Caza de Amenazas e Ingeniería de Detección
ACCIÓN REQUERIDA (leer y ejecutar inmediatamente)
AHORA: Confirma autorización de caza/blue-team y alcance de fuentes de datos (SIEM, exportación EDR)AHORA: Define hipótesis antes de consultar datos, evita alertas sin sentidoSIGUIENTE: Herramientas y método de acceso a datosACCIÓN: Hipótesis → consulta → validación → reglamentación
Escenarios de uso
- Caza de amenazas (basada en hipótesis)
- Ingeniería de detección con Sigma / YARA
- Ajuste de alertas, análisis de falsos positivos
- Con
malware-analysis/: IOC del lado de muestra → detección implementada con este skill - Con
digital-forensics/: artefactos de caso → caza horizontal
Flujo de trabajo
1. Formular hipótesis
Ejemplo: atacante usa living-off-the-land para movimiento lateral
→ Fuentes de datos: Sysmon 1/3/10, Windows Security 4624/4648
→ Criterio de éxito: detectar procesos padre anómalos o fuentes de inicio de sesión inusuales
2. Consulta y apilamiento
□ Línea base: períodos de actividad normal del administrador y equipos
□ Anomalías: nuevos servicios, PowerShell codificado, tráfico saliente inusual
□ Correlación: inicios de sesión de la misma cuenta en múltiples equipos en poco tiempo
3. Reglamentación
# El esqueleto Sigma se encuentra en malware-analysis; este skill enfatiza:
# - superficie de falsos positivos
# - mapeo de campos de fuente de datos
# - enlace al playbook de respuesta
4. Validación
□ Pruebas atómicas (Atomic Red Team) solo en laboratorios autorizados
□ Reproducción de registros históricos para validar recuperación
Cadena de herramientas
| Herramienta | Uso |
|---|---|
| Sigma CLI / sigmac | Conversión de reglas |
| YARA | Archivos / memoria |
| SIEM (ELK/Splunk, etc.) | Consultas |
| osquery | Caza en endpoints |
| Atomic Red Team | Validación de detección (laboratorios) |
Referencias
references/hunting-loop.md../malware-analysis/references/yara-sigma-rules.md../digital-forensics/
Contexto de enrutamiento
Arriba: MASTER R27
Abajo: confirmar intrusión → forense; muestra maliciosa → malware-analysis
NO DEBE: ejecutar simulaciones de ataque en entornos de producción no autorizados
Autocomprobación de finalización de tarea
- ¿Hay una hipótesis y conclusión claras?
- ¿La regla indica falsos positivos y fuentes de datos?
- ¿Lista de verificación?