Escenario: tres candidatos atípicos y una sola hora para priorizar

En una caza sobre 10,000 equipos se aislaron tres candidatos únicos (frecuencia = 1): 1) Un plugin contable firmado en un portátil financiero, 2) Una utilidad interna de soporte técnico, y 3) Un ejecutable no firmado (sync_edge.exe) en C:\Users\Public de FIN-WS-09 que simulaba ser el navegador Edge. Disponiendo de solo 60 minutos, el analista priorizó el binario en la carpeta pública por su ruta atípica y falta de firma, confirmando en 45 minutos un backdoor activo mediante masquerading.

Indica el valor de triage_time_min que figura en la tabla confirmed_detections.

Lección tras el caso {#leccion}

La caza guiada por datos (data-driven threat hunting) es la metodología que permite descubrir intrusiones completamente desconocidas sobre las cuales no existe inteligencia previa ni firmas. Su fundamento descansa en la matemática de la atipicidad: sobre poblaciones de equipos homogéneos, la actividad adversaria suele manifestarse en la cola larga de mínima frecuencia (stack counting). No obstante, ser raro no equivale automáticamente a ser malicioso: el cazador defensivo aprende a filtrar con celeridad el ruido benigno del negocio, documenta los descartes para nutrir la memoria operativa y transforma las anomalías confirmadas en reglas permanentes de detección continua.