La simulación de brechas y ataques (BAS, por sus siglas en inglés) consiste en la evaluación automatizada y continua de los controles de seguridad de una organización frente a técnicas de ataque conocidas. Una plataforma BAS ejecuta escenarios de ataque predefinidos —generalmente alineados con el marco MITRE ATT&CK— e informa sobre cuáles de ellos fueron detectados, bloqueados o pasados por alto por los mecanismos de defensa.
Ese mismo diseño constituye también su limitación. En una evaluación comparativa realizada por Fluid Attacks sobre 36 herramientas de seguridad de aplicaciones (AppSec) de terceros, aplicada a una aplicación web que contenía 1201 vulnerabilidades, un especialista en pruebas de penetración (pentester) identificó 743 vulnerabilidades que ninguna de las herramientas detectó; esto representa el 61,9 % del total y equivale al 86,8 % de la exposición al riesgo de la aplicación. Una prueba que se limita a reproducir lo que ya es conocido no puede descubrir aquello que nadie ha programado previamente.
Esta página explica en qué consiste la simulación de brechas y ataques, cómo funcionan las herramientas BAS, en qué se diferencian de las pruebas de penetración (pentesting), el red teaming y la validación de la exposición ante adversarios; asimismo, detalla su lugar dentro de un programa de seguridad, así como lo que Fluid Attacks ofrece y lo que no.
¿Qué es la simulación de brechas y ataques?
La simulación de brechas y ataques (breach and attack simulation, BAS) es la prueba automatizada y continua de los controles de seguridad de una organización frente a técnicas de ataque conocidas. Una plataforma BAS ejecuta escenarios de ataque guionizados, por lo general mapeados a MITRE ATT&CK, y reporta cuáles detectaron, bloquearon o dejaron pasar las defensas.
Ese diseño es también su límite. En el benchmark de Fluid Attacks de 36 herramientas AppSec de terceros contra una aplicación web con 1.201 vulnerabilidades, un pentester encontró 743 vulnerabilidades que ninguna herramienta reportó: el 61,9 % del total, con el 86,8 % de la exposición al riesgo de la aplicación. Una prueba que solo repite lo que ya conoce no puede encontrar lo que nadie ha guionizado todavía.
Esta página explica qué es la simulación de brechas y ataques, cómo funcionan las herramientas BAS, en qué se diferencia la BAS de las pruebas de penetración, del red teaming y de la validación de exposición adversarial, dónde encaja en un programa de seguridad, y qué ofrece y qué no ofrece Fluid Attacks.
¿Qué es la simulación de brechas y ataques?
La simulación de brechas y ataques es una forma de validación de controles de seguridad. En lugar de preguntar "¿qué vulnerabilidades existen?", pregunta "si un atacante usara esta técnica hoy, ¿nuestros controles la detendrían o al menos la verían?". La respuesta sale de ejecutar la técnica de forma segura en el entorno real, a diario si hace falta.
Una plataforma BAS suele revisar estos controles:
Área de control | Qué revisa la simulación |
|---|---|
Protección de endpoints | Si el EDR y el antivirus detectan o bloquean el comportamiento de malware y la ejecución de payloads |
Protección de red | Si el IPS, los firewalls y la segmentación detienen el tráfico malicioso y el movimiento lateral |
Gateways de correo y web | Si se filtran adjuntos, enlaces y descargas maliciosos |
Detección y respuesta | Si el SIEM genera una alerta y el SOC la recibe |
Protección de datos | Si se detectan o bloquean los intentos de exfiltración |
La simulación de brechas y ataques no es un escáner de vulnerabilidades ni una prueba de penetración. No busca fallas nuevas en tu código; mide si las técnicas conocidas pasan los controles que ya pagaste.
Cómo funciona la simulación de brechas y ataques
La simulación de brechas y ataques funciona ejecutando una biblioteca de escenarios de ataque contra sistemas de producción o similares a producción, y registrando el resultado de cada uno. El valor está en la repetición: los controles se desvían a medida que cambian las configuraciones, las reglas y los agentes, y una ejecución diaria muestra esa desviación.
