Ataque · Threat hunting
Threat hunting: salimos a buscar
al atacante dentro de tu red
El threat hunting (caza de amenazas) busca de forma proactiva atacantes que ya evadieron tus controles. No espera a que salte una alerta: parte de una hipótesis sobre cómo operaría un adversario y la contrasta con los datos de tu entorno.
Qué incluye
- Hipótesis de caza basadas en MITRE ATT&CK
- Búsqueda en equipos, identidad, red y nube
- Detección de persistencia y movimiento lateral
- Nuevas reglas de detección para tu SIEM o EDR
- Informe de hallazgos y recomendaciones
Cuándo hacerlo
Cuándo tiene sentido buscar amenazas de forma proactiva
- Después de un incidente, para confirmar que el atacante ya no está y no dejó puertas traseras.
- Cuando tus herramientas de detección no han generado alertas, pero sospechas que alguien podría estar dentro.
- En entornos críticos o con información sensible, donde un compromiso silencioso sería especialmente costoso.
- Si tienes un SOC o un equipo de seguridad y quieres medir qué ataques no estás detectando.
- Antes de una fusión, adquisición o integración de redes, para saber qué heredas.
Método
Cómo se hace una caza de amenazas
Hipótesis
Se parte de una pregunta concreta, por ejemplo: ¿hay credenciales robadas en uso? Las hipótesis se construyen con técnicas de adversarios conocidas del marco MITRE ATT&CK y con el contexto de tu negocio.
Recolección de datos
Se reúne la telemetría necesaria de equipos, identidad, red y nube para contrastar la hipótesis.
Análisis y búsqueda
Se buscan patrones anómalos: persistencia, movimiento lateral, uso indebido de herramientas legítimas y comunicaciones inusuales.
Validación de hallazgos
Cada señal se investiga para distinguir una actividad legítima de un compromiso real.
Nuevas detecciones
Lo aprendido se convierte en reglas para tu SIEM o EDR, de modo que la próxima vez salte una alerta automática.
Informe y recomendaciones
Se documenta lo investigado, lo encontrado y las acciones de contención y mejora recomendadas.
Threat hunting, pentest y SOC: cada uno responde algo distinto
| Pentest | SOC | Threat hunting | |
|---|---|---|---|
| Pregunta | ¿Qué fallas puede explotar un atacante? | ¿Está pasando algo ahora? | ¿Ya hay un atacante dentro que no vimos? |
| Se activa por | Un encargo planificado | Alertas de las herramientas | Una hipótesis del analista |
| Datos que usa | Tus sistemas, atacándolos de forma controlada | Eventos en tiempo real | Datos históricos y telemetría del entorno |
| Resultado | Vulnerabilidades verificadas | Incidentes detectados y contenidos | Compromisos silenciosos y nuevas detecciones |
Entregables
Lo que recibes
- Informe de las hipótesis investigadas y de los resultados
- Hallazgos validados, con evidencia y recomendaciones de contención
- Nuevas reglas de detección para tu SIEM o EDR
- Recomendaciones para mejorar la visibilidad y la telemetría
Alcance y cotización
De qué depende el alcance de una caza de amenazas
La calidad de una caza depende de los datos disponibles: sin registros de equipos, identidad y red, la búsqueda es limitada. Por eso el primer paso es revisar qué telemetría existe y qué falta.
- Cantidad de equipos, servidores y cuentas dentro del alcance
- Telemetría disponible: EDR, SIEM, registros de identidad, red y nube
- Cantidad de hipótesis y profundidad de la investigación
- Si la caza es puntual (por ejemplo, tras un incidente) o recurrente
- Entornos incluidos: red corporativa, Microsoft 365, nube pública
Te proponemos un alcance tras un diagnóstico gratuito del entorno y de la telemetría disponible.
Preguntas frecuentes
Lo que suelen preguntarnos
¿Qué es el threat hunting?
Es la búsqueda proactiva de amenazas que ya están dentro de la red y no han sido detectadas por las herramientas automáticas. Un analista formula hipótesis sobre cómo operaría un atacante y las contrasta con los datos del entorno.
¿En qué se diferencia de un SOC?
El SOC reacciona a las alertas y vigila de forma continua. El threat hunting parte de una hipótesis y busca lo que las alertas no ven. Se complementan: lo que la caza descubre se convierte en nuevas detecciones para el SOC.
¿Qué es MITRE ATT&CK?
Es una base de conocimiento pública que cataloga las tácticas y técnicas que usan los atacantes. Sirve para estructurar las hipótesis de caza y para medir qué técnicas se detectan y cuáles no.
¿Necesito tener un SOC o un EDR para hacerlo?
No es obligatorio, pero la calidad depende de los datos. Con registros de equipos, identidad y red, la caza es mucho más profunda. Si faltan, parte del trabajo es identificar qué visibilidad hay que sumar.
¿Con qué frecuencia conviene hacerlo?
De forma puntual tras un incidente o ante una sospecha, y de forma periódica en entornos críticos. Lo adecuado depende del riesgo de tu organización y se define en el diagnóstico.
Servicios relacionados
- SOC y ciberseguridad gestionadaMonitoreo de seguridad y respuesta a incidentes.Ver servicio
- Análisis forenseQué pasó, cómo entraron y cuánto alcanzó.Ver servicio
- PentestingPruebas de penetración con informe ejecutivo y técnico.Ver servicio
- Hardening empresarialCierra las puertas que la caza descubre.Ver servicio
Contáctanos
¿Sospechas que alguien ya está dentro?
Cuéntanos qué entorno quieres revisar y qué datos tienes. El diagnóstico inicial es gratuito.