Emulación de adversario (Purple Team)
¿Tu SOC detectaría un ataque real? La única forma de saberlo es LANZARLO de forma controlada y comprobar si saltan tus alertas. La emulación de adversario (Purple Team) dispara técnicas de ATT&CK a propósito para medir y cerrar tus puntos ciegos.
🧶Red + Blue = Purple
No es atacar por atacar: es atacar para validar la detección. Lanzas una técnica conocida (ATT&CK) y verificas si tu SIEM/EDR la ve. Si no salta → tienes un hueco → escribes la regla → repites hasta que salte.
Es el bucle que de verdad sube el nivel de un SOC: medir cobertura real, no suponerla.
📊Quién es quién
| Atomic Red Team | tests atómicos por técnica ATT&CK: un comando = una técnica. Perfecto para empezar. |
| MITRE Caldera | emulación automatizada de cadenas de ataque completas sobre agentes. |
| APTSimulator | script Windows que deja el sistema 'con pinta de comprometido' para probar detecciones. |
| DumpsterFire | crea cadenas de eventos de seguridad repetibles y distribuidos. |
| Blue Team Training Toolkit (BT3) | escenarios realistas con IOCs y evasión, sin malware real. |
| Prelude / VECTR | planificación y seguimiento de ejercicios purple y de cobertura. |
🔧Lab: Atomic Red Team
Hazlo SIEMPRE en un entorno de laboratorio/aislado, nunca en producción sin autorización.
⚠Fallos típicos y solución
💡Trucos
- Lleva un mapa de cobertura ATT&CK (Navigator): verde = detectado, rojo = ciego. Es tu hoja de ruta.
- Automatiza la regresión: cada release de reglas, re-lanza los atómicos clave.
- Documenta cada hueco como ticket con la regla que lo cierra: trazabilidad total.
🎯🎯 Lab puntuable: mapea el ataque a MITRE ATT&CK
Lab pesado descargable (Docker Compose): el equipo rojo lanza 5 técnicas reales; tú las identificas por su ID y mides tu cobertura de detección. 1 reto, 50 puntos. (Necesitas Docker + Docker Compose.)
⬇ Descargar el pack ▶ Ir al reto · categoría “Arsenal · Purple”