Encuentre lo que sus alertas pasan por alto.
Cazas de amenazas estructuradas, evaluaciones de capacidad del SOC, asesoría para la implementación de un SOC y diseño de programas de caza, para equipos que quieren pasar de lo reactivo a lo proactivo. Construido alrededor de MITRE ATT&CK y de una metodología basada en hipótesis.
Los SOC reactivos pasan por alto las amenazas que más importan
Un SOC que solo responde a alertas siempre irá por detrás de atacantes que saben moverse sin activarlas. El tiempo de permanencia promedio de una intrusión sofisticada se mide en semanas. Durante ese tiempo, un atacante establece persistencia, escala privilegios y prepara datos para la exfiltración. Nada de eso genera una entrada en la cola de alertas porque el atacante ha estudiado su lógica de detección y se ha mantenido por debajo de ella. La respuesta a alertas es necesaria. No es suficiente.
La caza de amenazas parte de una hipótesis, no de una alerta. Un cazador se pregunta: dadas las técnicas que usa este actor de amenazas, ¿qué evidencia dejaría en este entorno? Y entonces va a buscarla. La caza basada en hipótesis encuentra actividad que la detección automatizada pasó por alto porque la detección nunca se escribió, el umbral se fijó demasiado alto o el atacante se adaptó. La distancia entre un equipo de respuesta a alertas y un equipo de caza es la diferencia entre atrapar lo que sus herramientas encontraron y atrapar lo que sus herramientas pasaron por alto.
Señales de que necesita esto
- Su equipo responde a alertas, pero nunca ha ejecutado una caza de amenazas estructurada
- No puede mapear las capacidades actuales de su SOC a las técnicas de MITRE ATT&CK
- Tuvo un incidente en el que el atacante había estado en el entorno durante semanas antes de ser detectado
- Está levantando un SOC y quiere construir la capacidad de caza desde el inicio, no añadirla después
- Su MDR o MSSP gestiona la respuesta a alertas, pero usted quiere una capacidad interna de caza por encima de eso
- Está considerando actualizar su EDR y quiere conocer sus brechas de visibilidad actuales antes de comprar
Lo que recibe
Los proyectos se ajustan a lo que su equipo necesita: un sprint de caza puntual, una línea base de capacidad del SOC, la construcción completa de un programa de caza o asesoría continua. Cada proyecto produce entregables por escrito sobre los que su equipo puede actuar y que puede conservar.
Evaluación de capacidad del SOC
- Revisión del estado actual: fuentes de registros, herramientas, volumen de alertas, rutas de escalamiento y dotación de personal
- Mapeo de cobertura ATT&CK contra su visibilidad real, no contra la capacidad teórica de las herramientas
- Hoja de ruta de madurez priorizada con recomendaciones específicas y accionables
Cazas de amenazas basadas en hipótesis
- Hipótesis de caza desarrolladas según su perfil de amenazas y su entorno
- Ejecutadas con su telemetría existente: EDR, SIEM, red y registros de identidad
- Hallazgos documentados: qué buscamos, qué encontramos y qué significa
Biblioteca de playbooks de caza y diseño del programa
- Playbooks de caza reutilizables que su equipo puede ejecutar de forma independiente tras el proyecto
- Análisis de cobertura ATT&CK que muestra qué técnicas abordan sus cazas
- Recomendaciones de herramientas: EDR, SIEM, UEBA y enriquecimiento de registros para sostener la caza continua
- Diseño del programa de caza: cadencia, modelo de dotación de personal, backlog de hipótesis y estándares de documentación de resultados
Cómo funciona el proyecto
Los sprints de caza duran de 2 a 4 semanas. Las evaluaciones de capacidad del SOC duran de 4 a 6 semanas. El diseño y la construcción completos del programa varían según el alcance. Un esquema de asesoría opcional apoya a su equipo interno de forma continua a medida que madura su propia capacidad de caza.
