Threat Hunter

Pregunta de muestra 1

Al revisar los logs de flujo de red de un edificio corporativo de oficinas, un cazador de amenazas observa que un controlador inteligente de HVAC, que solo debería comunicarse mediante HTTPS con el servicio en la nube del proveedor de administración del edificio, también realiza conexiones salientes repetidas hacia varios servidores de archivos internos en puertos que normalmente se usan para compartir archivos por SMB. El proveedor de HVAC no tiene ninguna razón documentada para este comportamiento. ¿Qué representa este patrón con mayor probabilidad y qué debe hacer el cazador de amenazas?

1. A.Tratar el tráfico como telemetría esperada del proveedor, ya que se sabe que los dispositivos IoT generan patrones de tráfico inusuales que, en general, no vale la pena investigar de manera individual.
2. B.Restar prioridad al patrón de tráfico por ahora, ya que las conexiones permanecen dentro del perímetro de la red interna y ya están cubiertas por las protecciones existentes de firewall y de endpoint, lo que hace que la investigación a nivel de dispositivo sea menos urgente que las alertas orientadas al exterior.
3. C.Tratar el controlador de HVAC como un posible punto de pivote comprometido que intenta alcanzar los recursos compartidos de archivos internos, aislarlo del resto de la red e investigarlo en busca de indicios de movimiento lateral o de malware.
4. D.Concluir que los servidores de archivos deben estar mal configurados al aceptar conexiones del HVAC, abrir un ticket de servicio para el equipo de servidores y, mientras tanto, dejar sin cambios el acceso a la red del controlador de HVAC.

Pregunta de muestra 2

En 2026, un cazador de amenazas de un despacho jurídico de tamaño medio revisa los logs de auditoría de la nube después de que un asistente jurídico reporta una notificación inesperada de carpeta compartida. Los logs muestran que a una aplicación de terceros llamada QuickScan PDF Tools se le otorgaron permisos delegados de Mail.Read y Files.ReadWrite.All mediante una solicitud de consentimiento que el asistente jurídico no recuerda haber aprobado, y que desde entonces la aplicación ha llamado a la API del buzón para recuperar mensajes de las cuentas de otros tres socios del despacho, todo sin ningún intento de inicio de sesión ni captura de contraseña desde esas cuentas. Aplicando el conocimiento de tácticas, herramientas y técnicas adversarias, ¿cuál es la explicación más probable y la respuesta apropiada?

1. A.La cuenta del asistente jurídico fue comprometida mediante credential stuffing, por lo que el cazador de amenazas debe forzar el restablecimiento de contraseña únicamente para el asistente jurídico.
2. B.Se trata de un otorgamiento ilícito de consentimiento OAuth que brinda acceso persistente por API sin contraseña, por lo que se debe revocar el registro de la aplicación e invalidar sus tokens para todas las cuentas afectadas.
3. C.Las cuentas de los tres socios fueron comprometidas mediante un ataque a la cadena de suministro en la infraestructura del proveedor del PDF, por lo que el cazador de amenazas debe bloquear los rangos de IP del proveedor en el firewall.
4. D.Un correo electrónico de phishing entregó una macro maliciosa que estableció un punto de apoyo en el endpoint del asistente jurídico, por lo que el cazador de amenazas debe aislar ese endpoint y ejecutar un escaneo de antivirus.

Pregunta de muestra 3

Un feed de inteligencia de amenazas al que está suscrita la organización emite un boletín urgente que describe una nueva campaña dirigida contra servidores de orquestación de CI/CD basados en Java a través de un puerto de administración expuesto, y enumera ocho direcciones IP como infraestructura activa de command-and-control. El cazador de amenazas debe decidir cómo responder. El orquestador de CI/CD de la organización se ejecuta en una plataforma distinta, que no es Java, y noventa días de logs del firewall no muestran tráfico entrante ni saliente que involucre ninguna de las ocho IP enumeradas. Aplicando los principios y las prácticas de inteligencia de amenazas, ¿cuál es el siguiente paso más apropiado?

1. A.Registrar los ocho indicadores en la plataforma de inteligencia de amenazas para correlación futura, señalar que la plataforma atacada y el patrón de tráfico observado no coinciden con el entorno de la organización, y priorizar el boletín por debajo de la inteligencia que describe amenazas al stack tecnológico real de la organización.
2. B.Bloquear las ocho direcciones IP en el perímetro de la red de inmediato y tratar el boletín como máxima prioridad, aunque la campaña esté dirigida contra una plataforma distinta y no haya aparecido tráfico coincidente, ya que todo indicador de command-and-control de un feed suscrito debería atenderse de la misma manera sin importar su relevancia.
3. C.Descartar el boletín y no registrar los ocho indicadores en ningún lugar de la plataforma de inteligencia de amenazas, ya que la campaña está dirigida contra una plataforma de CI/CD distinta y no ha aparecido tráfico coincidente, y una discrepancia en ambos aspectos significa que la inteligencia no tiene ningún valor adicional que valga la pena conservar.
4. D.Reenviar las ocho direcciones IP al equipo de redes para su bloqueo, pero no hacer ningún cambio en las propias interfaces de administración expuestas del orquestador de CI/CD, ya que la discrepancia de plataforma y los noventa días sin tráfico coincidente en conjunto ya confirman que el entorno nunca estuvo expuesto a esta campaña.