🟣 Purple Team

Hola Amigos.

En ciberseguridad, detectar un ataque no siempre significa que estemos preparados para detenerlo, muchas organizaciones cuentan con soluciones avanzadas de seguridad, sistemas de monitoreo y equipos especializados para proteger su infraestructura tecnológica. Sin embargo, ¿Qué sucede cuando todas estas herramientas registran actividades sospechosas, pero nadie genera una alerta para investigarlas?

Este es uno de los principales problemas que enfrentan actualmente los equipos de seguridad informática.

Un informe publicado por Security Risk Advisors, denominado The Purple Perspective 2026, analizó más de 160 ejercicios de Purple Team realizados durante 2025, con aproximadamente 8.300 pruebas de técnicas utilizadas por diferentes actores de amenazas.

Entre sus principales hallazgos destaca una realidad preocupante: muchas organizaciones tienen la capacidad de registrar las actividades de los atacantes, pero todavía presentan dificultades para convertir esa información en detecciones efectivas.

En este contexto, el Purple Team adquiere una importancia fundamental, ya que permite integrar las capacidades del Red Team y el Blue Team para mejorar continuamente las defensas de una organización.

Pero ¿Qué es exactamente el Purple Team y por qué se está convirtiendo en una pieza clave dentro de las estrategias modernas de ciberseguridad? Vamos a descubrirlo.

1. ¿Qué es el Purple Team?

Para comprender este concepto, primero debemos recordar las funciones de los dos equipos que lo conforman.

El Red Team representa la perspectiva ofensiva de la ciberseguridad. Su objetivo es simular ataques reales para identificar vulnerabilidades, descubrir rutas de acceso y evaluar hasta dónde podría llegar un atacante dentro de una infraestructura.

Por otro lado, el Blue Team representa la perspectiva defensiva. Su responsabilidad es monitorear los sistemas, identificar actividades sospechosas, generar alertas y responder ante posibles incidentes de seguridad.

El Purple Team surge como un enfoque de colaboración entre ambos equipos.

Su objetivo no es enfrentar a los especialistas ofensivos y defensivos, sino conseguir que compartan información, conocimientos y resultados para mejorar las capacidades de prevención, detección y respuesta.

En otras palabras, el Red Team demuestra cómo podría producirse un ataque, mientras que el Blue Team analiza cómo detectarlo y responder ante él.

El Purple Team permite que ambos trabajen conjuntamente para convertir cada ejercicio ofensivo en una oportunidad de aprendizaje y mejora.

2. El problema

Uno de los hallazgos más interesantes del informe The Purple Perspective 2026 es la diferencia entre recopilar registros de seguridad y generar alertas efectivas.

Para comprenderlo, imaginemos que un atacante consigue acceder a las credenciales de un empleado y comienza a descargar grandes cantidades de información desde SharePoint.

La plataforma registra estas actividades y genera información que podría ayudar a identificar un comportamiento sospechoso.

Sin embargo, si esos registros no están integrados correctamente con las herramientas de monitoreo o no existen reglas que permitan identificar comportamientos anómalos, es posible que el equipo SOC nunca reciba una alerta.

Esto significa que la información existe, pero nadie está reaccionando ante ella.

El informe presenta resultados bastante interesantes sobre esta problemática:

Estos porcentajes corresponden a los resultados de las pruebas realizadas y no representan tasas universales de detección para todas las organizaciones.

Sin embargo, permiten identificar un problema importante: disponer de telemetría no garantiza que una actividad maliciosa sea investigada oportunamente.

3. ¿Qué sucede cuando el Red Team y el Blue Team trabajan juntos?

La colaboración entre ambos equipos permite identificar las debilidades de una organización desde dos perspectivas complementarias.

Veamos un ejemplo práctico.

Imaginemos que una empresa quiere evaluar su capacidad para detectar movimientos laterales dentro de su infraestructura de Active Directory.

El Red Team recibe autorización para simular diferentes técnicas que permitirían a un atacante desplazarse entre sistemas después de conseguir un acceso inicial.

Durante el ejercicio, el equipo ofensivo ejecuta una técnica conocida como Pass-the-Ticket, utilizada para abusar de los mecanismos de autenticación Kerberos.

Mientras tanto, el Blue Team monitorea los eventos generados por los controladores de dominio mediante su plataforma SIEM.

Al finalizar la simulación, ambos equipos comparan sus resultados y descubren que los eventos quedaron registrados, pero no generaron una alerta que permitiera iniciar una investigación.

Aquí comienza el verdadero trabajo del Purple Team.

En lugar de limitarse a documentar el problema, los especialistas trabajan conjuntamente para identificar qué información necesitan, desarrollar una lógica de detección y configurar las alertas correspondientes.

Posteriormente, repiten la prueba para comprobar si la actividad puede identificarse correctamente.

Este proceso permite transformar una debilidad detectada durante una simulación ofensiva en una mejora concreta de las capacidades defensivas.

4. Los principales desafíos que enfrentan los equipos de seguridad

El informe identifica diferentes dificultades que impiden a las organizaciones detectar determinadas técnicas utilizadas por los atacantes.

Entre las más importantes encontramos:

Dificultades para detectar ataques relacionados con identidades.

Técnicas como Pass-the-Ticket y el abuso de Kerberos pueden aprovechar mecanismos legítimos de autenticación, lo que dificulta diferenciarlas de las actividades normales de los usuarios.

