Red Team Roadmap: Qué Aprender para Empezar desde Cero

¿Qué es realmente Red Team? #

Red Team representa el ámbito ofensivo y adversarial de la ciberseguridad. Su propósito no es destruir sistemas ni causar perjuicio, sino emular de forma estrictamente autorizada los comportamientos, tácticas, técnicas y procedimientos (TTPs) de atacantes reales.

A través de estos ejercicios, una organización puede descubrir hasta dónde podría penetrar un adversario cualificado, qué activos críticos quedarían comprometidos y qué controles de detección defensiva (Blue Team / SOC) funcionan o fallan en condiciones reales.

El marco oficial NIST NICE Framework define el perfil profesional ofensivo mediante competencias prácticas, tareas y habilidades verificables, y no mediante el simple conocimiento de comandos o herramientas automáticas. Por su parte, ENISA incluye el perfil de Penetration Tester entre los 12 roles nucleares europeos dentro del cruce ECSF–ESCO, homologándolo con la denominación de Ethical Hacker.

Red Team vs. Pentesting: una distinción fundamental #

Aunque ambos pertenecen a la seguridad ofensiva, tienen metodologías, alcances y metas diferentes:

Aspecto	Penetration Testing (Pentesting)	Red Team Operations
Objetivo	Encontrar y evaluar el mayor número posible de vulnerabilidades dentro de un alcance fijado.	Alcanzar un objetivo estratégico específico (ej. comprometer la base de datos de pagos o el Domain Controller).
Visibilidad defensiva	Suele ser coordinado; el equipo defensor sabe que se está ejecutando la prueba técnica.	Se ejecuta de forma encubierta (Adversary Simulation) para poner a prueba la capacidad de detección y respuesta del Blue Team.
Alcance y vectores	Sistemas, rangos IP o aplicaciones web delimitadas por contrato.	Múltiples vectores combinados: ingeniería social, red perimetral, Active Directory, cloud y acceso físico.
Foco del informe	Listado clasificado de vulnerabilidades técnicas (CVE/CVSS) y cómo parchearlas.	Línea temporal de la intrusión, impacto en el negocio, brechas de detección y resiliencia defensiva.

Antes de empezar Red Team: la base técnica que necesitas #

No necesitas saberlo todo para comenzar, pero intentar aprender técnicas ofensivas avanzadas sin dominar cómo funcionan los sistemas subyacentes conduce a memorizar recetas que fallan en cuanto el entorno cambia mínimamente.

Debes construir primero una base en cuatro pilares:

Redes: Direccionamiento IP, subredes, TCP/UDP, puertos, DNS, routing, NAT, firewalls e inspección con Wireshark.
Linux: Terminal, estructura de directorios, usuarios, grupos, permisos (chmod/chown), procesos, servicios (systemd), logs y SSH.
Windows: Usuarios locales, grupos, permisos NTFS, servicios, procesos, registro y PowerShell básico.
Seguridad conceptual: Distinción clara entre vulnerabilidad, amenaza, riesgo, autenticación, autorización y mínimos privilegios.

Red Team roadmap: visión completa de la ruta #

La progresión lógica para avanzar desde cero hasta un perfil profesional ofensivo se estructura en 15 fases:

Redes → Linux → Windows → Scripting → HTTP/Web → Reconocimiento → Enumeración → Vulnerabilidades → Explotación → Escalada de Privilegios → Active Directory → Movimiento Lateral / Pivoting → Reporting → OPSEC / Evasión → Especialización

Cada fase depende directamente de la anterior. No puedes comprender la explotación de un servicio de red si no entiendes en qué puerto escucha, con qué usuario corre en el sistema operativo y qué segmento puede alcanzar.

Especialización Profesional

Hacking Ético Ofensivo: 100% Práctico en Red Team (+43hs)

Aprende auditorías de pentesting, técnicas de explotación, Active Directory, escalada y reporting profesional paso a paso.

Fases 1 a 5: Fundamentos técnicos (Redes, Linux, Windows, Scripting y Web) #

Fase 1: Redes

Red Team opera continuamente sobre redes. Debes ser capaz de identificar hosts, interpretar tablas de enrutamiento, entender sockets a la escucha y analizar el tráfico que intercambian tus herramientas con el objetivo.

