Diferencia entre Red Team y pentesting: cuándo elegir cada uno
Como CISO, tarde o temprano llega la pregunta incómoda del comité de dirección: "¿Estamos seguros?". Y la respuesta honesta rara vez es un sí rotundo. Tienes controles desplegados, un SOC (propio o gestionado), un EDR con licencias caras y una batería de escaneos periódicos. Pero saber que las herramientas están instaladas no es lo mismo que saber que funcionan cuando un atacante real intenta pasar desapercibido.
Ahí es donde muchos equipos confunden dos servicios que persiguen objetivos distintos: el pentesting tradicional y el Red Team. Contratar uno pensando que vas a obtener los resultados del otro es una forma habitual de malgastar presupuesto y, peor aún, de generar una falsa sensación de seguridad. En este artículo aclaramos la diferencia entre Red Team y pentesting, y te damos criterios concretos para decidir cuál necesitas según tu madurez en detección y respuesta.
Qué es un pentesting tradicional
Un test de intrusión (pentesting) busca identificar y explotar el mayor número posible de vulnerabilidades dentro de un alcance definido: una aplicación web, una API, un rango de red interna, la infraestructura cloud o el entorno corporativo. El objetivo es la cobertura y la profundidad técnica sobre ese alcance concreto.
Características típicas:
- Alcance acotado y conocido por ambas partes (caja negra, gris o blanca).
- El equipo defensivo suele estar informado: no se evalúa su capacidad de reacción, se evalúa la superficie de ataque.
- Metodologías orientadas a cobertura: OWASP (WSTG, MASVS, API Security Top 10) y PTES marcan las fases y los casos de prueba.
- Entregable: inventario de hallazgos priorizados por criticidad (CVSS), con evidencia de explotación y remediación.
- Ventana temporal corta: días o pocas semanas, con la intención de encontrar todo lo posible en ese periodo.
Un buen pentest responde a la pregunta: "¿Qué vulnerabilidades explotables tiene este activo y cómo las corrijo?". Es el ejercicio adecuado para validar releases, cumplir requisitos contractuales o de auditoría, y madurar el ciclo de desarrollo seguro.
Qué es un Red Team
Un ejercicio de Red Team no busca encontrar todas las vulnerabilidades. Busca cumplir un objetivo concreto simulando a un adversario real —exfiltrar datos de un sistema crítico, comprometer el dominio, acceder a un entorno de producción— y hacerlo sin ser detectado.
La diferencia sustancial es que el Red Team no evalúa un activo, evalúa a tu organización completa como sistema de defensa: personas, procesos y tecnología. El SOC no está avisado (salvo un grupo mínimo de "trusted agents"), y precisamente ahí está el valor: mides tu capacidad real de detección y respuesta ante un actor que se toma su tiempo.
Características típicas:
- Objetivo definido, camino libre: cualquier vector es válido (phishing, física, exposición externa, cadena de suministro).
- Sigilo: el operador prioriza no activar alertas frente a velocidad o cobertura.
- Emulación de adversarios mapeada a MITRE ATT&CK: cada táctica y técnica queda registrada para poder cruzarla después con la telemetría defensiva.
- Ventana larga: semanas o meses, replicando el ritmo pausado de una amenaza persistente.
- Entregable: narrativa de la intrusión, matriz ATT&CK con lo que se detectó y lo que no, y recomendaciones para cerrar brechas de visibilidad y respuesta.
La diferencia clave: detección y respuesta con MITRE ATT&CK
Aquí está el núcleo de la decisión. El pentesting mide la superficie de ataque. El Red Team mide tu capacidad de detección y respuesta.
MITRE ATT&CK es el marco que convierte esa evaluación en algo accionable. Durante un Red Team, cada movimiento del operador se documenta según las tácticas del framework: acceso inicial (TA0001), ejecución, persistencia, escalada de privilegios, evasión de defensas, movimiento lateral, exfiltración. Al terminar, se contrasta esa línea de tiempo con lo que tu SOC registró y con lo que realmente disparó una alerta.
