La hipótesis en la nube y su fuente

En la nube casi todo lo que hace un adversario con credenciales válidas pasa por una llamada a una interfaz de gestión: crear una clave, cambiar un permiso, lanzar un recurso, listar lo que hay. Esas llamadas dejan rastro en el plano de control: quién la hizo, qué pidió, desde qué dirección y a qué hora. Lo que se hace con el contenido —leer un objeto, descargar un archivo— vive en el plano de datos, y suele ser un registro aparte que alguien tiene que haber activado.

La caza en la nube parte de aquí: no hay un programa raro en un equipo que mirar, hay una identidad llamando a una interfaz. La hipótesis se escribe sobre esa llamada o esa identidad, y la fuente que la comprueba es casi siempre un registro de gestión o de inicios de sesión.

Abre el laboratorio, ejecuta fuentes y lee la columna del plano.

Una hipótesis sin fuente es un deseo. Antes de invertir una hora hay que cruzar cada hipótesis con la fuente que necesita y comprobar que la empresa la tiene activada y que cubre la ventana que interesa. Si no es así, la caza no sale vacía: no puede hacerse, y eso se reporta como hueco de telemetría, con lo que habría que activar.

Aquí la tabla hipotesis dice qué fuente pide cada una y la tabla fuentes dice si Varadero la guarda.

Una hipótesis de caza es concreta, acotada y comprobable. Dice quién o qué (una identidad, una llamada), qué conducta se espera (listar la cuenta entera, crear una clave para otro) y dónde se vería (en qué registro y en qué ventana). Tiene que poder salir falsa: si ningún resultado la desmentiría, no es una hipótesis, es una intención de mirar.

Las dos formas de malograrla son opuestas. Una es la vaguedad («revisar todo a ver qué hay»), que no termina nunca. La otra es el veredicto disfrazado («todo acceso desde otro país es un atacante»), que ya trae la conclusión y llena la caza de falsos positivos.

Cada hipótesis se ancla a una técnica de ATT&CK para poder hablar el mismo idioma con el equipo de detección y, al final, convertir lo hallado en una regla. La técnica no sustituye a la hipótesis: es su etiqueta. La misma técnica admite muchas hipótesis, y por eso conviene fijar primero la conducta y después buscar su identificador.

La tabla hipotesis ya trae la técnica de cada una. Lee la fila de la hipótesis sobre claves nuevas.