Purple Team: La Estrategia Definitiva para Fortalecer tu Ciberseguridad

Para mejorar en ciberseguridad siempre hay que ir un paso por delante de los atacantes, por ello son tan importantes los distintos equipos. Para poder cerrar la brecha que separa a los atacantes de la defensa de un sistema, se utiliza un concepto que tiene como objetivo mejorar la eficacia de la seguridad, el Purple Team. Te contamos qué es, cuál es su función y cómo puedes formarte para desarrollarte dentro de este campo.

¿Qué es el Purple Team y cuál es su importancia?

Si piensas en el Purple Team, lo más probable es que te venga a la cabeza la unión de dos equipos, el rojo y el azul. Pero lo cierto es que este concepto aparece, no solo como unión de los dos equipos, sino como una necesidad para reducir las diferencias entre los equipos que realizan una función ofensiva y aquellos que defienden los sistemas. Gracias a ello es posible aumentar la eficacia a nivel global de toda la seguridad, a la vez que mejora la comunicación y el continúo avance.
Podríamos decir, que el Purple Team se encarga de servir como puente entre el ataque y la defensa para que los objetivos de seguridad sean los adecuados y que los hallazgos realizados se puedan traducir en acciones defensivas, algo que es muy útil en un panorama cambiante como el actual.
Para entender bien que es el Purple Team, es necesario partir de otros dos conceptos, el de Blue Team y el de Red Team. Así, el Equipo Azul (Blue Team), es el responsable de la ciberseguridad defensiva. Es decir, se encarga de monitorizar la actividad de los sistemas, gestionar los incidentes que se puedan producir y solventar mediante parches los incidentes para evitar que existan vulneraciones. Por otro lado, también se encarga de la investigación de los ataques detectados para desarrollar mejoras que permitan una mejor defensa.
Por su parte, el Equipo Rojo (Red Team), es el encargado de la ciberseguridad ofensiva, algo que consigue mediante la simulación de ataques reales (penetration testing, ingeniería social, explotación de sistemas), para localizar puntos débiles y crear informes sobre ellos.
El principal problema que presentan estos dos equipos, es que en muchas ocasiones no se comunican como deberían hasta que finaliza el ejercicio, por lo que se hace imprescindible un equipo capaz de aunar todos estos esfuerzos. Se podría decir que se establece un modelo cooperativo en el que el Red Team se encarga de probar el sistema, el Blue Team de responder ante las amenazas y el Purple Team se encarga de mediar y facilitar y mejorar el intercambio constante de información.

Cuál es la metodología y el ciclo de vida del Purple Team

El primer paso para organizar un Purple Team es planificar, ya que es necesario definir cuáles serán los objetivos del ejercicio, el alcance de los mismos y las reglas que van a regir la práctica que se va a llevar a cabo.
Por tanto, en esta etapa de planificación entra en juego la Inteligencia de Amenazas (Threat Intelligence). Es decir, será necesario conocer cuáles son los tipos de atacantes, las tácticas que utilizan, sus técnicas y sus procedimientos para saber cuáles son los puntos más débiles de la organización. Se trata, por tanto, de realizar un diagnóstico para realizar los escenarios más realistas posibles a la hora de realizar estos ejercicios. En este punto, el Purple Team colabora con el Red Team para que los ataques se orienten hacia objetivos estratégicos y que el Blue Team pueda preparar una defensa adecuada.

Ejecución coordinada

Una vez que se ha realizado la planificación, es necesario entrar en acción y en este momento es cuando el Equipo Rojo realizará las simulaciones de ataques pertinentes, para que en paralelo el Equipo Azul pueda detectar los ataques y ser capaz de contenerlos y responder a través de las herramientas habituales.
Mientras dura este proceso, el Purple Team observa y facilita la comunicación inmediata entre ambos equipos. Es decir, puede ajustar parámetros, asesorar al Blue Team en tiempo real, sugerir redirecciones o señalar los puntos en los que las defensas no detectan ciertas tácticas.

Fase de análisis

Tras la ejecución del ejercicio será necesario realizar un análisis profundo de lo ocurrido. Es decir, se realiza una revisión de las tácticas que no se detectaron en el momento, cuál fue el tiempo de detección (dwell time). Del mismo modo, se identifican las lagunas en las alertas, en los controles y los falsos negativos para priorizar las acciones correctivas que sean necesarias. El encargado de coordinar esta información es el Purple Team que permite transformar esta información en acciones, es decir, quién hará qué y cuándo.

