Cuando surge una nueva técnica de actor amenazante —ya sea de un blog de investigación, un feed de inteligencia o noticias de última hora— cada cazador de amenazas pasa instintivamente a modo de hipótesis. ¿Podría estar ocurriendo esto en mi entorno? ¿Se esconden señales tempranas en el ruido?
Tomemos como ejemplo la reciente investigación sobre TOLLBOOTH. En el momento en que Elastic Security Labs publicó la cadena de ataques, un analista podría empezar a formular hipótesis basadas en técnicas específicas descritas, tales como:
- ¿Históricamente los registros del servidor IIS congelaron o archivado alguna anomalía al reexaminarlos con telemetría completa?
- ¿Hay señales de volcado de credenciales o intentos de escalada de privilegios en algún servidor IIS?
Esta es la esencia de la caza basada en hipótesis; Empieza con una amenaza en desarrollo y haz preguntas específicas rápidamente. Es una de las formas más efectivas de adelantar a ataques emergentes, pero requiere una amplia visibilidad y herramientas que puedan satisfacer tu curiosidad.
Sin embargo, la realidad para muchos equipos SOC no es suficiente. Se enfrentan a aislamiento de datos, capacidades limitadas de búsqueda y la fatiga de la correlación manual.
Elastic Security está diseñado para eliminar estas barreras permitiendo la caza de amenazas basada en hipótesis a gran velocidad y escala. Al unificar la telemetría de seguridad y habilitar la analítica entre clústeres, los cazadores de amenazas pueden plantear preguntas complejas a través de todos sus datos, correlacionar señales y validar hipótesis rápidamente sin necesidad de hacer una unión manual de datos.
Esta capacidad se proporciona a través de un conjunto de bloques fundamentales que trabajan juntos:
-
Los flujos de trabajo agentivos trian alertas, mientras que un asistente de IA basado en el conocimiento genera ES| validadoQL consulta, impulsa la remediación y recomienda los siguientes pasos.
-
Elastic Security Labs para ofrecer investigaciones de amenazas y análisis de adversarios actualizados directamente sobre detecciones e investigaciones.
-
Reglas de detección que proporcionan cobertura lista para usar alineadas con técnicas de ataque y escenarios de caza del mundo real.
-
Analítica de entidades para correlacionar usuarios, hosts y servicios, asignar puntajes de riesgo y mostrar anomalías para enriquecer cada investigación.
-
El aprendizaje automático y la detección de anomalías para desviar superficialmente del comportamiento normal y exponer amenazas desconocidas o emergentes.
-
ES|QL, visualizaciones y búsqueda cross-cluster para permitir consultas rápidas y expresivas, análisis intuitivo y una búsqueda fluida a través de entornos distribuidos sin puntos ciegos.
En conjunto, estos bloques de construcción proporcionan a los equipos de seguridad la velocidad, escala y profundidad analítica necesarias para pasar de una investigación reactiva a una búsqueda de amenazas segura y proactiva, probando hipótesis en todos sus datos dentro de una única plataforma unificada de Elastic Security.
Adentrar en el bosque: Navegando por una cacería real de LOLBins
Esta sección muestra cómo se desarrolla una búsqueda de amenazas en la práctica, pasando de una barra de búsqueda vacía a una amenaza confirmada y contenida a través de un escenario real centrado en Vivir de la Tierra (LOLBins).
Construye tu hipótesis con un asistente de IA impulsado por RAG
Tu investigación puede comenzar incluso antes de escribir una sola consulta. Puedes emplear el AI Assistant impulsado por generación aumentada por recuperación (RAG) de Elastic para captar fuentes de conocimiento fiables, como la investigación de Elastic Security Labs, y construir la base de tu hipótesis. Puedes agregar cualquier fuente confiable como conocimiento para cerciorarte de que el Asistente refleje los datos en los que confías.
Si aún no tienes un objetivo concreto, puedes preguntar al Asistente,
"Según las tendencias actuales, ¿con qué hipótesis debería empezar la caza hoy?" El Asistente escanea la base de conocimiento configurada, que proporciona contexto relevante y genera directamente una hipótesis primaria junto con razones y pruebas que lo respaldan. En este escenario, se agregó contenido de Elastic Security Labs a la base de conocimiento para proporcionar el contexto.
Siéntate mientras AI Assistant crea tu consulta personalizada de caza de amenazas
Una vez que aceptas la hipótesis LOLBin, el Asistente de IA genera un ES| precisoConsulta de caza de amenazas QL adaptada a tu entorno. En lugar de escribir una sintaxis compleja desde cero, recibes una búsqueda dirigida diseñada para poner en evidencia los comportamientos sospechosos específicos.
Para cerciorar que las consultas estén listas para ejecutar, el Elastic AI Assistant emplea un flujo de trabajo agente para generar ES| a medidaConsultas QL a partir de casos de uso proporcionados por humanos. Se basa en los datos de tu clúster Elastic para crear respuestas precisas y listas para ejecutar y realiza la validación automática antes de devolver la consulta final. Esta validación en antecedentes elimina la necesidad de la resolución manual de problemas, entregando una consulta verificada y lista para usar que puede ser incorporada directamente a tu cronología de investigación desde el AI Assistant.
Alternativamente, puedes vincular un repositorio de GitHub con las consultas de caza de amenazas de Elastic a la base de conocimientos del Asistente para usar consultas existentes como base para tus próximos pasos.
