Cazar no es vigilar

La vigilancia es reactiva por diseño: alguien escribió una regla para un patrón conocido, y el turno atiende lo que esa regla dispara. Funciona para lo que ya se sabe reconocer. La caza es lo contrario: no arranca de una alerta sino de una pregunta —«¿y si entró alguien que ninguna regla vio?»— y va a comprobarla en los datos aunque nada haya saltado. El cazador no mira la cola; formula una hipótesis y la persigue.

Confundir los dos lleva a un error común: creer que revisar alertas con más cuidado es cazar. No lo es. Por bien que se atienda la cola, solo contiene lo que alguna regla ya sabía describir. Lo que ninguna regla vio no está en la cola, y ahí es donde vive lo que se caza.

Una hipótesis del cazador es que el adversario ya está dentro y burló la detección. Eso no significa que la vigilancia sobre: significa que tiene un límite. La vigilancia cubre, barata y sin descanso, todo lo que ya se sabe reconocer; ninguna empresa puede cazar a mano las veinticuatro horas. La caza cubre el hueco que la vigilancia no puede ver —lo desconocido— y cada vez que encuentra algo, se lo entrega a la vigilancia en forma de regla nueva. Se turnan: la caza descubre, la vigilancia sostiene.

Por eso Brío Logística mantiene su SOC vigilando y además caza. Quitar la vigilancia dejaría sin cubrir lo conocido; no cazar nunca dejaría ciega a la empresa frente a lo que sus reglas aún no describen.

Encontrar al intruso es satisfactorio, pero no es el entregable. Si una caza destapa un canal de mando y el cazador lo limpia y cierra sin dejar nada escrito, la próxima vez habrá que cazarlo otra vez a mano. El producto de valor es la regla de detección nueva: la que traduce lo que el cazador vio a una condición que el SOC vigilará solo desde entonces. La caza descubre una vez; la regla lo sostiene para siempre.

Medir la caza por «¿atrapamos a alguien?» la vuelve un golpe de suerte. Medirla por «¿qué regla dejamos que antes no existía?» la vuelve un proceso que mejora la defensa cada vez, encuentre o no encuentre intruso ese día.

Salir a «mirar los datos a ver si hay algo raro» no es cazar: es pasear. La telemetría de una empresa son millones de eventos por día, y sin una pregunta que acote dónde mirar, el cazador se ahoga o encuentra «rarezas» que no significan nada. La caza empieza por una hipótesis concreta —«si un intruso se movió de lado, habría iniciado sesiones remotas entre estaciones que no suelen hablarse»— porque solo una hipótesis dice qué telemetría abrir y qué contaría como confirmación.

La diferencia entre un hallazgo y una casualidad es la hipótesis previa. Con ella, encontrar la huella confirma algo que se predijo; sin ella, cualquier patrón llamativo parece sospechoso y se persiguen fantasmas durante horas.

El criterio no se aprueba de memoria: se aprueba eligiendo bien. Abre el laboratorio del SOC de Brío. La cola de alertas está vacía —ninguna regla disparó en toda la ventana— y aun así hay que cazar. El turno dejó tres formas de buscar al intruso; dos siguen siendo vigilar con otro nombre y solo una es cazar: la que parte de una hipótesis y va a por la huella aunque nada haya saltado. Esa, y solo esa, lleva anotado el código de la sala.