Threat hunting
En operaciones de seguridad, el threat hunting es la búsqueda deliberada de actividad de un adversario que las detecciones existentes no han levantado. Parte de una hipótesis sobre cómo se comportaría un intruso en este parque concreto, y no de una alerta, y su resultado es tan a menudo una detección nueva como un incidente.
Cómo funciona
Una cacería empieza con una pregunta lo bastante estrecha como para responderla con los datos que hay: si un atacante estuviera usando aquí una técnica concreta, qué aspecto tendría eso en nuestra telemetría, y si está ahí. Quien caza formula la hipótesis, normalmente a partir de MITRE ATT&CK, de inteligencia sobre un adversario relevante o del conocimiento de las vulnerabilidades del propio parque, identifica el dato que lo enseñaría y lo consulta.
Después llega la parte que separa cazar de mirar registros: pase lo que pase, la hipótesis y la consulta se dejan escritas. Una cacería que no encuentra nada ha establecido un negativo y ha producido una consulta repetible, que se entrega a la ingeniería de detección para que se convierta en regla. Una cacería que no deja artefacto al final fue una tarde entretenida.
Qué sale mal
El fallo más común es llamar cacería a buscar indicadores. Cargar una fuente y buscar hashes y dominios conocidos es detección retrospectiva: valiosa, barata y limitada a los adversarios que ya ha cazado otro. Cazar es conductual, y por eso es la única actividad del SOC capaz de encontrar a un operador cuya infraestructura no ha aparecido nunca en ninguna fuente de indicadores.
El segundo es empezar sin el dato. Cazar relaciones sospechosas entre proceso padre e hijo necesita la creación de procesos con su línea de comandos, retenida lo suficiente para cubrir el periodo que se examina. La mayoría de los programas descubren su ventana de retención y sus campos ausentes durante la primera cacería seria, que es un hallazgo útil pero una forma cara de conseguirlo.
El tercero es medir la función por incidentes encontrados. En un parque sano, la mayoría de las cacerías no encuentran nada, y juzgar al equipo por capturas lo empuja hacia las preguntas fáciles.
Dónde aparece esto en una auditoría
Un ejercicio adversario es la única forma fiable de poner a prueba una capacidad de caza, porque mete actividad auténtica y no anunciada en la telemetría. Después acordamos un periodo y un conjunto de técnicas, el cliente caza, y comparamos lo que encontró con lo que hicimos de verdad. Los huecos son concretos y arreglables: un campo que no se recoge, una fuente que no se ha incorporado, una técnica sin consulta. Esa comparación forma parte de cómo un ejercicio adversario le da a tus cazadores algo real que encontrar.