Bienvenida al curso

Bienvenido a Introducción al threat hunting. En un SOC, la consola en verde no quiere decir que no hay nadie dentro; quiere decir que nadie hizo algo que una regla sepa reconocer. Este curso le enseña a buscar en ese hueco: partir de una hipótesis, consultar los logs con jq o KQL y terminar con una regla nueva o con un "no está aquí" bien documentado. Las dos salidas sirven.

Qué va a lograr

• Explicar qué es el threat hunting y en qué se diferencia de atender la cola de alertas.
• Priorizar qué buscar con la pirámide del dolor, distinguiendo IOCs de TTPs.
• Formular hipótesis comprobables y mapearlas a técnicas de MITRE ATT&CK.
• Leer logs de Sysmon, Zeek y autenticación, y consultarlos con grep, jq, KQL y SPL.
• Separar una anomalía de una actividad maliciosa usando una línea base.
• Convertir un hallazgo en una regla Sigma y en un informe de caza que otra persona pueda repetir.

Para quién es y qué necesita

Para analistas que empiezan, estudiantes y personal técnico que ya sabe qué es un log y quiere pasar de responder alertas a buscar. Conviene haber hecho Introducción al SOC: su primer turno como analista. Si nunca usó una terminal, Linux básico: 15 comandos para empezar le da la soltura que piden los laboratorios.

Para practicar necesita:

• Un navegador, para MITRE ATT&CK Navigator.
• Una terminal de Linux, macOS o WSL2, con jq instalado (en el módulo 3 se explica cómo).
• Python 3, opcional, para validar reglas Sigma con sigma-cli.
• Un editor de texto para hipótesis e informe.

Cómo está organizado

Módulo	Qué aprende	Laboratorio
1. Qué es cazar amenazas	Qué es el threat hunting, su historia, la relación con el SOC y la pirámide del dolor	Clasificar indicadores de un boletín ficticio
2. Hipótesis y MITRE ATT&CK	El ciclo de caza, cómo escribir hipótesis y cómo mapearlas a técnicas	Tres hipótesis en una capa de ATT&CK Navigator
3. Datos y consultas	Sysmon, Zeek, logs de autenticación, grep, jq, KQL, SPL y Sigma	Cazar anomalías con jq en eventos ficticios
4. Ejecutar y documentar una caza	Líneas base, de hallazgo a detección, informe de caza y conclusión	Escribir una regla Sigma y un informe completo
Evaluación	6 preguntas sobre todo el curso	Aprueba con 70 %

Cómo aprovecharlo

Cada herramienta o lenguaje de consulta empieza con una ficha: qué significa el nombre, la sintaxis y las opciones que se usan en una caza. Después vienen ejemplos con salida realista y los errores que más se cometen. Casi todas las lecciones cierran con una pregunta corta para comprobar que puede seguir.

Los cuatro laboratorios se encadenan: las hipótesis que escribe en el módulo 2 son las que caza en el 3 y documenta en el 4. Si se salta uno, el siguiente queda cojo.

Con jq, no escriba el filtro completo de una vez: empiece por jq '.', agregue un campo, mire la salida, agregue otro. Casi todos los errores de principiante salen de pegar un filtro largo y no saber qué pedazo falló.

La evaluación final tiene 6 preguntas y se aprueba con 70 %; al aprobarla recibe el certificado y la insignia del curso.

Tiempo estimado

El curso completo toma unas 5 horas. Las lecciones caben en sesiones cortas; para los laboratorios de los módulos 3 y 4 reserve una sesión entera.