equipo rojo

Un equipo azul es un grupo encargado de defenderse contra las intrusiones.

En ciberseguridad , una prueba de penetración implica que hackers éticos ("pen testers") intenten acceder a un sistema informático sin ningún elemento de sorpresa. La organización está al tanto de la prueba de penetración y está preparada para defenderse. ^{[ 8 ]}

Un equipo rojo va un paso más allá y añade penetración física, ingeniería social y un elemento sorpresa. El equipo azul no recibe ninguna advertencia previa sobre un equipo rojo y lo tratará como una intrusión real. ^{[ 8 ]} Una de las funciones de un equipo rojo interno permanente es mejorar la cultura de seguridad de la organización. ^{[ 9 ]}

Un equipo púrpura es la combinación temporal de ambos equipos y puede proporcionar respuestas de información rápidas durante una prueba. ^{[ 10 ] [ 11 ]} Una ventaja del trabajo en equipo púrpura es que el equipo rojo puede lanzar ciertos ataques repetidamente, y el equipo azul puede usar eso para configurar el software de detección, calibrarlo y aumentar constantemente la tasa de detección. ^{[ 12 ]} Los equipos púrpuras pueden participar en sesiones de "caza de amenazas", donde tanto el equipo rojo como el equipo azul buscan intrusos reales. Involucrar a otros empleados en el equipo púrpura también es beneficioso, por ejemplo, ingenieros de software que pueden ayudar con el registro y las alertas de software, y gerentes que pueden ayudar a identificar los escenarios más perjudiciales financieramente. ^{[ 13 ]} Un peligro del trabajo en equipo púrpura es la complacencia y el desarrollo del pensamiento grupal , que se puede combatir contratando personas con diferentes conjuntos de habilidades o contratando un proveedor externo. ^{[ 14 ]}

Un equipo blanco es un grupo que supervisa y gestiona las operaciones entre los equipos rojos y los equipos azules. Por ejemplo, pueden ser los gerentes de una empresa quienes determinan las reglas de interacción para el equipo rojo. ^{[ 15 ]}

El punto de entrada inicial de un equipo rojo o un adversario se denomina cabeza de playa. Un equipo azul experimentado suele ser hábil para encontrar la cabeza de playa y expulsar a los atacantes. Una función del equipo rojo es mejorar las habilidades del equipo azul. ^{[ 16 ]}

Al infiltrarse, existe un enfoque sigiloso y "quirúrgico" que pasa desapercibido para el equipo azul y requiere un objetivo claro, y un enfoque más agresivo y directo, similar a un ataque de fuerza bruta. El ataque directo suele ser más útil para los equipos rojos, ya que puede descubrir vulnerabilidades inesperadas. ^{[ 17 ]}

Existen diversas amenazas de ciberseguridad. Estas pueden abarcar desde prácticas tradicionales como el hackeo del controlador de dominio de la red , hasta otras menos convencionales como la minería de criptomonedas o el acceso excesivo de los empleados a información personal identificable (PII), lo que expone a la empresa a multas por incumplimiento del Reglamento General de Protección de Datos (RGPD). ^{[ 18 ]} Cualquiera de estas amenazas puede ser objeto de pruebas de penetración (red teaming) para evaluar su gravedad. Los ejercicios de simulación, en los que se representan intrusiones sobre una mesa, de forma similar a como se juega a un juego de mesa, pueden utilizarse para simular intrusiones demasiado costosas, complejas o ilegales para ejecutar en tiempo real. ^{[ 19 ]} Puede resultar útil realizar intentos de intrusión contra el equipo rojo y el equipo azul, además de contra objetivos más tradicionales. ^{[ 20 ]}

