Plan Integral de Threat Hunting en Arquitectura Híbrida (Cloud + On-Premises) 

Nivel Purple Team Avanzado
Estructurado por fases, con herramientas específicas, hipótesis, flujos de trabajo y automatización.

🔐 🔰 OBJETIVO PRINCIPAL

Cazar amenazas activas, persistentes o sigilosas (APTs, insiders, malware evasivo, movimientos laterales y exfiltración) en tiempo real y en retrospectiva en una infraestructura mixta: nube (Azure, AWS, GCP) y on-premise (servidores, endpoints, red interna).

🧭 FASE 0 – REQUISITOS BASE

Categoría Herramientas / Requisitos mínimos

• SIEM  – Splunk, Sentinel, ELK, Wazuh, QRadar
• EDR/XDR  – CrowdStrike, Defender ATP, SentinelOne, Sophos XDR
• Cloud Monitoring  – AWS CloudTrail, Azure Monitor, GCP Cloud Logging
• On-Prem  – Logs Sysmon, Windows Event Forwarding, Auditd, NetFlow
• Active Directory  – Logs de seguridad, eventos de autenticación Kerberos
• Recolección forense  – Velociraptor, GRR, KAPE, Osquery, Sysinternals
• Orquestación  SOAR: XSOAR, TheHive, Shuffle, o manual con playbooks

🎯 FASE 1 – DEFINICIÓN DE HIPÓTESIS DE CAZA

Diseña hipótesis para cada vector crítico. Ejemplos:

Área – Hipótesis

• Cloud 

  "Un atacante ha creado una Service Account persistente y la usa para acceso fuera de horario."

• On-Prem 

  "Un empleado elevó privilegios localmente usando bypass de UAC y se movió lateralmente."

• AD 

  "Un usuario ha robado TGTs mediante ataque Pass-the-Ticket."

• Red 

  "Se está exfiltrando información cifrada por DNS tunneling o HTTPS a dominio C2 oculto."

• App Web/API 

  "Se está explotando una API interna vulnerable desde una IP del cloud."

🔎 FASE 2 – RECOLECCIÓN DE DATOS

Tipo de dato – Ejemplos

• Logs de Windows –  Sysmon, Security, PowerShell, Task Scheduler
• Linux  – Auth.log, auditd, bash_history, journald
• Red  – NetFlow, Zeek, PCAP, DNS logs, firewall logs
• Cloud  – CloudTrail, CloudWatch, Azure Activity, GCP Logs
• Identidad  – Azure AD Logs, LDAP Logs, AD DS
• Endpoint  – EDR telemetry, procesos, conexiones, DLL injection

✅ Usa ETL automatizado si puedes: Wazuh, Beats, Fluentd, Logstash, Lambda (en cloud).

⚔️ FASE 3 – CAZA ACTIVA EN CLOUD

🧪 AWS (ejemplos)

• Hypothesis: Persistence vía Service Account maliciosa.

• Indicadores a cazar:

  • IAM: CreateUser, AttachUserPolicy, AccessKeyCreated.

  • CloudTrail logs con IP no habitual.

  • Uso de aws s3 sync o aws lambda invoke fuera de patrón.

🔬 Azure (ejemplos)

• Hypothesis: Exfiltración vía blob storage no monitoreado.

• Indicadores:

  • Actividad anómala en azcopy o Set-AzStorageBlobContent.

  • Nuevas App Registrations.

  • Alertas de identidad en Azure Defender.

🧨 FASE 4 – CAZA ACTIVA ON-PREM

Ejemplo: Pass-the-Hash + Mimikatz

• Revisión de eventos:

  • ID 4624 tipo 9 y 10 (Logon remoto).

  • ID 4672 (privilegios especiales).

  • ID 7045 (nuevo servicio instalado).

• Dump de memoria con Velociraptor → firma YARA de Mimikatz.

🛰️ FASE 5 – CORRELACIÓN HÍBRIDA

✅ Une los datos: Cloud + AD + EDR + Red

Ejemplo de correlación:

• CloudTrail: acceso desde IP en Rusia.

• Azure AD: login exitoso mismo timestamp.

• EDR: actividad sospechosa del mismo usuario en endpoint.

• AD: ticket Kerberos emitido.

• PCAP: exfiltración por HTTPS a dominio no categorizado.

📌 Hunting Query Fusion: conecta eventos separados que, por sí solos, no generan alerta → detección avanzada.

⚙️ FASE 6 – RESPUESTA Y CONTENCIÓN

Diseña respuestas específicas para cada hipótesis:

Tipo de amenaza – Acción inmediata

Persistencia IAM en cloud – Revocar claves, rotar secrets, deshabilitar cuentas sospechosas

Lateral movement on-prem – Desconectar host, cortar SMB/RDP, desactivar cuenta

DNS Tunneling – Bloquear dominio, aplicar reglas Snort/Suricata, cortar túnel

Malware evasivo (LoLbins) – Kill proceso, aislar host, eliminar tarea programada

💡 Usa SOAR para playbooks automáticos si el volumen es alto.

📊 FASE 7 – INFORME Y APRENDIZAJE

Incluye:

• Cronología del ataque

• Vector inicial + persistencia + objetivo

• Qué falló en detección

• Qué se propone mejorar (detección, control, proceso)

• IOC + TTP nuevos descubiertos (para actualizar reglas SIEM y defensas)

📈 FASE 8 – FEED DE INTELIGENCIA + REENTRENAMIENTO

• Comparte y consume IOC vía:

  • MISP

  • Open Threat Exchange

  • CTI feeds comerciales (AlienVault, RecordedFuture, etc.)

• Reentrena:

  • Modelos ML/UEBA si usas XDR/AI

  • Reglas Sigma/YARA

  • Personal en nuevas TTP

💎 ​BONUS: MATRIZ DE MITRE ATT&CK APLICADA

Haz un mapeo completo con la matriz ATT&CK Enterprise para cubrir:

• Inicial Access (Spear Phishing, External Remote Services)

• Execution (Script Execution, Exploitation)

• Persistence (Cloud Roles, Startup Items)

• Defense Evasion (Obfuscation, Log Deletion)

• Credential Access (Dumping, Brute Force)

• Lateral Movement (SMB, RDP, PsExec)

• Collection (Clipboard, Screenshots)

• Exfiltration (Cloud Storage, DNS)

• Command & Control (Web Protocols, Custom Channel)