El resultado es un mapa brutalmente honesto:
- Qué técnicas detectaste y en cuánto tiempo (tu MTTD real, no el teórico).
- Qué técnicas pasaron completamente inadvertidas pese a tener el control desplegado.
- Dónde falló la respuesta: se detectó pero no se escaló, se escaló pero no se contuvo, o se generó ruido que enterró la alerta relevante.
Esto es imposible de obtener con un pentesting tradicional, porque en un pentest el equipo defensivo sabe que hay actividad y la mayoría de las alertas se ignoran deliberadamente. Si tu preocupación es "¿me daría cuenta si me estuvieran atacando ahora mismo?", el pentest no responde esa pregunta. El Red Team sí.
Cuándo elegir cada uno
No es una cuestión de cuál es "mejor", sino de qué necesitas responder y de tu nivel de madurez.
Elige pentesting tradicional si...
- Tu programa de seguridad ofensiva está en fases iniciales o intermedias.
- Necesitas validar activos concretos antes de un lanzamiento o tras un cambio importante.
- Tienes que cumplir requisitos de auditoría, certificación o exigencias contractuales de clientes.
- Aún no tienes un SOC/EDR maduro: si sabes de antemano que no vas a detectar nada, un Red Team solo confirmará lo evidente a mayor coste.
Elige Red Team si...
- Ya has hecho pentesting de forma recurrente y tu superficie de ataque está razonablemente controlada.
- Tienes capacidades defensivas desplegadas (SOC, EDR, SIEM) y necesitas comprobar que funcionan en condiciones reales.
- Debes justificar ante dirección la inversión en detección y respuesta con evidencia objetiva.
- Quieres entrenar a tu Blue Team con un adversario realista (y valorar un ejercicio Purple Team, donde ambos equipos colaboran).
Un error frecuente es saltar directamente al Red Team sin base de pentesting. Si la superficie de ataque está llena de vulnerabilidades triviales, el ejercicio se detiene en el primer obstáculo y no llegas a evaluar lo que de verdad querías: la respuesta ante un adversario avanzado.
Cómo encaja en cumplimiento y continuidad
Marcos como CIS Controls, ISO 27001 o DORA (para entidades financieras) exigen cada vez con más claridad pruebas de eficacia de los controles, no solo su existencia. DORA, en concreto, introduce las pruebas de penetración basadas en amenazas (TLPT), que son ejercicios de Red Team estructurados. Aquí la emulación de adversarios mapeada a MITRE ATT&CK deja de ser un lujo y pasa a ser un requisito regulatorio.
En CISEC abordamos estos ejercicios con equipo certificado OSCP y metodología basada en ATT&CK y PTES. Además, la evaluación puntual tiene un límite evidente: la fotografía caduca en cuanto cambia tu infraestructura. Por eso combinamos el ejercicio de servicios de Red Team con validación continua a través de nuestra plataforma AISAC, para que la brecha entre "lo que crees que detectas" y "lo que realmente detectas" no vuelva a abrirse en silencio entre auditoría y auditoría.
Preguntas frecuentes
¿Puedo sustituir el pentesting por un Red Team?
No. Cubren necesidades distintas. El pentesting mantiene tu superficie de ataque bajo control con cobertura amplia sobre activos concretos; el Red Team valida tu detección y respuesta ante un objetivo específico. Lo habitual es hacer pentesting de forma recurrente y Red Team con menor frecuencia, cuando la madurez lo justifica.
¿Cuánto dura un ejercicio de Red Team?
Depende del objetivo y del alcance, pero suele moverse entre varias semanas y algunos meses. El sigilo requiere ritmo pausado: forzar la velocidad delataría al operador y contaminaría la medición de detección, que es precisamente lo que se quiere evaluar.
¿Debe estar avisado mi SOC?
No el equipo operativo. Solo un grupo reducido de "trusted agents" conoce el ejercicio para autorizar acciones y evitar respuestas ante incidentes que escalen fuera de control. El resto del equipo defensivo debe actuar como si fuera un ataque real; de lo contrario, los resultados de detección y respuesta perderían todo su valor.