Escenarios basados en MITRE ATT&CK y la cadena de ataque
La mayoría de los escenarios BAS se organizan en torno a MITRE ATT&CK, la base de conocimiento de tácticas y técnicas de adversarios construida a partir de observaciones reales. Su matriz Enterprise agrupa las técnicas en 15 tácticas, desde el reconocimiento y el acceso inicial hasta el movimiento lateral, la exfiltración y el impacto. Algunos equipos también leen los resultados según las etapas de la Cyber Kill Chain de Lockheed Martin, para ver dónde se habría detenido un ataque.
Tres tipos de herramientas BAS
Se dividen en tres grupos, según hasta dónde llegan:
Revisiones basadas en agentes: agentes instalados en endpoints y servidores buscan problemas que coincidan con una base de datos de vulnerabilidades conocidas, sobre todo dentro de la red interna.
Generación de tráfico: la herramienta genera tráfico malicioso que sigue los pasos lógicos de técnicas conocidas, para probar si el IPS y el SIEM lo detectan y lo bloquean.
Emulación de técnicas: la herramienta reproduce tácticas, técnicas y procedimientos (TTP) documentados en distintos sistemas, incluidos los expuestos a internet, para comprobar si las defensas se pueden evadir.
Qué entrega una ejecución BAS
El resultado es un reporte de cobertura de controles: qué técnicas se previnieron, cuáles solo se detectaron y cuáles pasaron inadvertidas. Ese reporte le dice a un SOC dónde ajustar reglas. No les dice a los desarrolladores qué línea de código corregir.
La simulación de brechas y ataques, las pruebas de penetración y el red teaming no son alternativas
Estos tres enfoques responden preguntas distintas, así que una organización puede necesitar los tres. Las dos variables que los separan son quién ejecuta la prueba y si los defensores saben que está ocurriendo.
Simulación de brechas y ataques | Pruebas de penetración | Red teaming | |
|---|---|---|---|
Pregunta que responde | ¿Nuestros controles detienen técnicas conocidas? | ¿Qué es explotable en este sistema? | ¿Puede un adversario llegar al objetivo sin ser detectado? |
Quién la ejecuta | Una plataforma automatizada | Pentesters | Especialistas ofensivos |
Los defensores lo saben | Sí | Por lo general, sí | No, por diseño |
Encuentra vulnerabilidades nuevas | No | Sí | Sí, si la ruta las necesita |
Frecuencia | Continua | Continua o periódica | Periódica |
Que los defensores lo sepan importa más de lo que parece. Rafael Alvarez, CTO y cofundador de Fluid Attacks, sostiene en Atacar sin avisar que una prueba realista no se puede negociar con la defensa: "Es absurdo que en estos ataques los miembros del red team informen de los avances o soliciten permisos a los miembros del blue team…" En la simulación de brechas y ataques, los defensores siempre lo saben, porque son quienes operan la plataforma. Para la comparación completa con el red teaming, consulta nuestra guía de red teaming.
De la BAS a la validación de exposición adversarial
El mercado está pasando de la simulación de brechas y ataques como categoría independiente a la validación de exposición adversarial (adversarial exposure validation, AEV). En su Market Guide de AEV, publicada por primera vez en marzo de 2025, Gartner agrupa la BAS, el pentesting automatizado y las herramientas de red teaming dentro de la AEV, como el paso de validación de un programa de gestión continua de la exposición a amenazas (continuous threat exposure management, CTEM). El cambio reconoce que demostrar que un control funciona solo es útil cuando se vincula a los activos, las rutas de ataque y las correcciones que la organización tiene en realidad.
La simulación de brechas y ataques en Fluid Attacks
Fluid Attacks no vende una plataforma de simulación de brechas y ataques. Lo que ofrece son pruebas continuas de seguridad de aplicaciones que combinan IA, escáneres propios y pentesters, y que cubren la parte para la que la BAS nunca se construyó: encontrar y corregir las fallas explotables del propio software.
