Threat hunting: qué es hunting en ciberseguridad y cómo funciona

No importa cuántos activos tengas en tus cuentas o cuán único sea el código de los software que vendes si, al final, cualquier persona puede acceder a tus datos y hacer uso malicioso de ellos. Para evitar estas situaciones, es común que recurramos a antivirus y firewalls, pero ¿sabías que hasta el 20 % de las amenazas no son detectadas por herramientas de seguridad automatizadas como estas?

Muchas empresas han optado por incorporar a su equipo cazadores de amenazas o threat hunters que mitiguen los efectos de los ataques y mantengan seguros sus datos. Sigue leyendo para conocer más acerca de esta estrategia de ciberseguridad y las ventajas de implementarla en tu negocio.

La diferencia que el threat hunting guarda respecto a otras herramientas de protección es que la mayoría de ellas son reactivas, esto significa que muchas medidas de seguridad solo se accionan en el momento en que detectamos una irregularidad o un ataque, como en el caso de los antivirus.

Por el contrario, el threat hunting se caracteriza por ser una práctica preventiva que busca proactivamente estas amenazas. Sin embargo, esto no significa que estos enfoques sean incompatibles entre sí, una excelente forma de potenciar la ciberseguridad de tus espacios digitales es combinar ambas estrategias.

Veamos cómo el threat hunting aporta a la ciberseguridad de tu empresa.

Ventajas de realizar un threat hunting

La principal ventaja del threat hinting es su capacidad preventiva, es decir, que tu empresa no tiene que esperar a que un agente malicioso cause estragos, sino que puede detectar los riesgos cuando se están gestando. Esto le ayudará a tu empresa a ahorrar tiempo en solucionar problemas, así como a evitar que pierda recursos en el tratamiento de las amenazas.

La consecuencia natural de esto es que tu compañía estará más preparada para futuros inconvenientes. Incluso, si tu equipo detecta una amenaza y esta termina por afectar tus sistemas, puedes obtener valiosos conocimientos sobre la situación para fortalecer tu ciberseguridad y proteger tus datos en el futuro.

A esto se suma que una organización que implementa la cacería de amenazas posibilita que sus trabajadores conozcan mejor el estado general de la seguridad de la organización, detecten posibles debilidades en el sistema y mejoren aspectos relacionados con su ciberseguridad.

Por otro lado, desde el punto de vista del cliente, cuando una empresa cuenta con una estrategia clara de ciberseguridad y garantiza a los clientes que busca y detecta amenazas, será más probable que este confíe en la organización y en sus servicios. 

1. Búsqueda

Todo el tiempo las empresas con presencia digital están expuestas a peligros. Esto exige mantener un equipo de detección de amenazas que supervise, de forma constante, tus programas, plataformas y redes. A esta fase del threat hunting, que es en realidad continua, la conocemos como la etapa de búsqueda.

Ten en cuenta que cuando un ataque ha sido detectado, ya no hablamos de una cacería de amenazas, sino de un plan reactivo de ciberseguridad. Por ello, el objetivo primordial del threat hunting es descubrir e identificar agentes maliciosos antes de que estos se expresen. Considera que, raramente, un ataque cibernético ocurre de un momento a otro, todo lo contrario, hay agentes maliciosos que permanecen semanas o hasta meses inactivos antes de afectar a un sistema.

Consejos para que desarrolles de la mejor manera la etapa de búsqueda

Crea hipótesis

El papel de un responsable de threat hunting es encontrar malware o patrones sospechosos que indiquen la presencia de un problema en la seguridad de una red. Debido a que esta cacería comienza antes de que la amenaza dé sus primeros pasos, el método del threat hunting es la creación de hipótesis. Con estas suposiciones en mente, el equipo puede buscar brechas en lugares específicos o descubrir patrones a lo largo de un bloque de código.

Esto se puede realizar por medio de alguna de estas estrategias:

• Caza estructurada: cuando conoces los procedimientos comunes de un atacante y puedes generar suposiciones sobre dónde hay fallas en el sistema.
• Caza no estructurada: cuando no cuentas con información sobre un posible ataque y debes buscar en lugares a través de la detección de patrones o la revisión minuciosa de bloques de información.
• Caza situaciones: la naturaleza del propio programa indica cuáles son sus debilidades, por lo que el equipo centrará su atención en ellas. 

Automatiza la búsqueda

Si bien una forma de actuar en el threat hinting es por medio de la generación de múltiples hipótesis, lo mejor es seguir los indicios que sugieran dónde se encuentran las posibles amenazas. Algunos sistemas de detección, como MITRE ATT&CK, están diseñados para rastrear invasiones o ataques en tus sistemas con la ayuda de la creación de modelos basados en técnicas impulsadas por el sector privado.

