Blog
Simulación de brechas y ataques frente a CTEM: dónde se solapan
Las herramientas de simulación de brechas y ataques ejecutan técnicas de atacante contra el entorno de forma programada e indican si los controles las detectaron. La fase de validación de CTEM ejecuta intentos de explotación contra el entorno e indica si una exposición concreta es explotable. Dicho así de rápido, suenan al mismo producto con otra etiqueta. No lo son, y la distancia entre ambos es exactamente donde vive buena parte del marketing de «plataforma CTEM».
Qué prueba realmente BAS
Una herramienta BAS viene con una biblioteca de técnicas de atacante, normalmente mapeadas a MITRE ATT&CK, y las ejecuta contra el entorno de forma programada: una técnica de volcado de credenciales, una técnica de movimiento lateral, un comportamiento de ransomware conocido, un patrón concreto de comunicación C2. Después comprueba qué ocurrió. Si el agente EDR lo marcó. Si la regla del SIEM se disparó. Si la pasarela de correo bloqueó el payload. Si el proxy detuvo la conexión de retorno.
La unidad bajo prueba es el control, no el objetivo. A BAS no le importa si el host concreto en el que ejecutó la simulación tiene una ruta real y explotable hacia algo valioso. Le importa si la técnica, como patrón conocido y catalogado, es detectada. Ejecute la misma simulación contra dos hosts con cobertura EDR idéntica y cabe esperar el mismo resultado en ambos, porque la pregunta es «¿funciona esta clase de control?», no «¿está expuesto este activo?».
Eso hace que BAS sea bueno en algo acotado y útil: detectar la deriva de los controles. Una regla de detección que funcionaba en enero puede dejar de funcionar en silencio tras una actualización del agente, un ajuste del SIEM o un cambio de política que nadie vinculó a la cobertura de seguridad. Ejecutar de forma continua la biblioteca mapeada a ATT&CK es la manera de descubrirlo antes que un atacante, y no durante la retrospectiva de un incidente.
Qué prueba realmente la validación CTEM
La fase de validación de CTEM parte de un punto distinto: de una exposición concreta que el descubrimiento y la priorización ya encontraron en el entorno real. Una cuenta de servicio con privilegios excesivos en un host determinado. Un bucket de almacenamiento mal configurado. Una versión vulnerable de un servicio en un sistema que está en una ruta hacia la base de datos de finanzas. La validación plantea una única pregunta sobre esa única cosa: ¿puede un atacante usarla, desde aquí, para llegar a lo que dijimos que nos importaba?
El método se parece a una prueba de penetración acotada y segura, no a una biblioteca de técnicas. Encadena la exposición concreta con aquello a lo que realmente conduce en el entorno: esta cuenta más esta relación de confianza más esta ruta de red equivalen a un camino hasta el controlador de dominio, o no. El resultado no es «se detectó la técnica T1078», sino «esta exposición, en este host, es explotable, y esto es lo que alcanza» o «esta exposición parece grave sobre el papel y no lo es, porque la ruta está bloqueada por un control que no sabíamos que estaba en medio».
La diferencia está en a qué se generaliza cada resultado. Un resultado BAS sobre una técnica se generaliza a todo el entorno, porque el control o detecta esa clase de técnica o no. Un resultado de validación sobre una exposición no se generaliza a nada más; es un hecho sobre un hallazgo concreto.
| Pregunta | BAS | Validación CTEM |
|---|---|---|
| Unidad bajo prueba | Un control (EDR, regla SIEM, pasarela) | Una exposición concreta descubierta |
| Origen del caso de prueba | Biblioteca de técnicas mapeadas a ATT&CK | Resultado del descubrimiento y la priorización |
| Resultado | Detectado / bloqueado / no detectado | Explotable / no explotable, y qué alcanza |
| Cadencia | Continua, programada | Por exposición, sobre la lista priorizada |
| Responde a | «¿Detectarían nuestros controles esta clase de técnica?» | «¿Es esta exposición, ahora mismo, una ruta real hacia algo que importa?» |
Por qué BAS es una buena entrada, no un sustituto
Nada de eso hace que BAS sea inútil para un programa CTEM; al contrario. Un equipo de validación que ya sabe que existe una carencia en un control, porque BAS la señaló, puede priorizar más alto las exposiciones que pasan por esa carencia que aquellas que un control operativo probablemente detendría. El propio planteamiento de Gartner integra BAS en una categoría más amplia que denomina validación adversarial de la exposición (adversarial exposure validation), junto con las pruebas de penetración automatizadas y el red teaming automatizado, precisamente porque son formas complementarias de producir evidencia de que un ataque es viable (Gartner, marzo de 2025, Market Guide for Adversarial Exposure Validation). La salida de BAS es una de las mejores fuentes para la evidencia de la fase de validación, en particular para la mitad de la pregunta que dice «¿se detectaría esto si ocurriera?».
Lo que no puede hacer es sustituir al ciclo. El alcance es una conversación con los responsables de negocio sobre qué procesos y activos importan; una biblioteca de técnicas no tiene opinión al respecto. El descubrimiento consiste en encontrar las exposiciones que existen en el entorno concreto; BAS no enumera el inventario de activos, ni los subdominios olvidados, ni las identidades con permisos excesivos: ejecuta una biblioteca fija contra aquello a lo que ya se le apuntó. La movilización es un responsable designado, un ticket y un cierre verificado; BAS produce un informe sobre cobertura de controles, no un flujo de remediación con un responsable asignado. Un despliegue BAS, ejecutado a la perfección, dice mucho sobre la postura de detección y nada sobre si la lista de exposiciones del mes pasado importaba realmente o se corrigió.
Cuando un proveedor de BAS se llama a sí mismo plataforma CTEM
Algunos proveedores de BAS comercializan ahora su producto como plataforma CTEM completa, y conviene ser específico sobre lo que suele faltar cuando lo hacen. El alcance casi nunca está; el producto no tiene un flujo para acordar qué procesos de negocio están en juego, porque no se construyó para hablar con responsables de negocio. El descubrimiento es escaso o inexistente; una biblioteca de técnicas no es un inventario de activos, y ejecutar simulaciones contra hosts ya conocidos no encuentra los que no lo son. La priorización existe solo en el sentido estrecho de ordenar qué carencias de detección corregir primero, no en el sentido de ordenar exposiciones por impacto en el negocio, porque a la herramienta nunca se le mostraron las exposiciones. La movilización suele ser un informe o un conjunto de reglas de detección sugeridas, no una cadena de remediación con seguimiento, responsables y cierre verificado.
Lo que sí está, y tiene valor real, es una respuesta sólida y continua a una parte de la validación: la eficacia de los controles frente a técnicas conocidas. Merece la pena comprarlo. Merece la pena comprarlo como entrada para la validación, con el precio y la evaluación de una fase de un ciclo de cinco, no como el ciclo en sí. La pista suele estar en la presentación comercial: si el alcance y la movilización reciben una diapositiva cada uno y el descubrimiento una mención, pero la validación por técnica ocupa toda la demostración, se está ante una muy buena herramienta BAS con etiqueta CTEM.
Siguiente
Lea Herramientas CTEM: qué hace realmente cada categoría para ver cómo se compara BAS con las pruebas de penetración automatizadas y el resto del conjunto de herramientas de validación, CTEM frente a gestión de vulnerabilidades para entender por qué la validación existe como fase, y use el directorio de proveedores para comprobar qué cubre un producto BAS concreto antes de comprarlo como plataforma.