Estudia Cyber Threat Intelligence

Fórmate en uno de los perfiles más demandados de Ciberseguridad.

Ver oferta

Herramientas y frameworks usados en Purple Team

Al igual que en otros campos, el Purple Team necesita contar con sus propias herramientas y modelos para poder desarrollar correctamente sus funciones:

• – MITRE ATT&CK: son framework de tácticas y técnicas de adversarios que permiten mapear ataques, identificar brechas defensivas y orientar las pruebas para que sean realistas.
  – Inteligencia de Amenazas (Threat Intelligence): se encarga de aportar datos actualizados sobre actores maliciosos, malware en circulación y vectores emergentes para que los escenarios y ejercicios estén en consonancia con las amenazas reales.
  – Herramientas de detección (SIEM, EDR, herramientas de correlación), plataformas de simulación de ataques, dashboards de seguimiento de métricas y entornos controlados para pruebas.

Beneficios de contar con un Purple Team

Gracias a la colaboración inmediata entre ataque y defensa, los tiempos de detección bajan, se descubren escenarios que no estaban cubiertos y se mejoran los mecanismos de alerta. El Blue Team aprende a ver patrones que el Red Team explota, y ajusta sus reglas de forma continua. De esta forma, la respuesta ante incidentes del SOC o Centro de Operaciones de Seguridad (Security Operations Center), está mucho más optimizada.
Por otro lado, el Purple Team es capaz de anticiparse a los riesgos priorizando aquellos hallazgos que son más importantes para que las vulnerabilidades se gestionen de forma más rápida. Es decir, es posible detectar fallos en la configuración o la cobertura de las herramientas del sistema y evitar solapamientos. Esto hace que el riesgo se reduzca y se mejore el retorno de la inversión realizada en ciberseguridad.

Cómo construir y desarrollar un Purple Team en tu organización

Una buena construcción y desarrollo de un Purple Team requiere de habilidades y perfiles profesionales adecuados y de la integración del equipo en la estructura de la organización y en los procesos de seguridad.
Por tanto, será necesario contar con personas con experiencia en penetration testing / ciberseguridad ofensiva (familiarizados con técnicas del Red Team); expertos en defensa, monitoreo y respuesta a incidentes (propios del Blue Team); analistas de Inteligencia de Amenazas capaces de identificar vectores emergentes y alimentar los ejercicios y coordinadores con una visión amplia que sean capaces de facilitar comunicación, supervisar las métricas y traducir hallazgos a acciones.
Por otro lado, el Purple Team debe estar integrado en la estructura y en los procesos de seguridad, es decir en el Centro de Operaciones de Seguridad (SOC), para que los ejercicios estén adaptados a la operativa diaria. También debe colaborar con equipos de gestión de vulnerabilidades para que el problema se solucione de manera inmediata. Deben contar con el apoyo del equipo directivo, ya que su labor requiere recursos y prioridad.

El futuro del Purple Team y tu carrera en ciberseguridad

El panorama de ciberamenazas evoluciona constantemente, por lo que el Purple Team también cambia. Si quieres seguir mejorando en este campo será necesario que practiques con ejercicios basados en inteligencia activa y con escenarios híbridos que combinen ataques reales con otros simulados. Del mismo modo, deberán incorporarse al SOAR para ser capaces de responder más rápido a los hallazgos del Read Team. Necesitarán aplicar sus conocimientos a entornos OT / ICS (industrial), no solo TI. Por último será necesario adoptar enfoques de defensa activa, para inducir al atacante a actuar en zonas controladas que le permitan extraer información.

Desarrolla tus habilidades: formación en ciberseguridad

Si te interesa construir una carrera en Purple Team, necesitarás formarte mediante certificaciones reconocidas que estén orientadas a Red y Blue Team como pueden ser OSCP, CRTP, CRTO o Blue Teaming. Del mismo modo, es importante que te familiarices con el framework MITRE ATT&CK y aprender a mapear hallazgos reales. También será necesario que practiques en laboratorios, CTFs o entornos simulados donde puedas atacar y defender. Tampoco está de más que te formes en Threat Intelligence, análisis de malware, forense digital y respuesta a incidentes. Por último, será muy útil que entres a formar parte de equipos de ciberseguridad en empresas u organizaciones que ya utilizan ejercicios conjuntos, para adquirir experiencia real.