AI Threat Hunting Engine

01. ¿Qué es Threat Hunting?

Threat Hunting es la búsqueda proactiva de amenazas dentro de una infraestructura, partiendo de una hipótesis y no necesariamente de una alerta existente.

Esta diferencia es fundamental.

02. Detection vs Hunting

IF condition
THEN alert

Hypothesis
↓
Search
↓
Evidence
↓
Conclusion

Hypothesis
↓
AI
↓
Queries
↓
Correlation
↓
Reasoning

03. El concepto de hipótesis

Un Threat Hunt profesional comienza con una hipótesis concreta.

Esta hipótesis puede descomponerse.

Hypothesis:

Compromised credentials
        ↓
Authentication from unusual host
        ↓
Access to multiple servers
        ↓
Abnormal authentication pattern
        ↓
Possible lateral movement

04. Las fuentes de evidencia

Un Threat Hunter necesita observar múltiples capas.

05. El problema de los silos

Una actividad maliciosa puede parecer completamente legítima si observamos solamente una fuente.

Firewall:

Internal Server
      ↓
Internet

     NORMAL


DNS:

Host
      ↓
external-domain.com

     NORMAL


Endpoint:

powershell.exe

     NORMAL

Pero al combinarlo:

PowerShell
+
New external DNS lookup
+
Rare destination
+
New process
+
Privileged user
+
Connection shortly after login

=
HIGH RISK

06. Entity-Centric Threat Hunting

En lugar de analizar eventos aislados, debemos construir entidades.

USER
HOST
IP
PROCESS
DOMAIN
ACCOUNT
FILE
SERVICE
CLOUD RESOURCE

Después relacionamos esas entidades.

07. Security Timeline

Una de las herramientas más importantes para el Threat Hunter es la línea temporal.

08:31:02
User login

08:31:15
PowerShell started

08:31:17
Encoded command detected

08:31:19
DNS request

08:31:20
External connection

08:31:35
New process

08:32:04
Authentication to SERVER-12

08:33:18
Authentication to SERVER-19

El análisis temporal permite descubrir cadenas que no aparecen cuando cada evento se analiza por separado.

08. Time Window Correlation

Podemos definir ventanas temporales.

EVENT A
  ↓
within 60 seconds
  ↓
EVENT B
  ↓
within 5 minutes
  ↓
EVENT C

Ejemplo:

PowerShell
    AND
External DNS
    AND
Network Connection

within 2 minutes

Esto puede transformar tres eventos aparentemente independientes en una única hipótesis de ataque.

09. Baselines

El comportamiento normal de una organización es una fuente fundamental de información.

Ejemplo:

User:

Normal:
- Madrid
- Laptop-22
- 08:00-18:00
- VPN
- 3 servers/day

Observed:

- Frankfurt
- Server-07
- 03:12
- Direct authentication
- 27 servers

Cada evento individual puede ser posible.

El conjunto es altamente anómalo.

10. UEBA

User and Entity Behavior Analytics intenta modelar el comportamiento de usuarios y entidades.

11. Anomaly Detection

Podemos construir un score.

Risk Score =

0.25 × login_anomaly
+
0.20 × host_anomaly
+
0.20 × network_anomaly
+
0.20 × process_anomaly
+
0.15 × threat_intel

Por ejemplo:

login_anomaly = 0.8
host_anomaly = 0.7
network_anomaly = 0.9
process_anomaly = 0.8
threat_intel = 0.6

El score no demuestra que exista un ataque.

Indica que merece investigación.

12. El papel de Machine Learning

ML puede utilizarse para detectar patrones difíciles de expresar mediante reglas.

13. ¿Dónde entra el LLM?

El LLM no debe sustituir necesariamente al motor analítico.

Su papel principal será razonar sobre resultados.

14. AI como copiloto del Threat Hunter

El hunter puede preguntar:

"Busca posibles evidencias de
movimiento lateral utilizando
credenciales legítimas."

La IA puede descomponerlo:

1. Search authentication anomalies

2. Identify unusual source hosts

3. Find users authenticating
   to multiple systems

4. Compare against baseline

5. Search related network events

6. Search endpoint activity

7. Map findings to ATT&CK

8. Produce investigation summary

15. Query Generation

La IA puede convertir una pregunta en consultas.

Por ejemplo, para detectar movimiento lateral:

Query 1:

Find users with unusual
authentication volume.


Query 2:

Find authentication events
from rare source hosts.


Query 3:

Find remote service execution.


Query 4:

Find SMB connections
following authentication.


Query 5:

Find process creation
after remote authentication.

Cada resultado alimenta la siguiente fase.

