De la técnica a la hipótesis

ATT&CK describe cómo operan los adversarios: agrupa sus técnicas por objetivo —acceso, persistencia, movimiento lateral, mando y control— y a cada una le pone un identificador y una descripción de la conducta. Para el cazador eso es oro, porque le da una lista finita y ordenada de «cosas que un intruso haría» de la que sacar hipótesis, en vez de inventarlas de memoria. Se usa como diccionario de conductas a buscar en los propios registros, nunca como manual de ataque.

Sin un marco así, la caza depende de lo que cada persona recuerde. Con él, el equipo cubre el catálogo de forma sistemática: esta semana cazamos persistencia por tarea programada, la próxima movimiento lateral por servicios remotos, y queda anotado qué se cubrió y qué no.

Una técnica de ATT&CK es general; una hipótesis de caza tiene que ser concreta. «El adversario usa mando y control» no se puede cazar: no dice dónde mirar ni qué contaría como prueba. «Si hay un canal de mando activo, alguna estación se conecta a un mismo destino externo a intervalos casi idénticos durante horas» sí: nombra la telemetría (conexiones de red), el patrón (regularidad) y el veredicto (aparece o no aparece). Una hipótesis comprobable se puede confirmar y —esto es lo que la vuelve útil— también descartar.

La prueba de que una hipótesis sirve es preguntarse: «¿qué dato la haría falsa?». Si no hay respuesta, la hipótesis es demasiado vaga y la caza no terminará nunca, porque nada la cierra.

Una hipótesis demasiado amplia entierra al cazador igual que no tener ninguna. «Alguien ejecutó algo raro en algún puesto» abarca tanto que su búsqueda devuelve medio registro. Acotar es añadir condiciones que la técnica implica de verdad: no «un proceso sospechoso», sino «un proceso de ofimática que lanza un intérprete de comandos», que es una conducta específica y rara. Cada condición que se añade reduce el ruido sin perder el patrón, siempre que la condición forme parte de la técnica y no sea un capricho.

El equilibrio es fino: acotar de menos deja un resultado inmanejable; acotar de más, con una condición que la técnica no exige, arriesga saltarse el caso real. Se acota por lo que la conducta implica, no por lo que se espera encontrar.

Una buena hipótesis ya lleva dentro dónde comprobarla. Si la técnica es persistencia por tarea programada, la hipótesis apunta al registro de creación de tareas del punto final; si es canal de mando, apunta a los metadatos de conexión de red. Eso es parte del valor de formularla bien: antes de abrir una sola consulta, el cazador sabe qué fuente contiene la prueba. Cuando una hipótesis no dice qué telemetría la contestaría, no está lista para cazar —está lista para pensarse más—.

Derivar la fuente de la hipótesis, y no al revés, evita el error de empezar por la herramienta favorita y forzar la pregunta para que quepa en ella. Primero qué se busca; después dónde vive ese dato.

Abre el laboratorio del taller de hipótesis. Del catálogo se eligió una técnica y el equipo dejó tres borradores de hipótesis para cazarla. Solo uno es comprobable: nombra qué telemetría abrir, qué patrón buscar y qué dato lo confirmaría o lo descartaría. Los otros dos son demasiado vagos o demasiado amplios para cerrar una caza. Aísla el borrador comprobable: lleva anotado el código de la sala.