Threat hunting: cómo encontrar al atacante antes de que salte la alerta

Un SIEM tranquilo parece una buena noticia. Sin alertas críticas, sin incidentes abiertos, nada en el tablero. Pero "sin alertas" solo significa que nada coincidió con las reglas que ya escribiste. Un atacante que usa credenciales válidas, herramientas de administración del propio sistema y movimientos lentos y cuidadosos puede quedarse dentro de ese silencio durante días.

El threat hunting (búsqueda proactiva de amenazas) es salir a buscar a ese atacante a propósito, antes de que salte una alerta. Esta guía explica qué es la caza de amenazas (y qué no es), cómo estructurar una búsqueda con un marco sencillo, qué datos necesitas y cómo convertir cada búsqueda en algo que mejore tu SOC de forma permanente.

Por qué no basta con esperar alertas

El informe M-Trends 2026 de Mandiant, basado en sus investigaciones de incidentes durante 2025, sitúa la mediana global del tiempo de permanencia (el tiempo entre el inicio de una intrusión y su detección) en 14 días, frente a 11 días el año anterior. El mismo informe muestra cómo se enteraron las organizaciones:

• El 52 % de las veces detectaron la actividad maliciosa internamente.
• El 34 % de las veces se lo avisó un tercero.
• El 14 % de las veces lo anunciaron los propios atacantes, normalmente con una nota de rescate.

La detección interna mejora, pero casi la mitad de las intrusiones todavía las descubrió otro. En cada uno de esos casos hubo una ventana en la que la evidencia ya estaba en los logs y nadie la estaba buscando. La caza de amenazas existe para achicar esa ventana.

Qué es el threat hunting y qué no es

El threat hunting es una búsqueda proactiva, guiada por personas, de actividad maliciosa que tus detecciones actuales no vieron. Empieza con una pregunta, no con una alerta.

No es lo mismo que:

• El triage de alertas. El triage reacciona a lo que marcaron las herramientas. La caza busca lo que no marcaron. Las dos cosas importan; hablamos del triage en fatiga de alertas en el SOC y triage con IA.
• La respuesta a incidentes. La respuesta empieza cuando ya sabes que algo pasó. Una búsqueda puede terminar en un incidente, pero empieza con incertidumbre. Tu plan de respuesta a incidentes debe decir qué ocurre cuando una búsqueda encuentra algo real.
• Buscar IOC. Revisar los logs en busca de IP y hashes maliciosos conocidos es buena higiene, pero los atacantes los cambian con facilidad. La "Pirámide del Dolor" de David Bianco lo resume: los hashes y las direcciones IP son triviales de cambiar para un atacante, mientras que sus tácticas, técnicas y procedimientos (TTP) son lo más difícil. Las buenas búsquedas se centran en el comportamiento.

Tres tipos de búsqueda

El marco PEAK (Prepare, Execute, and Act with Knowledge: preparar, ejecutar y actuar con conocimiento), publicado por Splunk en 2023, describe tres tipos de búsqueda. Funcionan muy bien como vocabulario común.

Guiada por hipótesis

Formulas una suposición sobre cómo podría estar operando un atacante en tu entorno y usas los datos para confirmarla o descartarla. Ejemplo: "Si alguien robó una credencial de VPN, veríamos inicios de sesión exitosos de esa cuenta desde un país donde el empleado nunca trabajó, seguidos de acceso a carpetas compartidas que normalmente no usa".

De línea base

Defines qué es lo "normal" para un sistema, un grupo de usuarios o una fuente de datos, y buscas desviaciones. Ejemplo: lista todos los procesos que lanzan PowerShell en tus servidores durante 30 días e investiga los procesos padre poco frecuentes.

Asistida por modelos

Usas modelos de aprendizaje automático del comportamiento legítimo o malicioso conocido y examinas lo que coincide o se desvía. Requiere más datos y más experiencia, así que la mayoría de los equipos empieza por los dos primeros.

De dónde salen las buenas hipótesis

Una hipótesis debe ser concreta, comprobable y estar ligada a algo que de verdad podría hacerte daño. Buenas fuentes:

• Inteligencia de amenazas sobre tu sector o tu región. Si un grupo de ransomware está explotando un producto de VPN que usas, busca su comportamiento conocido después de la explotación en esa VPN y en los equipos que hay detrás. Mira cómo la inteligencia de amenazas cambia la priorización.
• MITRE ATT&CK. La matriz ATT&CK Enterprise organiza el comportamiento de los atacantes en tácticas (el objetivo, como el acceso a credenciales o el movimiento lateral) y técnicas (cómo lo hacen). Elige una técnica relevante para tu entorno y pregúntate: "Si esto pasara aquí, ¿qué evidencia dejaría y la estamos recogiendo?".
• Tus propias vulnerabilidades y exposiciones. Un fallo crítico que fue explotable durante semanas en un servidor expuesto a internet antes de que lo parchearas es un buen motivo para buscar en ese servidor. El parche cierra la puerta; no te dice si alguien ya entró.
• Incidentes recientes y casi incidentes. Si un equipo quedó comprometido, busca el mismo comportamiento en los equipos similares.
• Huecos en la cobertura de detección. Las técnicas para las que no tienes ninguna regla son objetivos naturales de caza.

