¿Qué es el threat hunting? La caza de amenazas en la era de la IA (Guía 2026)

Hay una estadística que resume por qué esta disciplina dejó de ser opcional: Según el reporte M-Trends 2026 de Mandiant, un atacante pasa una mediana de 14 días dentro de una red antes de ser detectado. Cuando la detección es interna, son unos 9 días; cuando avisa un tercero (un cliente, la policía, el propio atacante con su nota de rescate), son 25. Todo lo que ocurre en esos días (movimiento lateral, robo de credenciales, exfiltración) ocurre en silencio, sin disparar alarmas.

El threat hunting es la respuesta operativa a ese silencio. En el CyberSOC de Netprovider es una práctica diaria integrada con la detección automatizada, y la diferencia conceptual entre ambas se explica en una frase: El monitoreo espera evidencia de ataque; el hunting asume que el ataque ya ocurrió y sale a buscar la evidencia.

¿Qué es el threat hunting y en qué se diferencia del monitoreo?

El threat hunting (caza de amenazas) es la búsqueda proactiva, dirigida por hipótesis, de atacantes que ya están dentro del entorno y que las herramientas automáticas no han detectado. Tres palabras de esa definición hacen todo el trabajo:

• Proactiva: Parte de una pregunta del analista, antes de cualquier alerta: "Si un atacante hubiera entrado por acá, ¿qué huellas habría dejado?".
• Dirigida por hipótesis: Cada cacería nace de inteligencia de amenazas concreta (un grupo activo en tu industria, una técnica en auge, una vulnerabilidad recién explotada) y se diseña para confirmarla o descartarla. Revisar logs al azar es otra cosa.
• Ya están dentro: El supuesto de trabajo es la brecha asumida. No se caza en el perímetro; se caza en la red interna, los endpoints y las identidades.

El monitoreo tradicional (SIEM, EDR, correlación de eventos) sigue siendo la base: Procesa millones de eventos y captura todo lo que coincide con patrones conocidos. El hunting cubre el espacio restante: Lo que no coincide con ningún patrón porque el atacante se disfrazó de usuario legítimo.

¿Por qué existe? Los ataques que las alertas no ven

La razón de ser del hunting tiene nombre técnico: Living off the land (LOTL), vivir de la tierra. En lugar de instalar malware detectable, el atacante usa las herramientas legítimas que ya existen en tu entorno: PowerShell, credenciales válidas, software de administración remota, las mismas utilidades que usa tu equipo de TI todos los días.

Los números de la encuesta de threat hunting 2025 de SANS muestran la escala: El 76% de las organizaciones observó técnicas LOTL en ataques de actores estatales, y el 49% de los ataques de ransomware las usó (subiendo desde el 42% del año anterior). Casi la mitad del ransomware moderno no "parece" malware para tus herramientas.

El caso chileno lo ilustra sin teoría: La investigación del CSIRT Nacional sobre el grupo Qilin, uno de los actores de ransomware más activos contra organizaciones locales, documenta su patrón de entrada: Fuerza bruta contra accesos VPN con un máximo de tres intentos por dirección IP antes de rotar a otra. Tres intentos no disparan casi ningún umbral de bloqueo automático. Una vez dentro, opera con cuentas válidas. Ese diseño no es casualidad: Está construido específicamente para quedar bajo el radar de la detección automatizada, y es exactamente el tipo de comportamiento que una hipótesis de hunting bien formulada ("busquemos rachas de autenticaciones fallidas distribuidas entre muchas IPs contra el VPN") saca a la luz.

Detrás de esto hay un principio que David Bianco formalizó hace más de una década en su Pirámide del Dolor: Bloquear hashes, IPs o dominios maliciosos le cuesta al atacante minutos de trabajo; detectar y cortar sus comportamientos (sus TTPs) lo obliga a rediseñar el ataque completo. Las alertas automáticas viven en la base de la pirámide; el hunting trabaja en la cima, donde más le duele al adversario.

¿Cómo se caza? El método en tres pasos

El hunting profesional es metódico, y existen marcos públicos que lo estructuran. Uno de los más adoptados es PEAK, de Splunk (Prepare, Execute, Act with Knowledge); el FI-ISAC del sector financiero holandés aporta TaHiTI, que integra la inteligencia de amenazas como disparador de cada cacería. Destilado a lo operativo, el ciclo de la caza de amenazas tiene tres pasos:

1. Hipótesis. Se formula una conjetura específica y comprobable, anclada en inteligencia: "El grupo X está atacando a empresas de nuestro sector vía VPN; si nos alcanzó, deberíamos ver autenticaciones anómalas seguidas de creación de cuentas nuevas". El marco ABLE de PEAK ayuda a estructurarla con cuatro componentes: Actor, comportamiento (Behavior), ubicación (Location) y evidencia esperada. Aplicado al caso chileno de arriba queda así: Actor, Qilin; comportamiento, fuerza bruta distribuida contra accesos remotos; ubicación, los logs de autenticación del VPN; evidencia esperada, rachas de exactamente tres intentos fallidos por IP repartidas entre decenas de direcciones. Una hipótesis así de concreta se puede cazar en una tarde; "buscar cosas raras en la red" no se puede cazar nunca.

