Threat Hunting: buscamos lo que ya está dentro y no ha hecho saltar ninguna alerta.
Los atacantes que usan herramientas legítimas no siempre disparan una regla. Nuestro sistema agéntico los busca de forma proactiva, guiado por inteligencia propia.
Qué es el threat hunting
El threat hunting, o caza de amenazas, es la búsqueda proactiva de atacantes que ya están dentro de una red y han pasado desapercibidos para las detecciones automáticas.
La detección responde a patrones conocidos. El hunting parte de una hipótesis (por ejemplo, una técnica concreta de MITRE ATT&CK que usa un grupo activo en tu sector) y la contrasta con la telemetría de tu entorno, también hacia atrás en el tiempo.
Qué buscamos
Hipótesis MITRE ATT&CK
Cada campaña de hunting parte de técnicas reales de atacantes, priorizadas con la inteligencia de Ciberia Intel.
Búsqueda retrospectiva
Cuando aparece un indicador nuevo, comprobamos si ya estuvo en tu entorno semanas o meses atrás.
Persistencia y movimiento lateral
Rastreamos abuso de credenciales, mecanismos de persistencia y uso de herramientas legítimas que una regla suele pasar por alto.
Nuevas reglas a partir de los hallazgos
Lo que encontramos se convierte en reglas de detección de Ciberia MDR, para que la próxima vez salte una alerta.
Una hipótesis, de principio a fin.
Elige una hipótesis y mira cómo recorre las tácticas de MITRE ATT&CK hasta convertirse en una regla de detección.
Ejemplo interactivo de threat hunting sobre la matriz MITRE ATT&CK Enterprise. Elige una hipótesis: se traza la ruta de ataque esperada, una búsqueda retrospectiva de 90 días confirma cada técnica y el hallazgo se convierte en una regla de detección.
MITRE ATT&CK® Enterprise v19. Escenarios de ejemplo.
¿Alguien entra con credenciales legítimas desde donde no debería?
Desliza para recorrer las 15 tácticas
Trazando la hipótesis sobre la matriz.
Búsqueda retrospectivaen espera
Hallazgo
Aparecerá al confirmar la ruta.
Nueva regla de detección
- T1589 Gather Victim Identity Information (Reconocimiento): Correos de la plantilla publicados en una filtración, hace 88 días.
- T1650 Acquire Access (Desarrollo de recursos): Un acceso corporativo a la venta en un mercado clandestino, hace 74 días.
- T1078 Valid Accounts (Acceso inicial): Inicio de sesión válido desde un país sin actividad previa, hace 61 días.
- T1098 Account Manipulation (Persistencia): Nuevo método MFA registrado a las 03:12, hace 55 días.
- T1087 Account Discovery (Descubrimiento): Consultas masivas al directorio desde esa cuenta, hace 40 días.
- T1114 Email Collection (Recolección): Regla de reenvío creada en el buzón, hace 22 días.
- T1567 Exfiltration Over Web Service (Exfiltración): Subida de archivos a un almacenamiento web personal, hace 9 días.
- Hallazgo: Una cuenta comprometida llevaba 61 días activa sin disparar ninguna alerta. Nueva regla de detección: Alta de un método MFA seguida de una regla de reenvío en menos de 24 horas.
Cómo trabaja el hunting
- 1
Hipótesis
Partimos de la actividad de grupos y campañas que detecta Ciberia Intel.
- 2
Búsqueda
Contrastamos la hipótesis con la telemetría de tu entorno, actual e histórica.
- 3
Hallazgo
Evidencia, alcance, activo afectado y nivel de riesgo, en una sola vista de la plataforma.
- 4
Regla
El hallazgo se convierte en una detección nueva de Ciberia MDR.
Preguntas frecuentes
¿En qué se diferencia el threat hunting de la detección automática?
La detección reacciona a patrones conocidos. El hunting busca de forma activa comportamientos sospechosos que todavía no han generado una alerta clara.
¿Necesitáis instalar algo en mis sistemas?
No. El hunting se hace sobre la telemetría de las herramientas que ya tienes conectadas a Ciberia (EDR, SIEM y otras fuentes de registros).
¿Qué recibo al terminar?
Los hallazgos con su evidencia, el impacto potencial y las consultas usadas, visibles en la plataforma, y las nuevas reglas que se incorporan a la detección.
Hablemos de tu seguridad.
Te enseñamos la plataforma con tu tecnología en mente y vemos qué podemos automatizar desde el primer día.