--- id: CP-247 slug: pentest-red-team-blue-team-purple-team lang: es title: Pentest, Red Team, Blue Team y Purple Team description: "Prueba de intrusión, ejercicio de ataque simulado, equipos de defensa: qué significan estos términos y qué hacer si ve un comportamiento sospechoso." canonical_url: https://startbrain.io/cyberpedia/es/articles/pentest-red-team-blue-team-purple-team/ markdown_url: https://startbrain.io/cyberpedia/es/articles/pentest-red-team-blue-team-purple-team.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Pentest, Red Team, Blue Team y Purple Team», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/pentest-red-team-blue-team-purple-team/ (CC BY 4.0) wing: 3 theme: report_incidents reflex: cr-014 schema: G4 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/pentest-red-team-blue-team-purple-team/ fr: https://startbrain.io/cyberpedia/fr/articles/pentest-red-team-blue-team-purple-team/ en: https://startbrain.io/cyberpedia/en/articles/pentest-red-blue-purple-team/ de: https://startbrain.io/cyberpedia/de/articles/pentest-red-team-blue-team-purple-team/ it: https://startbrain.io/cyberpedia/it/articles/pentest-red-team-blue-team-purple-team/ sources: - "n": 1 title: Penetration testing publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/penetration-testing published: "2017-08-08" accessed: "2026-11-03" - "n": 2 title: Technical Guide to Information Security Testing and Assessment publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/115/final accessed: "2026-11-03" - "n": 3 title: Incident management publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/incident-management published: "2019-09-19" accessed: "2026-11-03" - "n": 4 title: Cybersecurity Framework publisher: NIST url: https://www.nist.gov/cyberframework accessed: "2026-11-03" - "n": 5 title: Computer Security Incident Handling Guide publisher: NIST url: https://www.nist.gov/publications/computer-security-incident-handling-guide published: "2012-08-06" accessed: "2026-11-03" - "n": 6 title: "Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile" publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/61/r3/final accessed: "2026-11-03" - "n": 7 title: MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/ accessed: "2026-11-03" - "n": 8 title: MITRE D3FEND Knowledge Graph publisher: MITRE url: https://d3fend.mitre.org/ accessed: "2026-11-03" --- # Pentest, Red Team, Blue Team y Purple Team En una empresa se oye hablar de pentest, Red Team, Blue Team o Purple Team. Estos términos describen actividades de prueba y de defensa que llevan a cabo especialistas. Para un empleado sirven sobre todo para saber una cosa: que un comportamiento extraño en su equipo o en su correo puede deberse a un ejercicio autorizado, a un ataque real o a una simple avería, y que en los tres casos hay que comunicarlo. Las fuentes reunidas para esta ficha describen con precisión la prueba de intrusión y la gestión de incidentes. No definen los términos Red Team, Blue Team ni Purple Team. Por eso la ficha se limita a lo que dicen esas fuentes y no les atribuye nada más. ## En 30 segundos - Dónde ocurre: en su correo o en su equipo, cuando algo se sale de lo normal, se haya anunciado una prueba o no. - Lo que busca el atacante: en una prueba de intrusión, el evaluador usa las mismas herramientas y técnicas que un adversario para comprobar la solidez de un sistema [1]. - El reflejo: comunique pronto al soporte o al SOC lo que le parezca sospechoso, sin hablar de ello con el presunto autor y sin apagar el equipo mientras no se lo pidan. - Si ya lo ha hecho: cuente con precisión lo que vio, en qué momento y qué pulsó o escribió. ## Preguntas directas ### ¿Qué es un pentest? El NCSC británico lo define como un método para asegurarse de la seguridad de un sistema informático intentando vulnerar una parte o la totalidad de sus defensas, con las herramientas y técnicas que usaría un adversario [1]. Lo compara con una auditoría financiera: el equipo interno controla los gastos día a día y una auditoría externa verifica que sus procedimientos son suficientes [1]. El NIST, por su parte, publica una guía técnica sobre la preparación y la realización de pruebas de seguridad, el análisis de los resultados y las medidas correctivas. Entre los usos que cita figuran buscar fallos en un sistema o una red y comprobar el cumplimiento de una política de seguridad [2]. ### ¿Qué hace el Red Team, qué hace el Blue Team y qué hace el Purple Team? Ninguna de las fuentes citadas aquí define estos tres nombres. Lo que el NCSC describe es una prueba por escenarios que también busca medir la capacidad de detección y de respuesta de la organización, para conocer su eficacia y su cobertura en un escenario determinado [1]. Para el empleado, lo que importa es la detección: su aviso forma parte de ella. Dos bases de conocimiento de MITRE sirven de referencia común. ATT&CK recoge tácticas y técnicas de adversarios obtenidas de observaciones reales [7]. D3FEND es un grafo de conocimiento de contramedidas de ciberseguridad [8]. ### ¿Puede una prueba perturbar mi trabajo? El NCSC escribe que los evaluadores deben evitar molestar al sistema probado, pero que es