Purple teaming: qué es y cómo organizar un ejercicio
El purple teaming es una forma de trabajar, no un tercer equipo. El lado rojo emula técnicas de atacantes y el lado azul mide si sus herramientas detectan y su proceso responde, y, lo más importante, ambos lados corrigen juntas las carencias, en la misma sala, a medida que se ejecuta cada técnica. El objetivo es una mejora medible de la detección y la respuesta, no un marcador de quién gana. Esto es lo que es y cómo organizar uno.
Qué es de verdad el purple teaming
En un ejercicio de red team tradicional, los dos lados son adversarios: el rojo intenta alcanzar un objetivo sin que lo descubran e informa al final; el azul se entera después de lo que se le escapó. El purple teaming acorta ese ciclo. El rojo anuncia exactamente qué técnica va a ejecutar y cuándo; el azul vigila su SIEM, su EDR y sus alertas para ver si esa técnica es visible; y si no lo es, crea o ajusta una detección en el acto y el rojo la vuelve a ejecutar para confirmar que la detección salta. Rojo más azul, trabajando como uno solo: púrpura.
En qué se diferencia del red teaming y del pentesting
- Red teaming: adversarial y a menudo sigiloso; mide si te pueden vencer; informa a posteriori.
- Pruebas de penetración: encuentran y demuestran vulnerabilidades explotables en un alcance definido; tratan de la exposición y la garantía.
- Purple teaming: transparente y colaborativo; mide y mejora si los defensores pueden ver y responder a técnicas concretas y con nombre; corrige las carencias en tiempo real.
Asocia todo a un marco
Usa MITRE ATT&CK como lenguaje común. Cada acción emulada se asocia a un ID de técnica (y subtécnica), así que el ejercicio produce un mapa de cobertura («¿qué técnicas detectamos de forma fiable?») en lugar de una anécdota. Hazlo basado en amenazas: emula las técnicas que usa de verdad un grupo conocido por atacar a tu sector, para que el ejercicio refleje un riesgo realista y no un checklist genérico. Un modelo de amenazas → estructurado te ayuda a elegir qué tácticas importan más en tu entorno antes de empezar.
Cómo organizar un ejercicio de purple team eficaz
- Acotar. Elige una táctica o un pequeño conjunto de técnicas (por ejemplo, el acceso a credenciales o el playbook de un grupo concreto). Define el entorno, la ventana de tiempo y las reglas de seguridad: qué puede y qué no puede tocar el rojo en producción.
- Emular. El rojo ejecuta cada técnica de forma controlada y anunciada. Limítate a técnicas conocidas con asociaciones claras a ATT&CK para que el azul sepa exactamente qué buscar.
- Observar. El azul comprueba la visibilidad de cada técnica en toda la pila de detección: ¿la telemetría la recogió, saltó una regla, llegó una alerta a un analista y con qué rapidez? Registra por técnica si se detectó, se detectó en parte o se pasó por alto.
- Ajustar. Por cada fallo o detección parcial, crea o ajusta la detección en el momento: una regla nueva, una fuente de logs mejor, un umbral más estricto. Aquí es donde se crea el valor.
- Volver a probar. El rojo ejecuta otra vez la misma técnica. Si la nueva detección salta, la carencia queda cerrada y versionada; si no, se itera.
- Informar. El entregable es una lista de cobertura de técnicas con seguimiento más el contenido de detección que creaste, no un PDF de aprobado o suspenso.
Dónde encaja con el resto de las operaciones de seguridad
El purple teaming alimenta directamente tu ingeniería de detección y tu práctica de respuesta a incidentes. Las detecciones que creas pertenecen al mismo lugar donde tu SOC escribe y ajusta reglas: practícalo en el Detection Lab gratuito →. Combínalo con el laboratorio de playbooks de respuesta a incidentes para asegurarte de que cada nueva detección tiene una respuesta asociada, trabaja las alertas resultantes de forma realista en el laboratorio de triaje de casos del SOC y usa la evaluación de madurez del SOC para ver dónde encaja el purple teaming en tu hoja de ruta. Si aún estás decidiendo qué herramientas sustentan todo esto, el explicativo sobre SIEM vs SOAR cubre la pila de detección y respuesta contra la que se ejercita un purple team.
