Threat hunting

Qué es

El ciclo de la cacería

• Hipótesis: una afirmación específica y comprobable, por ejemplo "un atacante que robó una clave de nube llamaría a la API de secretos desde una red nueva".
• Datos: identifica qué logs podrían confirmarla o refutarla, y si los recolectas. La falta de datos es en sí misma un hallazgo.
• Consultar y analizar: ejecuta búsquedas, establece la línea base de lo normal e investiga los valores atípicos.
• Concluir: la actividad confirmada se convierte en un incidente; los patrones benignos se documentan; las brechas se vuelven tareas.
• Operacionalizar: convierte la cacería en una detección automatizada y sigue su tasa de falsos positivos.

De dónde salen las hipótesis

• Técnicas de ATT&CK que importan para tu entorno y tienen poca cobertura de detección.
• Inteligencia de amenazas sobre grupos que apuntan a tu industria y las técnicas que usan.
• Incidentes recientes (propios y públicos) y lo que revelaron sobre puntos ciegos.
• Anomalías: pares raros de proceso padre e hijo, horarios de inicio de sesión inusuales, herramientas y destinos vistos por primera vez.

Ejemplos de cacerías

-- Hipótesis: un documento malicioso lanza un intérprete de scripts
SELECT ts, host, user, parent_image, image, command_line
FROM process_events
WHERE lower(parent_image) LIKE '%\winword.exe'
  AND (lower(image) LIKE '%\cmd.exe' OR lower(image) LIKE '%\powershell.exe'
       OR lower(image) LIKE '%\wscript.exe' OR lower(image) LIKE '%\mshta.exe')
  AND ts > now() - interval '30 days'
ORDER BY ts DESC;

-- Hipótesis: beaconing hacia un destino que pocos hosts contactan
SELECT dest_domain, count(DISTINCT host) AS hosts, count(*) AS connections
FROM proxy_events
WHERE ts > now() - interval '14 days'
GROUP BY dest_domain
HAVING count(DISTINCT host) <= 2 AND count(*) > 200
ORDER BY connections DESC;

Hacerlo bien

• Documenta cada cacería: hipótesis, datos, consultas, resultado. Las cacerías son conocimiento reutilizable.
• Mide el programa: cacerías completadas, detecciones creadas, brechas encontradas. No encontrar nada es un resultado válido.
• Establece la línea base antes de marcar algo: raro no es lo mismo que malicioso.
• Colabora con ingenieros de detección y respondedores; la salida de una cacería es su entrada.
• Mantente dentro de las reglas de autorización y privacidad al consultar la actividad de los usuarios.