La telemetría que hace falta

Las tres fuentes no son intercambiables. Sysmon, en el punto final, graba el detalle fino de la máquina: qué proceso creó a qué proceso, qué se conectó a la red, qué se escribió en el arranque. Zeek, en la red, graba los metadatos de cada conexión: quién habló con quién, cuánto, cuándo y durante cuánto tiempo —no el contenido, que suele ir cifrado—. Wazuh recolecta y correlaciona los registros de todos los sistemas y los deja buscables en OpenSearch. Una hipótesis de parentesco de procesos se contesta en Sysmon; una de latido de red, en Zeek.

Elegir la fuente equivocada devuelve un vacío que parece tranquilizador y no lo es. Buscar un canal de mando en los registros de autenticación no encuentra nada porque ese dato no vive ahí, no porque el canal no exista.

Este es el error que la sala existe para desmontar. El cazador formula una buena hipótesis, la busca en la fuente correcta, y la fuente sale vacía. Hay dos lecturas: «la hipótesis era falsa, aquí no pasó» o «esta telemetría no estaba activada, así que no puedo saberlo». Distinguirlas es la habilidad. Antes de cerrar una caza como vacía hay que confirmar que la fuente de verdad grababa lo que la hipótesis necesitaba durante la ventana que se miró. Un registro de creación de procesos apagado devuelve exactamente el mismo vacío que un ataque que no ocurrió.

La consecuencia de confundirlos es grave: una caza cerrada como «limpio» cuando en realidad era «ciego» deja a la empresa creyendo que buscó donde no miró. El hueco de telemetría es un hallazgo en sí mismo, y se reporta.

Cuando la caza descubre que una fuente necesaria no estaba grabando, eso no es un fracaso: es un resultado accionable. Significa que la empresa tiene un punto ciego por el que un adversario podría pasar sin dejar rastro, y arreglarlo —activar ese registro, ampliar su retención— mejora la defensa tanto como una regla nueva. El cazador anota el hueco con precisión: qué hipótesis no se pudo comprobar, qué fuente faltaba, y qué habría que activar para poder cazarla la próxima vez.

Tratar el hueco como ruido —«no encontré nada, siguiente»— desperdicia el hallazgo y deja el punto ciego abierto. La caza que descubre que no ve algo entrega una tarea concreta de mejora, no un encogimiento de hombros.

Muchas hipótesis no se cierran en una sola fuente: se cierran cruzando dos. La sospecha de movimiento lateral con credenciales válidas deja media huella en los registros de autenticación (una sesión remota entre dos estaciones) y la otra media en Sysmon (qué hizo esa sesión al llegar). Por separado, cada mitad es ambigua; juntas, cuentan una historia. Wazuh y OpenSearch existen justo para eso: reunir fuentes distintas bajo la misma línea de tiempo para que el cazador siga el hilo de una máquina a otra.

Cazar mirando una sola fuente a la vez pierde lo que solo aparece en la unión. La conexión de red sin el proceso que la abrió, o el proceso sin la conexión que lo delata, cada uno solo deja una duda; el valor está en alinearlos por tiempo y por máquina.

Abre el laboratorio de cobertura. Antes de concluir «no hay nada», hay que comprobar que la fuente grababa lo que la hipótesis necesita durante toda la ventana. El informe compara dos estaciones: en una el registro de creación de tareas cubre la ventana entera —ahí un vacío sería un hallazgo honesto— y en la otra hay un hueco —ahí un vacío solo significa que no se pudo mirar—. La estación cuya telemetría sí cubre la ventana lleva el código de la sala.