Fase 2: Linux

Muchos servidores objetivo y entornos de laboratorio operan bajo Linux. Necesitas saber moverte por la terminal, auditar permisos, procesos, tareas de cron y servicios para identificar vectores de escalada de privilegios.

Fase 3: Windows Standalone

En el mundo empresarial, los puestos de trabajo y servidores Windows son la norma. Antes de saltar a Active Directory, domina los permisos locales, el visor de eventos, los servicios de Windows y la administración mediante PowerShell.

Fase 4: Scripting y automatización

No necesitas ser un desarrollador de software a tiempo completo, pero sí crear y modificar scripts rápidos en Python (para interactuar con APIs y manipular requests), Bash (para procesar salidas en Linux) y PowerShell (para interactuar con entornos Windows).

Fase 5: HTTP y seguridad en aplicaciones web

La web es la superficie expuesta más accesible. Debes dominar la estructura de peticiones/respuestas HTTP, cabeceras, cookies, tokens JWT, mecanismos de autenticación y los estándares de seguridad en aplicaciones como OWASP ASVS y el OWASP Top 10.

Fases 6 a 9: Reconocimiento, Enumeración, Vulnerabilidades y Explotación #

Fase 6: Reconocimiento (OSINT y superficie de ataque)

Descubrimiento de infraestructura pública asociada al objetivo autorizado: subdominios, certificados TLS, rangos ASN, repositorios públicos y tecnologías expuestas, dividiendo las técnicas en pasivas (sin enviar tráfico al objetivo) y activas.

Fase 7: Enumeración técnica

Interrogación sistemática de cada puerto y servicio descubierto. No basta con saber que el puerto 445 está abierto; debes determinar la versión exacta de SMB, si admite autenticación anónima y qué carpetas compartidas expone.

Fase 8: Análisis de vulnerabilidades y contexto

Identificación de debilidades reales: errores de configuración, credenciales por defecto, software desactualizado con CVEs públicos o fallos de lógica de negocio. Comprender que una vulnerabilidad con CVSS alto puede tener impacto nulo si está aislada por segmentación, y viceversa.

Fase 9: Explotación técnica y Proof of Concept (PoC)

Demostración controlada de que una vulnerabilidad puede aprovecharse para ejecutar código remoto (RCE), evadir controles de acceso o leer información confidencial. El estándar profesional exige comprender el mecanismo exacto del exploit y no limitarse a lanzar módulos automáticos a ciegas.

Fases 10 y 11: Escalada de privilegios y Active Directory #

Fase 10: Escalada de privilegios (Linux & Windows)

Tras obtener una shell inicial con un usuario limitado (como www-data o un usuario de dominio estándar), el objetivo es elevar privilegios a administrador (root o SYSTEM):

En Linux: Mala configuración de sudo, binarios con SUID indebidos, tareas de cron editables, credenciales en texto claro y capacidades del kernel.
En Windows: Permisos de servicio débiles, rutas sin comillas (Unquoted Service Paths), tokens de impersonación (SeImpersonatePrivilege) y DLL Hijacking.

Fase 11: Active Directory corporativo

El núcleo de la seguridad ofensiva empresarial. En Active Directory aprenderás cómo se gestionan identidades, dominios, relaciones de confianza, políticas GPO y el protocolo Kerberos:

[ Usuario / Workstation ] ---> [ AS-REQ / AS-REP (TGT) ] ---> [ KDC / Domain Controller ]
                                                                     |
[ Servidor de Destino ]  <--- [ AP-REQ (Ticket de Servicio) ] <------+ (TGS-REQ / TGS-REP)

Aprenderás a auditar ataques y debilidades clásicas como Kerberoasting (extracción de tickets de cuentas de servicio para cracking offline), AS-REP Roasting, abusos de ACLs en BloodHound y delegaciones Kerberos.

