Los tres disparadores de una caza

Una caza se puede disparar de tres maneras, y conviene no confundirlas porque cada una exige una preparación distinta. La primera parte de una técnica del catálogo del adversario y la convierte en hipótesis —«si alguien la usó, habría dejado esta huella»—. La segunda parte de inteligencia fresca: un informe describe cómo opera un grupo activo, y el equipo va a comprobar si esa conducta aparece en sus propios datos. La tercera parte de una anomalía: algo que se desvía de lo normal del entorno y que ninguna regla describía.

Lo que tienen en común importa más que lo que las separa: ninguna espera. El punto de partida cambia —una técnica, un informe, una desviación— y eso decide qué telemetría se abre primero, pero el método es el mismo: hipótesis, búsqueda y una regla al final si hay hallazgo.

Un informe de amenazas describe a un grupo activo en el sector de Brío y cómo se mueve: qué herramienta deja, qué carpeta usa, qué protocolo abusa. La caza por inteligencia toma esa descripción y pregunta «¿tenemos nosotros esa huella?» —no espera a que una regla la reconozca, va a buscarla con lo que el informe acaba de enseñar—. Es proactiva aunque el punto de partida venga de fuera.

El matiz honesto es no quedarse en el indicador concreto del informe —una dirección, un hash— que caduca rápido, sino buscar también la conducta que describe. Un informe bien leído da hipótesis, no solo una lista para bloquear.

A veces no hay técnica elegida ni informe: hay algo que no encaja con lo normal del entorno —un puesto que de pronto habla con un servidor que nunca tocó, un volumen de salida que no se parece a ningún día anterior—. Si ninguna regla lo cubre, revisarlo es cazar: se parte de la desviación y se formula la hipótesis de qué la explicaría. Requiere conocer la línea de base, porque sin saber qué es normal no hay desviación que ver.

El riesgo de este disparador es perseguir cada rareza como si fuera amenaza. Una anomalía es una pista, no un veredicto — se convierte en hipótesis y se comprueba, igual que las otras dos.

Los tres disparadores comparten una frontera: ninguno empieza por la cola de alertas. Atender una alerta que una regla ya levantó —por fresca o grave que sea— es vigilancia, el trabajo reactivo del turno. Se vuelve fácil llamar «caza» a investigar a fondo una alerta, pero mientras el punto de partida sea algo que una regla reconoció, no se está cubriendo el hueco de lo que ninguna regla vio, que es para lo que existe la caza.

La prueba es simple: si quitaras la alerta, ¿seguirías teniendo motivo para mirar? En una caza sí —la hipótesis, el informe o la anomalía siguen ahí—; en una investigación de alerta no, porque sin la alerta no había nada que investigar.

Abre el laboratorio de arranques de caza. El equipo de Brío dejó cuatro fichas de arranque: tres son disparadores legítimos de caza —uno por hipótesis, uno por inteligencia, uno por anomalía— y una es en realidad una investigación de alerta disfrazada. Aísla la que parte de un informe de amenazas reciente —la caza por inteligencia— y lee su ficha hasta el final.