La búsqueda proactiva de amenazas consiste en detectar aquellas que han eludido las defensas existentes. No se trata de esperar una alerta, sino de partir de la base de que un atacante ya está dentro y busca pruebas. El investigador formula una hipótesis: quizás el atacante utiliza PowerShell para moverse lateralmente, o quizás está extrayendo datos a través de DNS. A continuación, consulta los registros y los datos de los puntos finales para confirmarla o descartarla. La mayoría de las búsquedas no encuentran nada, lo cual no es un fracaso, sino la confirmación de que las defensas funcionan.

La caza de amenazas requiere datos y habilidad. El cazador necesita acceso a la telemetría de los endpoints, los registros de red y los eventos de autenticación. Necesita saber cómo es lo normal para poder detectar lo anormal. Necesita comprender las técnicas de los atacantes, a menudo extraídas de marcos como MITRE ATT&CK. La caza de amenazas es diferente de la respuesta a incidentes. La respuesta a incidentes reacciona ante un evento confirmado. La caza de amenazas busca eventos que nunca se confirmaron. Llena el vacío entre la detección automatizada y la investigación humana. Una buena caza produce nuevas reglas de detección. La hipótesis que no encontró nada aún enseña algo sobre el entorno. Con el tiempo, la caza mejora la cobertura de detección y reduce el tiempo de permanencia. Los atacantes cuentan con que los defensores sean reactivos. La caza rompe esa suposición.

Proceso de búsqueda de amenazas

• Formula una hipótesis basada en la inteligencia sobre amenazas o el comportamiento del atacante.
• Recopilar datos de fuentes relevantes.
• Consultar y analizar para obtener evidencia
• Investigar anomalías
• Documentar los hallazgos y crear nuevas detecciones.

La búsqueda de amenazas es un trabajo de detective. Puede que el delito no haya ocurrido. La tarea consiste en demostrar si ocurrió o no.