Red team, blue team y purple team: diferencias
Qué hace cada equipo de ciberseguridad, en qué se diferencia un red team de un pentest y por qué el purple team es un método de trabajo, no un grupo aparte.
Por Zyro
En ciberseguridad se habla mucho de colores. Los tres que más aparecen son el rojo (ataca), el azul (defiende) y el morado (los une). Detrás de la jerga hay una idea sencilla y útil: la mejor forma de saber si tu defensa funciona es atacarla de forma controlada y medir qué pasa.
Red team: el equipo que ataca
Un red team simula a un adversario real con un objetivo concreto, por ejemplo "llegar a la base de datos de clientes" o "obtener acceso de administrador". Normalmente actúa con sigilo y, a menudo, sin avisar al equipo defensivo, porque lo que se mide no es solo si hay fallos, sino si alguien se entera.
Se diferencia de un pentest en el objetivo:
- El pentest busca el mayor número posible de fallos dentro de un alcance.
- El red team persigue un objetivo usando el camino que haga falta (técnico, físico o humano) y evalúa la capacidad de detección y respuesta.
Blue team: el equipo que defiende
El blue team es quien protege el día a día: monitoriza, detecta, responde a incidentes, refuerza la configuración de los sistemas (hardening), hace análisis forense y se apoya en inteligencia de amenazas. Su trabajo suele medirse con dos tiempos:
- MTTD (mean time to detect): cuánto tarda de media en darse cuenta de que algo va mal.
- MTTR (mean time to respond o recover): cuánto tarda en contener y resolver el problema.
Cuanto menores son esos tiempos, menos daño llega a producirse.
Purple team: no es un equipo, es una forma de trabajar
El purple team no suele ser un grupo de personas distinto, sino un método: red y blue colaboran en lugar de competir. El ciclo es simple:
- El equipo ofensivo ejecuta una técnica concreta, normalmente identificada con el catálogo MITRE ATT&CK.
- El equipo defensivo comprueba si la ha detectado, bloqueado o ni siquiera visto.
- Juntos ajustan reglas, alertas y respuestas para cubrir ese hueco.
- Se repite la técnica para confirmar que ahora sí se detecta.
El resultado es que cada hallazgo ofensivo se convierte en una mejora defensiva medible, en vez de acabar olvidado en un informe.
¿Cuál necesita tu empresa?
- Si empiezas: un pentest para conocer tus fallos más graves y una defensa básica (parches, copias, protección del puesto de trabajo).
- Si ya tienes defensa y quieres medirla: ejercicios de purple team sobre las técnicas que más te preocupan.
- Si tienes un equipo de seguridad maduro: un red team completo para poner a prueba personas, procesos y tecnología a la vez.
No hace falta empezar por lo más sofisticado. Un red team sobre una empresa que aún no tiene copias de seguridad probadas es dinero mal gastado.
La idea detrás de ZyroShield
Así hemos planteado ZyroShield, la división de ciberseguridad de Zyro: una plataforma ofensiva (SPYDER) y otra defensiva (BRABUS) pensadas para compartir lo que aprenden, con una defensa que actúa solo dentro de lo permitido y nunca contraataca. Puedes verlo en nuestra página de ciberseguridad o escribirnos si quieres comentar tu caso.