2. Datos. Se recolecta y correlaciona la telemetría donde esa evidencia viviría: Logs de autenticación, actividad de endpoints (EDR), tráfico de red, cambios de configuración. La calidad del hunting depende directamente de la calidad y retención de la telemetría disponible.

3. Análisis y acción. Se confirma o descarta la hipótesis. Si hay hallazgo, se activa la respuesta a incidentes. Y aquí está el paso que separa a los programas maduros: Aunque no haya hallazgo, la cacería produce valor, porque cada hipótesis descartada se convierte en una detección automatizada nueva. El hunting de hoy es la alerta de mañana.

¿Qué cambió la IA en el threat hunting?

2025 y 2026 movieron el tablero para ambos jugadores.

Del lado del defensor, los agentes de IA convirtieron en minutos tareas que tomaban horas. Microsoft integró a su plataforma un agente de threat hunting que traduce preguntas en lenguaje natural a consultas KQL y guía investigaciones completas; CrowdStrike reporta que su agente de triage decide sobre detecciones con más de 98% de precisión y ahorra unas 40 horas semanales de trabajo manual (cifras del propio fabricante); SentinelOne lanzó hunting y triage autónomos sobre cualquier fuente de datos. El patrón común: La IA genera consultas, correlaciona señales débiles entre fuentes y descarta el ruido, dejando al analista los casos que merecen cerebro humano.

Del lado del atacante, el seguimiento de inteligencia de amenazas de Google documentó malware que usa modelos de IA en tiempo de ejecución para reescribirse y ofuscarse "justo a tiempo", además de actores estatales usando IA generativa para reconocimiento y desarrollo de ataques. La simetría es incómoda pero real.

¿Y el humano? La propia encuesta de SANS pone paños fríos al marketing: El impacto de la IA para descubrir actores de amenazas "sigue siendo limitado". Lo que la IA no hace (todavía) es el corazón del oficio: Formular la hipótesis creativa, entender el contexto de negocio ("este servidor es raro que hable con contabilidad") y decidir qué significa un hallazgo ambiguo. La figura que funciona en 2026 es el hunter aumentado: El analista define la cacería y la IA la ejecuta a velocidad de máquina. Los equipos que entregan la formulación de hipótesis a la IA cazan lo mismo que su competencia, porque usan los mismos modelos con los mismos sesgos.

¿Qué tan maduro es tu programa? El modelo HMM

Para pasar de la teoría a la autoevaluación existe el Hunting Maturity Model, también de Bianco, con cinco niveles:

• HM0, Inicial: Solo alertas automatizadas, sin búsqueda proactiva de ningún tipo.
• HM1, Mínimo: Se buscan indicadores de compromiso publicados (IOCs) en la telemetría propia. Reactivo, pero es un comienzo.
• HM2, Procedimental: Se ejecutan cacerías siguiendo procedimientos creados por otros, con regularidad. Aquí está la mayoría de las organizaciones que dicen "hacemos hunting".
• HM3, Innovador: El equipo crea sus propias hipótesis y procedimientos a partir de inteligencia y conocimiento del entorno.
• HM4, Líder: Las cacerías exitosas se automatizan de forma sistemática, liberando a los analistas para hipótesis nuevas. El programa se retroalimenta.

Dos datos de SANS ayudan a ubicarse con honestidad: El 61% de las organizaciones cita la escasez de personal capacitado como su principal barrera, y el 38% no mide formalmente la efectividad de sus cacerías, con lo cual no puede saber en qué nivel está. Por lo primero, muchas organizaciones medianas resuelven la caza de amenazas con un modelo co-gestionado: Equipo propio para el contexto de negocio y servicio especializado para la operación continua. La propia encuesta registra esa transición: El outsourcing total del hunting cayó de 37% a 30% en un año, a favor de esquemas híbridos donde el conocimiento del entorno se queda en casa.

¿Por qué esto importa en Chile en 2026?

Tres razones convergen.

