01
Hipótesis
Definimos comportamientos, técnicas o escenarios relevantes para el riesgo y la telemetría disponible.
Threat operations
Protección Proactiva contra Amenazas
Busque señales que no necesariamente llegan como una alerta clara mediante hipótesis de hunting, inteligencia aplicada y validación de cobertura de detección.
El reto
Esperar una alerta supone que la lógica de detección ya conoce el comportamiento que el atacante va a utilizar.
La defensa reactiva depende de que una alerta exista primero. Las capacidades proactivas buscan patrones, comportamientos y señales que requieren investigación antes de convertirse en un incidente mayor.
Mayor capacidad de detección temprana
Hipótesis de hunting contextualizadas
Validación de controles de detección
Mejora continua de visibilidad
Threat hunting basado en hipótesis
Use contexto de amenazas y conocimiento del entorno para buscar comportamiento que merece investigación.
Threat hunting no consiste en revisar eventos al azar. Definimos hipótesis, fuentes y criterios de investigación para convertir cada ciclo en aprendizaje sobre cobertura y detecciones.
02
Buscar
Consultamos y correlacionamos señales de endpoint, identidad, cloud, red u otras fuentes incluidas.
03
Investigar
Validamos contexto, secuencia y alcance de actividad que requiera atención adicional.
04
Mejorar
Convertimos aprendizajes en detecciones, nuevas fuentes, ajustes o acciones de fortalecimiento.
Cuándo conviene
Situaciones en las que este servicio puede aportar valor.
Organizaciones con telemetría disponible que quieren buscar amenazas más allá de las alertas existentes.
SOC que necesita validar cobertura frente a técnicas o escenarios de amenaza relevantes.
Equipos que quieren convertir inteligencia de amenazas en preguntas investigables dentro de su entorno.
Entornos que necesitan mejorar casos de uso a partir de señales y comportamientos observados durante hunting.
Qué incluye
Componentes que pueden formar parte del servicio
La combinación se define según sus prioridades, arquitectura y nivel de madurez.
Threat hunting
Inteligencia de amenazas
Análisis de indicadores y comportamientos
Validación de cobertura de detección
Revisión de señales anómalas
Recomendaciones para fortalecer casos de uso
Enfoque Cyarax
Un proceso claro, trazable y orientado al riesgo.
Ajustamos la profundidad, las evidencias y los entregables a la necesidad, los activos y las restricciones de cada organización.
- 01Definir hipótesis y contexto
- 02Buscar y correlacionar señales
- 03Investigar hallazgos
- 04Convertir aprendizajes en mejoras
Entregables
Qué recibe para tomar decisiones y avanzar.
Threat hunting depende de la calidad y retención de la telemetría disponible. No debe presentarse como garantía de ausencia de compromiso; un resultado sin hallazgos describe lo observado dentro del alcance y las fuentes consultadas.
01
Hipótesis y alcance de cada actividad de hunting.
02
Consultas, hallazgos y evidencia relevante según las fuentes disponibles.
03
Conclusiones de investigación y escalamiento cuando se identifique actividad que lo requiera.
04
Lista priorizada de nuevas detecciones, telemetría o mejoras de cobertura derivadas del ejercicio.
Preguntas frecuentes
Preguntas que conviene resolver antes de empezar.
¿Threat hunting reemplaza el monitoreo del SOC?
No. El monitoreo atiende señales y casos de uso de forma continua; hunting investiga hipótesis que pueden no generar una alerta previa. Se complementan.
¿Necesitamos un SIEM para hacer hunting?
No siempre, pero sí se requiere telemetría consultable y suficiente para la hipótesis. La plataforma y fuentes se evalúan antes de definir el alcance.
¿Utilizan MITRE ATT&CK?
Puede utilizarse para estructurar técnicas, cobertura e hipótesis cuando aporta valor al caso, sin convertir el framework en un objetivo por sí mismo.
Siguiente paso
Definir un hunt¿Qué comportamiento podría estar ocurriendo en su entorno sin activar una alerta hoy?
Definamos una hipótesis relevante y comprobemos si la telemetría disponible permite investigarla con suficiente contexto.