🚀 Nivel Principiante

1. ¿Cómo coordinarías una auditoría PKI entre Red y Blue Team?

Respuesta:

La coordinación de una auditoría PKI requiere una colaboración estructurada y transparente entre los equipos Red y Blue para garantizar que se identifiquen, documenten y resuelvan todas las vulnerabilidades.

✅ Pasos para una Auditoría PKI Efectiva:

1. Definir Objetivos Claros:

   • Identificar los puntos clave a auditar: certificados raíz, intermediarios, almacenamiento de claves privadas, configuración SSL/TLS.
   • Establecer el alcance (infraestructura crítica, entornos de prueba, sistemas heredados).

2. Asignar Responsabilidades:

   • Red Team: Realizará pruebas de penetración, identificará configuraciones incorrectas y explotará certificados débiles.
   • Blue Team: Revisará los registros de auditoría, implementará controles de seguridad y corregirá configuraciones deficientes.
   • Purple Team: Facilitará la comunicación, documentará los hallazgos y asegurará que las acciones correctivas se implementen.

3. Usar Herramientas Apropiadas:

   • Red Team: nmap, SSL Labs, Bettercap.
   • Blue Team: OpenSSL, AIDE, Tripwire.
   • SIEM (Splunk, Wazuh) para el monitoreo centralizado.

4. Revisión Periódica:

   • Realizar reuniones semanales para revisar los hallazgos.
   • Priorizar las vulnerabilidades según su impacto y probabilidad de explotación.

5. Informe Final:

   • Crear un informe detallado con hallazgos, recomendaciones y un plan de acción para mitigación.

Escenario Práctico:
El Red Team detecta certificados autofirmados en servidores de producción. El Purple Team coordina con el Blue Team para reemplazar estos certificados con otros emitidos por una CA confiable y configura alertas para detectar futuros usos no autorizados.

2. ¿Cómo crearías políticas claras de gestión de certificados?

Respuesta:

Las políticas de gestión de certificados deben ser claras, concisas y estar alineadas con estándares internacionales (ej., RFC 5280, NIST).

✅ Componentes Clave de una Política de Gestión de Certificados:

1. Generación de Certificados:

   • Solo CA confiables deben emitir certificados.
   • Definir algoritmos seguros (RSA-2048+, ECC-256+).
   • Uso obligatorio de Salting y Key Stretching en claves.

2. Almacenamiento de Claves Privadas:

   • Almacenar claves en HSM (Hardware Security Modules).
   • Implementar el principio de mínimos privilegios (PoLP).

3. Renovación de Certificados:

   • Configurar alertas automáticas para certificados próximos a expirar.
   • Utilizar herramientas como Certbot para automatizar la renovación.

4. Revocación de Certificados:

   • Publicar Listas de Revocación (CRL) actualizadas regularmente.
   • Implementar OCSP para verificar certificados en tiempo real.

5. Políticas de Auditoría:

   • Realizar auditorías trimestrales.
   • Documentar y revisar todas las operaciones realizadas con claves privadas.

6. Capacitación Continua:

   • Educar a los equipos en las políticas y mejores prácticas de gestión.

Escenario Práctico:
El Purple Team implementa una política que obliga al uso de claves ECC-256 y prohíbe el uso de certificados autofirmados en producción.

3. ¿Cómo entrenarías a ambos equipos en el manejo de certificados autofirmados?

Respuesta:

El entrenamiento debe ser teórico y práctico, adaptado a las responsabilidades de cada equipo.

✅ Plan de Entrenamiento:

1. Sesiones Teóricas Comunes:

   • Introducción al Root of Trust.
   • Diferencias entre certificados autofirmados y certificados de CA.
   • Casos de uso legítimos y riesgos de los certificados autofirmados.

2. Laboratorios Prácticos:

   • Red Team: Simular un ataque MitM usando certificados autofirmados.
   • Blue Team: Detectar y mitigar el

uso indebido de certificados autofirmados mediante herramientas como SSL Labs o OpenVAS.

• Purple Team: Coordinar ejercicios de auditoría donde los hallazgos ofensivos se traduzcan en medidas defensivas.

1. Escenarios Controlados:

   • Crear un entorno de prueba con un servidor que utilice certificados autofirmados.
   • Permitir al Red Team intentar explotarlo y al Blue Team detectarlo y solucionarlo.

2. Documentación y Procedimientos:

   • Proporcionar guías claras sobre cómo detectar y reemplazar certificados autofirmados.
   • Crear políticas que prohíban su uso en entornos de producción.

3. Simulacros de Incidentes:

   • Simular una brecha donde un atacante explota un certificado autofirmado.
   • Evaluar la capacidad de respuesta y las lecciones aprendidas.

Escenario Práctico:
El Purple Team diseña un ejercicio donde el Red Team intenta explotar un certificado autofirmado en un servidor crítico, mientras el Blue Team debe detectarlo y revocar su uso.

🚀 Nivel Avanzado

4. ¿Cómo evaluarías la respuesta ante un incidente con una CA comprometida?

Respuesta:

Evaluar una respuesta ante una CA comprometida requiere un enfoque estructurado y detallado.

✅ Pasos para Evaluar la Respuesta:

1. Detección Inicial:

   • Analizar cómo se detectó el compromiso (alertas SIEM, revisión manual).
   • Determinar el alcance del compromiso (¿solo certificados intermedios o también el certificado raíz?).

