La caza que salió vacía

Una caza que no encuentra al adversario ha producido conocimiento: ahora se sabe que, en la ventana y las máquinas miradas, esa hipótesis no se sostiene. Eso reduce la incertidumbre —hay una conducta menos que vigilar a mano— y libera esfuerzo para la siguiente hipótesis. El resultado negativo es información, siempre que quede escrito qué se buscó, dónde y cuándo. Lo que no vale es el vacío sin registro: si nadie anota la caza vacía, el equipo la repetirá dentro de un mes sin saber que ya se hizo.

Medir la caza por «¿encontró intruso?» condena al cazador a sentirse inútil el noventa por ciento de los días. Medirla por «¿qué sabemos ahora que no sabíamos?» convierte cada caza, con hallazgo o sin él, en un avance de la defensa.

Para que una caza vacía cuente, su registro tiene que decir qué se comprobó. Lleva la hipótesis exacta que se persiguió, la técnica de ATT&CK de la que salió, la telemetría que se miró y su ventana de tiempo, y el veredicto: no se hallaron indicios de esa conducta en ese alcance. Con eso, otro cazador sabe qué está cubierto y qué no, y puede decidir si amplía la ventana, cambia la fuente o pasa a otra hipótesis. Sin eso, la caza vacía es un rumor —«creo que alguien miró eso»— que no acota nada.

La clave es el alcance escrito: «no hay canal de mando» es una afirmación enorme e insostenible; «no se halló latido regular hacia destinos externos en las estaciones del almacén durante la última semana en Zeek» es una afirmación honesta y útil, porque dice exactamente hasta dónde miró.

Antes de firmar una caza como vacía hay que descartar que en realidad fuera ciega. Una fuente apagada, una retención que no llegaba a la ventana mirada, o una hipótesis buscada en la telemetría equivocada devuelven el mismo vacío que un ataque que no ocurrió. El cierre honesto distingue las dos cosas: «vacía» significa que se miró donde la huella habría estado y no estaba; «ciega» significa que no se pudo mirar, y eso es un punto ciego que se reporta, no una caza limpia. Confundirlas deja a la empresa creyendo que buscó donde no miró.

Por eso el registro de una caza vacía confirma que la telemetría necesaria estaba activa y cubría la ventana. Si no lo estaba, el veredicto cambia de «limpio» a «no se pudo comprobar, falta esta fuente», que es un hallazgo distinto y accionable.