LecturaQué es el threat hunting: de reactivo a proactivo
Viernes, 4 de la tarde, SOC de una cooperativa de ahorro ficticia en Grecia. La consola está en verde: el antivirus no reportó nada, el firewall no bloqueó nada raro, ninguna regla saltó. Eso no prueba que la red esté limpia. Prueba que, si hay alguien dentro, todavía no hizo nada que sus reglas conozcan. El threat hunting, o caza de amenazas, trabaja en ese hueco.
Una definición de trabajo
El threat hunting es la búsqueda proactiva e iterativa de actividad maliciosa que evadió los controles existentes. Proactiva, porque el cazador no espera una alarma: sale a buscar a partir de una idea. Iterativa, porque cada caza deja algo (una regla, un hueco de visibilidad, una línea base) que alimenta la siguiente. Y apunta a lo que evadió los controles: si el EDR ya lo detecta, cazarlo es perder la tarde.
Reactivo frente a proactivo
La defensa tradicional es reactiva: una herramienta genera una alerta, un analista la revisa y decide si es un incidente. Ese modelo hace falta, pero solo encuentra lo que alguien ya describió como malo. Un atacante con la contraseña robada de un técnico, que entra por la VPN y ejecuta net group "Domain Admins" /domain como haría cualquier administrador, puede no disparar ni una regla.
El enfoque proactivo invierte la pregunta: "si un adversario estuviera haciendo esto en nuestra red, ¿qué rastro dejaría y dónde lo vería?".
| Aspecto | Defensa reactiva | Caza proactiva |
|---|---|---|
| Disparador | Una alerta | Una hipótesis |
| Pregunta inicial | ¿Esta alerta es real? | ¿Qué estaría pasando sin que lo veamos? |
| Resultado típico | Incidente cerrado o descartado | Hallazgo, nueva detección o mejora |
| Supuesto | Las herramientas ven lo que pasa | Alguien pudo pasar sin ser visto |
Breve historia
| Año | Hito |
|---|---|
| 2011 | Richard Bejtlich publica "Become a Hunter" y populariza la idea de buscar intrusos en lugar de esperar alertas |
| 2013 | David Bianco presenta la pirámide del dolor; MITRE empieza a construir ATT&CK |
| 2014 | Microsoft publica Sysmon dentro de Sysinternals, una fuente de datos gratuita y detallada |
| 2015 | MITRE abre ATT&CK al público; Bianco propone en Sqrrl el modelo de madurez de caza |
| 2017 | Nace Sigma, un formato abierto para compartir detecciones |
| 2023 | Splunk publica el marco de caza PEAK |
La práctica nació en equipos de respuesta cansados de descubrir intrusiones meses tarde. En esos años dejó de depender del olfato de unos pocos expertos y pasó a tener método.
Por qué importa: suponer el compromiso
Los equipos de caza parten de suponer el compromiso (assume breach): ningún control es perfecto. El tiempo que un atacante pasa sin ser detectado se llama tiempo de permanencia (dwell time), y cada día de más es un día para robar credenciales, moverse entre equipos y preparar el ransomware. Encontrar al intruso en la segunda semana significa restaurar un par de equipos; encontrarlo en el sexto mes suele significar reconstruir el dominio.
Dónde se practica
| Lugar | Ejemplo de caza |
|---|---|
| SOC interno de una empresa | Horas semanales dedicadas a hipótesis sobre técnicas recientes |
| Proveedores de detección y respuesta gestionada | Cazas sobre la telemetría de muchos clientes a la vez |
| Equipos de inteligencia de amenazas | Comprobar si una campaña reportada tocó la organización |
| Respuesta a incidentes | Buscar en toda la red otros equipos con el mismo rastro |
| Nube | Revisar accesos anómalos en registros de identidad y de API |
Qué necesita un cazador
Un cazador necesita datos (registros de endpoints, de red y de autenticación, con detalle y retención suficientes), conocimiento del adversario, que estudiará con MITRE ATT&CK, y conocimiento del entorno: qué es normal en su organización.
Lo tercero es lo que más se subestima. Si no sabe que contabilidad cierra el mes de madrugada, o que el servidor de respaldos se conecta a todos los equipos a las 2 a. m., va a pasar la primera caza persiguiendo actividad legítima.
Conceptos clave
| Concepto | Qué significa |
|---|---|
| SIEM | Plataforma que centraliza, guarda y permite consultar los logs de toda la organización |
| EDR | Agente en cada equipo que registra procesos, archivos y conexiones, y puede aislar el equipo |
| Hipótesis | Afirmación comprobable sobre una actividad que podría estar ocurriendo |
| IOC y TTP | Dato concreto de un ataque frente a la forma de operar del adversario |
| Telemetría | El conjunto de eventos que generan sus sistemas y llegan al SIEM |
| Línea base | Descripción de lo que es normal en un equipo, usuario o red |
| Detección | Regla que convierte un patrón en una alerta automática |
Cómo leer las sintaxis del curso
En el módulo 3 usará herramientas de terminal. En sus fichas, lo que va entre corchetes es opcional, lo que está en MAYÚSCULAS lo reemplaza usted y los tres puntos indican que puede repetirse.
jq [OPCIONES] FILTRO [ARCHIVO...]Para pedir ayuda en la terminal use man jq o jq --help.