16. Nunca confiar ciegamente en las queries generadas

Por eso necesitamos una capa de validación.

USER REQUEST
      ↓
LLM
      ↓
QUERY
      ↓
QUERY VALIDATOR
      ↓
SCHEMA VALIDATION
      ↓
PERMISSION CHECK
      ↓
EXECUTION

17. Query Validation

Antes de ejecutar una consulta generada por IA:

• Comprobar sintaxis.
• Comprobar campos.
• Comprobar permisos.
• Comprobar volumen esperado.
• Limitar el rango temporal.
• Aplicar rate limiting.
• Registrar la consulta.

18. Query Planning

Una investigación compleja debería convertirse en un plan.

INVESTIGATION

Objective:
Determine whether lateral movement occurred.

Step 1:
Identify abnormal authentication.

Step 2:
Identify source hosts.

Step 3:
Identify destination hosts.

Step 4:
Correlate authentication
with network activity.

Step 5:
Inspect endpoint activity.

Step 6:
Build attack graph.

Step 7:
Assess confidence.

Step 8:
Recommend action.

19. Evidence Chain

Toda conclusión de la IA debe poder relacionarse con evidencias.

CONCLUSION

Possible lateral movement
Confidence: 0.87

        ↓

Evidence 1
Unusual authentication

        ↓

Evidence 2
Rare source host

        ↓

Evidence 3
SMB connection

        ↓

Evidence 4
Remote process execution

        ↓

Evidence 5
User baseline deviation

20. Evidence Graph

Este grafo permite visualizar el posible camino de ataque.

Más adelante utilizaremos esta representación para construir un verdadero motor de Attack Path Analysis.

21. Threat Hunting Workflow

22. Del Hunt a una nueva detección

Una de las propiedades más importantes de un buen programa de Threat Hunting es que las investigaciones producen conocimiento reutilizable.

THREAT HUNT

Unknown behavior discovered

        ↓

Investigate

        ↓

Validate

        ↓

Understand

        ↓

Create Detection

        ↓

Automate

        ↓

Future attacks
        ↓
Automatic detection

Esto crea un ciclo de mejora continua.

23. AI Hypothesis Generator

Nuestro sistema puede ir un paso más allá.

En lugar de esperar siempre a que el hunter formule una hipótesis, la IA puede estudiar determinadas señales y proponer nuevas líneas de investigación.

OBSERVED:

Rare authentication
+
new destination host
+
unusual process
+
DNS anomaly

        ↓

AI

Possible hypotheses:

H1:
Compromised credentials

H2:
Lateral movement

H3:
Administrative activity

H4:
Automated infrastructure process

H5:
Misconfiguration

Después debemos probar cada hipótesis.

24. Hypothesis Ranking

Las hipótesis pueden priorizarse.

25. Human-in-the-Loop

La IA no debería cerrar automáticamente investigaciones de alto impacto.

26. Laboratorio principal

27. Paso 1 — Definir la hipótesis

28. Paso 2 — Definir el scope

Time range:
Last 30 days

Users:
All privileged users

Sources:
VPN
AD
Endpoint
Firewall

Focus:
Authentication anomalies

El scope evita que la investigación se convierta en una consulta indiscriminada sobre toda la infraestructura.

29. Paso 3 — Primera búsqueda

Buscamos usuarios con patrones anómalos de autenticación.

SELECT
    user,
    COUNT(DISTINCT destination_host) AS hosts
FROM authentication_events
WHERE timestamp > NOW() - 30 DAYS
GROUP BY user
ORDER BY hosts DESC;

Supongamos que obtenemos:

admin01     43 hosts
svc_backup   7 hosts
jsmith       5 hosts
mgarcia      4 hosts

admin01 merece investigación, pero todavía no sabemos si existe actividad maliciosa.

30. Paso 4 — Baseline

Comparamos con el comportamiento histórico.

admin01

Historical average:
8 hosts/day

Current:
43 hosts/day

Deviation:
+437%

Esto incrementa la prioridad.

31. Paso 5 — Identificar el origen

admin01

Source hosts:

ADMIN-PC-01
SERVER-02
UNKNOWN-HOST-17

El host desconocido es especialmente interesante.

UNKNOWN-HOST-17

First seen:
Today

Owner:
Unknown

OS:
Windows

EDR:
Present

Last user:
admin01

32. Paso 6 — Correlación de endpoint

Ahora investigamos qué ocurrió en UNKNOWN-HOST-17.

08:41
admin01 login

08:42
powershell.exe

08:42
network connection

08:43
SMB connection

08:44
authentication SERVER-02

08:45
authentication SERVER-07

Ahora tenemos una cadena mucho más interesante.

