Equipo rojo (pentesting)

Manfredo Monforte Moreno

GD (r) Dr. Ingeniero de Armamento. MBA. MTIC. Artillero

De la Academia de las Ciencias y las Artes Militares

Un vehículo no tripulado (UV, unmanned vehicle, terrestre, aéreo, espacial, naval, submarino o subterráneo) es un sistema robótico móvil que se desplaza sin presencia humana a bordo. Los UV tienen múltiples aplicaciones y resultan especialmente útiles cuando el escenario de operación es hostil, peligroso, tóxico o porque es imposible disponer de un operador que lo controle, como es el caso de los rover que exploran la superficie de Marte.

Para su operación disponen de un conjunto de sensores que permiten tomar conciencia de su entorno para conducirse de forma autónoma o transferir la información a un teleoperador externo que lo controla remotamente. Desde el punto de vista de la seguridad y la defensa, su empleo e importancia ha crecido en los últimos años aplicándose a misiones cada vez más dispares: la guerra en Ucrania ha puesto de manifiesto su creciente influencia en el curso de las operaciones, muy en especial con el uso creativo de drones aéreos comerciales.

El desarrollo de estos dispositivos se ha beneficiado de los avances en la miniaturización del hardware y una creciente capacidad de proceso, así como de la aplicación masiva de la inteligencia artificial, lo cual plantea cuestiones éticas a medida que la máquina va sustituyendo funciones realizadas por el ser humano.

Para la seguridad y la defensa, los UV aéreos o drones de consumo presentan grandes oportunidades de desarrollo y un desafío permanente a la hora de protegerse de ellos. Ya sea un operador aficionado que no respeta las normas o el uso deliberado y malintencionado, la amenaza del dron es muy variada en cuanto a patrones de comportamiento, tamaños y letalidad. Dada su importancia y facilidad de despliegue, aparecen continuamente nuevos sistemas para enfrentarse a la amenaza que representan.

Para desarrollar un sistema contra-UV (C-UAS para los aéreos) se necesita conocer con detalle la amenaza, sus capacidades y las consecuencias del cumplimiento de la misión para la que fue programada. Algo parecido a como se trabaja en el ciberespacio, donde es necesario detectar, identificar, alertar y anular la capacidad de acción del atacante.

En general, la detección no es suficiente, pues la presencia de un objeto en la envolvente de interés puede responder a elementos no hostiles, como un ave o un globo. Se hace necesario, por tanto, identificar el objeto detectado y desechar falsas alarmas, lo que es posible aplicando algoritmos que valoren la actitud del objeto detectado, su trayectoria, tamaño, información de inteligencia, etc. Una vez desechados los objetos sin interés, hay que identificar el objeto potencialmente peligroso en cuanto a su tamaño, modelo, huella informática (dirección MAC, por ejemplo) y otros parámetros que permitan, mediante un proceso iterativo, verificar el modelo, su peligrosidad y potenciales vulnerabilidades.

Detectar, identificar y alertar de la presencia de un dron en nuestra zona de responsabilidad es muy útil: es un buen comienzo para la conciencia situacional y para disponer las contramedidas que faciliten su neutralización. Para ello es imprescindible determinar su posición exacta mediante el uso de analizadores de radiofrecuencia, sensores acústicos, electroópticos o radar.

Las contramedidas se orientan a la destrucción, neutralización o control del dron. Una de las más habituales es el uso de un inhibidor de radiofrecuencias que focaliza una gran energía sobre el objetivo y trata de anular las señales de su controlador. Como consecuencia, el dron responde de cinco maneras: aterriza en su posición actual, regresa a su punto de origen, cae sin control al suelo, vuela en una dirección aleatoria o se autodestruye. Una variante de la inhibición es el pulso electromagnético que, por su potencia, es capaz de desbaratar los sistemas electrónicos a bordo del dron y con ello interrumpir el enlace radio entre el dron y su operador o destruir algunos elementos electrónicos al inducir enormes tensiones e intensidades en sus circuitos.

Otra contramedida clásica es la decepción o spoofing. Se trata de enviar una señal ficitica de navegación (GPS, Galileo, Glonass…) que sustituye en el receptor del dron la señal que utiliza para posicionarse. Si funciona bien, el dron cree estar en otro lugar y corrige su trayectoria para recuperar las coordenadas preprogramadas. Una vez se gana el control se puede redirigir el dron hostil a zona segura.

Por supuesto, el dron se puede abatir con el uso de la fuerza bruta, disparando una red para detener sus rotores, sea desde el suelo, desde otro dron o desplegando redes colgantes de un globo o un dron propio. Asimismo, pueden usarse drones suicidas o los disparos desde una estación de armas en escenarios donde sea posible, como es el caso de la defensa de un buque en alta mar o la neutralización de sistemas enemigos en el campo de batalla, algo desechable en zonas pobladas o con potenciales daños propios. Por supuesto, es posible usar un misil antiaéreo de tipo manpad o superior para destruir un dron en el aire, aunque el coste de un misil es varios órdenes de magnitud mayor que el del dron que se abate (salvo en el caso de los drones estratégicos, cuyo coste se aproxima o supera el de un misil antiaéreo tipo Patriot, por ejemplo). Dentro de este grupo entran los sistemas antidron basados en láser pulsado de alta potencia, aunque requieren un equipo relativamente grande y muy sensible a las condiciones atmosféricas. En general, los sistemas antidron son significativamente más caros y complejos que la amenaza para la que se diseñan.