Cómo hacer una búsqueda en la práctica

Las fases de PEAK se traducen en una rutina que un equipo pequeño puede sostener.

1. Preparar

Escribe la hipótesis en una o dos frases. Define el alcance (qué sistemas, qué periodo), las fuentes de datos que necesitas y qué resultado la confirmaría o la descartaría. Comprueba que los datos existen de verdad: muchas búsquedas terminan el primer día porque los logs nunca se recogieron o solo se guardan una semana.

2. Ejecutar

Consulta los datos, profundiza en todo lo que sea inusual y toma notas sobre la marcha. La mayoría de las búsquedas no encuentra a ningún atacante. Es normal. Una búsqueda que no encuentra nada también te dice algo: o el comportamiento no está, o no puedes verlo, y esas dos respuestas son muy distintas.

3. Actuar

Esta es la fase que la mayoría de los equipos se salta. Documenta qué buscaste, qué encontraste y qué datos faltaron. Después convierte el resultado en algo duradero:

• Una regla de detección nueva, si el comportamiento se puede detectar de forma automática y fiable.
• Un cambio en el registro o la retención de logs, si descubriste un punto ciego.
• Un incidente, si encontraste actividad maliciosa real.
• Una tarea de remediación, si la búsqueda reveló una debilidad, como una cuenta de servicio con demasiados privilegios o una interfaz de administración expuesta.

Cada búsqueda debería dejar al SOC mejor que antes, aunque no encuentre nada.

Los datos que necesitas

No puedes cazar en datos que no tienes. Un mínimo práctico:

• Telemetría de endpoints con creación de procesos y líneas de comando (EDR o registros del sistema operativo).
• Logs de autenticación del proveedor de identidad, la VPN y los servidores críticos.
• Metadatos de red: consultas DNS, logs del proxy y conexiones del firewall.
• Logs de auditoría cloud de las cuentas que importan.
• Suficiente retención para mirar más atrás que la mediana del tiempo de permanencia. Si guardas siete días de logs, no puedes investigar una intrusión de 14 días.

Cómo empezar con un equipo pequeño

No necesitas un equipo dedicado a la caza para empezar.

• Reserva un espacio fijo, por ejemplo medio día cada dos semanas, y protégelo de la cola de alertas.
• Empieza con una hipótesis por ciclo, elegida a partir de la inteligencia de amenazas actual o de una vulnerabilidad reciente.
• Lleva un registro sencillo de búsquedas: hipótesis, datos usados, resultado y acciones de seguimiento.
• Mide lo que produce la caza, no cuántas horas llevó: detecciones creadas, puntos ciegos corregidos, incidentes encontrados.
• Revisa el registro cada trimestre para ver qué técnicas cubriste y cuáles siguen sin probarse.

Preguntas frecuentes

¿El threat hunting es solo para empresas grandes? No. Las empresas grandes cazan con más frecuencia, pero el método funciona a menor escala. Una hipótesis bien enfocada cada dos semanas es un buen comienzo para un SOC pequeño.

¿La automatización o la IA pueden reemplazar a los cazadores? La automatización y la IA pueden hacerse cargo de buena parte del triage repetitivo, y eso libera tiempo de los analistas para cazar. La hipótesis, el criterio sobre qué es inusual en tu negocio y la decisión de escalar siguen siendo tareas humanas.

¿En qué se diferencia de una prueba de penetración? Una prueba de penetración juega a ser el atacante para encontrar debilidades. Una búsqueda de amenazas supone que el atacante quizás ya está dentro y busca sus huellas.

Cómo ayuda priorIQ.ai

SentinelIQ añade una capa de triage con IA sobre el SIEM o XDR que ya tienes, como Microsoft Sentinel, Splunk, Elastic, QRadar o Wazuh, para que los analistas pasen menos tiempo descartando falsos positivos y más tiempo en trabajo proactivo. Sus consultas en lenguaje natural sobre las alertas y su historial de incidentes indexado y consultable hacen más rápido contrastar una hipótesis con lo que tu SOC ya vio. OnGuardIQ sigue los exploits y PoC de los CVE de tu entorno, una buena fuente de hipótesis. Y PriorIQ Core cierra el ciclo: si un equipo está bajo ataque, sus vulnerabilidades suben en la cola de remediación. Solicita una demo.