33. Paso 7 — Threat Intelligence

Podemos enriquecer los indicadores.

Destination IP:
185.x.x.x

Threat Intelligence:

Reputation:
Suspicious

First seen:
Recently

Known malware infrastructure:
Possible

Confidence:
0.78

La información externa no demuestra por sí sola un ataque, pero aumenta el contexto.

34. Paso 8 — ATT&CK Mapping

35. Paso 9 — AI Reasoning

Ahora podemos proporcionar a la IA únicamente las evidencias relevantes.

CASE

User:
admin01

Evidence:

1. Authentication from unknown host.

2. Authentication volume 437%
   above historical baseline.

3. PowerShell execution.

4. External network connection.

5. SMB activity.

6. Authentication to multiple servers.

7. Destination IP suspicious.

Task:

Assess whether evidence supports
possible credential compromise
and lateral movement.

Return:

- assessment
- confidence
- evidence
- alternative explanations
- ATT&CK mapping
- recommended next queries

36. Resultado esperado

ASSESSMENT:

Possible credential compromise
with lateral movement.

CONFIDENCE:

0.89

PRIMARY EVIDENCE:

- unusual source host
- abnormal authentication volume
- PowerShell activity
- SMB activity
- multiple destination hosts
- suspicious external communication

ATT&CK:

T1078
T1059.001
T1021.002

ALTERNATIVE:

Possible administrative activity.

RECOMMENDATION:

Investigate host ownership.
Validate admin01 activity.
Inspect PowerShell command line.
Review SERVER-02 and SERVER-07.

37. Paso 10 — Nueva hipótesis

El sistema no debería limitarse a terminar la investigación.

Puede generar una nueva hipótesis.

Current hypothesis:

Credential compromise


New hypothesis:

The attacker may have established
persistence on UNKNOWN-HOST-17.

Ahora comienza un nuevo hunt.

Search:

Scheduled Tasks
Services
Startup Items
Registry Run Keys
New Local Users
Persistence-related processes

38. El ciclo autónomo de Threat Hunting

39. Arquitectura del AI Threat Hunting Engine

40. Seguridad del propio AI Threat Hunter

El sistema que estamos construyendo también puede convertirse en un objetivo.

Debemos protegerlo frente a:

• Prompt Injection
• Data Poisoning
• Tool Abuse
• Excessive Permissions
• Data Exfiltration
• Model Manipulation

41. Tool Permissions

El agente debería tener herramientas con permisos explícitos.

search_logs
    READ

search_dns
    READ

search_authentication
    READ

search_endpoint
    READ

create_investigation
    WRITE

isolate_host
    HIGH RISK

disable_account
    HIGH RISK

Las acciones destructivas o disruptivas deben requerir controles adicionales.

42. AI Agent Guardrails

43. Preguntas de comprensión

44. Ejercicio avanzado

Login:
Madrid

Previous baseline:
Madrid

New login:
Singapore

Time:
03:17

Source:
Unknown laptop

Destination:
12 internal servers

Process:
powershell.exe

Network:
External connection

45. Proyecto de la Week 09

46. Modelo de datos de una investigación

{
  "investigation_id": "INV-0001",

  "hypothesis": {
    "text": "Possible credential compromise",
    "created_by": "analyst"
  },

  "scope": {
    "start": "2026-08-01",
    "end": "2026-08-30"
  },

  "entities": [],

  "queries": [],

  "evidence": [],

  "techniques": [],

  "hypotheses": [],

  "risk_score": 0,

  "confidence": 0,

  "status": "open"
}

Este modelo será importante para conectar el Threat Hunting con el resto de nuestra plataforma.

47. Métricas del AI Threat Hunting Engine

48. De Threat Hunting a Detection Factory

Aquí aparece una evolución fundamental del proyecto.

La plataforma empieza a ser capaz de convertir conocimiento obtenido durante investigaciones en nuevas capacidades defensivas.

49. El concepto de Continuous Threat Hunting

Un Threat Hunt tradicional termina cuando se responde a una pregunta.

Nuestro objetivo es mucho más ambicioso.

CONTINUOUS HUNTING

Observe
   ↓
Detect
   ↓
Investigate
   ↓
Hunt
   ↓
Learn
   ↓
Create Detection
   ↓
Monitor
   ↓
Generate New Hypothesis
   ↓
Hunt again

50. Arquitectura global del proyecto después de Week 09

51. Cierre de la Week 09

En la Week 08 construimos el concepto de Detection Engineering.

En esta Week 09 hemos añadido AI Threat Hunting.

Esto nos permite pasar de:

"Tenemos alertas"

a:

"Tenemos un sistema capaz de formular,
investigar y validar hipótesis de seguridad."