La toma de control cibernética, o derribo cibernético, es una tecnología relativamente nueva. Los equipos detectan pasivamente las transmisiones de radiofrecuencia emitidas para identificar el número de serie del dron y localizar la posición de su operador utilizando inteligencia artificial. Si el sistema reconoce el dron como una amenaza, puede enviar una señal que hackea el dron, asume su control y lo dirige a un lugar seguro.

En todos los casos, una buena defensa antidron despliega simultáneamente varias de las contramedidas expuestas y proporciona respuestas automáticas —sin intervención humana— dado el escaso tiempo de reacción disponible. Sin duda, la mínima huella radar de los drones modernos y la elevada velocidad que pueden alcanzar, hacen que sea difícil detectarlos a tiempo para organizar una respuesta defensiva eficaz si ésta no está activada previamente.

En la lucha antidron, lo más importante, como ya hemos señalado, es conocer la amenaza con el mayor detalle posible y analizar las vulnerabilidades de nuestros sistemas de protección. Aparece así el concepto de “equipo rojo”, una herramienta indispensable para el entrenamiento de unidades militares, policiales o de seguridad. Con su empleo se trata de parametrizar con el mayor detalle posible al adversario en sus prácticas, equipamiento, modus operandi, prioridades, organización, adaptabilidad, etc. y mejorar los puntos vulnerables de nuestros procedimientos y sistemas de protección a la vez que se avalúan los equipos humanos especializados.

Al igual que en informática, un equipo rojo dron es un ejercicio que consiste en organizar un ataque dirigido a un sistema, buque, base, unidad, puesto de mando o instalación civil. Esto se traduce en un grupo de personas internas o externas que tratan de alcanzar ciertos objetivos marcados contra las defensas y comprometerlas atacando sus puntos débiles y tratando de dificultar el normal funcionamiento de sus sistemas. Finalmente, se analizarán las consecuencias de un ataque como el planteado. Para tomar conciencia de la importancia de este tipo de simulaciones basta observar la evolución de los sistemas comerciales impulsada por los jóvenes ucranianos y las múltiples soluciones que han desarrollado en el transcurso de la guerra, una de las razones para explicar la neutralización de los avances rusos primero y el éxito parcial de la contraofensiva ucraniana iniciada en la primavera de 2023 después. ¿Tienen los ejércitos occidentales identificadas las posibles amenazas? ¿Han funcionado los sistemas antidron rusos? ¿Estamos bien protegidos ante amenazas terroristas basadas en drones comerciales?

Las pruebas de equipo rojo o de penetración, también conocidas como pruebas de pentesting, simulan un ataque real a una red o aplicación informática o a un sistema antidron con el fin de identificar debilidades y vulnerabilidades. Este tipo de “maniobras” son habituales en los desarrolladores para identificar y cuantificar el riesgo y detectar fortalezas y oportunidades. Intentan “explotar” activamente las debilidades de la infraestructura, aplicaciones, personas y procesos de la defensas establecidas.

Similar a lo que ocurre en el ciberespacio, a partir de cierto nivel se torna imprescindible el uso de equipos rojos para mantener la capacitación de los sistemas de seguridad y su actualización ante la evolución constante —disruptiva, frenética a veces— de las amenazas. La aplicación del equipo rojo es posiblemente el método más consistente para su aempleo en entornos de formación, entrenamiento y evaluación. Sus funciones básicas se resumen en:

· Evaluación de la seguridad general

· Verificación de la calidad de las respuestas ante incidencias en quipos propios (ratios de fiabilidad y disponibilidad)

· Prueba de intrusiones y emulación de amenazas

· Explotación de vulnerabilidades

· Evolución de los sistemas defensivos en servicio

· Desarrollo e innovación de nuevos conceptos operativos o tecnológicos

· Validación de nuevas tecnologías o políticas

· Evaluación de la resistencia a ataques y capacidades de defensa y reacción

Los equipos rojos son relativamente pequeños —y relativamente baratos si se compara con la importancia de los resultados obtenidos—. Están constituidos por un jefe responsable de la coordinación y dirección del ejercicio, uno o más expertos en el diseño de las amenazas y uno o varios especialistas en penetración. A este pequeño equipo puede incorporarse un auditor forense que participará en el debriefing del ejercicio por parte de la unidad atacada y en la obtención de conclusiones. Como resultado se puede:

· Identificar vulnerabilidades de los sistemas de defensa y protección

· Recomendar puntos de mejora

· Evaluar el nivel de seguridad

· Adiestrar unidades, entrenar operadores y concienciar organizaciones

· Tras varios ejercicios, verificar el progreso temporal de las defensas

En España he conocido la existencia de la startup Red Team Shield (RTS) que presentó en el último FEINDEF sus capacidades para la defensa contra drones comerciales letalizados. Uno de sus objetivos es construir una base de conocimiento sobre drones, procedimientos de empleo, capacidades swarming y resultados de ejercicios de pentesting ejecutados por su personal especializado y por terceros. La empresa ha realizado dos ejercicios de inyección de incidencias, formación y análisis en los ejercicios Cancerbero 2/22 y 1/ 23 para la Armada.

Sin duda, contar con información actualizada sobre potenciales amenazas dron servirá para mejorar la seguridad de eventos civiles y de las capacidades militares.

Imágenes: Google images