Preguntas frecuentes
¿El purple teaming en una línea? El rojo emula técnicas de atacantes, el azul mide la detección y la respuesta, y ambos corrigen juntos las carencias en tiempo real.
¿Necesito un red team permanente? No: un proveedor externo para ese día, o un ingeniero que emule técnicas conocidas, sirve siempre que los defensores midan su visibilidad frente a ellas.
¿Qué marco? MITRE ATT&CK, para que la cobertura se siga por técnica y no por anécdota.
¿Cuál es el resultado? Contenido de detección versionado y un aumento medible de la cobertura de técnicas, no un marcador.
Preguntas frecuentes
¿Qué es el purple teaming en ciberseguridad?
El purple teaming es un ejercicio de seguridad colaborativo en el que un equipo ofensivo (rojo) emula técnicas reales de atacantes mientras un equipo defensivo (azul) observa si sus controles de detección y respuesta funcionan, y los dos lados corrigen juntos las carencias en tiempo real. Combina el rojo y el azul (rojo + azul = púrpura). A diferencia de un ejercicio de red team tradicional, los hallazgos se comparten a medida que ocurren en lugar de entregarse al final, así que cada técnica se convierte en una oportunidad inmediata de crear o ajustar una detección.
¿En qué se diferencia el purple teaming del red teaming?
Un ejercicio de red team es adversarial y a menudo sigiloso: el red team intenta lograr un objetivo (llegar a un sistema crítico, exfiltrar datos) sin que lo descubran, e informa después. El purple teaming es transparente y colaborativo: el red team anuncia exactamente qué técnica ejecuta, cuándo y contra qué, para que el blue team compruebe su visibilidad sobre esa técnica concreta y ajuste en el acto. El red teaming mide si te pueden vencer; el purple teaming mide y mejora si puedes ver técnicas concretas y responder a ellas.
¿El purple teaming es lo mismo que una prueba de penetración?
No. Una prueba de penetración encuentra y demuestra vulnerabilidades explotables en un alcance definido, normalmente para validar que existen controles y cumplir un requisito de cumplimiento o de garantía. El purple teaming da por hecho que el atacante ya está operando y mide a los defensores (cobertura de detección, calidad de las alertas y velocidad de respuesta) frente a un comportamiento adversario emulado. El pentesting trata de la exposición; el purple teaming, de la madurez de la detección y la respuesta.
¿Necesito un red team dedicado para hacer un ejercicio de purple team?
No. Muchas organizaciones hacen ejercicios de purple team eficaces sin un red team permanente, contratando a un proveedor externo de red team para ese día o haciendo que un ingeniero de seguridad emule técnicas con marcos abiertos y herramientas de emulación de adversarios mientras el SOC observa. Lo que importa es que alguien ejecute técnicas conocidas de forma controlada y que los defensores midan su visibilidad frente a ellas, no el tamaño del equipo.
¿A qué marco debe asociarse el purple teaming?
MITRE ATT&CK es el lenguaje común: cada acción emulada se asocia a un ID de técnica (y subtécnica), de modo que la cobertura puede seguirse como «¿qué técnicas detectamos de forma fiable?» en lugar de como una anécdota. Los ejercicios basados en amenazas también usan perfiles de adversarios (emulan las técnicas que usa de verdad un grupo conocido por atacar a tu sector), para que el ejercicio refleje un riesgo realista y no un checklist genérico.
¿Con qué frecuencia deben hacerse ejercicios de purple team?
Trátalo como una cadencia recurrente, no como algo puntual. Un patrón habitual es un ejercicio centrado cada trimestre en una táctica concreta (por ejemplo, el acceso a credenciales un trimestre y el movimiento lateral el siguiente), más una nueva prueba de las técnicas que fallaron antes para confirmar que las detecciones que creaste siguen saltando tras los cambios de herramientas y de entorno. La emulación de adversarios continua o automatizada amplía esto entre ejercicios manuales.
¿Cómo es un buen resultado de purple team?
No una nota de aprobado o suspenso, sino una lista de técnicas con seguimiento y su estado de detección (detectada, detectada en parte o pasada por alto), el contenido de detección concreto creado o ajustado para las que fallaron y el resultado de una nueva prueba que demuestra que la nueva detección salta. El entregable es una lógica de detección mejorada y versionada y un aumento medible de la cobertura de técnicas, no un PDF de hallazgos que nadie pone en práctica.