Saltar al contenido
02 · Auditoría02 · Auditing

Assumed BreachAssumed Breach

Se parte de un equipo ya comprometido para medir detección y contención.Starts from an already compromised host to measure detection and containment.

MITRE ATT&CKMITRE ATT&CK 2.1 · Auditorías Técnicas (Hacking Ético)2.1 · Technical Audits (Ethical Hacking)

¿Qué es este servicio?What is this service?

Es un ejercicio que arranca desde el supuesto de que el atacante ya está dentro: se le entrega al equipo ofensivo un equipo comprometido o unas credenciales, y se mide qué logra hacer desde ahí y en cuánto tiempo lo detectan.

An exercise starting from the assumption that the attacker is already inside: the offensive team is handed a compromised machine or a set of credentials, and what they achieve from there and how quickly they are detected is measured.

¿Para qué se usa?What is it used for?

Sirve para saltarse la fase de entrada y concentrar el presupuesto donde está el daño. Partir del supuesto de que alguien va a entrar no es pesimismo: es lo que ocurre. Lo que decide la magnitud del incidente no es la puerta sino qué tan lejos llega el intruso una vez adentro y cuánto tarda alguien en notarlo.

It skips the entry phase and concentrates the budget where the damage is. Assuming somebody will get in is not pessimism: it is what happens. What decides the size of the incident is not the door but how far the intruder gets once inside and how long somebody takes to notice.

Qué beneficios traeBenefits it delivers

  • Aprovecha todo el tiempo contratado en lo que importa, en vez de gastarlo intentando entrar.
  • Mide contención y detección, que son las dos capacidades que deciden el costo real de un incidente.
  • Es más barato y más corto que un red team completo, con conclusiones muy parecidas sobre el interior.
  • Da un número concreto para la dirección: cuánto tarda la organización en detectar y cuánto en contener.
  • Spends all the contracted time on what matters instead of on trying to get in.
  • Measures containment and detection, the two capabilities that decide an incident's real cost.
  • Cheaper and shorter than a full red team, with very similar conclusions about the interior.
  • Gives management a concrete number: how long the organisation takes to detect and how long to contain.

¿En qué momentos es obligatorio?When is it mandatory?

Costa RicaCosta Rica

  • No es obligatorio en Costa Rica.
  • Sirve como evidencia de eficacia de los controles internos ante una entidad supervisada.
  • It is not mandatory in Costa Rica.
  • It serves as evidence of internal control effectiveness for a supervised entity.

InternacionalInternational

  • Ningún marco lo exige con este nombre.
  • Puede satisfacer la parte interna de la exigencia de pruebas de PCI-DSS si se documenta con la metodología adecuada.
  • No framework requires it under this name.
  • It can satisfy the internal portion of PCI-DSS testing requirements if documented with the appropriate methodology.

Requisitos mínimosMinimum requirements

  • Autorización por escrito y acuerdo sobre el punto de partida: qué equipo o qué credenciales se entregan.
  • Definir objetivos concretos, porque sin objetivo el ejercicio se dispersa.
  • Decidir si el equipo defensor está avisado; lo habitual es que no, para medir detección real.
  • Un canal de emergencia para detener el ejercicio.
  • Written authorisation and agreement on the starting point: which machine or which credentials are handed over.
  • Defining concrete objectives, because without one the exercise drifts.
  • Deciding whether the defending team is informed; usually not, in order to measure real detection.
  • An emergency channel to stop the exercise.

Plazo típico de entregaTypical delivery time

2 a 5 semanas 2 to 5 weeks rango habitual del mercado usual market range

El rango habitual del mercado va de dos a cinco semanas, con informe entre una y dos semanas después. Es notablemente más corto que un red team porque se elimina toda la fase de reconocimiento externo e ingreso inicial.

The usual market range runs from two to five weeks, with the report one to two weeks later. It is markedly shorter than a red team because the entire external reconnaissance and initial access phase is removed.

NomenclaturaTerminology

Las siglas y estándares que aparecen en esta ficha, explicados. The acronyms and standards used on this page, explained.

Assumed breachAssumed breach
Enfoque que da por hecho el compromiso inicial y se concentra en lo que pasa después. An approach that takes initial compromise as given and focuses on what happens afterwards.
ContenciónContainment
Capacidad de limitar el avance del atacante una vez detectado. The ability to limit the attacker's progress once detected.
Tiempo de permanenciaDwell time
Cuánto tiempo pasa un atacante dentro sin que nadie lo detecte. Es la métrica clave del ejercicio. How long an attacker stays inside undetected. It is the exercise's key metric.
PentestPentest
Prueba de intrusión: se ataca el sistema con autorización previa y por escrito, para encontrar lo que encontraría un atacante real. Penetration test: the system is attacked with prior written authorisation, to find what a real attacker would find.
RoERoE
Reglas de compromiso: el documento que define qué se puede atacar, cuándo, con qué técnicas y a quién avisar. Rules of Engagement: the document defining what may be attacked, when, with which techniques and who to notify.
MITRE ATT&CKMITRE ATT&CK
Base de conocimiento pública de tácticas y técnicas usadas por atacantes reales. Public knowledge base of tactics and techniques used by real attackers.