Una vez que se obtiene acceso a una red, se puede realizar un reconocimiento. Los datos recopilados se pueden colocar en una base de datos de grafos , que es un software que representa visualmente nodos, relaciones y propiedades. Los nodos típicos pueden ser computadoras, usuarios o grupos de permisos. ^{[ 21 ]} Los equipos rojos generalmente tendrán bases de datos de grafos muy buenas de su propia organización, porque pueden aprovechar la ventaja de jugar en casa , incluyendo trabajar con el equipo azul para crear un mapa completo de la red y una lista completa de usuarios y administradores. ^{[ 22 ]} Se puede usar un lenguaje de consulta como Cypher para crear y modificar bases de datos de grafos. ^{[ 23 ]} Cualquier tipo de cuenta de administrador es valiosa para colocar en la base de datos de grafos, incluyendo administradores de herramientas de terceros como Amazon Web Services (AWS). ^{[ 24 ]} A veces, los datos se pueden exportar desde herramientas y luego insertarse en la base de datos de grafos. ^{[ 25 ]}

Una vez que el equipo rojo ha comprometido una computadora, sitio web o sistema, una técnica poderosa es la búsqueda de credenciales . Estas pueden ser contraseñas en texto plano , texto cifrado , hashes o tokens de acceso . El equipo rojo obtiene acceso a una computadora, busca credenciales que puedan usarse para acceder a otra computadora y luego repite este proceso, con el objetivo de acceder a múltiples computadoras. ^{[ 26 ]} Las credenciales pueden robarse de diversas ubicaciones, incluyendo archivos, repositorios de código fuente como Git , memoria de la computadora y software de rastreo y registro. Técnicas como " pass the cookie" y "pass the hash" pueden usarse para obtener acceso a sitios web y máquinas sin ingresar una contraseña. También se pueden usar técnicas como el reconocimiento óptico de caracteres (OCR), la explotación de contraseñas predeterminadas , la suplantación de una solicitud de credenciales y el phishing . ^{[ 27 ]}

El equipo rojo puede utilizar programación informática y scripts de interfaz de línea de comandos (CLI) para automatizar algunas de sus tareas. Por ejemplo, los scripts CLI pueden utilizar el Modelo de Objetos Componentes (COM) en máquinas Microsoft Windows para automatizar tareas en aplicaciones de Microsoft Office . Las tareas útiles podrían incluir enviar correos electrónicos, buscar documentos, cifrar o recuperar datos. Los equipos rojos pueden tomar el control de un navegador utilizando COM de Internet Explorer , la función de depuración remota de Google Chrome o el marco de pruebas Selenium . ^{[ 28 ]}

Durante una intrusión real, el equipo rojo puede ser reasignado para trabajar con el equipo azul y ayudar en la defensa. Específicamente, pueden proporcionar análisis sobre lo que probablemente intentarán hacer los intrusos a continuación. Durante una intrusión, tanto el equipo rojo como el equipo azul tienen ventaja por jugar en casa, ya que están más familiarizados con las redes y los sistemas de la organización que el intruso. ^{[ 12 ]}

El equipo rojo de una organización puede ser un objetivo atractivo para atacantes reales. Las máquinas de los miembros del equipo rojo pueden contener información confidencial sobre la organización. En respuesta, las máquinas de los miembros del equipo rojo suelen estar protegidas. ^{[ 29 ]} Las técnicas para proteger las máquinas incluyen configurar el firewall del sistema operativo , restringir el acceso a Secure Shell (SSH) y Bluetooth , mejorar el registro y las alertas, eliminar archivos de forma segura y cifrar los discos duros. ^{[ 30 ]}

Una táctica consiste en emplear la "defensa activa", que implica la configuración de señuelos y honeypots para ayudar a rastrear la ubicación de los intrusos. ^{[ 31 ]} Estos honeypots pueden ayudar a alertar al equipo azul sobre una intrusión en la red que de otro modo podría haber pasado desapercibida. Se puede utilizar software diverso para configurar un archivo honeypot según el sistema operativo: las herramientas para macOS incluyen OpenBMS, las herramientas para Linux incluyen complementos de auditd y las herramientas para Windows incluyen Listas de Control de Acceso del Sistema (SACL). Las notificaciones pueden incluir ventanas emergentes, correos electrónicos y la escritura en un archivo de registro. ^{[ 32 ]} La monitorización centralizada, donde los archivos de registro importantes se envían rápidamente a un software de registro en una máquina diferente, es una técnica útil de defensa de la red. ^{[ 33 ]}

