Pensar como atacante para defender mejor

Un defensor que nunca ha ejecutado una técnica ofensiva escribe detecciones a ciegas: supone qué evento deja un ataque, supone que su regla saltaría y casi nunca lo comprueba. Pensar como atacante no te convierte en uno; te da la única prueba honesta de que tus defensas funcionan. A esa forma de trabajar —rojo y azul colaborando sobre el mismo entorno— se la llama purple teaming, y en la nube es sorprendentemente accesible porque cada acción del adversario es, al final, una llamada a una API que deja un rastro.

Esta nota es un panorama conceptual: para qué sirve cada categoría de herramienta, no cómo ejecutar un ataque paso a paso. El objetivo nunca es “entrar”, sino descubrir qué técnicas se cuelan sin alerta y cerrar ese hueco.

El bucle: simular, observar, cubrir#

El valor no está en la herramienta ofensiva, sino en el ciclo que habilita. Simulas una técnica contra tu laboratorio, miras si tu tubería de detección reacciona, y si no, conviertes ese silencio en una regla. Luego vuelves a probar.

El bucle del purple teaming

Ofensiva en tu laboratorio

Paso 1 de 6Tu laboratorio

Todo ocurre en una cuenta de laboratorio tuya y con autorización escrita. Nunca contra producción ni contra infraestructura ajena.

Este bucle es lo que separa “tenemos CloudTrail y GuardDuty” de “sabemos que esta técnica concreta dispara esta alerta en segundos”. Lo primero es una esperanza; lo segundo, una medición.

El panorama de herramientas#

Las herramientas ofensivas de nube se agrupan por lo que te enseñan sobre tu entorno. Ninguna sustituye a las demás: enumeran, prueban escaladas, montan escenarios, simulan técnicas o auditan la postura.

Categoría	Herramientas	Para qué sirve (a alto nivel)
Enumeración y descubrimiento	CloudFox	Mapear qué hay y qué caminos de ataque existen en una cuenta
Prueba de escalada de privilegios	Pacu · IAM Vulnerable	Comprobar si un permiso de más permite llegar a admin
Escenarios guiados de ataque	CloudGoat	Un laboratorio “vulnerable por diseño” para practicar con seguridad
Simulación de técnicas ATT&CK	Stratus Red Team	Detonar técnicas concretas y reversibles para probar detecciones
Auditoría de postura	Prowler · ScoutSuite	Decir qué está mal configurado antes de que alguien lo explote

Enumeración y descubrimiento — CloudFox#

CloudFox, de Bishop Fox, automatiza la conciencia situacional: ante una cuenta que no conoces, enumera recursos y resalta caminos de ataque probables (roles asumibles, secretos expuestos, permisos peligrosos). No explota nada por sí solo —esa es una decisión de diseño— ni es un escáner de cumplimiento. Para el defensor es revelador: te muestra tu propia cuenta como la ve un intruso que acaba de conseguir acceso, y a menudo delata el permiso heredado que nadie recordaba. En Citas, pasarlo sobre la cuenta de staging es la forma rápida de encontrar algo como el usuario ci-deploy-legacy.

Prueba de escalada de privilegios — Pacu, IAM Vulnerable#

Pacu, de Rhino Security Labs, es un framework de explotación de AWS organizado en módulos (enumeración de permisos, escalada, persistencia, exfiltración) que operan sobre credenciales que ya tienes. Su utilidad defensiva es que cada módulo deja un rastro conocido en CloudTrail. Para practicar sin tocar nada real existe IAM Vulnerable: un entorno desplegado con Terraform que crea, a propósito, configuraciones de IAM con rutas de escalada conocidas. Lo levantas, intentas escalar, lo destruyes. Entender esas rutas es exactamente lo que te permite detectar un AttachUserPolicy o un CreatePolicyVersion sospechoso en tus logs.

