Purple Team: cuándo combinar Red Team y Blue Team
Por Kike Gandia · Co-Fundador y CEO, OSCP
El Purple Team no es un tercer equipo: es una forma de trabajar en la que el equipo rojo (atacante) y el equipo azul (defensor) colaboran en tiempo real, en vez de operar de forma encubierta y separada como en un Red Team clásico. El objetivo cambia de "medir si nos detectáis" a "mejorar juntos vuestra detección lo más rápido posible".
Qué es exactamente el Purple Teaming
En un ejercicio de Purple Team, el equipo ofensivo ejecuta una técnica concreta —por ejemplo, una técnica de movimiento lateral vía WMI— y, en el mismo momento, el equipo defensivo comprueba en directo si su SIEM o EDR la detectó, qué regla se disparó (o debería haberse disparado) y ajusta la detección ahí mismo. Es un ciclo iterativo de ataque-observación-ajuste, con ambos equipos en la misma sala o videollamada, técnica a técnica.
Purple Team vs Red Team encubierto: cuándo usar cada uno
Un Red Team encubierto mide una reacción genuina, sin aviso previo — es la mejor forma de evaluar el estado real de vuestra capacidad de detección hoy. Un Purple Team no mide, mejora: es colaborativo y transparente, ideal cuando ya sabéis que tenéis huecos de detección (por un Red Team previo, un incidente real o un cambio reciente de infraestructura) y queréis cerrarlos de forma eficiente, técnica por técnica, en vez de esperar al siguiente ejercicio encubierto para comprobar si funcionó.
Cuándo tiene más sentido el modelo colaborativo
El Purple Team encaja especialmente bien cuando: acabáis de desplegar un nuevo SIEM/EDR y queréis validar su cobertura de forma sistemática frente al framework MITRE ATT&CK; un Red Team previo reveló huecos de detección concretos y queréis cerrarlos con foco; tenéis un equipo de detección joven y el objetivo es formación práctica tanto como mejora técnica; o el presupuesto/tiempo no permite un Red Team completo pero sí varias sesiones dirigidas a las técnicas de mayor riesgo para vuestro sector.
Red Team encubierto y Purple Team de un vistazo
Elegir entre uno y otro es más sencillo si se miran juntos: responden a preguntas distintas y producen entregables distintos.
| Aspecto | Red Team encubierto | Purple Team |
|---|---|---|
| Pregunta que responde | ¿Nos detectaríais? | ¿Cómo hacemos que nos detectéis? |
| ¿Lo sabe el equipo de detección? | No, salvo un contacto de confianza | Sí, participa en directo |
| Punto de partida | Un objetivo que alcanzar | Una lista de técnicas que validar |
| Resultado principal | El informe de lo que no se detectó | Reglas de detección nuevas o ajustadas y probadas |
| Cuándo encaja | Para saber en qué punto estáis de verdad | Cuando ya sabéis dónde están los huecos |
| Fricción con la operativa | Mayor: se opera sin avisar | Menor: todo está coordinado |
No compiten: el encubierto mide y el colaborativo arregla. Lo que no tiene sentido es pagar un ejercicio encubierto cuando ya sabéis que la detección está sin montar, ni hacer purple sobre un entorno cuya capacidad real nadie ha medido nunca.
Cómo se prepara una sesión que sirva de algo
La diferencia entre un Purple Team útil y una demostración bonita está casi toda en la preparación.
Las técnicas se eligen antes, filtrando la matriz de MITRE ATT&CK por lo que de verdad aplica a vuestro stack y a vuestro sector: recorrer la matriz entera no cabe en una sesión y diluye el resultado. El equipo de detección necesita acceso de lectura a la consola del SIEM o del EDR durante el ejercicio, porque el valor está en mirar en el momento, no en revisar la semana siguiente. Y hay que acordar de antemano qué significa "detectado", que no es una sola cosa: que la telemetría quede registrada, que exista una regla que se dispare y que la alerta llegue a alguien que la triaje son tres niveles distintos.
Por cada técnica ejecutada se anota la hora exacta, para poder buscarla después en los registros. El resultado de cada una cae en uno de tres casos, y cada caso lleva a una remediación distinta: no hay telemetría (falta una fuente de datos o un sensor), hay telemetría pero no hay regla (falta ingeniería de detección), o hay regla pero no saltó (la regla está mal escrita o mal ajustada). Confundir los tres es la forma habitual de salir de un purple con la sensación de haber mejorado sin haberlo hecho.
FAQ
¿El Purple Team requiere el mismo tiempo que un Red Team?
Normalmente menos y de forma más predecible: al ser colaborativo y dirigido a técnicas concretas (no a un objetivo libre por descubrir), una sesión de Purple Team puede acotarse a días en vez de semanas, cubriendo un conjunto específico de TTPs de MITRE ATT&CK.
¿Podemos hacer primero un Red Team y luego un Purple Team?
Es la secuencia más habitual y recomendable: el Red Team revela qué técnicas no detectasteis; el Purple Team posterior trabaja específicamente esas técnicas en modo colaborativo hasta cerrar el hueco, con validación inmediata de que la mejora funciona.
¿Qué necesitamos tener antes de contratar un Purple Team?
Como mínimo, una plataforma de detección funcionando (SIEM, EDR o ambos) con telemetría llegando, alguien que pueda modificar reglas durante la sesión y un entorno razonablemente parecido a producción. Si la detección todavía no está desplegada, un Purple Team se convierte en una demostración: se verá que no se detecta nada, algo que se podía saber sin ejercicio.
¿Qué se entrega al terminar?
La lista de técnicas ejecutadas mapeadas a MITRE ATT&CK con el resultado de cada una en los tres niveles (telemetría, regla, alerta), las reglas de detección creadas o ajustadas durante la sesión con la evidencia de que funcionan, las carencias de telemetría detectadas con la fuente de datos que haría falta, y las técnicas que quedaron pendientes para la siguiente sesión.
¿Se puede hacer si la detección la lleva un SOC externo?
Sí, y a menudo es donde más valor aporta, porque es la única forma práctica de comprobar qué ve realmente vuestro proveedor y en cuánto tiempo responde. Requiere que el SOC participe en la sesión con capacidad de ajustar reglas, no solo que confirme si le llegó una alerta. Si el contrato no permite esa participación, conviene aclararlo antes de planificar el ejercicio.
¿Interrumpe la operativa?
Menos que un ejercicio encubierto, porque todo está coordinado y el equipo defensivo sabe qué va a pasar y cuándo. Aun así se trabaja con reglas de compromiso escritas: qué técnicas quedan fuera, sobre qué sistemas no se actúa y cómo se detiene la sesión si algo se sale de lo previsto. Las técnicas con riesgo de indisponibilidad se sustituyen por equivalentes que generen la misma telemetría sin el efecto secundario.