Threat Hunting: Busca al atacante antes de que genere una alerta
Nuestros analistas buscan de forma proactiva indicadores de compromiso y comportamientos anómalos en tu infraestructura, endpoints e identidades. Cada cacería parte de una hipótesis basada en inteligencia de amenazas y termina con hallazgos accionables o una detección nueva para tu monitoreo.
¿Qué es el threat hunting?
El threat hunting, o caza de amenazas, es la búsqueda proactiva y dirigida por hipótesis de atacantes que ya entraron a un entorno y que las herramientas automáticas no detectaron. Un analista parte de una pregunta concreta ("si un grupo activo en tu industria hubiera entrado, ¿qué huellas dejaría?"), revisa la telemetría donde vivirían esas huellas y confirma o descarta la hipótesis.
El monitoreo de un SOC captura lo que coincide con patrones conocidos. El hunting trabaja sobre lo que no coincide: credenciales válidas usadas fuera de lo normal, herramientas legítimas como PowerShell al servicio de un intruso, movimiento lateral silencioso. Según M-Trends 2026 de Mandiant, un atacante pasa una mediana de 14 días dentro de una red antes de ser detectado. En Netprovider la caza de amenazas forma parte de la Seguridad Defensiva Activa, junto al CyberSOC 24/7 y Threat Intelligence.
Seis frentes de una cacería bien hecha
Del diseño de la hipótesis a la regla que queda funcionando en tu monitoreo.
Hipótesis basadas en inteligencia
Cada cacería nace de un dato concreto: un grupo activo en tu industria, una técnica en auge o una vulnerabilidad recién explotada. Usamos la inteligencia regional de nuestro equipo de Threat Intelligence, incluidas las TTPs de grupos que atacan organizaciones en Chile.
Búsqueda en endpoints, red e identidades
Revisamos logs de autenticación, actividad de endpoints (EDR), tráfico de red y cambios de configuración. Ahí se esconden el movimiento lateral, el robo de credenciales y la exfiltración.
Detección de técnicas living off the land
Buscamos el uso malicioso de herramientas legítimas: PowerShell, software de administración remota y cuentas válidas que las firmas tradicionales no marcan.
IA aplicada con criterio
La IA acelera consultas, triage y correlación de señales débiles entre fuentes. Los analistas formulan las hipótesis y validan cada hallazgo.
Escalamiento a respuesta
Si una cacería confirma actividad maliciosa, el hallazgo pasa al CyberSOC y a Incident Response para contener, erradicar y recuperar, con el reloj de reporte de la Ley 21.663 en mente.
Del hallazgo a la detección
Cuando una cacería lo permite, dejamos una regla nueva para tu monitoreo. Si un atacante repite la técnica, tu CyberSOC puede recibir la alerta sin esperar otra cacería.
Lo que cambia cuando alguien sale a buscar
Menos días de intruso dentro de la red y un monitoreo que mejora con cada ciclo.
Menos tiempo de permanencia del atacante: el hunting acorta los días entre la entrada y la detección, que es donde ocurren el robo de credenciales y la exfiltración.
Ley 21.663 con respaldo: la norma exige una alerta temprana al CSIRT Nacional dentro de 3 horas desde que conoces un incidente con posibles efectos significativos. Cada cacería te deja evidencia y contexto para ese reporte.
Un monitoreo que mejora: incorporamos a tu CyberSOC las detecciones que surgen de cada ciclo.
Visibilidad para el directorio: informes que traducen cada cacería a riesgo de negocio y muestran la evolución de tu nivel de madurez.
Resultados reales. Impacto comprobado.
Empresas de sectores críticos en Chile, Perú y Colombia confían en Netprovider. Estos son los números que respaldan ese trabajo.
#1
95%
80%
70%
Detección y respuesta en industrias críticas
Organizaciones que pusieron a prueba su capacidad de ver lo que no salta en una alerta.
Lipigas: Simulaciones ofensivas para afinar detección y respuesta
Lipigas combinó ethical hacking y ejercicios Red Team sobre infraestructura crítica para anticiparse a amenazas reales y mejorar su capacidad de detección y respuesta. "Hoy contamos con mayor visibilidad, capacidad de respuesta y confianza en la solidez de nuestros sistemas", René Lander, Subgerente de Datos y Ciberseguridad, Lipigas.
¿Por qué elegir a Netprovider para tu threat hunting?
Hunting, inteligencia y respuesta en la misma unidad: lo que encuentra un analista llega al equipo que lo contiene sin cambiar de proveedor.
Inteligencia regional en cada hipótesis
Operación dual Santiago y Lima
Ofensiva y defensiva conectadas
Reconocidos en sectores críticos
Testimonios que reflejan nuestro compromiso
La confianza de nuestros clientes se construye con resultados. Esto dicen quienes protegen su operación con Netprovider.
Artículos relacionados
Tres lecturas del blog para profundizar antes de conversar.
¿Qué es el threat hunting? La caza de amenazas en la era de la IA (Guía 2026)
Leer artículo
Threat Intelligence: El núcleo analítico de la ciberdefensa moderna
Leer artículo
El CyberSOC de Netprovider evoluciona: Segundo nodo regional en Lima y operación dual con Santiago
Leer artículoPreguntas frecuentes sobre threat hunting
¿Qué diferencia hay entre threat hunting y el monitoreo de un SOC?
El monitoreo espera una alerta: procesa millones de eventos y avisa cuando algo coincide con un patrón conocido. El hunting parte sin alerta, asume que un atacante pudo haber entrado y sale a buscar la evidencia. Ambos se complementan.
¿Qué diferencia hay entre threat hunting y threat intelligence?
Threat Intelligence mira hacia afuera: recopila y analiza información sobre actores, técnicas y campañas. Threat Hunting mira hacia adentro: usa esa inteligencia para formular hipótesis y buscar al atacante en tu propia telemetría.
¿Qué necesito tener para empezar?
Telemetría centralizada y consultable: idealmente EDR en los endpoints, logs de autenticación y tráfico de red, con el mayor historial disponible. Si hay puntos ciegos, el primer ciclo los identifica y te recomendamos cómo cubrirlos.
¿Con qué frecuencia se hacen las cacerías?
Depende de la modalidad y de tu exposición. Integrado al CyberSOC, el hunting corre en ciclos periódicos; en una cacería puntual, el alcance y las fechas se acuerdan contigo antes de partir.
¿La IA reemplaza al analista?
No. La IA genera consultas, correlaciona señales débiles y descarta ruido a velocidad de máquina. La hipótesis, el contexto de negocio y la decisión sobre un hallazgo ambiguo siguen a cargo de un analista con experiencia.
¿Qué pasa si una cacería encuentra un atacante?
Escalamos el hallazgo al CyberSOC y a Incident Response, según el alcance contratado. Si el incidente es significativo, te apoyamos con el reporte al CSIRT Nacional, que la Ley 21.663 pide dentro de 3 horas.
Contáctanos para asegurar tu continuidad operacional
No esperes más, protege tu negocio y asegura su continuidad operativa con nuestros servicios especializados.
