El backlog de hipótesis

Una hipótesis con un título no es una hipótesis lista: es una idea. Para poder cazarse necesita una ficha corta que diga la técnica de ATT&CK de la que sale, la telemetría que la prueba o la descarta, el criterio de qué resultado la confirma y qué ventana de tiempo se mira, y el tamaño estimado de la caza. Sin esos campos, quien la tome en el ciclo tendrá que reconstruirlos, y gastará en eso las horas que no tiene.

La ficha completa también protege al equipo de un vicio: cazar lo que suena bien. Si no se puede escribir qué dato la confirmaría, la idea aún no es comprobable, y su lugar es el principio de la lista, no el plan del ciclo.

Las hipótesis llegan de tres sitios: una técnica del catálogo que se quiere cubrir, un informe de inteligencia sobre un grupo activo y una anomalía que se salió de lo normal. Cada procedencia tiene su urgencia aparente: el informe parece más urgente que el catálogo y la anomalía más que ambos. Si cada una tiene su propia lista, el equipo no puede comparar y acaba cazando lo que llegó más recientemente.

Por eso todas entran al mismo backlog, con la misma ficha, y se comparan con la misma puntuación. El origen queda anotado en una columna, porque sirve para saber de dónde llegan las ideas, pero no da pase automático.

Un backlog crece más rápido de lo que se vacía, y una hipótesis que lleva meses sin que nadie la mire probablemente ya no describe el entorno: cambió el activo, cambió la telemetría o cambió el grupo que la motivaba. Por eso el programa fija un tope de revisión: toda hipótesis a la que nadie ha vuelto en más de 90 días entra en la lista de repaso. La tabla backlog trae, para cada una, los días que lleva sin revisión.

No todo lo viejo es basura. Entre las hipótesis que llevan más de 90 días hay unas sin ficha completa, que probablemente nunca estuvieron listas, y puede haber alguna con ficha completa que simplemente no tuvo turno. Esta última es la que merece una revisión rápida antes de decidir su suerte, porque el trabajo de ficha ya está hecho y puede volver al plan con pocos cambios.

Distinguir las dos clases evita retirar por prisa algo que solo esperaba ciclo.

Para las hipótesis viejas y sin ficha hay dos destinos honestos: se revisan en el ciclo, completando la ficha o confirmando que ya no aplican, o se retiran con el motivo escrito. Lo que no sirve es dejarlas «por si acaso»: una lista donde nada se retira acaba sin credibilidad, y el equipo deja de consultarla. Retirar con motivo tampoco es borrar: el registro queda, y si el motivo desaparece, la hipótesis vuelve.