Saltar al contenido
02 · Auditoría02 · Auditing

Purple TeamPurple Team

Ejercicio colaborativo Red Team + Blue Team en tiempo real.Collaborative Red Team and Blue Team exercise in real time.

MITRE ATT&CKMITRE ATT&CK 2.1 · Auditorías Técnicas (Hacking Ético)2.1 · Technical Audits (Ethical Hacking)

¿Qué es este servicio?What is this service?

Es un ejercicio colaborativo en el que el equipo ofensivo ejecuta técnicas conocidas mientras el defensivo observa en tiempo real, para verificar técnica por técnica si se detecta, si se alerta y si la respuesta funciona.

A collaborative exercise where the offensive team executes known techniques while the defensive team watches in real time, verifying technique by technique whether it is detected, whether it alerts and whether the response works.

¿Para qué se usa?What is it used for?

Existe para arreglar la detección, no para demostrar que se puede entrar. A diferencia del red team, acá no hay sigilo: se anuncia cada técnica, se ejecuta, se comprueba si el SIEM la vio y, si no la vio, se escribe la regla ahí mismo. Es el ejercicio que más mejora la capacidad defensiva por unidad de tiempo.

It exists to fix detection, not to prove entry is possible. Unlike red teaming there is no stealth: each technique is announced, executed, checked against the SIEM, and if it was missed the rule gets written on the spot. It is the exercise that improves defensive capability most per unit of time.

Qué beneficios traeBenefits it delivers

  • Sale con reglas de detección nuevas y probadas, no con una lista de problemas por resolver.
  • Mide la cobertura real contra MITRE ATT&CK, que es una métrica que la dirección entiende y se puede seguir en el tiempo.
  • Entrena al equipo defensor viendo el ataque mientras ocurre, que es la mejor forma de aprender a reconocerlo.
  • Cuesta menos que un red team y deja más valor operativo inmediato.
  • It ends with new, tested detection rules rather than a list of problems to solve.
  • Measures real coverage against MITRE ATT&CK, a metric management understands and can track over time.
  • Trains the defending team by watching the attack as it happens, the best way to learn to recognise it.
  • Costs less than a red team and leaves more immediate operational value.

¿En qué momentos es obligatorio?When is it mandatory?

Costa RicaCosta Rica

  • No es obligatorio en Costa Rica.
  • Sirve como evidencia de eficacia de los controles de detección, que es lo que un supervisor querría ver del control, no solo su existencia.
  • It is not mandatory in Costa Rica.
  • It serves as evidence of detection control effectiveness, which is what a supervisor wants to see about a control, not merely that it exists.

InternacionalInternational

  • No lo impone ningún marco de forma directa.
  • ISO 27001 y DORA exigen evaluar la eficacia de los controles, y este ejercicio es una de las formas más sólidas de hacerlo.
  • No framework imposes it directly.
  • ISO 27001 and DORA require evaluating control effectiveness, and this exercise is one of the most solid ways to do it.

Requisitos mínimosMinimum requirements

  • Tener capacidad de detección que probar: un SIEM o un EDR operando, aunque sea de forma básica.
  • Disponibilidad del equipo defensor durante las sesiones; sin ellos presentes, el ejercicio pierde su razón de ser.
  • Un entorno representativo, porque probar contra un laboratorio no dice nada de producción.
  • Acordar el catálogo de técnicas a ejecutar, normalmente priorizando las relevantes para el sector de la organización.
  • Having detection capability to test: a SIEM or EDR in operation, even basic.
  • Availability of the defending team during sessions; without them present the exercise loses its purpose.
  • A representative environment, since testing against a lab says nothing about production.
  • Agreeing the catalogue of techniques to run, usually prioritising those relevant to the sector of the organisation.

Plazo típico de entregaTypical delivery time

2 a 5 semanas 2 to 5 weeks rango habitual del mercado usual market range

El rango habitual del mercado va de dos a cinco semanas, normalmente en sesiones de varias horas repartidas en el calendario para dar tiempo a escribir y afinar las reglas entre una y otra. Muchas organizaciones lo repiten cada seis meses con un catálogo distinto.

The usual market range runs from two to five weeks, typically as multi-hour sessions spread across the calendar to leave time for writing and tuning rules in between. Many organisations repeat it every six months with a different catalogue.

NomenclaturaTerminology

Las siglas y estándares que aparecen en esta ficha, explicados. The acronyms and standards used on this page, explained.

Purple TeamPurple Team
Ejercicio donde el equipo rojo y el azul trabajan juntos y en abierto para mejorar la detección. An exercise where red and blue teams work together in the open to improve detection.
Cobertura ATT&CKATT&CK coverage
Porcentaje de técnicas del catálogo de MITRE que la organización es capaz de detectar. The percentage of MITRE catalogue techniques the organisation can detect.
Regla de detecciónDetection rule
Lógica que se configura en el SIEM o el EDR para que dispare una alerta ante un comportamiento concreto. Logic configured in the SIEM or EDR to raise an alert on a specific behaviour.
Falso negativoFalse negative
Un ataque real que ocurrió y el sistema no detectó. Es lo que este ejercicio busca eliminar. A real attack that happened and the system failed to detect. This exercise exists to eliminate them.
PentestPentest
Prueba de intrusión: se ataca el sistema con autorización previa y por escrito, para encontrar lo que encontraría un atacante real. Penetration test: the system is attacked with prior written authorisation, to find what a real attacker would find.
CVSSCVSS
Escala estándar para puntuar la severidad de una vulnerabilidad, de 0 a 10. Standard scale for scoring vulnerability severity, from 0 to 10.
RoERoE
Reglas de compromiso: el documento que define qué se puede atacar, cuándo, con qué técnicas y a quién avisar. Rules of Engagement: the document defining what may be attacked, when, with which techniques and who to notify.
RetestRetest
Segunda prueba, después de que el cliente corrige, para verificar que la corrección funcionó. A second test after the client remediates, to verify the fix actually worked.