Fases 12 y 13: Movimiento lateral, Pivoting y Reporting técnico #

Fase 12: Movimiento lateral y Pivoting de red

Comprometer un equipo rara vez permite acceder de inmediato a la información crítica. El pivoting consiste en utilizar un sistema comprometido como puente para enrutar tráfico hacia subredes internas no accesibles desde el exterior mediante túneles SSH, proxies SOCKS o herramientas como Chisel y Ligolo-ng.

[ MÁQUINA ATACANTE ]
        |
        v  (Túnel SSH / Proxy SOCKS)
[ HOST PIVOT COMPROMETIDO ] (Con dos tarjetas de red: Pública y LAN Interna)
        |
        v  (Tráfico enrutado a la red oculta)
[ SERVIDOR INTERNO / BASE DE DATOS ]

Fase 13: Reporting profesional de hallazgos

El producto final que recibe el cliente por el que paga un servicio de Red Team es el informe técnico y ejecutivo. Un hallazgo profesional debe documentar con claridad:

Estructura de un hallazgo técnico profesional

1. Título y Severidad: Clasificación clara del riesgo (Crítico, Alto, Medio, Bajo, Informativo).
2. Activo Afectado: URL, dirección IP o componente de software específico.
3. Descripción del Fallo: Explicación técnica de la causa raíz de la debilidad.
4. Pasos de Reproducción: Guía detallada con comandos y capturas para verificar el problema.
5. Impacto Real en el Negocio: Qué datos o procesos se ven comprometidos.
6. Recomendaciones de Remediación: Código corregido, políticas de firewall o parches oficiales.

Fases 14 y 15: OPSEC, Evasión de defensas y Especializaciones avanzadas #

En etapas avanzadas, los ejercicios de Red Team evalúan la capacidad de detección de la organización:

OPSEC (Operations Security): Minimizar la huella técnica, regular tiempos de conexión y evitar firmas automáticas reconocidas.
Interacción con Blue Team: Comprender qué telemetría generan tus acciones en los agentes EDR, SIEM y sensores de red para medir la cobertura del marco MITRE ATT&CK.
Especializaciones posteriores: Web Application Pentesting avanzado, Cloud Pentesting (AWS/Azure/GCP IAM y arquitecturas serverless), Wireless Security o Desarrollo de Exploits en C/Assembly.

Qué herramientas aprender (y qué NO aprender todavía) #

Herramientas prioritarias

Fundamentos: Terminal Linux, PowerShell, Git, Wireshark, curl.
Reconocimiento y Red: Nmap, DNS utils (dig), herramientas OSINT.
Seguridad Web: DevTools del navegador, Burp Suite Community / Pro.
Active Directory: BloodHound, Impacket suite, Mimikatz (en laboratorios controlados).
Automatización: Python 3, Bash scripting, PowerShell scripting.

NO necesitas al empezar

Bypasses avanzados de EDR basados en hooks del kernel;
Desarrollo de malware personalizado desde cero;
Frameworks C2 complejos en infraestructura distribuida;
Explotación de memoria a bajo nivel (Heap spray, ROP chains).

6 Laboratorios prácticos para desarrollar habilidades ofensivas #

Lab 1: Reconocimiento y mapeo de red local

Configura un entorno virtualizado y realiza escaneos progresivos con Nmap: identifica servicios activos, puertos filtrados y versiones sin lanzar escaneos destructivos.

Lab 2: Auditoría web con Burp Suite y OWASP Juice Shop

Despliega una aplicación vulnerable como OWASP Juice Shop o DVWA en Docker. Intercepta peticiones con Burp Suite, manipula parámetros y documenta fallos de inyección SQL y XSS.

Lab 3: Escalada de privilegios en Linux

Crea una máquina Linux con permisos erróneos en /etc/sudoers o binarios SUID configurados. Realiza una enumeración manual metódica antes de recurrir a scripts automáticos.

Lab 4: Auditoría local de Windows

En una VM Windows, analiza permisos de servicios con Get-Service y icacls. Identifica servicios vulnerables a reemplazo de binario y verifica la elevación a SYSTEM.

Lab 5: Laboratorio corporativo de Active Directory

Monta un controlador de dominio Windows Server y 2 clientes. Practica la extracción de relaciones con BloodHound y ataques de Kerberoasting en un entorno cerrado.

