El Centro Nacional de Seguridad Cibernética del Reino Unido (NCSC) ha publicado directrices sobre la simulación de adversarios, a menudo denominada red teaming, en las que describe cómo las organizaciones pueden utilizar este ejercicio para evaluar su capacidad de resistir ciberataques realistas.
La simulación de adversarios implica que equipos autorizados intenten alcanzar objetivos acordados que, si los lograra un atacante real, podrían interrumpir funciones empresariales importantes. El trabajo pretende comprobar si los controles de seguridad pueden prevenir, identificar y contener actividades maliciosas, en lugar de limitarse a catalogar debilidades técnicas.
El NCSC distingue este enfoque de las pruebas de penetración convencionales. Mientras que una prueba de penetración generalmente busca identificar vulnerabilidades en los sistemas, la simulación de adversarios examina la eficacia de los controles defensivos, la supervisión, el triaje de incidentes y la escalada en condiciones similares a las de un ataque.
Organizaciones adecuadas
Las directrices indican que el método es más valioso para organizaciones medianas y grandes con una comprensión madura de su riesgo cibernético. Los candidatos ya deberían contar con salvaguardas establecidas, evaluaciones de riesgos revisadas regularmente y capacidades eficaces de registro, supervisión y detección.
Puede ser especialmente relevante para los operadores de infraestructuras nacionales críticas y los organismos gubernamentales. Las organizaciones con entornos más pequeños o menos complejos, o aquellas que aún están desarrollando prácticas fundamentales de seguridad, podrían beneficiarse primero de otros servicios de evaluación.
Cómo funcionan los encargos
Según el NCSC, un encargo típico dura entre ocho y 12 semanas, mientras que una evaluación amplia de espectro completo puede prolongarse aproximadamente 16 semanas. El alcance y la duración deben reflejar el tamaño y la complejidad de la organización, así como los objetivos acordados para el ejercicio.
El NCSC defiende un modelo basado en capacidades, en lugar de uno limitado a imitar a un grupo de amenazas concreto o una lista fija de escenarios de ataque. Los equipos de evaluación realizan reconocimiento para comprender el entorno tecnológico del objetivo, su exposición externa y las amenazas probables, y después desarrollan planes de ataque adaptados a esas conclusiones.
- Preparación: Definir los objetivos, la autorización, las reglas de enfrentamiento y las medidas de seguridad.
- Pruebas: Utilizar técnicas adversarias controladas para evaluar las capacidades de prevención, detección y respuesta.
- Informes: Documentar los hallazgos, las brechas defensivas y las prioridades de corrección para las partes interesadas.
La agencia también subrayó que los proveedores responsables deben utilizar salvaguardas en sus herramientas y procesos para reducir la probabilidad de causar daños a los entornos de los clientes o a otros usuarios. Los proveedores externos pueden obtener garantías mediante el programa Cyber Adversary Simulation del NCSC, que evalúa a los proveedores conforme a las normas técnicas de la agencia.