Atácate a ti mismo para probar que tu defensa funciona
Puedes instalar todas las herramientas de defensa del mundo y aun así no saber si realmente funcionan. La única forma de saberlo es atacarte a ti mismo y ver si la alerta se dispara. Pero atacar sin límites es un riesgo en sí mismo. Así lo hicimos bien.
El problema: una defensa no probada es esperanza
Una empresa instala antivirus, un firewall y monitorización, y asume que está protegida. Pero ¿el firewall realmente bloquea? ¿La alerta sobre un intento de intrusión realmente llega, y en cuántos segundos? Sin pruebas activas, esto son suposiciones. Y cuando llega un ataque real, descubres la respuesta de la forma más dolorosa.
La puerta antes de todo: autorización firmada (RoE)
Antes de ejecutar siquiera un solo escaneo contra un objetivo, hay una puerta de autorización firmada (Rules of Engagement). Sin un formulario de consentimiento digital firmado que cubra el objetivo, no se ejecuta ninguna prueba activa. La puerta también impone una ventana temporal y una opción de revocación. Esto no es burocracia: es la misma evidencia de consentimiento que exige la regulación —como la Enmienda 13— y es la protección legal para nosotros y para el cliente. ¿Un DoS real? Siempre rechazado: como mucho una prueba de carga controlada.
Lo que construimos: un lanzador de campañas
En lugar de ejecutar una prueba cada vez, construimos un lanzador de campañas que orquesta muchas pruebas juntas: una matriz de objetivo × método. Un método, por ejemplo, es el test de penetración de aplicaciones web (detección de inyección SQL con sqlmap y escaneo DAST). Cada campaña se ejecuta contra la lista, recopila hallazgos y los envía al mismo panel de seguridad unificado donde vive toda la demás información.
El corazón: una matriz de cobertura Purple-Team
Aquí es donde ocurre la magia. Tomamos todas nuestras detecciones (lo que la defensa sabe atrapar) y mapeamos cada una a una técnica de MITRE ATT&CK, el diccionario universal de cómo operan realmente los atacantes. El resultado es una matriz de cobertura: un tablero que muestra exactamente qué técnicas de ataque detectamos y dónde están los huecos. «Purple-Team» = combinar el lado rojo (ofensiva) con el lado azul (defensa) en un único bucle.
Los tres puntos de prueba que cierran un trato
- «Esta es tu exposición» — un escaneo externo que muestra lo que ve un atacante.
- «Esta es la reparación: de 62 a 88» — una puntuación de hardening antes/después.
- «Probamos que la alerta se dispara en tu servidor» — la matriz de cobertura en acción.
Cómo lo probamos
Ejecutamos el primer método de ataque (detección de SQLi + DAST) contra un objetivo de prueba autorizado, y encontramos una vulnerabilidad real, lo que demostró que el recorrido de extremo a extremo funciona: lanzador → puerta de autorización → prueba → hallazgo en el panel. Al mismo tiempo, la puerta RoE se demostró a sí misma: sin autorización firmada, no se ejecuta ninguna prueba.
Cómo lo seguimos mejorando: control de calidad continuo
La matriz de cobertura está viva: a medida que añadimos detecciones, la cobertura crece y los huecos se reducen. Próximos pasos: validación de detecciones programada (BAS — Atomic Red Team sobre un subconjunto seguro) que ejecuta técnicas de ataque y verifica que la alerta se disparó, seguimiento de la tendencia del porcentaje de cobertura a lo largo del tiempo, y una prueba de carga controlada como sustituto seguro del DoS. Nos atacamos a nosotros mismos, para que nadie más tenga que hacerlo.
Este artículo describe el enfoque a nivel de principio. Toda nuestra actividad ofensiva es controlada, autorizada por firma y revocable; no exponemos herramientas, payloads ni detalles que ayuden a un atacante.
← Todos los artículos