¿Qué es el purple teaming y cómo ejecutas un ejercicio de purple team?
Respuesta breve
El purple teaming es colaborativo en lugar de adversarial: el lado rojo ejecuta TTP específicos y acordados (a menudo asociados a MITRE ATT&CK) mientras el lado azul observa su telemetría en tiempo real para confirmar si cada técnica se registra, alerta y es detectable. Mides la cobertura de detección técnica por técnica, ajustas detecciones y cierras brechas de inmediato, y luego vuelves a probar. El entregable es una detección mejorada y medible — no una lista de quién «ganó».
El purple teaming existe porque los ejercicios adversariales de rojo contra azul suelen terminar con un informe que nadie operacionaliza. Los entrevistadores preguntan sobre él para ver si entiendes que el propósito de la ofensiva en un programa maduro es hacer la defensa mediblemente mejor, no sumar puntos.
Colaborativo, no adversarial
En un red team clásico, el equipo azul se mantiene a oscuras para probar la detección de forma realista. En un purple team, ambos lados trabajan en la misma sala (o videollamada). El lado rojo ejecuta una técnica conocida y acordada; el lado azul observa su SIEM, EDR y registros en tiempo real para responder una pregunta por técnica: ¿la vimos, alertamos sobre ella y podríamos haber respondido?
El ciclo
- Planificar. Seleccionar las técnicas a probar, casi siempre asociadas a MITRE ATT&CK para que la cobertura sea estructurada y comparable en el tiempo. La inteligencia de amenazas guía qué TTP de qué actor priorizar.
- Ejecutar. El rojo ejecuta cada técnica deliberadamente — frameworks como Atomic Red Team o Caldera ofrecen pruebas atómicas reproducibles.
- Observar. El azul comprueba si la actividad produjo telemetría, si se disparó una detección y cuán ruidosa o silenciosa fue.
- Mejorar de inmediato. Donde hay una brecha — sin registro, sin alerta, o un falso negativo — el azul escribe o ajusta una detección en el acto.
- Volver a probar. Reejecutar la técnica para confirmar que la nueva detección realmente se dispara.
Por qué funciona
Separa dos cosas que a menudo se confunden: la visibilidad (¿la actividad siquiera se registra?) y la detección (¿algo alerta?). Una técnica puede estar completamente registrada y aun así totalmente no detectada. El purple teaming saca a la luz exactamente qué técnicas ATT&CK caen en cada categoría, produciendo un mapa de cobertura concreto.
Qué buscan los entrevistadores
Quieren el enfoque colaborativo, MITRE ATT&CK como lenguaje común, la distinción registro frente a alerta, y un resultado medido como cobertura de detección mejorada que persiste tras el ejercicio — no un marcador.
Posibles preguntas de seguimiento
- ¿Cómo ayuda MITRE ATT&CK a estructurar un proyecto de purple team?
- ¿Cuál es la diferencia entre una detección que se dispara y una que simplemente se registra?
- ¿Cómo conviertes los resultados de purple team en cobertura de detección duradera?