Simulación de brechas y ataques (BAS): cómo desplegarla

La simulación de brechas y ataques (BAS, Breach and Attack Simulation) es un método automatizado y continuo para probar tus controles de seguridad emulando de forma segura el comportamiento real de un atacante (ejecución de malware, movimiento lateral, exfiltración de datos) contra tu entorno en producción. A diferencia de una prueba de penetración una vez al año, BAS se ejecuta de forma programada, asocia cada acción simulada a una técnica de adversario conocida y te dice exactamente qué detecciones y prevenciones se activaron y cuáles fallaron. El objetivo es sencillo: demostrar si tus defensas detienen de verdad los ataques que dices que detienen.

Qué hace realmente la simulación de brechas y ataques

Una plataforma BAS despliega agentes ligeros (o usa conectores sin agente) que ejecutan acciones de ataque controladas y después mide el resultado. Una ejecución típica responde a tres preguntas:

• ¿Lo impidió el control? ¿Puso el EDR en cuarentena la carga descargada, o bloqueó el firewall la llamada al C2?
• ¿Lo detectó el control? Si no se bloqueó, ¿generó tu SIEM una alerta y la vio el SOC?
• ¿Cuánto tardó? El tiempo medio de detección (MTTD) por técnica, no solo por incidente.

El diferenciador clave frente al escaneo de vulnerabilidades es que BAS prueba el comportamiento, no solo los parches que faltan. Un equipo con todos los parches puede dejar que un ransomware cifre archivos si las reglas de comportamiento de tu EDR están mal configuradas, y BAS detecta esa carencia.

Por qué MITRE ATT&CK es la columna vertebral de BAS

Casi todas las soluciones BAS serias organizan su biblioteca de pruebas en torno a MITRE ATT&CK, la base de conocimiento estándar del sector sobre tácticas y técnicas de adversarios, que cataloga 14 tácticas y más de 200 técnicas observadas en intrusiones reales. Esto importa por dos razones.

Primero, te da un vocabulario compartido. Cuando una ejecución BAS informa de que fallaste en T1055 (Process Injection) o T1486 (Data Encrypted for Impact), tu red team, tu blue team y tu CISO señalan la misma casilla del mismo mapa. Segundo, te permite construir mapas de calor de cobertura: una cuadrícula de verde a rojo que muestra cuáles de las 14 tácticas puedes detectar de forma fiable y cuáles son puntos ciegos. Ese mapa de calor se convierte en tu motor de priorización: arreglas las columnas rojas que corresponden a las técnicas que usan tus actores de amenaza reales.

Por eso el enfoque de las «7 capas de seguridad» (física, red, endpoint, aplicación, datos, identidad y humana/política) es útil pero incompleto para planificar BAS. ATT&CK atraviesa esas capas según la intención del atacante, lo que resulta mucho más accionable cuando decides qué probar a continuación.

BAS de código abierto frente a plataformas comerciales

No necesitas un gran presupuesto para empezar. Varias opciones de código abierto creíbles te permiten emular técnicas reales:

• MITRE Caldera: una plataforma automatizada de emulación de adversarios construida directamente sobre ATT&CK por el propio MITRE.
• Atomic Red Team: una biblioteca de pruebas pequeñas y discretas asociadas a técnicas ATT&CK individuales; ideal para validar una detección cada vez.
• Infection Monkey: simulación automatizada de brechas centrada en el movimiento lateral y la segmentación de red.

Las plataformas comerciales (la categoría que Gartner sigue en su investigación sobre validación de seguridad) añaden programación continua, escenarios de ataque en la nube y SaaS, informes automatizados para auditores e integraciones que envían los hallazgos directamente a tu SIEM y a tu sistema de tickets. El compromiso honesto: el código abierto te da profundidad y control, pero requiere tiempo de ingeniería para operarlo; lo comercial te da amplitud de cobertura e informes listos para la dirección con menos carga.

Una plantilla sencilla de despliegue de BAS para empezar este trimestre

Olvídate de intentar abarcarlo todo. Usa este despliegue priorizado:

• Semana 1: acota un segmento. Elige tu grupo de activos de mayor valor (por ejemplo, los controladores de dominio o el segmento de finanzas). No ejecutes BAS sobre todo a la vez.
• Semana 2: prueba las técnicas que hacen daño. Empieza por las técnicas ATT&CK ligadas al ransomware: Initial Access (T1566 Phishing), Execution, Credential Access (T1003 OS Credential Dumping) e Impact (T1486). Son las que más probablemente acabarán en un incidente real.
• Semana 3: mide la prevención Y la detección por separado. Un bloqueo es bueno; un bloqueo sin alerta es una carencia silenciosa que lamentarás durante una brecha real.
• Semana 4: corrige, vuelve a ejecutar y sigue la diferencia. La única métrica que importa es si tu mapa de calor de cobertura se volvió más verde entre la primera y la segunda ejecución.

En cuanto a «¿hay ahora mismo un gran ciberataque en marcha?», la realidad operativa es que siempre lo hay. BAS existe precisamente porque los ataques son continuos, así que tu validación también debería serlo. Un control que probaste hace seis meses puede haberse desviado de la política tras una sola actualización de un agente.

Si quieres ver cómo se desarrollan técnicas ATT&CK concretas frente a un conjunto de defensas antes de comprometerte con un programa BAS completo, prueba el Attack Simulator gratuito de PlayCISO para recorrer cadenas de ataque realistas y localizar tus probables puntos ciegos.

Preguntas frecuentes

¿Qué hace la simulación de brechas y ataques?

Una plataforma BAS despliega agentes ligeros (o usa conectores sin agente) que ejecutan acciones de ataque controladas y después mide el resultado. Una ejecución típica responde a tres preguntas: ¿Lo impidió el control? ¿Puso el EDR en cuarentena la carga descargada, o bloqueó el firewall la llamada al C2?

¿Por qué MITRE ATT&CK es la columna vertebral de BAS?

Casi todas las soluciones BAS serias organizan su biblioteca de pruebas en torno a MITRE ATT&CK, la base de conocimiento estándar del sector sobre tácticas y técnicas de adversarios, que cataloga 14 tácticas y más de 200 técnicas observadas en intrusiones reales.

¿Cómo se compara BAS de código abierto con las plataformas comerciales?

No necesitas un gran presupuesto para empezar. Varias opciones de código abierto creíbles te permiten emular técnicas reales: MITRE Caldera, una plataforma automatizada de emulación de adversarios construida directamente sobre ATT&CK por el propio MITRE. Atomic Red Team, una biblioteca de pruebas pequeñas y discretas asociadas a técnicas ATT&CK individuales; ideal para validar una detección cada vez.

¿Cómo despliegas BAS este trimestre?

Olvídate de intentar abarcarlo todo. Usa este despliegue priorizado: Semana 1: acota un segmento. Elige tu grupo de activos de mayor valor (por ejemplo, los controladores de dominio o el segmento de finanzas). No ejecutes BAS sobre todo a la vez. Semana 2: prueba las técnicas que hacen daño.