El threat hunting es la búsqueda proactiva de atacantes que ya están dentro de la red y que las alertas automáticas no detectaron. Un analista parte de una hipótesis, revisa registros y comportamientos, y confirma o descarta la intrusión.
Cómo lo resolvemos en TecnetOne: TecnetSOC
caza de amenazas, búsqueda proactiva de amenazas, hunting
Términos relacionados
Cadena de custodia digital
La cadena de custodia digital es el registro documentado de quién obtuvo, manejó, transfirió y resguardó cada evidencia electrónica de un incidente, desde su recolección hasta su presentación. Por ejemplo, al copiar el disco de un equipo comprometido se calcula un hash (huella matemática del archivo) para demostrar después que la evidencia no se alteró. Sin ese registro, la evidencia puede perder validez legal.
Lista blanca y lista negra (allowlist y blocklist)
En ciberseguridad, una lista negra (blocklist) es un registro de elementos que se bloquean por considerarse maliciosos o no deseados, como direcciones IP, dominios, remitentes de correo o aplicaciones. La lista blanca (allowlist) funciona al revés: solo permite lo autorizado y bloquea todo lo demás. Por ejemplo, un servidor de nómina puede aceptar conexiones únicamente desde los equipos de Finanzas.
Runbook y playbook de seguridad
Un runbook de seguridad es un documento con los pasos técnicos exactos para ejecutar una tarea o atender un tipo de incidente, como aislar un equipo infectado o restablecer una cuenta comprometida. El playbook, en cambio, define cuándo y por qué actuar: qué alerta activa la respuesta, quién decide y a quién se notifica. Un playbook suele apoyarse en varios runbooks.
EPP (plataforma de protección de endpoints)
En ciberseguridad, una EPP (endpoint protection platform, plataforma de protección de endpoints) es una solución que previene amenazas en las computadoras, servidores y celulares de una empresa con antivirus de nueva generación, control de dispositivos y firewall del equipo, administrados desde una consola central. A diferencia del EDR (detección y respuesta en endpoints), se enfoca en bloquear el ataque antes de que ocurra.
IDS e IPS (detección y prevención de intrusiones)
Un IDS (intrusion detection system, sistema de detección de intrusos) analiza el tráfico de red o la actividad de un equipo en busca de patrones de ataque y genera alertas. Un IPS (intrusion prevention system, sistema de prevención de intrusiones) hace lo mismo, pero se coloca en la ruta del tráfico y bloquea lo malicioso. Hoy suelen venir integrados en los firewalls de nueva generación.
Honeypot
Un honeypot es un sistema señuelo que imita un servidor, una base de datos o un servicio real para atraer a los atacantes y registrar cómo actúan. Como ningún usuario legítimo tiene motivo para usarlo, cualquier interacción con él es una alerta confiable. Por ejemplo, un servidor falso con nombre de nómina dentro de la red avisa si alguien explora los recursos internos.
¿Quieres pasar del concepto a tu operación?
Cuéntanos qué necesitas y un ingeniero de TecnetOne te responde.
Hablar con un ingenieroHablar con un ingeniero
Cuéntanos qué necesitas y te respondemos el mismo día hábil.