Cacería de amenazas
Búsqueda proactiva de adversarios que ya están dentro y que sus controles automáticos no detectaron. Parte de la hipótesis de compromiso, no de la alerta.
- Para quién es
- Organizaciones que necesitan validar si hay actividad adversaria no detectada, o que acaban de ver un incidente en su sector.
- Duración típica
- 3 a 6 semanas por campaña
- Marcos de referencia
- MITRE ATT&CKTaHiTIModelo de caza de Sqrrl
El tiempo de permanencia de un intruso —los días entre que entra y que alguien lo nota— sigue midiéndose en semanas para la mayoría de las organizaciones. La cacería de amenazas existe porque la detección automática asume que ya sabemos qué buscar, y un adversario competente se dedica precisamente a no parecerse a eso.
Qué es y qué no es
La cacería no espera una alerta. Parte de la premisa contraria: asuma que ya están adentro y que los controles no lo dijeron. La pregunta no es “¿saltó alguna alarma?” sino “¿qué buscaría yo si supiera que hay alguien y que es bueno?”
No es monitoreo de SOC — eso es reactivo y continuo. No es escaneo de vulnerabilidades — eso busca puertas abiertas, no gente que ya pasó por ellas. Es una investigación dirigida por hipótesis sobre la telemetría de sus sistemas.
Lo que casi siempre encontramos
Aun cuando no hay un adversario activo, una campaña rara vez termina vacía:
- Puntos ciegos de telemetría — segmentos sin cobertura de EDR, registros que se creían activos y llevaban meses sin llegar al SIEM.
- Administración de TI indistinguible de un ataque — herramientas de acceso remoto instaladas por soporte que se comportan exactamente igual que un implante.
- Compromisos antiguos y contenidos — restos de un incidente que se cerró sin erradicar del todo.
- Configuraciones que hacen invisible al atacante — auditoría desactivada en los sistemas que más importan.
Cómo lo ejecutamos
- 01
Evaluación de telemetría
Antes de cazar, medimos qué puede ver. Si no tiene un EDR desplegado, instalamos nuestros agentes en sus equipos para obtener esa visibilidad. Una campaña sobre registros incompletos produce una falsa sensación de seguridad, que es peor que no haber cazado.
- 02
Formulación de hipótesis
Partimos de inteligencia de amenazas relevante a su sector. "Si el grupo X operara en nuestra red, dejaría el rastro Y" — y vamos a buscar Y.
- 03
Búsqueda y análisis
Consultas dirigidas sobre su telemetría, análisis de frecuencia y agrupamiento para separar lo anómalo de lo simplemente ruidoso.
- 04
Escalamiento o descarte
Cada hipótesis se cierra con un resultado documentado. Si encontramos compromiso, activamos respuesta a incidentes el mismo día.
- 05
Conversión a detección
Toda caza exitosa se convierte en una regla automatizada. Lo que encontramos a mano una vez, su plataforma debe encontrarlo sola la próxima.
Qué recibe
- Informe de campaña con cada hipótesis evaluada y su resultado
- Hallazgos de compromiso confirmado, si los hay, con paso directo a respuesta a incidentes
- Reglas de detección nuevas, entregadas en el formato de su plataforma (Sigma, KQL, SPL, EQL)
- Inventario de brechas de visibilidad — dónde no habría podido ver un ataque aunque hubiera ocurrido
- Guías de caza reutilizables para que su equipo repita las campañas sin nosotros