🕵️‍♂️ Fundamentos del Threat Hunting (Caza de Amenazas)

🎯 Definición

El Threat Hunting es una práctica activa, humana y basada en hipótesis, cuyo propósito es detectar amenazas avanzadas y sigilosas que han eludido las defensas automáticas.
Su meta principal es reducir el “dwell time” (tiempo entre la intrusión y su detección).

⏱️ Concepto clave: Dwell Time

⚠️

El tiempo promedio entre una intrusión y su detección suele ser de semanas o meses.
Durante este tiempo, el atacante puede moverse lateralmente, robar datos y establecer persistencia.

🧭 Propósito del Threat Hunting

Reducir el dwell time 🕒
Detectar actividades maliciosas tempranas en el ciclo de ataque (Cyber Kill Chain)
Neutralizar amenazas antes de que se afiancen en la infraestructura
Descubrir lo que las herramientas automáticas no ven (detección proactiva)

🔍 Cómo se lleva a cabo

🧩 Etapas básicas del proceso de Threat Hunting

Identificación de activos valiosos (sistemas, datos, credenciales críticas).
Análisis de TTPs (Tácticas, Técnicas y Procedimientos) de adversarios conocidos.
Formulación de hipótesis de caza basadas en inteligencia.
Búsqueda y correlación de artefactos o anomalías en datos del SIEM/EDR.
Validación y documentación de hallazgos.

🧠 Pilares del Threat Hunting

💡

Estrategia proactiva y ofensiva, basada en inteligencia.
Comprensión sólida del entorno TI y de las amenazas actuales.
Empatía adversarial: pensar como el atacante.
Uso de datos de alta fidelidad y análisis táctico (SIEM, Sysmon, EDR).
Conocimiento del comportamiento normal de la red.

🔗 Relación entre Threat Hunting e Incident Handling

⚙️

El Threat Hunting complementa y fortalece las fases del manejo de incidentes (Incident Handling):

Fase	Rol del Threat Hunter
Preparación	Define reglas de caza, herramientas y procedimientos.
Detección y Análisis	Confirma IoCs, descubre artefactos ocultos y amplía el contexto del incidente.
Contención / Erradicación / Recuperación	(Opcional) Ayuda a validar acciones y limpiar rastros.
Post-Incident	Aporta lecciones aprendidas y recomendaciones defensivas.

🔁

La integración entre Threat Hunting y Incident Handling permite una mejor respuesta y aprendizaje continuo tras cada incidente.

👥 Estructura del Equipo de Threat Hunting

🧩 Composición recomendada:

Rol	Función principal
🕵️‍♂️ Threat Hunter	Núcleo del equipo. Busca IoCs y patrones de ataque.
🌐 Threat Intelligence Analyst	Recolecta y analiza información de amenazas (OSINT, Dark Web, feeds).
🚨 Incident Responder	Actúa tras la detección; ejecuta contención y recuperación.
🧬 Forensics Expert	Realiza análisis técnico profundo, malware y DFIR.
📊 Data Analyst / Scientist	Detecta anomalías mediante modelos estadísticos y ML.
🛠️ Security Engineer / Architect	Diseña y mejora la infraestructura defensiva y de caza.
🌉 Network Security Analyst	Analiza patrones de tráfico y comportamiento de red.
🧑‍💼 SOC Manager	Supervisa la coordinación y comunicación del equipo.

🕓 Cuándo realizar Threat Hunting

🚨 Momentos clave para cazar amenazas:

Nueva información sobre adversarios o vulnerabilidades.
Nuevos IoCs asociados a adversarios conocidos.
Múltiples anomalías detectadas en la red o endpoints.
Durante una respuesta a incidentes (IR) — búsqueda de amenazas relacionadas.
De forma periódica y proactiva, como rutina de seguridad.

💬

🔁 El mejor momento para cazar es siempre ahora.
Un enfoque proactivo minimiza el impacto de futuros ataques.

⚖️ Relación entre Risk Assessment y Threat Hunting

🧩

La evaluación de riesgos (Risk Assessment) permite priorizar los esfuerzos de Threat Hunting en los activos más críticos.

Aspecto	Contribución al Threat Hunting
🏰 Identificación de activos	Prioriza las “crown jewels” a proteger.
⚔️ Identificación de amenazas	Permite comprender las TTPs del adversario.
🔍 Detección de vulnerabilidades	Enfoca la caza en los puntos débiles conocidos.
🧠 Uso de Threat Intelligence	Asocia actores con vulnerabilidades reales.
🧾 Refinamiento del IR Plan	Mejora la respuesta ante futuros incidentes.
🔧 Refuerzo de controles	Fortalece las defensas con base en hallazgos.

🧰 Herramientas comunes

🔎 SIEM (Elastic, Wazuh, Splunk)
🧠 Threat Intelligence Platforms (MISP, OpenCTI)
🧩 EDR / XDR
🧮 ML & Data Analytics Tools
🧰 Frameworks: MITRE ATT&CK, Cyber Kill Chain

🧾 Resumen final

Success

Threat Hunting = Detección proactiva + Inteligencia + Comprensión del adversario.

Su implementación continua reduce el dwell time, refuerza la defensa, y eleva la madurez del SOC hacia un modelo de seguridad adaptativa y anticipatoria.