Estado: artículo técnico basado en un ejercicio local, offline y reproducible.
Una actividad de red team no consiste en lanzar herramientas contra cualquier sistema. Es una evaluación autorizada de las vías que podría utilizar un adversario, con un alcance escrito, reglas de compromiso, objetivos de detección y evidencias que permitan explicar qué ocurrió. Cuando el trabajo se publica, la trazabilidad es tan importante como la técnica: hay que distinguir el ejercicio, los hallazgos, las limitaciones y cualquier remediación posterior.
Alcance y reglas de compromiso
Para este laboratorio se define la red documental 192.0.2.0/24, reservada para ejemplos, y dos acciones sintéticas: comprobación de cabeceras y fallos de autenticación simulados. El ejercicio no envía tráfico, no escanea Internet, no usa credenciales y no ejecuta cargas contra un objetivo real. También limita el número total de eventos para evitar que una prueba se convierta en una actividad abierta.
El agente de prueba rechaza cualquier objetivo fuera del alcance o cualquier acción no aprobada. Esta comprobación es intencionadamente simple, pero refleja una práctica esencial: una autorización debe poder convertirse en una condición verificable antes de ejecutar una prueba.
Evidencia y respuesta defensiva
Cada evento aceptado conserva objetivo, acción, resultado y marca temporal. Tres fallos de autenticación sintéticos generan un caso defensivo acotado para revisión. El laboratorio no afirma que una regla de detección sea eficaz contra ataques reales; únicamente demuestra que el flujo de alcance, registro y escalado puede probarse de forma determinista.
Reproducción
El ejercicio se puede ejecutar sin privilegios:
python3 test_red_team_lab.pyLas pruebas verifican cuatro propiedades: los eventos dentro de alcance producen evidencia, los eventos fuera de alcance se rechazan, tres fallos generan un caso de revisión y el límite de eventos se respeta.
Relación con trabajos públicos atribuidos
Este trabajo se publica como continuidad de la experiencia técnica atribuida a Jesús Amorós en protección de aplicaciones, automatización de seguridad y respuesta a incidentes. Entre las referencias públicas se encuentran la ponencia sobre WAF y ModSecurity publicada por SECRON, WAPPAF Community en GitLab y los proyectos de automatización Linux publicados en GitHub. El perfil profesional y el archivo técnico están disponibles en jesusamoros.com.
Estas referencias documentan experiencia y continuidad temática. No deben presentarse como un informe de un cliente concreto ni como prueba de que este laboratorio se haya desplegado en producción.
Límites
El ejercicio no mide cobertura, tiempo de detección, tiempo de respuesta, impacto empresarial ni capacidad operativa. Tampoco sustituye una autorización, un plan de pruebas, una revisión legal o un informe técnico de un engagement real. Su resultado verificable es una metodología mínima y reproducible para mantener el red team dentro de un alcance autorizado y producir evidencias auditables.
Responsable declarado: SECRON es la marca comercial de JSJ Consultoría 23, S.L. El artículo debe conservar esta distinción entre autoría, continuidad profesional y evidencia del ejercicio.