Estas herramientas te ayudan a reconocer las amenazas, evaluar los riesgos e incluso ejecutar planes para contener amenazas. 

Una vez que estos sistemas hagan su trabajo, estarás listo para actuar con todo tu personal de TI. De este modo, detectarás amenazas que probablemente pasaron desapercibidas a primera vista o que son tan recientes que tu personal las desconoce. 

2. Investigación

Investiga dónde se ubican las amenazas, de dónde vienen y cómo debes actuar. El sentido común te dirá que actúes inmediatamente, pero algunos agentes maliciosos tienen sus propios mecanismos de defensa que, ante ciertos estímulos, generarían respuestas más agresivas.

Es recomendable que, antes de actuar, crees un mapa de la extensión de la amenaza, así como de los cambios que se han registrado en tu sistema. Esto lo puedes hacer con la ayuda de un registro puntual del historial de cambios en tus plataformas. Algunas herramientas, como los EDR (detección y respuesta de endpoint), son ideales para gestionar las posibles afectaciones de un malware y evaluar si las irregularidades son benignas o si crean afectaciones.

Consejos para que desarrolles de la mejor manera la etapa de investigación

Apóyate en la experiencia y en los datos 

Los datos son la mejor herramienta para saber cómo actuar ante una potencial amenaza. Si bien, tu personal humano será esencial para ofrecer soluciones, lo mejor es monitorear tus sitios por medio de aplicaciones digitales.

Las plataformas impulsadas por aprendizaje de máquinas o aprendizaje profundo son ideales para esa tarea, pues te permitirán ver la totalidad de tus sistemas, sus partes y los cambios que generen un impacto en su desempeño o seguridad. Su ventaja es que no solo se basan en el estado de tus espacios digitales, sino en el de cientos de empresas que alimentan las bases de datos para detectar irregularidades.

Analiza patrones

También puedes rastrear los patrones de comportamiento de anteriores amenazas. Las tendencias suelen ser un indicio de que algunas partes de tu sistema son más endebles y requieren mayor atención y paredes de seguridad.

Con esta estrategia de investigación, lograrás rastrear de forma fácil los lugares que ameritan tu atención. Pero no te confíes, en algunos casos, las amenazas y el malware entran a tu sistema por brechas nuevas. Por eso, apóyate en un sistema que rastree estas tendencias y cuenta con un personal que cree buenas hipótesis, prevea y actúe ante posibles amenazas.

3. Resolución

Contra el sentido común, la parte de resolución en threat hunting no comienza cuando el personal soluciona una afectación al sistema, sino durante la planificación de la estrategia de respuesta. Lo primordial es que no solo elimines al atacante, sino que evalúes qué es lo que busca, por qué y de qué otra forma podría hacerlo.

Tras la investigación, tendrás un panorama general sobre cómo actuar, esa información deberá estar disponible para todo tu equipo, lo que garantizará que encuentren la mejor opción, ya sea manual o automatizada. El objetivo aquí es crear un plan de contención o mitigación de los posibles efectos adversos del ataque.

Consejos para que desarrolles de la mejor manera la etapa de resolución:

Mantente actualizado

Las amenazas digitales, virus, malware y spam cambian a cada momento. Por ello, las empresas deben prepararse para enfrentar retos completamente novedosos y, en muchos casos, imprevistos. Si quieres resolver adecuadamente estas adversidades y cazar las amenazas de forma correcta, no hay más opción que mantenerse actualizado en esta materia.

Te recomendamos que certifiques a tu personal en el manejo de las herramientas de detección de amenazas y fortalezcas las habilidades blandas de tu equipo. El uso del método científico, las habilidades analíticas y el conocimiento de infraestructuras administrativas serán esenciales para superar las amenazas. 

Busca debilidades continuamente

Una buena práctica es realizar auditorías continuas sobre el desempeño de tus sistemas, redes y bases de datos. Recuerda que el trabajo de un threat hunter nunca acaba y lo óptimo es que la cacería de amenazas sea una práctica cotidiana. Emplear un software automatizado de gestión te facilitará esta tarea.

Ten en cuenta que, debido a la actualidad del mundo digital, la ciberseguridad es hoy una de las áreas empresariales más importantes, así que prioriza la creación de estrategias que cuiden la presencia digital de tu marca, garanticen la confianza de tus clientes en tu sitio web (con la ayuda, por ejemplo, de un cifrado de seguridad o la implementación de un firewall) y protejan de manera general tus redes y aplicaciones.