¿Qué diferencia hay entre un análisis de vulnerabilidades, un pentest y un ejercicio de red team? ¿Qué define las reglas de enfrentamiento?

Análisis de vulnerabilidades: busca cubrir la mayor superficie posible, generalmente con escáneres (Nessus, OpenVAS) más validación manual. Identifica y prioriza debilidades, pero no las explota en profundidad. Responde a la pregunta «¿qué está expuesto y desactualizado?».

Pentest: tiene un alcance acotado (una aplicación, un rango de IPs, una red interna) y busca explotar de forma controlada para demostrar impacto real: encadenar fallas y escalar privilegios. El cliente suele estar al tanto y el resultado es un informe con evidencia, riesgo y remediación.

Red team: parte de un objetivo de negocio, por ejemplo «llegar a los datos de nómina», y emula a un adversario concreto con sus TTPs (MITRE ATT&CK). Lo central es medir la capacidad de detección y respuesta del blue team, no listar vulnerabilidades. Es más largo, sigiloso y pocas personas del cliente lo saben (white team).

Reglas de enfrentamiento (RoE): es el documento firmado que habilita legalmente el trabajo. Define:

• Alcance: activos incluidos y excluidos, como sistemas de terceros o la nube del proveedor.
• Ventanas horarias y técnicas prohibidas, por ejemplo DoS o phishing a directivos.
• Contactos de emergencia y procedimiento de corte si algo se rompe.
• Manejo de datos sensibles encontrados y criterio de destrucción al finalizar.
• Autorización escrita de quien tiene potestad real sobre los activos.

Sin autorización por escrito, cualquiera de estas actividades es un acceso no autorizado, aunque la intención sea buena.

Usar pentest y red team como sinónimos o reducir el análisis de vulnerabilidades a «correr Nessus». Olvidar que la autorización tiene que venir de quien es dueño del activo, por ejemplo cuando hay hosting de terceros.