Estructura del proyecto
- Sprint de caza: 2-4 semanas; conjunto de hipótesis acotado, ejecución e informe de hallazgos
- Evaluación del SOC: 4-6 semanas; línea base de capacidad, mapa de cobertura y hoja de ruta de madurez
- Construcción del programa: alcance definido según la madurez actual; biblioteca de playbooks, capacitación del equipo y diseño de gobernanza
- Esquema de asesoría: horas mensuales continuas para apoyar la cadencia de caza de su equipo y el desarrollo de hipótesis
Lo que le pedimos
- Acceso de lectura a su EDR, su SIEM y sus principales fuentes de registros durante la duración del proyecto
- Un contacto técnico que pueda responder preguntas sobre su entorno y sus herramientas
- Disponibilidad para una sesión de arranque y un recorrido de hallazgos al final de cada sprint
- Apertura a hallazgos que pueden incluir técnicas que su conjunto de detección actual no está cubriendo
Por qué Red Hound para SOC y caza de amenazas
Escribimos contenido de detección para SOC de empresas Fortune 500 y construimos programas de caza desde cero. Conocemos la diferencia entre una caza y una búsqueda. Una búsqueda es «muéstrame todos los eventos de PowerShell». Una caza es «dado que este actor de amenazas usa LOLBins para establecer persistencia tras el acceso inicial mediante phishing, ¿qué evidencia dejaría esa técnica en este entorno específico y cómo se vería con este nivel de ruido específico?». Esa especificidad es lo que separa un resultado de caza útil del trabajo de relleno.
Lo que nos hace diferentes
- Construimos programas de caza, no solo ejecutamos cazas. Hemos diseñado el proceso, la cadencia, el backlog de hipótesis y los estándares de resultados que convierten una caza puntual en una capacidad repetible.
- Fundamento ofensivo. Nuestra trayectoria en red team implica que nuestras hipótesis de caza se construyen en torno a cómo operan realmente los atacantes, a partir de TTP reales y no de resúmenes de inteligencia de amenazas de los proveedores.
- Resultados mapeados a ATT&CK. Cada caza se mapea a técnicas específicas. Cuando el sprint termina, usted sabe exactamente qué partes de la matriz ATT&CK acaba de cubrir.
- Playbooks que su equipo puede ejecutar. No entregamos hallazgos y nos vamos. Los playbooks que escribimos están diseñados para que sus analistas los ejecuten en el siguiente ciclo de caza sin que nosotros estemos en la sala.
- A la medida de las PYMES. No traemos una plantilla de programa de caza de una empresa Fortune 500 e intentamos encajarla en una compañía de 50 personas. El programa que diseñamos se parece al equipo para el que está hecho.
Preguntas frecuentes
Preguntas que escuchamos de los equipos de seguridad que consideran su primer proyecto de caza estructurada.
¿Necesitamos un EDR para hacer caza de amenazas?
Un EDR con telemetría a nivel de proceso hace la caza significativamente más productiva. Sin él, estará cazando con registros de red y de autenticación, lo cual limita considerablemente el conjunto de hipótesis. Podemos trabajar con lo que tenga, y le diremos qué herramientas abrirían la mayor cobertura para los sprints futuros.
¿En qué se diferencia esto del MDR?
Los servicios de MDR monitorean su entorno de forma continua y responden a alertas. La mayoría de los proveedores de MDR incluyen algún nivel de caza de amenazas, pero suele ser superficial: coincidencia de patrones contra IOC conocidos o la ejecución programada de consultas de caza provistas por el proveedor. Nuestras cazas se basan en hipótesis y se adaptan a su entorno específico, su perfil de amenazas y sus brechas de cobertura ATT&CK. El MDR y los proyectos de caza estructurada se complementan; no son lo mismo.
¿Pueden capacitar a nuestro equipo para ejecutar cazas por su cuenta?
Sí. El diseño del programa de caza incluye la transferencia de conocimiento como entregable central. Los playbooks que escribimos están anotados para que sus analistas comprendan la hipótesis, la lógica de la consulta y el resultado esperado. También podemos realizar sesiones de trabajo con su equipo durante el sprint para recorrer la caza en tiempo real.
¿Qué hay de los IOC frente a los TTP?
La caza basada en IOC tiene una vida útil corta. Los atacantes rotan su infraestructura constantemente, y un hash o una IP que esté cazando hoy resultan inútiles tras la siguiente actualización de campaña. La caza basada en TTP apunta a los comportamientos más difíciles de cambiar: cómo se mueve un atacante lateralmente, cómo establece persistencia o cómo exfiltra datos. Nuestras cazas se centran en TTP mapeados a ATT&CK, complementados con IOC cuando son relevantes y recientes.
¿Publican su contenido de caza?
Algunos de nuestros playbooks de caza genéricos se comparten públicamente a través de nuestra investigación. El contenido que desarrollamos para su entorno es suyo y permanece confidencial. No reutilizamos ni publicamos consultas, hipótesis ni hallazgos de caza específicos de un cliente.
Encuentre amenazas que han estado ocultas en su entorno.
Una llamada de diagnóstico de 30 minutos, sin compromiso. Conversamos sobre las capacidades actuales de su SOC y su perfil de amenazas, y definimos el alcance de un sprint de caza que empieza a producir hallazgos en las primeras dos semanas.