Inicio › Tecnología › Caza De Amenazas
La caza de amenazas (threat hunting) es la práctica de seguridad qué busca de forma proactiva indicios de atacantes qué ya han conseguido entrar en una red y permanecen sin activar ninguna alerta automática, en lugar de esperar a qué un sistema de detección dispare un aviso. Un analista de threat hunting parte de una hipótesis concreta —por ejemplo, 'puede haber movimiento lateral usando credenciales robadas de un administrador'— y la contrasta revisando telemetría de endpoints (EDR), logs de autenticación y tráfico de red, apoyándose en marcos de referencia como MITRE ATT&CK para saber qué técnicas de ataque buscar en cada fase de una intrusión. A diferencia de los indicadores de compromiso (IOC) estáticos, la caza de amenazas se centra en indicadores de ataque (IOA), patrones de comportamiento qué revelan intención maliciosa aunque el malware concreto sea nuevo y desconocido.
En vez de esperar a qué salte una alarma para reaccionar, un cazador de amenazas entra a buscar activamente si hay un intruso escondido en la red, como quien revisa habitación por habitación una casa aunque no haya sonado ninguna alarma, porque sabe qué algunos atacantes son lo bastante sigilosos como para no activarla nunca.
Un equipo de seguridad, tras leer un informe sobre un grupo de atacantes (APT) qué suele usar herramientas legítimas del sistema operativo para pasar desapercibido, formula la hipótesis de qué esa misma técnica podría estar presente en su propia red. Revisan los registros de ejecución de PowerShell de los últimos tres meses buscando patrones de uso inusuales fuera del horario laboral y encuentran un script ofuscado ejecutándose en un servidor qué llevaba semanas exfiltrando datos sin qué ninguna alerta automática lo hubiera detectado.
Un SOC reacciona principalmente a las alertas qué generan las herramientas de seguridad (SIEM, EDR, firewall). La caza de amenazas es un trabajo de investigación proactivo qué asume qué algunas intrusiones no generan ninguna alerta y busca esos casos de forma deliberada, con hipótesis y no con avisos automáticos como punto de partida.
Necesita entender a fondo cómo operan los atacantes reales (tácticas, técnicas y procedimientos recogidos en marcos como MITRE ATT&CK), además de dominar el análisis de logs, redes y sistemas operativos para distinguir un comportamiento anómalo de uno legítimo pero poco habitual.
No todas pueden mantener uno interno de forma permanente; muchas contratan este servicio de forma periódica a un proveedor especializado o lo activan tras un incidente relevante en su sector, en lugar de tenerlo como función continua las 24 horas.