Redacción de informes de Red Team

Un informe de red team comunica a la dirección el riesgo empresarial de las vulnerabilidades identificadas (resumen ejecutivo), permite a los defensores reproducir los hallazgos y mejorar la detección (detalle técnico), y proporciona un plan de acción para la corrección (recomendaciones).

Estructura estándar de un informe de red team:

1. Portada y definición del alcance
2. Resumen ejecutivo
3. Descripción general de la metodología
4. Narrativa del ataque / cadena de ataque
5. Lista de hallazgos con niveles de gravedad
6. Detalles técnicos de cada hallazgo
7. Recomendaciones y hoja de ruta
8. Anexos: evidencias, IOC y lista de herramientas

Escriba el resumen ejecutivo al final. Debe indicar:

• Los objetivos y el alcance de la operación
• Los hallazgos clave en términos empresariales ("obtuvimos acceso de administrador del dominio en 4 horas")
• La evaluación general de la postura de riesgo
• Las 3 prioridades principales para la corrección

No utilice jerga técnica. Suponga que el lector es un directivo no técnico.

La narrativa del ataque cuenta cronológicamente la historia de la operación:

1. Vector de acceso inicial (cómo se obtuvo el primer punto de apoyo)
2. Persistencia y descubrimiento
3. Pasos de escalada de privilegios
4. Ruta del movimiento lateral
5. Objetivos alcanzados (datos a los que se accedió, dominio comprometido)

Asigne cada paso a los ID de las técnicas de MITRE ATT&CK.

Cada hallazgo debe incluir:

• Título: nombre claro y específico
• Gravedad: crítica/alta/media/baja/informativa (con puntuación CVSS si corresponde)
• Descripción: qué se encontró
• Impacto: riesgo empresarial si se explota
• Pasos para reproducirlo: prueba técnica detallada
• Evidencia: capturas de pantalla y registros
• Recomendación: corrección específica

CVSS (Common Vulnerability Scoring System) proporciona una puntuación de gravedad estandarizada de 0 a 10. Sus componentes son: vector de ataque, complejidad, privilegios requeridos, interacción del usuario, alcance e impacto en la confidencialidad, integridad y disponibilidad. Utilice CVSS 3.1 para obtener niveles de gravedad coherentes y defendibles.

Asigne cada técnica utilizada a ATT&CK para proporcionar inteligencia práctica a los defensores:

• T1566.001 — Spearphishing Attachment (acceso inicial)
• T1059.001 — PowerShell (ejecución)
• T1003.001 — LSASS Memory (acceso a credenciales)

El mapeo a ATT&CK ayuda a los equipos blue team a escribir reglas de detección para las TTP observadas.

Las capturas de pantalla deben incluir:

• La fecha y hora visibles en el terminal
• El nombre de host del sistema comprometido
• El comando y toda su salida
• Ningún recorte que elimine información contextual

Anote las capturas de pantalla para resaltar el elemento crítico. La evidencia autentica los hallazgos.

Las buenas recomendaciones son:

• Específicas: "Habilite AMSI de PowerShell y el modo de lenguaje restringido", no "mejore la seguridad"
• Priorizadas: indique cuáles deben abordarse primero según el riesgo
• Prácticas: el lector sabe exactamente qué debe hacer
• Realistas: tienen en cuenta las limitaciones operativas

Una presentación de cierre en directo complementa el informe escrito. Guíe al cliente por la narrativa del ataque con capturas de pantalla en directo, demuestre cómo podría haber detectado cada paso y responda a sus preguntas. A menudo, esto tiene más impacto que el informe escrito para impulsar el cambio.

Los informes de red team contienen información confidencial sobre vulnerabilidades. Manéjelos en consecuencia:

• Cifre el informe (PGP o PDF protegido con contraseña)
• Transmítalo mediante un canal seguro
• Limite su distribución a quienes lo necesiten
• Defina una política de conservación y destrucción de informes
• Nunca envíe informes sin cifrar por correo electrónico

Los informes de red team están dirigidos a audiencias empresariales (resumen ejecutivo), técnicas (relato del ataque y hallazgos) y defensivas (mapeo de ATT&CK). Cada hallazgo incluye la gravedad, el impacto, los pasos para reproducirlo, las evidencias y recomendaciones específicas. El mapeo de MITRE ATT&CK convierte los hallazgos ofensivos en oportunidades de detección defensiva. Cifre y gestione los informes como documentos confidenciales.