El uso de reglas de participación puede ayudar a delimitar qué sistemas están fuera de los límites, prevenir incidentes de seguridad y garantizar que se respete la privacidad de los empleados. ^{[ 34 ]} El uso de un procedimiento operativo estándar (POE) puede garantizar que las personas adecuadas sean notificadas e involucradas en la planificación, y mejorar el proceso del equipo rojo, haciéndolo maduro y repetible. ^{[ 35 ]} Las actividades del equipo rojo suelen tener un ritmo regular. ^{[ 36 ]}

El seguimiento de ciertas métricas o indicadores clave de rendimiento (KPI) puede ayudar a garantizar que un equipo rojo alcance los resultados deseados. Algunos ejemplos de KPI para equipos rojos incluyen realizar un número determinado de pruebas de penetración al año o aumentar el número de pentesters en el equipo dentro de un período de tiempo específico. También puede ser útil realizar un seguimiento del número de máquinas comprometidas, máquinas vulnerables y otras métricas relacionadas con la infiltración. Estas estadísticas se pueden graficar diariamente y mostrar en un panel de control en el centro de operaciones de seguridad (SOC) para motivar al equipo azul a detectar y solucionar las brechas de seguridad. ^{[ 37 ]}

Para identificar a los infractores más graves, las vulneraciones se pueden graficar y agrupar según el lugar del software donde se descubrieron, la ubicación de la oficina de la empresa, el puesto de trabajo o el departamento. ^{[ 38 ]} Se pueden utilizar simulaciones de Monte Carlo para identificar qué escenarios de intrusión son más probables, más dañinos o ambos. ^{[ 39 ]} Un modelo de madurez de pruebas, un tipo de modelo de madurez de capacidades , se puede utilizar para evaluar la madurez de un equipo rojo y cuál es el siguiente paso para crecer. ^{[ 40 ]} El MITRE ATT&CK Navigator, una lista de tácticas, técnicas y procedimientos (TTP) que incluyen amenazas persistentes avanzadas (APT), se puede consultar para ver cuántas TTP está explotando un equipo rojo y obtener ideas adicionales para TTP que se pueden utilizar en el futuro. ^{[ 41 ]}

Parte del entrenamiento físico de equipos rojos consiste en realizar reconocimiento. ^{[ 49 ]} El tipo de reconocimiento recopilado suele incluir información sobre personas, lugares, dispositivos de seguridad y el clima. ^{[ 50 ]} El reconocimiento tiene un origen militar, y las técnicas de reconocimiento militar son aplicables al entrenamiento físico de equipos rojos. El equipo de reconocimiento de un equipo rojo puede incluir ropa militar, ya que no se rasga fácilmente, luces rojas para preservar la visión nocturna y ser menos detectable, radios y auriculares, cámara y trípode, binoculares, equipo de visión nocturna y una computadora portátil para todo tipo de clima. ^{[ 51 ]} Algunos métodos de comunicación en el campo incluyen un auricular Bluetooth conectado a una llamada de conferencia telefónica celular durante el día, y radios bidireccionales con auriculares por la noche. ^{[ 52 ]} En caso de compromiso, los miembros del equipo rojo a menudo llevan identificación y una carta de autorización con múltiples contactos fuera del horario laboral que pueden dar fe de la legalidad y legitimidad de las actividades del equipo rojo. ^{[ 53 ]}

Antes de realizar el reconocimiento físico, se puede recopilar inteligencia de fuentes abiertas (OSINT) investigando ubicaciones y miembros del personal a través de Internet, incluyendo el sitio web de la empresa, cuentas de redes sociales, motores de búsqueda, sitios web de mapas y ofertas de trabajo (que dan pistas sobre la tecnología y el software que utiliza la empresa). ^{[ 54 ]} Es una buena práctica realizar reconocimiento durante varios días, tanto de día como de noche, llevar al menos tres operadores, utilizar un área de preparación cercana que esté fuera de la vista del objetivo y realizar el reconocimiento y la infiltración en dos viajes separados en lugar de combinarlos. ^{[ 55 ]}

