Fase de Acciones sobre Objetivos: La evidencia que demostrará el compromiso sin causar disrupción.
5. Procedimiento de Desinstalación: Bitácora de reversión para cada sistema tocado.

En la comunidad de seguridad existen marcos de código abierto para automatizar y orquestar planes de emulación de adversarios, como MITRE Caldera o Atomic Red Team.

Estas plataformas permiten ejecutar capacidades atómicas predefinidas sobre agentes desplegados para medir la visibilidad de los sensores defensivos de forma repetible, complementando la creatividad y el juicio táctico de los operadores humanos del Red Team.

Ningún operador de Red Team tiene autorización para ejecutar una técnica que no figure en el plan de emulación aprobado, aun si durante la intrusión descubre un camino más fácil o novedoso.

Si en el transcurso de la operación surge una oportunidad táctica imprevista (por ejemplo, una vulnerabilidad zero-day en un sistema perimetral), el líder del Red Team debe redactar una adenda técnica y solicitar la aprobación por escrito de la White Cell antes de ejecutarla. La disciplina operativa manda sobre la conveniencia táctica.