Mostramos cómo Fluid Attacks combina IA, herramientas automatizadas y pentesters expertos para asegurar el software de forma continua.
Qué ofrecemos y qué no
Fluid Attacks prueba código fuente, aplicaciones en ejecución e infraestructura con once técnicas: Static Application Security Testing, AI SAST, Dynamic Application Security Testing, Software Composition Analysis, Cloud Security Posture Management, Mobile Application Security Testing, Secret Scanning, escaneo de contenedores, Secure Code Review, Pentesting as a Service y Reverse Engineering. Ninguna de ellas es una simulación de brechas y ataques de tu SOC.
Lo que las simulaciones guionizadas no ven
Los escenarios escritos de antemano prueban las técnicas que alguien ya documentó. La explotabilidad que depende de la lógica de negocio, de fallas encadenadas o de una arquitectura específica necesita una persona. En el State of Attacks 2026 de Fluid Attacks, el 87 % de los hallazgos de severidad crítica vino de pruebas manuales, y los métodos manuales encontraron el 44,2 % de la exposición total al riesgo en 2025, aunque las herramientas automatizadas encontraron la mayoría de las vulnerabilidades.
Recall en una aplicación web con 1.201 vulnerabilidades. Fuente: benchmark de Fluid Attacks de 36 herramientas AppSec de terceros.
Prueba rutas de ataque en el pipeline de CI/CD
La simulación de brechas y ataques suele ejecutarse en la red corporativa, después del despliegue. Fluid Attacks adelanta la pregunta: su CI Gate se ejecuta en el pipeline y frena los merges cuando hay vulnerabilidades que rompen la política de la organización, y sus extensiones para IDE y su servidor MCP llevan los mismos hallazgos a los desarrolladores. En el State of Attacks 2026, los sistemas que usaron el CI Gate alcanzaron una tasa de remediación del 72,2 % al cierre de 2025, frente al 58 % de los que no lo usaron.
MITRE ATT&CK, mapeado a requisitos de seguridad
El mismo marco que simulan las plataformas BAS puede guiar la prevención. La base de datos pública de Fluid Attacks mapea 36 mitigaciones de ATT&CK a sus requisitos de seguridad numerados, de modo que cada mitigación se convierte en algo que una prueba puede revisar en el código o en la configuración:
Mitigación de ATT&CK | Requisitos de Fluid Attacks vinculados |
|---|---|
M1031 Network intrusion prevention | 033 Restringir el acceso administrativo · 255 Permitir acceso solo a los puertos necesarios |
M1043 Credential access protection | 114 Denegar el acceso con credenciales inactivas · 122 Validar la propiedad de las credenciales · 142 Cambiar las credenciales por defecto del sistema · 375 Eliminar datos sensibles de las aplicaciones del lado del cliente |
M1038 Execution prevention | 344 Evitar la ejecución dinámica de código · 352 Habilitar la ejecución confiable |
[Image] File: bas-db-mitre-attack-mapping.webp · ALT: Base de datos de Fluid Attacks que mapea mitigaciones de MITRE ATT&CK a requisitos
Fluid Attacks mapea 36 mitigaciones de ATT&CK a requisitos de seguridad numerados.
Lo que la simulación de brechas y ataques hace y nosotros no
Las pruebas continuas de aplicaciones no miden tu SOC. No te dicen si el EDR de un portátil bloquea una herramienta de volcado de credenciales, si una regla del SIEM se dispara a las 3 a. m., o si un cambio en el firewall el martes pasado volvió a abrir una ruta. La simulación de brechas y ataques mide exactamente eso, todos los días y a escala. Una organización que necesita validar la detección y la respuesta necesita BAS o una simulación de adversarios ejecutada por personas; las pruebas de aplicaciones cierran las vulnerabilidades que esas herramientas, de otro modo, encontrarían ya abiertas.
La simulación de brechas y ataques valida los controles de detección y respuesta; las pruebas continuas encuentran y corrigen fallas explotables en el software.
