Cazar por hipótesis

El modo reactivo espera: salta una alerta y el analista responde. La caza invierte eso: no espera: formula una hipótesis de qué estaría pasando si el actor ya estuviera dentro y la va a comprobar a los registros por iniciativa propia. Ánfora no tiene ninguna alerta en la tienda 33, pero sí el perfil del actor, así que caza: «si estuviera aquí, habría una tarea que lanza un intérprete desde una carpeta temporal». Buscar sin que nada haya sonado es lo que encuentra al actor que entró sin disparar ninguna regla.

La caza es defensa proactiva: se sale a buscar al adversario en vez de esperar a que una alarma lo anuncie, porque el que no dispara alarmas es justo el más peligroso.

No toda búsqueda es una caza. «Buscar cosas raras» no lleva a ningún sitio: es demasiado vago para saber dónde mirar o cuándo has terminado. Una buena hipótesis de caza es concreta y comprobable, y sale de la inteligencia del actor: «si el actor está dentro, habrá una tarea programada que lanza un intérprete desde una carpeta temporal del perfil». Esa frase dice exactamente qué buscar (tareas con ese patrón), dónde (el registro de creación de tareas) y qué confirmaría el hallazgo (una así que ningún administrador creó). La TTP del actor es la mejor fábrica de hipótesis de caza.

Una hipótesis de caza útil se puede ir a comprobar hoy: nombra el rastro, el registro y qué lo confirma. «Algo raro» no es una hipótesis, es un deseo.

Ánfora caza en varias tiendas y en la mayoría no encuentra nada. Eso no es un fracaso. Una caza que vuelve con las manos vacías deja dos cosas: la confianza razonada de que esa tienda no tiene ese rastro —ausencia comprobada, no supuesta—, y una hipótesis afinada para la próxima vuelta. Medir el éxito de una caza por si capturó algo empuja a inventar hallazgos o a cazar solo donde ya sospechas. El valor está en haber mirado donde nadie miraba con una pregunta precisa, encuentres o no.

Cazar y no encontrar es un resultado, no un fallo: has convertido una zona oscura en una zona comprobada. La siguiente hipótesis nace de lo que esta descartó.

En la tienda 33, sin ninguna alerta previa, la caza de Ánfora encuentra la tarea sospechosa: un compromiso que estaba ahí y que ninguna regla había disparado. Esto explica por qué la caza complementa a las detecciones automáticas en vez de repetirlas: las reglas atrapan lo conocido y configurado; la caza, guiada por inteligencia fresca, atrapa lo que se coló por los huecos. Y el hallazgo retroalimenta: de esa tarea cazada a mano sale una regla nueva que la próxima vez la pille sola.

La regla cubre lo previsto; la caza descubre lo imprevisto y lo convierte en regla. Una defensa madura hace las dos, porque ninguna cubre lo de la otra.

Abre el registro de la caza en la plataforma. Partiendo de la hipótesis sacada de la TTP del actor, la caza dio con un compromiso en una tienda sobre la que ninguna alerta había saltado. Abre ese hallazgo de la caza y lee el código que la plataforma le asignó.