Lab 6: Ejercicio de Purple Team (Ataque y Detección)

Ejecuta una técnica ofensiva y abre inmediatamente los visores de eventos de Windows y el syslog para observar exactamente qué trazas y artefactos deja tu ataque.

Cómo construir un portfolio Red Team profesional #

Nunca publiques actividades no autorizadas ni datos confidenciales. Un portfolio técnico excelente para entrevistas de seguridad ofensiva incluye:

Write-ups detallados de CTFs autorizados: Explicando no solo la solución (la flag), sino la metodología de razonamiento, las hipótesis descartadas y las recomendaciones de mitigación.
Repositorio GitHub con scripts propios: Herramientas sencillas para automatizar parsing de datos, escaneos o chequeos de configuración.
Informes de pentesting simulados de muestra: Redactando un informe profesional ficticio con resumen ejecutivo, análisis de impacto de negocio y remediaciones claras.

Certificaciones de seguridad ofensiva en perspectiva #

Las certificaciones son herramientas útiles para estructurar el estudio y acreditar competencias prácticas en procesos de selección, pero no deben sustituir a los fundamentos:

Nivel Inicial / Práctico: eJPT (eLearnSecurity Junior Penetration Tester) — Enfoque práctico ideal para consolidar redes, enumeración y explotación básica.
Nivel Intermedio / Estándar de la Industria: OSCP (OffSec Certified Professional) o CPTS (Hack The Box Certified Penetration Testing Specialist) — Exámenes 100 % prácticos con informe técnico obligatorio.
Nivel Avanzado / Red Team: CRTO (Certified Red Team Operator) — Enfocada en simulación adversarial, Active Directory y evasión defensiva.

Cómo saber si ya tienes nivel para buscar un puesto Junior #

La prueba del laboratorio autónomo

Si te entregan una máquina virtual desconocida y eres capaz de identificar su IP, descubrir y enumerar servicios, formular hipótesis sobre posibles fallos, obtener acceso inicial, intentar escalada de privilegios y redactar un informe con evidencias y recomendaciones claras sin copiar un tutorial paso a paso: tienes el nivel para empezar a postular a posiciones junior de seguridad ofensiva.

Red Team roadmap resumido por hitos de competencia #

Hito 1 (Fundamentos): Explicas cómo se comunican las redes y cómo operan los sistemas operativos.
Hito 2 (Sistemas): Te desenvuelves con autonomía en consolas Linux y PowerShell de Windows.
Hito 3 (Web): Analizas peticiones HTTP y comprendes las vulnerabilidades del OWASP Top 10.
Hito 4 (Enumeración): Descubres y perfilas superficies de ataque de forma metódica.
Hito 5 (Explotación): Demuestras vulnerabilidades entendiendo el mecanismo interno del fallo.
Hito 6 (Active Directory): Auditas identidades y relaciones de confianza en entornos corporativos.
Hito 7 (Comunicación): Redactas informes técnicos rigurosos con propuestas de remediación.

Errores frecuentes al aprender Red Team #

Empezar instalando Kali sin saber Linux ni redes: Memorizas comandos sin entender qué ocurre por debajo.
Ignorar los entornos Windows corporativos: La inmensa mayoría de auditorías empresariales giran alrededor de Active Directory.
Hacer solo CTFs sin practicar reporting: El trabajo profesional consiste en comunicar impacto y ayudar a corregir, no solo en capturar flags.
Lanzar herramientas automáticas sin criterio: Desconocer qué tráfico genera una herramienta impide defender tus hallazgos ante el cliente.
Ignorar al Blue Team: Un buen Red Teamer necesita comprender qué telemetría y alertas generan sus acciones en los sistemas defensivos.

Preguntas frecuentes sobre Red Team #

¿Qué es Red Team en ciberseguridad?

Es una disciplina ofensiva autorizada orientada a emular comportamientos y tácticas adversariales reales para evaluar la resistencia de una organización, medir el impacto de un ataque y poner a prueba las capacidades de detección y respuesta del Blue Team.

¿Qué debo estudiar para Red Team?

