Caso final — Almadía Seguros

La cola de alertas de Almadía está vacía, así que empezar por ella no llevaría a ningún sitio —eso es vigilar, no cazar—. El método es elegir una técnica de ATT&CK que un adversario usaría en una aseguradora, convertirla en una hipótesis comprobable, y decidir de antemano qué telemetría la confirmaría. No se abre una consulta a ver qué sale: se parte de «si alguien entró y se movió, habría dejado esta huella concreta en esta fuente». La hipótesis es la que dice dónde mirar en una telemetría de millones de eventos.

Empezar por «revisar todo a ver si hay algo raro» es el atajo que este caso existe para desmontar: sin hipótesis previa, cualquier patrón llamativo parece amenaza y la caza no termina nunca.

Persigues la hipótesis de movimiento lateral con credenciales válidas: «si el intruso saltó de máquina, veríamos una cuenta abriendo sesiones remotas hacia estaciones que no suele tocar, desde un origen inusual». Al cruzar los registros de autenticación con el punto final, aparece: una cuenta de un empleado de siniestros inicia una sesión remota contra una estación de otra área a una hora en que su dueño no estaba, y esa sesión enumera cuentas al llegar. Sesión válida, sin un solo error de autenticación —por eso ninguna regla saltó—, pero el par de máquinas y lo que hizo al llegar confirman el salto.

Lo que cierra la caza no es la sesión sola, que sería ambigua, sino la sesión cruzada con lo que hizo en el destino. Dos fuentes alineadas por tiempo y máquina convierten una conexión rara en un movimiento lateral confirmado.

Confirmado el salto, el producto es la regla que deja al SOC viéndolo solo. La escribes sobre la conducta, no sobre el caso: «una estación que recibe una sesión remota desde otra estación de trabajo y, al llegar, enumera cuentas» —no el nombre del empleado de siniestros ni la máquina concreta, que cambiarán—. La pruebas contra una semana de datos: debe disparar con el salto plantado y callar con las sesiones remotas legítimas de los administradores, que van de sus estaciones a los servidores, no de puesto a puesto. Si dispara con ambas, la afinas hasta que solo salte la forma que importa.

Anclar la regla a la cuenta o a la máquina concretas la dejaría ciega a la próxima campaña. La regla que sirve describe el patrón —puesto que administra a otro puesto y enumera— para reconocer la maniobra aunque los actores sean otros.

Persigues una segunda hipótesis: que el intruso dejó persistencia por tarea programada. Abres el registro de creación de tareas del punto final… y no hay dato en la ventana que te interesa: ese registro no estaba activado en las estaciones de Almadía durante esos días. La huella podría estar o no, pero no puedes saberlo, porque la telemetría no lo grababa. Esto no se cierra como «no hay persistencia»: se cierra como caza ciega, un punto ciego que se reporta —qué hipótesis quedó sin comprobar y qué telemetría activar para poder cazarla—.

Firmar esto como «limpio» sería el error grave del caso: dejaría a Almadía creyendo que buscó donde no miró. La lectura honesta distingue «miré y no estaba» de «no pude mirar», y la segunda es un hallazgo accionable, no una caza vacía de verdad.

Entregas dos resultados, y los dos cuentan. Uno: la caza confirmada de movimiento lateral, con la evidencia cruzada (la sesión y lo que hizo al llegar), la técnica de ATT&CK, y la regla nueva ya probada que el SOC vigilará desde ahora. Otro: la caza de persistencia cerrada como punto ciego, con la hipótesis que no se pudo comprobar y la telemetría que hay que activar. El cierre separa lo observado de la conclusión, acota cada veredicto a su alcance, y no infla el hallazgo ni esconde el hueco. Ese es el trabajo completo de un cazador: lo que encontró, lo que descartó y lo que no pudo ver.

Si llegaste hasta aquí eligiendo tus hipótesis, confirmando una con evidencia cruzada, dejando una regla que describe la conducta, y cerrando con honestidad la que salió ciega, el método de la ruta ya es tuyo.

El caso no se cierra con una sensación, se cierra con el trabajo completo. Abre el laboratorio de Almadía y aplica el método: cruza la autenticación con el punto final para confirmar el movimiento lateral, y comprueba la hipótesis de persistencia hasta descubrir que sale ciega por un hueco de telemetría. Cuando tengas el reparto honesto —la caza confirmada con su regla y la persistencia cerrada como punto ciego—, la hoja de cierre trae, junto al hallazgo confirmado, el código del caso.