En qué consiste la caza de amenazas
La caza proactiva no es una búsqueda al azar en los datos de seguridad. En Huntress, nuestros analistas siguen una metodología estructurada basada en dos conceptos clave: HACK (los tipos de disparadores que sacan a la luz amenazas ocultas) y PREVENT (los pasos que hacen que cada cacería tenga éxito).
El marco HACK: cuatro formas en que los cazadores encuentran amenazas ocultas
La mayoría de las herramientas de seguridad esperan a que ocurra algo malo conocido antes de emitir una alerta. Los cazadores de Huntress no esperan: salen a buscar. Nuestros analistas usan cuatro tipos de disparadores distintos para encontrar actividad de atacantes que pasa desapercibida:
La caza basada en hipótesis empieza con una pregunta: ¿Un actor de amenazas está usando tokens de servicios en la cloud para moverse lateralmente en nuestro entorno? Los analistas forman una teoría basada en técnicas emergentes de atacantes o inteligencia de amenazas, y luego reúnen la telemetría relevante (registros de endpoints, consultas DNS, registros de auditoría en la cloud) para confirmarla o descartarla.
La caza basada en anomalías usa telemetría de una gran cantidad de sistemas para identificar dónde la actividad se sale de una línea base conocida. Un solo inicio de sesión fuera de horario puede no significar nada. El mismo patrón en docenas de endpoints es otra historia.
La caza basada en clústeres observa el panorama completo alrededor de un usuario o sistema específico. De forma individual, cada acción puede parecer comportamiento administrativo rutinario. Agrupadas en una ventana de tiempo definida, esas mismas actividades pueden revelar a un atacante que se ha estado ocultando a plena vista.
La caza basada en conocimiento toma inteligencia de amenazas (un IoC de un feed, una técnica conocida vinculada a un actor de amenazas específico) y la aplica de forma retrospectiva sobre datos históricos. Así es como los analistas de Huntress detectan intrusiones que ocurrieron semanas antes de que alguien notara que algo andaba mal.
El marco PREVENT: cómo se ejecuta realmente una cacería
Una vez identificado un disparador, nuestros analistas siguen un proceso repetible para llevarlo de una corazonada a un incidente resuelto:
Planificar: Definir una hipótesis, delimitar el alcance de la cacería e identificar qué datos se necesitan. Esto mantiene las cacerías enfocadas en lugar de dispersas.
Investigar: Recurrir a blogs, feeds de amenazas, informes de inteligencia y conversaciones en redes sociales para afinar la hipótesis y entender cómo se ve "confirmado" antes de buscar.
Ejecutar: Ejecutar consultas en la telemetría disponible usando la hipótesis delimitada. El objetivo es confirmar o descartar, no encontrar todo, sino encontrar lo correcto.
Verificar: Usar datos en vivo para añadir contexto, recrear rutas de ataque y descartar falsos positivos antes de escalar. Aquí es donde se filtran las alertas ruidosas y se confirman las amenazas reales.
Actuar: Ante un verdadero positivo, la respuesta comienza de inmediato: aislar sistemas, implementar tareas en los endpoints y abrir el reporte de incidente.
Notificar: Se informa al socio sobre lo que se encontró y lo que se está haciendo. Internamente, se mantiene al tanto al SOC, al equipo de Respuesta Táctica y al equipo de Caza para que nadie trabaje a ciegas.
Transformar: Cada cacería termina con un ciclo de retroalimentación. Las lecciones aprendidas se convierten en nuevos detectores de producto, reglas YARA y SIGMA, publicaciones de blog o conocimiento compartido entre equipos, para que la próxima cacería empiece con más inteligencia.