Por qué importa la simulación de brechas y ataques
La simulación de brechas y ataques importa porque los controles de seguridad se degradan en silencio. Una regla se desactiva durante un incidente, un agente deja de reportar, una excepción se vuelve permanente, y nada se lo avisa al equipo hasta que un atacante usa el hueco.
El compromiso de SolarWinds muestra el tipo de actividad que los controles deben detectar. El aviso AA20-352A de CISA describe a un actor que, tras el compromiso de la cadena de suministro, se apoyó mucho en tokens y cuentas comprometidos o falsificados para el movimiento lateral, lo que dificulta las técnicas de detección habituales porque los tokens son válidos pero no autorizados. El tráfico que parece un uso legítimo de identidades no coincide con las firmas de malware, y por eso los equipos usan la simulación de brechas y ataques para comprobar si su monitoreo ve el movimiento lateral con identidades válidas.
Para planear estas pruebas, la guía NIST SP 800-115, Technical Guide to Information Security Testing and Assessment, publicada en 2008, sigue siendo la referencia para definir el alcance, ejecutar y reportar evaluaciones de seguridad.
Conclusiones
La simulación de brechas y ataques es la revisión automatizada y continua de que los controles de seguridad siguen deteniendo técnicas conocidas. Es buena para medir la detección y la respuesta, y está pasando a formar parte de la AEV dentro de los programas de CTEM. No está hecha para encontrar fallas nuevas que dependen del contexto: en el benchmark de Fluid Attacks, 743 vulnerabilidades con el 86,8 % del riesgo las encontró solo un pentester. Usa BAS para validar la defensa, y prueba el software de forma continua para que la defensa tenga menos que detener.
Preguntas frecuentes
¿Cuál es la diferencia entre la simulación de brechas y ataques y las pruebas de penetración?
La simulación de brechas y ataques valida controles; las pruebas de penetración encuentran fallas explotables. Una plataforma BAS ejecuta técnicas conocidas y guionizadas de forma automática para comprobar si las defensas las detectan y las bloquean. Un pentester busca vulnerabilidades en el sistema, incluidas las desconocidas, y construye exploits para el contexto específico.
¿La simulación de brechas y ataques es lo mismo que la validación de exposición adversarial?
No, la BAS es una parte de ella. En su Market Guide de 2025, Gartner agrupa la simulación de brechas y ataques, el pentesting automatizado y las herramientas de red team dentro de la AEV, el paso de validación de un programa de CTEM. La AEV vincula cada prueba de controles a los activos y las correcciones que la organización tiene en realidad.
¿La simulación de brechas y ataques puede reemplazar las pruebas manuales?
No. La BAS repite técnicas documentadas, mientras que muchas fallas críticas dependen del contexto. En el benchmark de Fluid Attacks de 36 herramientas AppSec de terceros contra una aplicación con 1.201 vulnerabilidades, un pentester encontró 743 que ninguna herramienta reportó, el 61,9 % del total y el 86,8 % de la exposición al riesgo.
¿La simulación de brechas y ataques puede ejecutarse en un pipeline de CI/CD?
No está hecha para eso. La simulación de brechas y ataques suele apuntar a redes y endpoints ya desplegados. En el pipeline, el control equivalente es una barrera que bloquea los builds con vulnerabilidades que rompen la política; en el State of Attacks 2026 de Fluid Attacks, los sistemas que usaron el CI Gate alcanzaron una tasa de remediación del 72,2 % frente al 58 %.
¿Fluid Attacks ofrece simulación de brechas y ataques?
No. Fluid Attacks no vende una plataforma de simulación de brechas y ataques. Ofrece pruebas continuas de seguridad de aplicaciones que combinan IA, escáneres y pentesters con once técnicas, y mapea 36 mitigaciones de ATT&CK a sus requisitos de seguridad en su base de datos pública.
Cierra las brechas antes de que una simulación las encuentre
Nuestra IA, nuestros escáneres y nuestros pentesters prueban tu software de forma continua, para que las fallas que un atacante encadenaría se corrijan antes de que algún control tenga que detenerlas.
Empieza a utilizar la solución ASPM de Fluid Attacks ahora mismo