Escenarios guiados de ataque — CloudGoat#

CloudGoat, también de Rhino Security Labs (hoy mantenido por la comunidad), despliega escenarios “vulnerable por diseño” tipo CTF en una cuenta de AWS: una cadena con un objetivo concreto (p. ej., llegar a un bucket partiendo de una credencial filtrada). A diferencia de una herramienta de enumeración, te da una historia completa de principio a fin, ideal para entrenar el instinto de “esto que acabo de ver en los logs es el paso 2 de un ataque”.

Simulación de técnicas ATT&CK — Stratus Red Team#

Aquí es donde la ofensiva se vuelve purple. Stratus Red Team, de Datadog, detona técnicas individuales y autocontenidas mapeadas a la matriz MITRE ATT&CK, con un ciclo warmup → detonate → cleanup que prepara los prerequisitos, ejecuta la acción maliciosa y la deshace sin dejar recursos huérfanos. Cubre AWS, Azure, GCP, Entra ID y Kubernetes. No busca “ganar”: busca generar la señal exacta de una técnica para que compruebes si tu detección la ve. Es la pieza central de la validación de detecciones, y le dedicamos la siguiente nota entera.

Auditoría de postura — Prowler, ScoutSuite#

Prowler y ScoutSuite (de NCC Group) no simulan ataques: auditan la configuración y te dicen qué puertas están abiertas. Prowler mapea cientos de comprobaciones a marcos como CIS o AWS FSBP y cubre AWS, Azure, GCP, Kubernetes y M365; ScoutSuite recolecta la configuración vía API y genera un informe de postura multi-nube. Son el lado preventivo: encontrar el bucket público o el security group abierto antes de que alguien los pruebe. Complementan, no sustituyen, a la simulación de técnicas.

El agente de pentesting autónomo de AWS#

En 2026 AWS llevó a disponibilidad general su AWS Security Agent, un agente de IA cuya capacidad de pentesting bajo demanda no se limita a listar hallazgos: intenta cadenas de explotación reales para comprobar si una vulnerabilidad es de verdad explotable, y devuelve severidad, CVSS, pasos de reproducción y remediación. La promesa es tentadora —reducir falsos positivos probando el exploit— pero cambia poco la regla de oro: es un ataque real, así que corre solo sobre cuentas tuyas y autorizadas.

Cómo encaja en tu carrera#

Dominar esto no es volverse pentester, es volverse un defensor que no supone. La narrativa que vende en una entrevista de Cloud Security Engineer no es “sé usar Pacu”, sino “monté un laboratorio, simulé estas técnicas de ATT&CK, encontré tres huecos en mis detecciones y los cerré; aquí está el mapa de cobertura”. Eso es evidencia, no teoría.

Tu turno

Monta tu bucle de purple teaming

En tu propia cuenta de laboratorio (nunca la de tu empresa sin permiso escrito):

Crea o reutiliza una cuenta AWS de laboratorio aislada, con límites de gasto y sin datos reales. Anota la autorización (aunque seas tú el dueño: alcance, fechas, qué cuenta).
Elige una categoría del panorama y una herramienta. Si vienes del lado defensivo, empieza por Stratus Red Team: detona una técnica y observa el evento que deja en CloudTrail.
Escribe en una frase qué detección debería haber saltado. Si no existe, ya tienes tu primer hueco.
Repite con una segunda técnica de otra táctica de ATT&CK. El objetivo de esta semana no es cobertura total, es completar el bucle una vez de principio a fin.

Reto

¿Por qué un escáner de postura como Prowler no basta para decir que estás protegido?

▸Mostrar solución

Porque mide configuración, no detección. Te dice si una puerta está abierta, pero no si verías a alguien cruzando una que dejaste correctamente cerrada usando una credencial válida. La exfiltración de un bucket bien configurado con una llave robada no aparece en un informe de postura; aparece (o no) en tus reglas. Postura y detección responden preguntas distintas.