Debes construir primero bases en redes (TCP/IP, protocolos), sistemas operativos (Linux y Windows), scripting (Python, Bash, PowerShell) y seguridad web (HTTP, OWASP). Después profundizarás en reconocimiento, enumeración, explotación, escalada de privilegios, Active Directory, pivoting y reporting técnico.

¿Necesito saber programar para Red Team?

No necesitas ser desarrollador senior, pero dominar scripting en Python, Bash y PowerShell es fundamental para automatizar tareas, modificar exploits públicos, interactuar con APIs y procesar salidas de herramientas.

¿Necesito Kali Linux para empezar?

No para empezar desde cero. Conviene aprender primero la administración de sistemas en una distribución estándar como Ubuntu o Debian. Una vez asimilados los conceptos del sistema, Kali se convierte en un entorno muy cómodo para tus laboratorios de pentesting.

¿Red Team y pentesting son lo mismo?

No exactamente. Un pentesting evalúa exhaustivamente vulnerabilidades dentro de un alcance y tiempo definidos. Un Red Team engagement persigue objetivos estratégicos concretos (como acceder a la base de datos de clientes o comprometer el Domain Controller) emulando adversarios reales y evaluando si la defensa detecta la intrusión.

¿Necesito aprender Active Directory?

Sí, para cualquier entorno corporativo. El 90% de las empresas gestiona sus identidades y accesos mediante Active Directory. Comprender Kerberos, LDAP, GPOs y relaciones de confianza es vital para auditorías ofensivas profesionales.

¿Qué herramientas debo aprender para Red Team?

Empieza por la terminal, Wireshark, Nmap, curl, Git, Burp Suite y utilidades de scripting. Más adelante incorporarás herramientas de reconocimiento, explotación y frameworks de Active Directory según las necesidades de cada laboratorio.

¿Los CTFs sirven para conseguir trabajo de Red Team?

Son un entrenamiento excelente para desarrollar pensamiento lateral, persistencia y habilidades técnicas. Sin embargo, deben complementarse con habilidades de reporting profesional, comprensión de normativas, OPSEC y remediación en entornos reales.

¿Qué certificación Red Team hacer primero?

No contrates exámenes antes de dominar los fundamentos. Certificaciones prácticas de nivel inicial como eJPT o intermedias como OSCP o CPTS pueden ser útiles para estructurar el estudio y acreditar competencias una vez que tengas base sólida.

¿Puedo entrar en Red Team sin carrera universitaria?

Sí. En seguridad ofensiva el mercado valora de forma determinante las habilidades prácticas demostrables, laboratorios propios, write-ups bien documentados, certificaciones reconocidas y capacidad analítica por encima de un título académico obligatorio.

¿Cuánto tiempo se tarda en aprender Red Team?

Depende de tu punto de partida. Alguien con base en redes y administración de sistemas puede avanzar con rapidez en 6 a 12 meses. Quien parte de cero necesitará primero consolidar fundamentos. Es mucho más productivo medir hitos de competencia que meses de calendario.

Conclusión y fuentes de referencia #

La seguridad ofensiva profesional no consiste en coleccionar herramientas automáticas ni ejecutar comandos memorizados. Consiste en un ciclo metódico y riguroso:

Entiendo el sistema → Observo y enumero → Formulo hipótesis → Pruebo en laboratorio → Demuestro impacto → Documento evidencias → Recomiendo la solución

Construye primero bases sólidas en redes y sistemas, practica en entornos controlados y enfócate en comprender el porqué técnico de cada fallo. Esa es la diferencia entre un operador de herramientas y un verdadero profesional de Red Team.

Fuentes y marcos de referencia oficiales

NIST NICE Framework: Definición de competencias laborales, tareas y roles profesionales de ciberseguridad ofensiva.
NIST — Framework in Focus: Offensive Security: Guías técnicas y distinciones entre pruebas de penetración y operaciones de simulación adversarial.
ENISA ECSF / ESCO Crosswalk: Mapeo del perfil profesional de Penetration Tester y Ethical Hacker en la Unión Europea.
OWASP (Open Web Application Security Project) ASVS: Estándar de verificación de seguridad y controles en aplicaciones web y APIs.