Exceso de información y falsas alertas.

Algunas actividades maliciosas se parecen mucho a las operaciones habituales de una organización. Por ejemplo, una descarga masiva de archivos podría corresponder a una actividad legítima o a un intento de exfiltración de información.

Falta de integración entre herramientas.

Los registros pueden estar distribuidos entre diferentes plataformas, como soluciones EDR, SIEM, servicios en la nube y sistemas de gestión de identidades.

Si no existe una adecuada correlación entre estas fuentes, los equipos pueden perder información importante para identificar un ataque.

Separación de responsabilidades entre departamentos.

El informe también advierte que algunas organizaciones asignan actividades relacionadas con la seguridad a departamentos diferentes.

Por ejemplo, las descargas masivas de información pueden ser responsabilidad del equipo de cumplimiento o prevención de pérdida de datos, mientras que la investigación de incidentes corresponde al SOC.

Esta separación puede provocar que una actividad sospechosa no reciba la atención necesaria.

5. Tres prioridades para fortalecer la ciberseguridad durante 2026

A partir de los resultados obtenidos, el informe establece tres áreas en las que las organizaciones deberían concentrar sus esfuerzos.

5.1. Mejorar la protección y detección de identidades

Las credenciales se han convertido en uno de los principales objetivos de los atacantes.

Por esta razón, no es suficiente implementar autenticación multifactor o políticas de acceso condicional. También es necesario detectar comportamientos anómalos relacionados con el uso de identidades, tokens y mecanismos de autenticación.

Las organizaciones deben fortalecer sus controles y desarrollar mecanismos que permitan identificar posibles abusos de credenciales.

5.2. Proteger la información almacenada en Microsoft 365

Los servicios como SharePoint pueden almacenar información corporativa de alto valor para los atacantes.

Por ello, las actividades relacionadas con búsquedas de información sensible, descargas masivas y accesos inusuales deben tratarse como eventos relevantes de seguridad.

No deberían considerarse únicamente problemas de cumplimiento normativo o prevención de pérdida de datos.

El equipo SOC necesita tener visibilidad sobre estas actividades y capacidad para investigarlas oportunamente.

5.3. Fortalecer la ingeniería de detección

Las organizaciones deben desarrollar reglas capaces de identificar comportamientos sospechosos mediante la correlación de diferentes fuentes de información.

Esto implica dejar de depender exclusivamente de indicadores individuales, como hashes, nombres de archivos o líneas de comandos.

Los atacantes pueden modificar estos elementos para evadir los controles tradicionales.

Por eso, es importante desarrollar detecciones basadas en comportamientos, secuencias de eventos y anomalías contextuales.

6. ¿Qué papel desempeña la inteligencia artificial en los equipos SOC?

Otro aspecto interesante del informe es el análisis sobre el uso de inteligencia artificial en los centros de operaciones de seguridad.

Durante 2025, la IA demostró ser especialmente útil para apoyar a los analistas en actividades como la clasificación inicial de alertas, el enriquecimiento de incidentes y la generación de consultas y reglas de detección.

Por ejemplo, los modelos de lenguaje pueden ayudar a desarrollar versiones iniciales de reglas SIGMA, facilitando el trabajo de los analistas y acelerando los procesos de ingeniería de detección.

Sin embargo, el informe también advierte que la inteligencia artificial todavía no es una solución definitiva para identificar vulnerabilidades de día cero o amenazas completamente desconocidas.

Su verdadero valor está en complementar las capacidades humanas, automatizar tareas repetitivas y permitir que los profesionales concentren sus esfuerzos en investigaciones de mayor complejidad.

7. La importancia de evaluar continuamente las defensas

Una de las recomendaciones más importantes del informe es no realizar ejercicios de Purple Team de manera aislada.

Las organizaciones que evaluaron sus capacidades entre dos y cuatro veces al año obtuvieron mejores resultados, independientemente de la industria a la que pertenecían.

Esto demuestra que la seguridad informática no debe entenderse como un proyecto que termina después de implementar determinadas herramientas.

Las amenazas evolucionan, los atacantes modifican sus técnicas y las infraestructuras tecnológicas cambian constantemente.

Por esta razón, es necesario repetir las simulaciones, evaluar los controles, identificar nuevas debilidades y comprobar que las mejoras implementadas realmente funcionan.

Cada ejercicio debe convertirse en una oportunidad para fortalecer la capacidad de prevención, detección y respuesta.

Conclusión

El informe The Purple Perspective 2026 nos deja una lección importante: contar con herramientas avanzadas de seguridad no garantiza que una organización pueda detectar y responder efectivamente ante un ciberataque.

Muchas veces, el problema no está en la ausencia de información, sino en la incapacidad de transformar los registros disponibles en alertas útiles para los equipos de seguridad.

Aquí es donde el Purple Team adquiere un papel fundamental, permitiendo que los conocimientos del Red Team y el Blue Team se complementen para identificar debilidades y mejorar continuamente las defensas.

En Hacker Mentor creemos que comprender tanto las técnicas ofensivas como las defensivas es fundamental para desarrollar profesionales de ciberseguridad capaces de enfrentar los desafíos actuales.

Recuerda: no se trata solamente de saber cómo comprometer un sistema o cómo protegerlo, sino de comprender cómo funcionan los ataques para construir defensas cada vez más efectivas.

¡Nos vemos en una próxima!

Saludos,
Equipo Hacker Mentor