Red Team o pentest: cuál necesita su organización y cuándo

Cuando un directorio pide «hackearnos para ver qué tan seguros estamos», casi siempre hay dos preguntas distintas mezcladas en esa frase. La primera es qué fallas tienen nuestros sistemas. La segunda es si nos daríamos cuenta de un ataque real y podríamos detenerlo a tiempo. Una prueba de penetración responde bien la primera. Un ejercicio de Red Team está diseñado para la segunda.

Confundirlas tiene costo: un Red Team contratado demasiado pronto termina encontrando las mismas fallas básicas que un pentest habría listado a menor costo, y un pentest contratado cuando la organización ya necesita medir su detección entrega un informe correcto que no responde la pregunta del directorio.

Qué es realmente cada uno

Prueba de penetración

Un pentest evalúa un alcance definido —una aplicación web, una API, un segmento de red, un entorno en la nube— durante un periodo acotado. El equipo de seguridad del cliente sabe que la prueba ocurre y, a menudo, facilita accesos o credenciales para llegar más lejos en menos tiempo. El resultado es una lista priorizada de vulnerabilidades con evidencia, impacto y recomendación de corrección, apoyada en metodologías como OWASP WSTG, PTES u OSSTMM.

La métrica de éxito es la cobertura: cuánto del alcance se probó y cuántas debilidades reales se encontraron.

Ejercicio de Red Team

Un Red Team parte de un objetivo de negocio —por ejemplo, «obtener acceso a la plataforma de pagos» o «leer el correo del gerente general»— y simula a un adversario con las tácticas, técnicas y procedimientos (TTP) que usaría un atacante real contra su sector, mapeados en MITRE ATT&CK. Puede combinar reconocimiento de fuentes abiertas, ingeniería social, explotación de servicios expuestos, movimiento lateral y persistencia.

Solo un grupo reducido de la organización (el llamado equipo blanco) sabe que el ejercicio está en curso. El equipo de defensa trabaja como un día normal. Así, además de las fallas técnicas, se mide lo que un pentest no puede medir: cuánto tardó la organización en detectar la actividad, si escaló correctamente y si logró contenerla.

Diferencias clave

Aspecto	Pentest	Red Team
Pregunta que responde	¿Qué vulnerabilidades tiene este sistema?	¿Detectamos y detenemos a un adversario real?
Alcance	Definido y acotado	Amplio, guiado por un objetivo
Conocimiento del equipo de defensa	Informado	Solo el equipo blanco
Sigilo	No es prioridad	Es parte de la prueba
Duración típica	Días a pocas semanas	Varias semanas
Resultado principal	Lista priorizada de vulnerabilidades	Cadena de ataque, tiempos de detección y brechas de respuesta
Madurez requerida	Baja a media	Media a alta

Cuándo empezar por un pentest

El pentest es el punto de partida correcto si en su organización se cumple alguna de estas condiciones:

• No existe un inventario confiable de activos expuestos a internet.
• Nunca se ha evaluado la aplicación o el sistema que se va a lanzar o que concentra más riesgo.
• No hay un proceso formal para corregir vulnerabilidades y verificar que la corrección funcionó.
• Un regulador, un cliente o una auditoría (por ejemplo, PCI-DSS o una revisión de terceros) exige evidencia de pruebas técnicas sobre un alcance específico.
• Se va a hacer un cambio importante: migración a la nube, nueva banca digital, integración por API con terceros.

En estos casos, un Red Team encontraría rápidamente las mismas debilidades de base, y buena parte del presupuesto se iría en demostrar lo que ya se sabía.

Cuándo pasar a Red Team

El Red Team aporta valor cuando la organización ya hizo el trabajo de base y necesita validar su capacidad de defensa como un todo:

• Existe un servicio de monitoreo (SOC propio o tercerizado) y herramientas de detección en los equipos (EDR).
• Los pentests periódicos ya no encuentran hallazgos críticos en los sistemas principales.
• Hay un plan de respuesta a incidentes documentado, pero nunca se probó en condiciones reales.
• El directorio o el comité de riesgos necesita evidencia de que la inversión en detección y respuesta funciona.

Un buen ejercicio de Red Team no se mide por si el equipo «entró» o no. Se mide por lo que la organización aprende sobre su propia capacidad de detectar y responder.

Un camino de madurez, no una elección única

En la práctica, ambos servicios conviven en un programa de seguridad ofensiva que evoluciona con la organización:

1. Pentests por sistema para establecer una línea base y corregir lo crítico.
2. Pentests periódicos y de regresión después de cada cambio relevante, con retest de las correcciones.
3. Ejercicios de Purple Team, en los que atacantes y defensores trabajan juntos técnica por técnica para afinar la detección.
4. Red Team con objetivo de negocio, para medir de punta a punta prevención, detección y respuesta.

Qué pedir en la propuesta

Sea cual sea el servicio, una propuesta seria debería dejar claro:

• Alcance y objetivos por escrito, con lo que queda explícitamente fuera.
• Reglas de enfrentamiento: horarios, técnicas permitidas, sistemas sensibles y cómo se detiene la prueba si algo afecta la operación.
• Canal de escalamiento inmediato si se encuentra una vulnerabilidad crítica o evidencia de un compromiso previo.
• Entregables: informe ejecutivo para el directorio, informe técnico con evidencia reproducible y, en Red Team, la línea de tiempo del ataque frente a lo que detectó el equipo de defensa.
• Retest de las correcciones incluido o claramente cotizado.
• Credenciales del equipo (por ejemplo, OSCP o CRTP) y experiencia en su tipo de entorno.

Cómo le ayudamos

En Kamaya Secure hacemos ambos servicios con el mismo equipo de pentesters certificados en Lima. Si no tiene claro por dónde empezar, le ayudamos a definir el alcance según su madurez actual antes de cotizar. Conozca nuestros servicios de Pruebas de Penetración y de Red Team & Ethical Hacking.