2. Respuesta Inmediata:

   • Evaluar si se revocaron correctamente los certificados comprometidos.
   • Verificar si se notificó a las partes afectadas.

3. Aislamiento del Incidente:

   • Confirmar que el servidor CA comprometido fue desconectado de la red.
   • Validar que se bloqueó el acceso no autorizado.

4. Análisis Forense:

   • Revisar registros de auditoría para determinar cómo ocurrió el compromiso.
   • Identificar posibles fallos en el almacenamiento de claves privadas.

5. Restauración y Recuperación:

   • Validar la emisión de nuevos certificados raíz/intermedios.
   • Asegurar que las claves privadas comprometidas sean completamente retiradas.

6. Informe Final:

   • Documentar las causas raíz y las acciones correctivas implementadas.
   • Proporcionar recomendaciones para prevenir futuros incidentes.

Escenario Práctico:
Tras la detección de un compromiso en una CA intermedia, el Purple Team supervisa la revocación de los certificados afectados, valida la restauración del sistema y realiza una auditoría forense completa.

5. ¿Qué métricas usarías para medir la seguridad del Root of Trust?

Respuesta:

Las métricas proporcionan información cuantificable sobre el estado de seguridad del Root of Trust.

✅ Métricas Clave:

1. Porcentaje de Certificados Válidos vs. Revocados:

   • Cuántos certificados han sido revocados en el último período.
   • Detectar tendencias inusuales en revocaciones.

2. Tiempo de Respuesta ante Incidentes de CA:

   • Tiempo promedio para detectar y responder a un compromiso en una CA.
   • Tiempo para revocar certificados comprometidos.

3. Frecuencia de Auditorías PKI:

   • Número de auditorías realizadas en los últimos 12 meses.

4. Cumplimiento de Políticas de Seguridad:

   • Porcentaje de servidores que utilizan certificados de CA válidos.
   • Cuántos servidores aún permiten certificados autofirmados.

5. Alertas sobre Certificados Caducados:

   • Porcentaje de certificados próximos a expirar que fueron renovados a tiempo.

6. Uso de Herramientas Automatizadas:

   • Número de sistemas que tienen alertas automatizadas para expiración y revocación de certificados.

Escenario Práctico:
El Purple Team identifica que el 15% de los certificados no tienen alertas automatizadas configuradas. Se implementa un sistema de monitoreo centralizado para corregir esta deficiencia.

6. ¿Cómo documentarías los hallazgos de un ataque a una CA?

Respuesta:

La documentación es crítica para comprender el impacto del ataque y para prevenir futuros incidentes.

✅ Estructura de la Documentación:

1. Resumen Ejecutivo:

   • Descripción general del incidente.
   • Impacto en la infraestructura PKI.

2. Cronología del Incidente:

   • Línea de tiempo desde la detección hasta la resolución.
   • Acciones realizadas en cada etapa.

3. Detalles Técnicos:

   • Cómo se comprometió la CA (exploit, credenciales filtradas, ingeniería social).
   • Vulnerabilidades específicas explotadas.

4. Análisis Forense:

   • Registros de actividad sospechosa.
   • Evidencias recolectadas.

5. Acciones Correctivas:

   • Certificados revocados.
   • Medidas implementadas para mitigar el riesgo.

6. Recomendaciones:

   • Mejoras sugeridas para políticas de seguridad.
   • Capacitación adicional para el personal.

7. Lecciones Aprendidas:

   • Identificación de debilidades en procesos y políticas.
   • Ajustes a futuros ejercicios de respuesta.

Escenario Práctico:
Tras un ataque exitoso a una CA intermedia, el Purple Team elabora un informe detallado con recomendaciones para fortalecer la política de almacenamiento de claves privadas.

🚀 Nivel Experto

7. ¿Cómo garantizarías la rotación segura de una CA raíz?

Respuesta:

• Planificación Anticipada: Iniciar la rotación con al menos un año de antelación.
• Generación de Nuevas Claves Privadas: Usar HSM para garantizar la seguridad.
• Reemisión de Certificados Intermedios: Firmar nuevos certificados intermedios con la nueva raíz.
• Validación Gradual: Implementar la nueva raíz en un entorno de prueba antes de pasar a producción.
• Comunicación Transparente: Notificar a todas las partes afectadas con antelación.

8. ¿Cómo coordinarías la implementación de criptografía post-cuántica?

Respuesta:

• Evaluación de Algoritmos Post-Cuánticos: Adoptar algoritmos como Kyber y Dilithium.
• Pruebas en Entornos Controlados: Validar la interoperabilidad con sistemas actuales.
• Capacitación Continua: Entrenar a equipos en nuevas prácticas criptográficas.
• Despliegue Gradual: Realizar una migración por fases para minimizar riesgos.

9. ¿Cómo diseñarías un ejercicio para evaluar la robustez del Root of Trust?

Respuesta:

• Simulación de Compromiso de Claves Privadas: El Red Team intenta extraer claves de la CA.
• Monitoreo en Tiempo Real: El Blue Team responde y mitiga el ataque.
• Auditoría Final: El Purple Team evalúa la eficacia de la respuesta y documenta los hallazgos.