Metodología de threat hunting y generación de hipótesis

El threat hunting es el proceso proactivo, dirigido por personas, de buscar en redes y endpoints a adversarios que han eludido los controles de seguridad existentes. A diferencia de la seguridad reactiva (que espera a que se produzcan alertas), los threat hunters buscan activamente indicios de compromiso mediante hipótesis basadas en inteligencia. El threat hunting parte de la premisa de que algunos atacantes ya se encuentran dentro del entorno, pero las herramientas automatizadas todavía no los han detectado.

Las operaciones de seguridad tradicionales son, en gran medida, reactivas: los analistas responden a las alertas generadas por SIEM, herramientas EDR y firewalls. El threat hunting es fundamentalmente proactivo: los hunters buscan amenazas que quizá no generen alertas porque los atacantes utilizan herramientas legítimas o han eludido las reglas de detección. Ambos enfoques son necesarios; el hunting cubre la brecha que dejan las amenazas avanzadas que se confunden con la actividad normal.

Todo hunt comienza con una hipótesis: una afirmación comprobable sobre el comportamiento de un adversario en el entorno. Una buena hipótesis es específica, se basa en inteligencia y puede refutarse. Ejemplo: «Un atacante con credenciales de dominio podría estar utilizando la remota de PowerShell para desplazarse lateralmente entre las estaciones de trabajo de la subred de ventas». La hipótesis determina qué datos recopilar, qué consultas ejecutar y qué indicadores buscar.

El framework MITRE ATT&CK es la fuente más utilizada para las hipótesis de threat hunting. Catalogan las Tactics, Techniques, and Procedures (TTPs) empleadas por actores de amenazas reales, organizadas por fase del ataque (Initial Access, Execution, Persistence, Lateral Movement, etc.). Los hunters utilizan ATT&CK para identificar qué técnicas son más probables teniendo en cuenta el panorama actual de amenazas y la superficie de ataque expuesta de su entorno específico.

Los feeds de threat intelligence proporcionan el contexto externo que desencadena hipótesis de hunting relevantes. Un informe de inteligencia sobre un grupo de ransomware que ataca a su sector, o un feed de IoC que contenga dominios de C2 identificados recientemente, puede inspirar directamente un hunt. Los hunters comprueban si esos IoC aparecen en los registros, si las técnicas descritas se han utilizado en el entorno y si algún sistema se ha comunicado con la infraestructura maliciosa indicada.

Otra fuente de hipótesis de hunting es la desviación de la línea base del entorno. Al comprender qué se considera normal —qué cuentas inician sesión por la noche, qué servidores realizan solicitudes DNS y qué procesos suelen ejecutarse en las estaciones de trabajo—, los hunters identifican anomalías que merecen investigación. El hunting basado en líneas base requiere recopilar datos previamente y realizar esfuerzos de baselining, pero permite detectar a atacantes sofisticados que evitan las firmas de elementos maliciosos conocidos al mantener un comportamiento cercano al normal.

El threat hunting eficaz sigue un ciclo continuo. Planificar: formular una hipótesis. Buscar: consultar registros y telemetría para comprobar la hipótesis. Analizar: investigar los hallazgos y determinar si existe actividad maliciosa. Responder: derivar las amenazas confirmadas al equipo de IR. Mejorar: convertir los hunts satisfactorios en reglas de detección automatizadas para que la misma técnica genere alertas en el futuro, mejorando el SOC sin tener que realizar hunts manuales cada vez.

El hunting eficaz requiere una telemetría abundante. Entre las fuentes de datos clave se incluyen la telemetría de EDR (creación de procesos, escritura de archivos y conexiones de red desde cada endpoint), los registros de autenticación (Active Directory, SAML, VPN), los registros de consultas DNS (para detectar dominios DGA y tunneling), los datos de flujo de red (NetFlow, registros de zeek) y los registros de auditoría de la nube (AWS CloudTrail, Azure Activity Log). Cuanta más telemetría haya, mayor será la visibilidad para el hunting.

Los threat hunters utilizan varias categorías de herramientas. Las plataformas SIEM (Splunk, Microsoft Sentinel) proporcionan agregación de registros e interfaces de consulta. Las plataformas EDR (CrowdStrike, SentinelOne) ofrecen telemetría de endpoints y consultas en tiempo real. Las herramientas especializadas de hunting, como Velociraptor, permiten realizar respuestas en vivo y recopilar artefactos de endpoints remotos a gran escala. Los Jupyter Notebooks se utilizan habitualmente para el análisis de datos ad hoc durante hunts complejos.

Todos los hunts, tanto si tienen éxito como si no, deben documentarse. Un informe de hunting registra la hipótesis, las fuentes de datos consultadas, las consultas utilizadas, los hallazgos y el resultado. Los resultados negativos (cuando no se confirma la hipótesis) son valiosos porque demuestran la cobertura y ayudan a perfeccionar futuras hipótesis. Los hallazgos positivos generan tickets de incidentes y, a ser posible, nuevas reglas de detección. La documentación crea conocimiento institucional y demuestra a la dirección el valor del programa de hunting.

Un programa maduro de threat hunting evoluciona mediante distintos niveles de capacidad. Nivel 0: dependencia total de las alertas automatizadas. Nivel 1: hunts manuales básicos mediante consultas ad hoc. Nivel 2: hipótesis estructuradas procedentes de ATT&CK e inteligencia. Nivel 3: los hunts generan detecciones automatizadas, los equipos de hunters se especializan y los modelos de amenazas se actualizan continuamente. Las organizaciones deben medir la reducción del tiempo medio de permanencia como métrica clave de la eficacia del programa de hunting.

Compruebe su comprensión de los conceptos de CompTIA Security+ (SY0-701) tratados en esta lección.

En esta lección ha aprendido que el threat hunting es una investigación proactiva que parte de la premisa de que algunos atacantes ya han eludido la detección, las hipótesis se generan a partir de MITRE ATT&CK, la inteligencia de amenazas y las desviaciones de la línea base, y los hunts satisfactorios generan reglas de detección automatizadas que mejoran continuamente la capacidad de detección del SOC. A continuación, exploraremos la arquitectura SIEM, la plataforma que proporciona la agregación y correlación de registros necesarias para respaldar los hunts.