imposible garantizar que no se produzca ninguna reacción inesperada [1]. Por tanto, durante una prueba puede haber lentitud o un comportamiento raro. En caso de duda, comuníquelo al soporte o al SOC. ### ¿Por qué cuenta mi aviso? El aviso es una etapa de la detección. El NCSC presenta la gestión de incidentes como un ciclo de cinco fases tomado del NIST: identificar, proteger, detectar, responder, recuperar [3]. Su colección de guías sitúa la detección y la notificación entre las cuestiones básicas de la respuesta a incidentes [3]. El NIST recuerda que una capacidad de respuesta sirve para detectar rápidamente los incidentes, limitar las pérdidas y la destrucción, corregir las debilidades explotadas y restablecer los servicios [5]. ## Cómo funciona Una prueba de intrusión sigue en general un esquema de cinco etapas: toma de contacto, delimitación del alcance, pruebas, informe y seguimiento. A los problemas encontrados se les asigna un nivel de gravedad [1]. La delimitación fija los límites técnicos, los tipos de prueba esperados y el calendario [1]. El informe enumera los fallos, el nivel de riesgo de cada uno y una forma de corregirlo [1]. Los evaluadores pueden conocer el sistema de antemano o no. En una prueba de caja negra no se les da ninguna información interna: la prueba se hace desde fuera y reproduce mejor el riesgo que suponen atacantes desconocidos para la organización [1]. En una prueba de caja blanca disponen de toda la información sobre el objetivo [1]. El NCSC añade que el conocimiento de la prueba que se da a los administradores también varía de una prueba a otra [1]. Un pentest tiene límites. Solo valida la ausencia de fallos conocidos el día de la prueba, y puede pasar un año o más entre dos pruebas [1]. Por eso la detección por parte de los empleados y del equipo de seguridad sigue siendo útil entre una prueba y otra. Después viene la respuesta a incidentes. El NIST publicó en abril de 2025 la revisión 3 de su guía, que sitúa la respuesta a incidentes dentro de la gestión global del riesgo que describe el Cybersecurity Framework 2.0 [4][6]. Su objetivo es preparar mejor las respuestas, reducir el número y el impacto de los incidentes y mejorar la detección, la respuesta y la recuperación [6]. ## Qué hace usted El texto siguiente es una indicación práctica, no un hecho extraído de una fuente: el procedimiento de su empresa prevalece siempre. - Avise en cuanto algo le parezca anormal. Acuda al soporte o al SOC, según lo que indique su empresa. - Describa los hechos: la hora, lo que aparecía en pantalla, lo que abrió o escribió. Un detalle que parece menor puede ayudar al equipo a relacionar varias señales. - No responda al remitente de un mensaje sospechoso ni se enfrente a la persona cuya acción sospecha. - No apague el equipo mientras no se lo pidan, y espere las instrucciones del soporte o del SOC. - Si después se entera de que era un ejercicio, el aviso no fue inútil: puso en marcha la cadena de detección. ## Las trampas Creer que un ejercicio es un ataque real, o lo contrario. Como los evaluadores pueden no haber recibido ninguna información interna y el nivel de conocimiento de la prueba entre los administradores varía [1], la diferencia no tiene por qué verse desde su equipo. Avise en ambas situaciones. No avisar por miedo a que le culpen. El NCSC parte del principio de que los incidentes pueden producirse y se producirán, y de que la preparación es lo que ayuda a gestionarlos bien [3]. Avisar demasiado tarde. El NIST describe el objetivo de una capacidad de respuesta como la detección rápida de los incidentes y la limitación de las pérdidas [5]. Pensar que la seguridad descansa en los evaluadores. El NCSC precisa que la evaluación de riesgos y las decisiones de corrección siguen siendo responsabilidad de la organización, y que la reducción del riesgo es un proceso de negocio que no debe confiarse por completo al equipo de pruebas [1]. ## Fuentes 1. NCSC (Royaume-Uni), «Penetration testing», 8 de agosto de 2017. https://www.ncsc.gov.uk/guidance/penetration-testing (consultado el 3 de noviembre de 2026) 2. NIST, «Technical Guide to Information Security Testing and Assessment». https://csrc.nist.gov/pubs/sp/800/115/final (consultado el 3 de noviembre de 2026) 3. NCSC (Royaume-Uni), «Incident management», 19 de septiembre de 2019. https://www.ncsc.gov.uk/collection/incident-management (consultado el 3 de noviembre de 2026) 4. NIST, «Cybersecurity Framework». https://www.nist.gov/cyberframework (consultado el 3 de noviembre de 2026) 5. NIST, «Computer Security Incident Handling Guide», 6 de agosto de 2012. https://www.nist.gov/publications/computer-security-incident-handling-guide (consultado el 3 de noviembre de 2026) 6. NIST, «Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile». https://csrc.nist.gov/pubs/sp/800/61/r3/final (consultado el 3 de noviembre de 2026) 7. MITRE ATT&CK, «MITRE ATT&CK®». https://attack.mitre.org/ (consultado el 3 de noviembre de 2026) 8. MITRE, «MITRE D3FEND Knowledge Graph». https://d3fend.mitre.org/ (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/pentest-red-team-blue-team-purple-team/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.