Qué es threat hunting

Qué es el threat hunting

El threat hunting es la búsqueda activa de amenazas potenciales que pongan en riesgo la seguridad de una red cibernética. Esta estrategia tiene como objetivo identificar, evaluar y neutralizar los peligros para garantizar el buen desempeño de un sitio, plataforma digital o espacio de trabajo virtual.

Dicho de otro modo, la caza de amenazas o threat hunting es una estrategia de defensa activa o práctica preventiva, utilizada por los analistas de seguridad. Consiste en la búsqueda de amenazas iterativamente a través de redes para detectar indicadores de compromiso (IoC) y amenazas como Advanced Persistent Threats (APT) que eluden su sistema de seguridad.

Los expertos en ciberseguridad utilizan software y herramientas de búsqueda de amenazas para localizar e interceptar ataques ocultos, por lo que la caza de amenazas es la práctica de buscar proactivamente las amenazas cibernéticas que acechan sin ser detectadas en una red.

Si tenemos en cuenta que hasta el 20 % de las amenazas no son detectadas por herramientas de seguridad automatizadas como antivirus o firewalls, resulta lógico que muchas empresas incorporen a su plantilla equipos threat hunters que mitiguen los efectos de los ataques y mantengan seguros sus datos.

Etapas del threat hunting

Estas son las tres etapas de la caza de amenazas:

Búsqueda

Las empresas con presencia digital siempre están expuestas a peligros, hecho que exige mantener un equipo de detección de amenazas que supervise constantemente programas, plataformas y redes. Esto es la etapa de búsqueda del threat hunting.

Cuando un ataque ha sido detectado, ya no hablamos de una caza de amenazas, sino de un plan reactivo de ciberseguridad. Por ello, el objetivo primordial del threat hunting es descubrir e identificar agentes maliciosos antes de que aparezcan.

Investigación

Se investiga dónde se ubican las amenazas, de dónde vienen y cómo actuar. Es recomendable que, antes de actuar, se cree un mapa de la extensión de la amenaza y de los cambios registrados en su sistema.

En esta segunda fase, los datos son la mejor herramienta para saber cómo actuar ante las amenazas. Las plataformas de aprendizaje de máquinas o aprendizaje profundo son ideales para esa tarea.

También se pueden rastrear los patrones de comportamiento de anteriores amenazas, con el objeto de conseguir alguna tendencia, como indicio.

Resolución

En el threat hunting, la fase de resolución hace referencia a la planificación estratégica de la respuesta, no a la solución en sí misma.

Las amenazas digitales, virus, malware y spam cambian constantemente. Por ello, y para resolver problemas y cazar las amenazas, hay que mantenerse actualizado en ciberseguridad.

Además, una buena práctica es realizar auditorías continuas sobre el desempeño de tus sistemas, redes y bases de datos, pudiendo usar un software automatizado de gestión.

Consejos

Los siguientes consejos pueden ayudar a tu organización a detectar mejor estas amenazas:

Qué es normal para tu organización

Los cazadores de amenazas deben examinar las actividades anómalas y reconocer las amenazas reales, conociendo las actividades operativas normales de la empresa. Para ello, el equipo de búsqueda de amenazas recopilará información para discernir qué es una amenaza y qué es una actividad inusual pero normal.

Estrategia OODA

En la búsqueda de amenazas, esta estrategia implica:

• Observar para recopilar de forma rutinaria registros de los sistemas de seguridad y de TI.
• Orientar y cotejar los datos con la información existente.
• Decidir e identificar las acciones correctas según los hechos y amenazas posibles.
• Actuar ante un ataque y ejecutar el plan de respuesta a incidentes, junto con la prevención de nuevas amenazas.

Usar recursos suficientes

Estos serán los recursos mínimos:

• Personal: un equipo de caza de amenazas con experiencia en amenazas cibernéticas.
• Sistemas: una infraestructura básica de búsqueda de amenazas que analice y gestione incidentes de seguridad.
• Herramientas: software diseñado para identificar anomalías y rastrear ataques o amenazas.

Actualmente, la ciberseguridad es una de las áreas empresariales más importantes. Y, aunque el concepto de búsqueda de amenazas es claro, el desafío viene con la contratación de personal que pueda realizar el trabajo competentemente.