La caza de amenazas tradicional es de naturaleza humana y proactiva. Se crea una hipótesis, tal vez alguien se está moviendo lateralmente en este entorno, y los analistas buscan activamente pruebas o refutan su teoría revisando registros, datos de endpoints y tráfico de red.

La caza de amenazas con IA incorpora el aprendizaje automático y el análisis de comportamiento en ese proceso. En lugar de esperar a que una persona formule la hipótesis correcta, los modelos de IA analizan continuamente la telemetría en busca de patrones que se desvían de la norma. No se trata tanto de que un analista haga una pregunta, sino de contar con un sistema que siempre está haciendo preguntas en segundo plano.

La detección de amenazas impulsada por IA es realmente buena para identificar patrones inusuales más rápido de lo que podría hacerlo cualquier equipo humano. Cuando tienes que lidiar con millones de eventos en cientos de endpoints, la detección de anomalías de comportamiento puede identificar valores atípicos estadísticos, como procesos que se comportan de forma extraña, secuencias de autenticación inusuales y patrones de movimiento lateral, casi en tiempo real.

También es útil para la clasificación y priorización. En lugar de inundar a un analista con un torrente de alertas para clasificar manualmente, la IA puede ordenar las señales según el nivel de riesgo y filtrar el ruido. Los ataques de living off the land (LOTL) son un buen ejemplo de dónde la IA aporta una ventaja real. Estos ataques usan herramientas legítimas del sistema, como PowerShell, WMI y el protocolo de escritorio remoto (RDP), así que no hay una firma de malware que detectar. Los modelos de comportamiento de IA pueden aprender cómo se ve el uso "normal" de PowerShell en tu entorno y marcar cuando de repente empieza a hacer algo que no debería. Sin ese enfoque de línea base y desviación, los ataques LOTL son extremadamente difíciles de detectar.

La velocidad sin contexto genera ruido. Un modelo de IA puede decirte que ocurrió algo inusual, pero no puede determinar de forma consistente si eso es un ataque real, un script mal configurado pero benigno o, por ejemplo, un nuevo proceso de negocio de TI.

Más importante aún, conectar la actividad a través de una historia de ataque más amplia requiere el tipo de reconocimiento de patrones que viene de la experiencia. Un cazador de amenazas que ha trabajado en cientos de incidentes sabe cómo se ve un precursor de ransomware en la práctica, no solo estadísticamente, sino conductualmente. Entiende la motivación del atacante. Puede ver lo que la IA marca y hacer la pregunta de seguimiento correcta: si esto es el comienzo de algo, ¿cuál es el resto del plan?

La IA tampoco puede encontrar de manera confiable los "desconocidos desconocidos", que son las técnicas novedosas que no coinciden con ningún modelo de comportamiento existente porque nadie las ha visto antes. Ahí es donde la intuición y la creatividad humanas todavía tienen una ventaja genuina.

El Huntress SOC es un modelo útil de cómo la IA y la experiencia humana deben trabajar juntas.

Los flujos de trabajo asistidos por IA se encargan del problema del volumen. La detección de amenazas impulsada por IA, que incluye monitoreo continuo, análisis de comportamiento y clasificación automatizada, hace que, cuando surge algo sospechoso, ya esté contextualizado antes de que un analista lo revise.

La capa de investigación liderada por humanos es donde ocurre el verdadero trabajo. El/la analista del centro de operaciones de seguridad (SOC) con IA puede ayudar a clasificar y contextualizar las alertas, pero son los analistas humanos quienes deciden qué vale la pena escalar, qué necesita una respuesta inmediata y qué es un falso positivo con una explicación clara. Son ellos quienes eligen el siguiente paso correcto, ya sea la contención, una investigación más profunda o una llamada directa al cliente.

Esta es la realidad práctica para la mayoría de los equipos de seguridad reducidos y los MSP que los atienden: probablemente no tengas un cazador de amenazas dedicado en tu plantilla.

La buena noticia es que no necesitas tener uno interno para beneficiarte de la caza de amenazas. Un SOC impulsado por IA se encarga del monitoreo y de la capa de investigación humana en tu nombre, y entrega el resultado sin que tengas que construir la infraestructura tú mismo.

Lo que realmente estás evaluando cuando analizas soluciones de caza de amenazas impulsadas por IA es si la automatización está respaldada por una capacidad real de analistas. La IA sin cobertura del SOC es solo generación rápida de ruido.

Según CSO Online, Gartner espera que para 2028, el 50% de las plataformas de detección, investigación y respuesta a amenazas incorporen capacidades de IA agéntica, un aumento frente a menos del 10% en 2024.

La siguiente evolución es lo que se conoce como el SOC agéntico: sistemas de IA que no solo detectan y marcan, sino que toman acciones investigativas de forma autónoma. Extraen contexto adicional, ejecutan consultas de seguimiento y correlacionan datos de distintas fuentes sin esperar a que un humano emita cada orden.

Eso es prometedor. Amplía los límites de la automatización. Pero la capa de toma de decisiones no desaparece. El SOC agéntico hace que los analistas humanos sean más rápidos y efectivos, pero no reemplaza el criterio humano.

La IA comprime los tiempos y maneja el volumen. Los humanos aportan el contexto, la creatividad y la toma de decisiones que convierten una anomalía marcada en un incidente resuelto.

Huntress combina flujos de trabajo asistidos por IA con investigaciones lideradas por humanos desde un SOC disponible 24/7, diseñado para equipos sin analistas de caza de amenazas dedicados en su plantilla. Solicita una demo para verlo en acción.