La regulatoria: La Ley 21.663 exige reportar incidentes significativos al CSIRT Nacional en un máximo de 3 horas desde que se toma conocimiento. Ese reloj parte cuando detectas, y castiga los 14 días de mediana global: No puedes reportar en 3 horas lo que llevas dos semanas sin ver. Reducir el tiempo de detección es hoy un requisito legal con multa, no una aspiración técnica (lo desarrollamos en nuestra guía de reporte de incidentes).

La de amenaza: Uno de los grupos más activos contra organizaciones chilenas opera con el manual anti-detección descrito arriba, y la actividad de ransomware local creció 50% en publicaciones de víctimas durante el primer semestre de 2026 según el monitoreo regional de la firma SEK. El propio M-Trends 2026 pone al ransomware en el 13% de sus investigaciones globales, con Akira y AGENDA/Qilin como las variantes más frecuentes: Los mismos nombres que aparecen en las alertas chilenas. El adversario ya asumió que tienes EDR y SIEM; diseña sus intrusiones para convivir con ellos.

La de velocidad: El mismo reporte midió que el traspaso entre quien compromete un acceso y quien lo explota bajó, en casos observados, de más de 8 horas en 2022 a 22 segundos en 2025. Los mercados de acceso ya operan a velocidad de máquina, y las ventanas para encontrar al intruso entre la entrada y el daño se van a seguir acortando. Cazar temprano dejó de ser perfeccionismo.

La económica: La diferencia entre detectar internamente (9 días) y que te avisen de afuera (25 días) se mide en millones. Y la detección interna temprana rara vez viene de una alerta espontánea: Viene de alguien que salió a buscar.

Autodiagnóstico: ¿Cazas o esperas?

Seis preguntas para ubicar tu programa en el mapa. Responde sí o no:

1. ¿Tu equipo (interno o externo) ejecuta cacerías proactivas con frecuencia definida, sin esperar alertas ni incidentes?
2. ¿Cada cacería parte de una hipótesis documentada, basada en inteligencia de amenazas relevante para tu industria?
3. ¿Tienes telemetría centralizada y consultable de endpoints, identidades y red de al menos los últimos 90 días?
4. ¿Las cacerías con hallazgo (y las sin hallazgo) generan detecciones automatizadas nuevas de forma sistemática?
5. ¿Podrías detectar hoy un patrón de fuerza bruta distribuida (3 intentos por IP, cientos de IPs) contra tus accesos remotos?
6. ¿Mides el tiempo de detección de tus incidentes y su tendencia, contra el reloj de 3 horas de la Ley 21.663?

Resultados:

• 0 a 2 respuestas afirmativas (HM0-HM1): Tu detección depende de que el atacante cometa un error. Con el 49% del ransomware operando en modo LOTL, es una apuesta cara.
• 3 a 4 afirmativas (HM2): Tienes práctica pero no programa. El salto de valor está en las hipótesis propias y en convertir cacerías en detecciones.
• 5 a 6 afirmativas (HM3-HM4): Estás en el grupo que encuentra al intruso en días y no en semanas. El siguiente paso es escalar la caza de amenazas con IA sin perder la formulación humana de hipótesis.

Cómo puede ayudarte Netprovider

El threat hunting del CyberSOC 24/7 de Netprovider opera exactamente el modelo de esta guía, para organizaciones de sectores críticos en Chile, Perú y Colombia:

• Hunting por hipótesis integrado a la operación: Cacerías regulares dirigidas por nuestra inteligencia de amenazas regional (incluidos los TTPs de los grupos activos contra Chile), no solo búsqueda de IOCs.
• IA aplicada con criterio: Agentes que aceleran consultas, triage y correlación, con analistas que formulan las hipótesis y validan los hallazgos.
• Del hallazgo a la detección: Cada cacería alimenta las reglas de tu monitoreo. El programa mejora con cada iteración, hacia HM4.
• El reloj legal cubierto: Detección y escalamiento diseñados para el reporte de 3 horas de la Ley 21.663.

¿Quieres saber qué encontraría una cacería en tu red esta semana? Conversemos: La primera hipótesis la ponemos nosotros.

Fuentes

• SANS - 2025 Threat Hunting Survey
• Google Cloud / Mandiant - M-Trends
• CSIRT Nacional de Chile - Investigación de amenaza: Qilin (AIA25-00007)
• Splunk - PEAK Threat Hunting Framework
• FI-ISAC / NVB - Metodología TaHiTI (PDF)
• David Bianco - The Pyramid of Pain
• SANS - Hunting Maturity Model
• Microsoft - Threat Hunting Agent en Defender XDR
• Google Cloud - Threat actor usage of AI tools (GTIG)