Los equipos de reconocimiento pueden usar técnicas para ocultarse a sí mismos y su equipo. Por ejemplo, se puede alquilar una furgoneta de pasajeros y oscurecer las ventanas para ocultar la fotografía y la grabación de vídeo del objetivo. ^{[ 56 ]} El examen y la grabación de vídeo de las cerraduras de un edificio durante un recorrido pueden ocultarse haciendo que el equipo de reconocimiento finja estar hablando por teléfono. ^{[ 57 ]} En caso de que se vea comprometido, como que los empleados sospechen, se puede ensayar una historia con antelación hasta poder recitarla con seguridad. Si el equipo se ha dividido, la desinformación de un operador puede provocar que el líder del equipo retire a los demás operadores. ^{[ 58 ]} Se pueden usar cámaras de vídeo ocultas para capturar imágenes para su posterior revisión, y se pueden realizar informes rápidamente después de abandonar la zona para que la información nueva se documente rápidamente. ^{[ 59 ]}

La mayoría de las operaciones físicas de equipos rojos ocurren de noche, debido a la menor seguridad de las instalaciones y para que la oscuridad pueda ocultar las actividades. ^{[ 60 ]} Una infiltración ideal suele ser invisible tanto fuera de las instalaciones (el acercamiento no es detectado por transeúntes ni dispositivos de seguridad) como dentro de las instalaciones (no se causan daños ni se mueve ni se deja nada fuera de lugar), y no alerta a nadie de que un equipo rojo estuvo allí. ^{[ 61 ]}

Al entrar en las instalaciones

Los dispositivos de seguridad comunes incluyen puertas, cerraduras, cercas, alarmas, sensores de movimiento y sensores de suelo. Las puertas y cerraduras suelen ser más rápidas y silenciosas de sortear con herramientas y cuñas que con ganzúas . ^{[ 71 ]} Las cerraduras RFID son comunes en las empresas, y los lectores RFID encubiertos combinados con ingeniería social durante el reconocimiento pueden usarse para duplicar la credencial de un empleado autorizado. ^{[ 72 ]} El alambre de púas en las cercas se puede sortear colocando una manta gruesa sobre él. ^{[ 73 ]} Las cercas antiescalada se pueden sortear con escaleras. ^{[ 74 ]}

En ocasiones, las alarmas pueden neutralizarse con un inhibidor de radio que bloquea las frecuencias que utilizan para sus comunicaciones internas y externas. ^{[ 75 ]} Los sensores de movimiento pueden ser neutralizados con un escudo especial del tamaño de una persona que bloquea su firma térmica. ^{[ 76 ]} Los sensores terrestres son propensos a falsos positivos, lo que puede llevar al personal de seguridad a desconfiar de ellos o a ignorarlos. ^{[ 77 ]}

Dentro de las instalaciones

Una vez dentro, si se sospecha que el edificio está ocupado, disfrazarse de limpiador o empleado con la ropa adecuada es una buena táctica. ^{[ 78 ]} La disciplina en cuanto al ruido suele ser importante una vez dentro de un edificio, ya que hay menos sonidos ambientales que enmascaren los ruidos del equipo rojo. ^{[ 79 ]}

Los equipos rojos suelen tener ubicaciones objetivo seleccionadas y tareas planificadas de antemano para cada equipo o miembro, como entrar en una sala de servidores o en el despacho de un ejecutivo. Sin embargo, puede ser difícil determinar la ubicación de una sala con antelación, por lo que a menudo se improvisa sobre la marcha. Leer las señales de las rutas de salida de emergencia y usar un reloj con brújula puede ayudar a orientarse dentro de los edificios. ^{[ 80 ]}

