Offensive cybersecurity: casos de uso
Las debilidades se hallan mejor por el propio bando del defensor antes de que las halle un adversario, y mejor bajo la gobernanza del comprador que la de un servicio extranjero. El Grupo de Ciberseguridad ejecuta ejercicios de equipo rojo contra entornos de producción vivos, de buques en la mar a redes de pago, respaldados por investigación de vulnerabilidades divulgada de forma responsable en sistemas marítimos, ferroviarios y de control industrial. El trabajo ofensivo se define por lo que se le permite tocar y por lo que ocurre cuando algo sale mal, no por lo ingenioso que sea el exploit. Sus investigadores han hallado fallos clasificados en lo más alto de la escala de gravedad en flotas en producción y tienen entradas en el registro NIST de Estados Unidos. Cada ejercicio se desarrolla bajo estrictos controles legales y de gobernanza, responsable solo ante el comprador, y cada hallazgo alimenta las plataformas defensivas en lugar de quedar en un informe.
Dónde se usa
Un ejercicio de equipo rojo empieza por decidir qué se pone a prueba y por qué: qué sistemas, qué resultado de misión o de negocio persigue el adversario, y qué se le prohíbe tocar deliberadamente al ejercicio. Un alcance vago produce un hallazgo vago y un corte evitable, así que la frontera se traza antes de que nadie toque un teclado. El trabajo se queda dentro de la lista de blancos acordada, y los sistemas fuera de alcance o los terceros que nunca fueron parte de la autorización no se tocan, porque llegar a ellos no sería ni legal ni útil. Esa disciplina de blanco autorizado es precisamente la diferencia entre un equipo rojo y un intruso, y es lo que hace defendible el ejercicio después.
Antes de que un ejercicio corra, ambas partes acuerdan la temporización, las técnicas permitidas, la vía de escalada, las condiciones de parada y quién tiene autoridad para ordenar un alto. Probar producción viva, de un buque en marcha a una ventana de liquidación, significa que una perturbación accidental es un suceso real, así que las reglas existen para impedir que el ejercicio se convierta en el incidente. Muy pocos equipos atacarán un buque en la mar, y menos aún saben qué puede aislarse sin detenerlo. A cualquier proveedor dispuesto a probar infraestructura crítica viva sin esa conversación habría que declinarlo, porque el caso de seguridad para un buque en movimiento o una red de pago se escribe primero, no se improvisa.
El modelado de amenazas y las pruebas de intrusión pueden bajar hasta la propia especificación, incluidas funciones concretas de red central 5G construidas desde la norma 3GPP. Construir el modelo de amenazas desde la especificación en lugar de desde un escáner es cómo afloran defectos de lógica e interfaz que una prueba de intrusión genérica pasa de largo. Una prueba de intrusión enumera debilidades en un alcance definido; un equipo rojo persigue un objetivo y usará cualquier vía autorizada que llegue a él, incluidas personas y proceso. Ambas se ejecutan aquí, y la profundidad de la investigación tras ellas, divulgaciones en sistemas marítimos, ferroviarios y de control industrial, es lo que hace que la emulación refleje cómo se rompen de verdad estos entornos.
El trabajo de control industrial se juzga tanto por la contención como por el acceso, porque la misma técnica que prueba un punto puede disparar un proceso. Las divulgaciones abarcan sistemas marítimos, ferroviarios y de control industrial, incluidos CVE acreditados en el registro NIST de Estados Unidos y hallazgos que han alcanzado la máxima gravedad disponible en flotas en producción. La manera de juzgar un equipo rojo antes de contratarlo es mirar lo que ha hallado en lugar de cómo describe su metodología, porque un historial de divulgaciones contra sistemas reales es evidencia y una declaración de método pulida no lo es. La amplitud de primera línea y la investigación profunda son clases distintas de evidencia, cada una digna de sopesarse por sus propios términos.
Cada hallazgo de un ejercicio ofensivo se reinyecta en las plataformas defensivas, de modo que un ataque probado una vez se convierte en una defensa mantenida en adelante. La evaluación no es un informe que acumula polvo; es la entrada que mantiene honesta la protección. Las pruebas ofensivas y las operaciones defensivas son dos caras de una sola disciplina, y adquirir ambas por un solo canal responsable significa que las pruebas alimentan la defensa en lugar de quedar en el informe de un contratista aparte. Los patrimonios críticos suelen probarse al menos una vez al año y tras cambios significativos de sistema, pero el seguimiento importa más que la cadencia: el equipo rojo ataca, los hallazgos impulsan el endurecimiento, el siguiente ejercicio sondea más hondo.
Un informe de equipo rojo es un mapa de cómo derrotar un sistema nacional, así que la cuestión de quién más puede leerlo corresponde al contrato en lugar de a una suposición. Un probador aprende exactamente dónde están enterrados los cadáveres, que es por lo que muchos Estados dudan en dejar que una firma alineada con el extranjero ensaye ataques sobre sus sistemas más sensibles. Esta capacidad es independiente y no alineada, sin exposición política a un ecosistema de gran potencia y sin un tercer gobierno con derecho a pedir una copia; los hallazgos nunca viajan más allá de lo que el comprador decide. No se publica un modelo comercial, porque cualquier cifra citada antes de un alcance escrito contra el patrimonio real es una adivinanza.
