Hipótesis sobre cuentas, de la sospecha a lo comprobable

Una corazonada sobre cuentas suena a «alguien está usando mal las credenciales». Es cierta o falsa, pero no se puede buscar: no dice qué huella dejaría, en qué registro, ni qué resultado la tumbaría. Una hipótesis de caza sí lo dice. Tiene un sujeto concreto (una cuenta, un grupo de cuentas, un origen), una conducta observable, una fuente que la registra, una ventana de tiempo y un resultado que la descarta.

La prueba práctica es sencilla: si dos personas del equipo, leyendo el enunciado, abrirían el mismo registro y buscarían lo mismo, es una hipótesis. Si cada una buscaría otra cosa, todavía es una sospecha.

Un proveedor de identidad separa lo que registra en fuentes distintas, y la hipótesis solo se prueba en la que guarda su huella. Los inicios interactivos son los de una persona que escribe sus credenciales. Los inicios no interactivos son los de una aplicación o un servicio que renueva una sesión por su cuenta, con un token, sin que nadie teclee nada. La auditoría del directorio guarda quién cambió qué: un rol, un grupo, un consentimiento a una aplicación. El registro de segundo factor guarda el resultado de cada verificación.

Abre el laboratorio y ejecuta fuentes_identidad y luego hipotesis. Las dos tablas son la lista de caza en bruto: seis hipótesis con su técnica de ATT&CK, su ventana de días y la fuente que necesitan.

Una hipótesis perfecta sobre una fuente que no está en el SIEM no se puede cazar: la consulta saldría vacía, y una consulta vacía sobre un dato que no existe no prueba nada. Antes de cazar hay que cruzar la lista de hipótesis con la de fuentes y preguntar si cada una de ellas llega.

Ejecuta fuentes_identidad | where llega_al_siem == "no" para ver qué fuente no llega, y busca en hipotesis cuál depende de ella.

Hay un segundo motivo para que una hipótesis no se pueda comprobar: la fuente llega, pero guarda menos días que los que la hipótesis necesita mirar. Una caza que pide 45 días sobre una fuente que conserva 30 verá siempre un tercio de la historia y no sabrá qué le falta.

Una hipótesis se puede comprobar hoy si cumple las dos condiciones a la vez: su fuente llega al SIEM y su retención es al menos igual a su ventana. Cruza las dos tablas hipótesis por hipótesis, y recuerda que igualar la ventana ya cuenta como suficiente.

La hipótesis HIP-0413 necesita 45 días de auditoría del directorio y la fuente guarda 30. El equipo tiene que decidir cómo la deja escrita. Lo que no puede hacer es cerrarla como si hubiera mirado: eso es lo que distingue una caza ciega de una caza vacía. La vacía miró en un dato suficiente y no encontró nada; la ciega no pudo mirar lo bastante.

Una caza ciega no es un fracaso. Es un hallazgo de telemetría: nombra la hipótesis que quedó sin probar y lo que habría que cambiar, aquí la retención, para poder probarla la próxima vez.