Caza amenazas por todo tu entorno con ES|QL
Si gestionas un entorno global y necesitas determinar si esta actividad ocurre en otros clústeres, puedes ampliar tu hipótesis pidiendo al Asistente de IA que adapte la consulta para una búsqueda entre clústeres (CCS). Esto te permite buscar en varios clústeres de tu entorno—incluidos datos congelados y a largo plazo—sin interrumpir tu flujo de trabajo investigativo.
Haz una transición fluida del AI Assistant a la vista de la línea de tiempo y ejecuta la consulta. Esta búsqueda dirigida revela un hallazgo crítico: una instancia de rundll32.exe ejecutar en un servidor Windows con el nombre de host elastic-defender-endpoint bajo la cuenta de usuario gbadmin *.*
Agrega contexto con analíticas y visualizaciones
Encontrar un impacto es solo el primer paso; Ahora, debes determinar si se trata de un administrador realizando mantenimiento o de un ataque real. Validar tus ideas requiere análisis profundos tanto entre hosts como usuarios. Al profundizar en el anfitrión afectado, llegas a los Detalles de la Entidad.
Aquí, no solo ves un nombre de anfitrión. Estás viendo una vista consolidada del puntaje de riesgo del anfitrión, las alertas específicas que contribuyen a ese puntaje y la criticidad del activo, todo en un solo lugar. Al combinar señales de detección, anomalías de comportamiento e importancia del activo, el puntaje de riesgo de entidades de Elastic ayuda a los analistas a entender rápidamente por qué un activo es arriesgado, cuán urgente es la amenaza y en dónde enfocar primero. Este contexto unificado reduce el tiempo de investigación, minimiza las conjeturas y permite una priorización segura en entornos de alto volumen.
Confirma la anomalía con aprendizaje automático
Cuando examinas el puntaje de riesgo, la evidencia que lo respalda se muestra junto a ella. Puedes ver las alertas específicas que contribuyen al puntaje de riesgo elevada, incluyendo una combinación de alertas de gravedad media y una alerta de Aprendizaje Automático (ML) como "Actividad inusual de rutas de Windows".
Dado que el aprendizaje automático es especialmente adecuado para detectar desviaciones sutiles que las reglas estáticas a menudo pasan por alto, ver una alerta de aprendizaje automático contribuyendo al puntaje de riesgo ayuda a validar que esta actividad no es solo ruido, sino que apunta a una anomalía conductual significativa.
Los detalles del evento visualizan inmediatamente la línea del proceso, revelando la evidencia clave en el panel. Estas ideas transforman tu hipótesis de plausible a demostrable.
Actúa: De la percepción a la respuesta
Luego de validar tu hipótesis descubriendo actividades sospechosas, el siguiente paso inmediato es la respuesta. Elastic Security permite a los respondedores actuar directamente desde sus investigaciones sin cambiar de plataforma.
Una vez confirmado un host comprometido, puedes actuar desde la consola aislando al host para evitar movimientos laterales o terminando el árbol de procesos maliciosos descubierto en tu búsqueda LOLBIN. Esta transición fluida de la investigación a la respuesta permite una contención rápida empleando las mismas herramientas y contexto.
Operacionalizar consultas y automatizar la búsqueda
Para automatizar futuras búsquedas y eliminar la verificación manual de patrones recurrentes, puedes importar directamente una consulta en una regla de detección operativa, o crear una regla para comportamientos específicos, anomalías o nuevos valores de término que aparezcan por primera vez, y convertirla en una regla de detección completamente operativa con un solo clic.
En entornos empresariales, una búsqueda de LOLBin puede generar rápidamente un gran volumen de alertas. Aquí es donde el Descubrimiento de Ataque Agente marca una gran diferencia. Su propósito principal es ayudarte a hacer una triaje eficiente correlacionando automáticamente las señales y destacando la actividad que requiere atención inmediata.
También puedes agrupar y etiquetar alertas relacionadas con la caza y ejecutar el Descubrimiento de Ataques específicamente en esos conjuntos para descubrir patrones significativos. Esta flexibilidad hace que Detección de Ataques sea valiosa no solo para la triaje automatizada de alertas, sino también para flujos de trabajo avanzados y basados en hipótesis de búsqueda de amenazas.
Bonus: Automatiza con Elastic Agent Builder
Imagina crear un agente personalizado de LOLBin Hunter, diseñado específicamente para detectar actividad LOLBin en tus datos de seguridad. Usando Elastic Agent Builder, puedes crear este agente impulsado por un LLM y equipado con herramientas como el ES|Consultas QL usadas en tu flujo de trabajo manual.
Una vez configurado, puedes interactuar con tus datos de seguridad usando lenguaje natural, y el agente razonará a través de tu solicitud, seleccionará las herramientas más relevantes y actuará. Por ejemplo, podrías preguntar: "Muéstrame actividad LOLBin que desencadenó anomalías de aprendizaje automático y resume los hosts afectados y sus puntajes de riesgo."
Mantente por delante de los ataques emergentes con Elastic Security
La búsqueda de amenazas basada en hipótesis es fundamental para adelantar a los ataques modernos, pero puede ser compleja y llevar mucho tiempo sin las herramientas adecuadas. Elastic Security combina investigación asistida por IA, ES|Búsqueda QL, análisis contextual, aprendizaje automático y respuesta integrada para hacer cada etapa más sencilla y rápida.
Desde el momento en que surge una nueva amenaza hasta el punto de respuesta accionable, Elastic capacita a los analistas para descubrir señales ocultas, validar sus hipótesis y actuar con decisión, convirtiendo datos en bruto en inteligencia e inteligencia en acción.
¿Interesado en saber más sobre Elastic Security? Consulta nuestros seminarios sitio web, eventos y más , o empieza hoy mismo con tu prueba gratis .