Threat hunting con propósito: investigar una hipótesis y dejar una mejora

Buscar amenazas de forma proactiva no consiste en recorrer registros esperando encontrar algo extraño. Un ejercicio útil parte de una hipótesis sobre un comportamiento que podría pasar desapercibido y utiliza datos para contrastarla. Puede terminar en un incidente, en una explicación legítima o en la identificación de un punto ciego. En cualquiera de esos casos, debería dejar una mejora concreta y un resultado que otra persona pueda entender y repetir.

Formular una pregunta investigable

Una hipótesis demasiado amplia, como buscar actividad maliciosa, no permite elegir fuentes ni decidir cuándo terminar. Es preferible concretar: ¿hay herramientas administrativas ejecutándose desde cuentas o equipos que no deberían utilizarlas? Esa pregunta define entidades, comportamiento y contexto esperado. También permite establecer un periodo y una población de sistemas en lugar de consultar indiscriminadamente toda la información disponible.

La guía conjunta de CISA sobre técnicas living off the land explica el abuso de herramientas y funciones legítimas para realizar acciones adversarias. El punto práctico es que un ejecutable conocido no basta para clasificar una actividad como segura. Importan quién lo utiliza, desde dónde, con qué parámetros y en qué secuencia, siempre dentro de la capacidad de registro disponible.

Comprobar los datos antes de interpretar

Confirma qué equipos generan eventos de procesos, qué campos contienen y durante cuánto tiempo se conservan. Una consulta sin resultados puede significar que el comportamiento no aparece o que no se está registrando. Verifica la fuente con una acción controlada antes de interpretar el silencio. Documenta también los sistemas que quedan fuera del alcance por limitaciones técnicas o de autorización.

La normalización puede ocultar detalles relevantes. Revisa algunos eventos originales para confirmar cómo se representan usuarios, rutas y argumentos. Si distintos sistemas utilizan nombres diferentes para el mismo campo, adapta la consulta y registra esa transformación. Una búsqueda reproducible necesita algo más que una expresión: necesita saber sobre qué datos funciona y qué supuestos hace.

Comparar con una actividad esperada

Las herramientas de administración pueden ejecutarse de forma legítima por soporte, mantenimiento o automatizaciones. Consulta cambios programados y propietarios antes de escalar un comportamiento solo por ser raro. La rareza ayuda a seleccionar qué revisar, pero no confirma intención maliciosa. Un equipo pequeño puede tener tareas mensuales poco frecuentes que resulten completamente normales en su contexto.

• Define la hipótesis, el periodo y los sistemas incluidos en la búsqueda.
• Verifica disponibilidad y calidad de las fuentes necesarias.
• Registra criterios de selección y pasos para contrastar cada hallazgo.
• Establece qué evidencia justificaría abrir un incidente y quién recibiría el caso.

Seguir relaciones, no coleccionar anomalías

Cuando aparece una ejecución inesperada, busca su proceso de origen, la identidad utilizada y las acciones posteriores disponibles. Una secuencia proporciona más contexto que una lista de comandos poco habituales. Limita la expansión de la investigación con preguntas concretas; de lo contrario, el ejercicio puede crecer indefinidamente sin aumentar la confianza en ninguna conclusión.

Conserva las referencias que permitan volver a cada evento y explica por qué se relacionan. Si una conexión de red parece asociada a un proceso, comprueba identificadores y tiempos antes de afirmarlo. La investigación debe distinguir correlación e inferencia. Esta disciplina resulta especialmente útil cuando participan varios analistas o cuando el caso se transfiere a un equipo de respuesta.

Convertir el resultado en detección

Si el comportamiento observado puede identificarse de forma consistente, evalúa una regla con contexto y criterios de revisión. No automatices directamente una consulta exploratoria que genera cientos de resultados sin filtrar. Prueba casos legítimos y escenarios controlados, define cómo se investigará la alerta y asigna mantenimiento. La detección nueva debe aportar capacidad operativa, no solo aumentar el volumen del SOC.

A veces la mejora es diferente: habilitar una fuente, reducir privilegios o retirar una herramienta innecesaria. Esa acción puede tener más valor que crear otra alerta. Asigna propietario y fecha, y comprueba después que se ha realizado. El trabajo proactivo produce resultados cuando sus hallazgos cambian controles o conocimiento del entorno.

Informar también cuando no hay incidentes

Un cierre sin actividad confirmada debe explicar qué se buscó, dónde, durante qué periodo y con qué limitaciones. Evita afirmar que el entorno está limpio a partir de una hipótesis concreta. Conserva consultas y decisiones para repetir el ejercicio después de cambios relevantes. La calidad se mide por preguntas mejor respondidas, puntos ciegos reducidos y detecciones comprobadas, no por la obligación de encontrar un atacante en cada búsqueda.