Threat hunting basado en hipótesis

La caza guiada por hipótesis comienza con una teoría específica y comprobable sobre cómo podría estar operando un atacante en su entorno.

Una hipótesis clara convierte una búsqueda abierta en una investigación enfocada.

Una buena hipótesis es específica, comprobable y fundamentada en datos que realmente pueda recopilar.

• Mala: puede que haya atacantes en nuestra red.
• Buena: un atacante utiliza tareas programadas para mantener la persistencia en las estaciones de trabajo.

Las hipótesis se inspiran en la inteligencia de amenazas, incidentes recientes, el marco MITRE ATT&CK o el conocimiento de sus propios puntos débiles.

Leer sobre una campaña que afecta a su sector es un punto de partida perfecto para una caza.

Convierta la hipótesis en una pregunta que sus datos puedan responder.

Cada pregunta se corresponde con una consulta sobre registros o telemetría.

Antes de realizar consultas, enumere las fuentes de datos que confirmarían o refutarían la hipótesis.

Para las tareas programadas necesita registros de creación de procesos y los identificadores de eventos del sistema pertinentes.

Ejecute consultas específicas para obtener los eventos pertinentes. Mantenga el alcance limitado para no verse inundado de ruido.

Una consulta de SIEM expresa la pregunta de la caza en un formato consultable.

Examine los resultados. Separe lo esperado (el mantenimiento administrativo) de lo sospechoso (tareas que inician PowerShell codificado).

Filtre lo que sabe que es legítimo para quedarse con una lista breve de indicios.

Cada indicio confirma la hipótesis, la refuta o requiere más datos. Sea honesto. Una hipótesis refutada es un resultado válido y útil.

Si se confirma, escale el caso al equipo de respuesta a incidentes junto con las pruebas.

Cuando algo parezca sospechoso, pivote: sígalo hacia otras evidencias. A partir de una tarea sospechosa, examine el árbol de procesos, las conexiones de red y la cuenta implicada.

Un solo hilo suele bastar para desentrañar toda la intrusión.

Registre la hipótesis, las consultas, los datos examinados y la conclusión. La documentación hace que las cazas sean repetibles y fáciles de enseñar.

También convierte las técnicas confirmadas en nuevas detecciones automatizadas.

Perfeccione la hipótesis según lo que haya encontrado y vuelva a realizar la caza. La caza es un ciclo continuo, no una tarea puntual.

Cada iteración hace más precisas sus preguntas y amplía su cobertura.

Ponga a prueba su comprensión de la caza guiada por hipótesis.

Ha aprendido sobre la caza guiada por hipótesis.

• Comience con una teoría específica y comprobable, fundamentada en datos.
• Las hipótesis surgen de la inteligencia, los incidentes y ATT&CK.
• Formule una pregunta, identifique los datos, realice consultas y analice los resultados.
• Confirme o refute con honestidad; pivote a partir de los indicios sospechosos.
• Documente todo e itere.

A continuación buscará amenazas en registros y fuentes de telemetría.