Los edificios comerciales suelen tener algunas luces encendidas. Es recomendable no encender ni apagar las luces, ya que esto podría alertar a alguien. En cambio, se prefiere utilizar áreas que ya no estén iluminadas para las operaciones del equipo rojo, empleando técnicas de movimiento rápido y congelación para desplazarse rápidamente por las áreas iluminadas. ^{[ 81 ]} Generalmente se evita pararse de pie frente a las ventanas y entrar a los edificios por los vestíbulos debido al riesgo de ser visto. ^{[ 82 ]}

Un endoscopio puede utilizarse para mirar alrededor de las esquinas y debajo de las puertas, para ayudar a detectar personas, cámaras o detectores de movimiento. ^{[ 83 ]}

Una vez que se ha llegado a la habitación objetivo, si es necesario encontrar algo como un documento específico o un equipo específico, la habitación se puede dividir en secciones, y cada miembro del equipo rojo se centra en una sección. ^{[ 84 ]}

Las contraseñas suelen estar ubicadas debajo de los teclados. Se pueden utilizar técnicas para evitar alterar la ubicación de objetos en las oficinas, como teclados y sillas, ya que cualquier cambio en estos objetos suele ser detectado. ^{[ 85 ]} Las luces y las cerraduras pueden dejarse en su estado original de encendido o apagado, bloqueado o desbloqueado. ^{[ 86 ]} Se pueden tomar medidas para asegurar que no se deje ningún equipo atrás, como tener una lista de todo el equipo que se trajo y verificar que todos los artículos estén contabilizados. ^{[ 87 ]}

Es buena práctica enviar informes de situación por radio (SITREP) al líder del equipo cuando ocurren sucesos inusuales. El líder del equipo puede entonces decidir si la operación debe continuar, abortarse o si un miembro del equipo debe rendirse mostrando su carta de autorización e identificación. ^{[ 88 ]} Cuando se enfrentan a civiles, como empleados, los operadores del equipo rojo pueden intentar la ingeniería social. Cuando se enfrentan a las fuerzas del orden, es buena práctica rendirse inmediatamente debido a las posibles consecuencias legales y para la seguridad. ^{[ 89 ]}

En ocasiones, las empresas privadas utilizan equipos rojos para complementar sus procedimientos y personal de seguridad habituales. Por ejemplo, Microsoft y Google utilizan equipos rojos para ayudar a proteger sus sistemas. ^{[ 93 ] [ 94 ]} Algunas instituciones financieras en Europa utilizan el marco TIBER-EU. ^{[ 95 ]}

Cuando se aplica al trabajo de inteligencia, el análisis de equipos rojos a veces se denomina análisis alternativo . ^{[ 96 ]} El análisis alternativo implica incorporar nuevos analistas para verificar las conclusiones de otro equipo, cuestionar supuestos y asegurarse de que no se haya pasado nada por alto. Se utilizaron tres equipos rojos para revisar la inteligencia que condujo a la muerte de Osama bin Laden en 2011, incluyendo equipos rojos ajenos a la Agencia Central de Inteligencia, debido a las importantes consecuencias diplomáticas y de relaciones públicas que conllevaba el lanzamiento de una operación militar en Pakistán, por lo que era importante verificar la inteligencia y las conclusiones del equipo original. ^{[ 97 ]}

Tras no haber previsto la Guerra de Yom Kippur, la Dirección de Inteligencia de las Fuerzas de Defensa de Israel formó un equipo rojo llamado Ipcha Mistabra ("por el contrario") para reexaminar supuestos descartados y evitar la autocomplacencia. ^{[ 2 ]} La Organización del Tratado del Atlántico Norte (OTAN) utiliza análisis alternativos. ^{[ 98 ]}

Los ejércitos suelen utilizar el equipo rojo para análisis alternativos, simulaciones y sondeos de vulnerabilidades. ^{[ 99 ]} En los juegos de guerra militares , la fuerza opositora (OPFOR) en un conflicto simulado puede denominarse Célula Roja. ^{[ 100 ]} El tema clave es que el adversario (equipo rojo) aprovecha las tácticas, técnicas y equipos según corresponda para emular al actor deseado. El equipo rojo desafía la planificación operativa al desempeñar el papel de un adversario consciente.

