Caza de Amenazas

Por Qué Importa

Las tecnologías de detección no pueden capturar todos los ataques. Adversarios sofisticados se mezclan con la actividad normal, abusan de herramientas legítimas (living-off-the-land) y operan lentamente para evadir umbrales. El IBM Cost of a Data Breach Report muestra que el dwell time mediano supera los 200 días sin programas activos de hunting.

El threat hunting cambia el cálculo: en lugar de esperar alertas, los hunters asumen el compromiso y buscan evidencia. Programas maduros documentan cientos de detecciones originadas en cazas humanas.

El Ciclo

1. Formular Hipótesis

Específica y comprobable, derivada de threat intelligence, incidentes recientes o técnicas de MITRE ATT&CK.

2. Investigar con Datos

Tirar telemetría EDR, identidad, red y cloud. Aplicar análisis de frecuencia, stack counting, outliers, líneas de tiempo.

// Hunt KQL para WMI sospechoso
DeviceProcessEvents
| where Timestamp > ago(7d)
| where ProcessCommandLine has_any ("wmic", "Invoke-WmiMethod")
| where ProcessCommandLine has_any ("process call create", "/node:")
| summarize Count=count(), Devices=dcount(DeviceName) by InitiatingProcessAccountName
| where Devices >= 3
| order by Count desc

3. Documentar

Hipótesis confirmada, refutada o inconclusa, documenta qué aprendiste.

4. Ingeniería de Detección

Convierte cazas exitosas en detecciones automáticas (Sigma, EDR custom, correlaciones SIEM).

5. Hand-off

Compromisos confirmados van a respuesta a incidentes. El ciclo se repite.

Metodologías

Pirámide del Dolor

Hipótesis Comunes

• Acceso sospechoso a LSASS (T1003)
• Binarios sin firmar desde temp
• PowerShell anómalo con comandos codificados
• Relaciones padre-hijo inusuales
• Patrones de beaconing DNS
• Logon interactivo de cuentas de servicio
• Tareas programadas con privilegios elevados

Construir un Programa

1. Establecer baselines.
2. Adoptar MITRE ATT&CK.
3. Centralizar telemetría (90+ días).
4. Cazas regulares documentadas.
5. Medir resultados: detecciones desplegadas, dwell time.

Conceptos Relacionados

• Inteligencia de Amenazas
• Analista SOC
• Respuesta a Incidentes
• Análisis de Malware