El Ministerio de Defensa del Reino Unido tiene un programa de equipo rojo. ^{[ 101 ]}

Los equipos rojos se utilizaron con mucha más frecuencia en las Fuerzas Armadas de los Estados Unidos después de que una Junta de Revisión de Ciencias de la Defensa de 2003 los recomendara para ayudar a prevenir las deficiencias que llevaron a los ataques del 11 de septiembre. El Ejército de los EE. UU. creó la Oficina de Estudios Dirigidos del Ejército en 2004. Este fue el primer equipo rojo a nivel de servicio y, hasta 2011, fue el más grande del Departamento de Defensa (DoD). ^{[ 102 ]} La Universidad de Estudios Militares y Culturales Extranjeros ofrece cursos para miembros y líderes de equipos rojos. La mayoría de los cursos presenciales se llevan a cabo en Fort Leavenworth y están dirigidos a estudiantes del Colegio de Comando y Estado Mayor del Ejército de los EE. UU . (CGSC) o escuelas equivalentes de nivel intermedio y superior. ^{[ 103 ]} Los cursos incluyen temas como pensamiento crítico, mitigación del pensamiento grupal, empatía cultural y autorreflexión. ^{[ 104 ]}

El concepto de equipo rojo del Cuerpo de Marines comenzó en 2010 cuando el Comandante del Cuerpo de Marines (CMC), General James F. Amos, intentó implementarlo. ^{[ 105 ]} Amos redactó un documento técnico titulado " Equipo rojo en el Cuerpo de Marines" . En este documento, Amos explicó cómo el concepto de equipo rojo debe cuestionar el proceso de planificación y toma de decisiones mediante la aplicación del pensamiento crítico desde el nivel táctico hasta el estratégico. En junio de 2013, el Cuerpo de Marines cubrió los puestos del equipo rojo descritos en el borrador del documento técnico. En el Cuerpo de Marines, todos los Marines designados para ocupar puestos en el equipo rojo completan cursos de capacitación de seis o nueve semanas impartidos por la Universidad de Estudios Militares y Culturales Extranjeros (UFMCS). ^{[ 106 ]}

El Departamento de Defensa utiliza equipos rojos cibernéticos para realizar evaluaciones de adversarios en sus redes. ^{[ 107 ]} Estos equipos rojos están certificados por la Agencia de Seguridad Nacional y acreditados por el Comando Estratégico de los Estados Unidos . ^{[ 107 ]}

La Administración Federal de Aviación de los Estados Unidos (FAA) ha estado implementando equipos rojos desde el ataque terrorista del vuelo 103 de Pan Am sobre Lockerbie , Escocia , en 1988. Los equipos rojos realizan pruebas en aproximadamente 100 aeropuertos estadounidenses anualmente. Las pruebas se suspendieron tras los ataques del 11 de septiembre de 2001 y se reanudaron en 2003 bajo la Administración de Seguridad del Transporte (TSA), que asumió el rol de la FAA en materia de seguridad aérea después del 11-S. ^{[ 108 ]} Antes de los ataques del 11 de septiembre, el uso de equipos rojos por parte de la FAA reveló graves deficiencias en la seguridad del Aeropuerto Internacional Logan de Boston, desde donde partieron dos de los cuatro vuelos secuestrados el 11-S. Algunos exinvestigadores de la FAA que participaron en estos equipos consideran que la FAA ignoró deliberadamente los resultados de las pruebas y que esto contribuyó en parte al ataque terrorista del 11-S en Estados Unidos . ^{[ 109 ]}

La Administración de Seguridad del Transporte de los Estados Unidos ha utilizado equipos rojos en el pasado. En una operación de equipo rojo, agentes encubiertos lograron engañar a los oficiales de seguridad del transporte y pasar armas y explosivos falsos a través de los controles de seguridad en 67 de 70 ocasiones en 2015. ^{[ 110 ]}