¿Cuál es la diferencia entre cazar sobre indicadores y cazar sobre comportamientos?

Los indicadores son artefactos que controla el atacante (hashes, direcciones, dominios) y le sale barato cambiarlos; los comportamientos son las técnicas de las que depende, y cambiarlas le sale caro. Comparar indicadores es rápido y preciso pero caduca enseguida. La caza por comportamiento es más ruidosa y lenta pero sobrevive a la rotación de infraestructura. Haz las dos, con los indicadores empujando bloqueos inmediatos y búsquedas retrospectivas, y los comportamientos impulsando cobertura de detección duradera.

Los indicadores son lo que un atacante puede cambiar en una tarde: un hash, una dirección, un dominio. Los comportamientos son cómo opera, y cambiarlos implica reconstruir su herramental. Así que los uso para trabajos distintos. Cuando inteligencia de amenazas suelta indicadores, los ejecuto como búsqueda retrospectiva sobre noventa días y empujo bloqueos, porque eso es barato y de vez en cuando pilla algo latente. Pero no lo cuento como cobertura de detección, porque el mismo actor habrá rotado la infraestructura la semana que viene. La caza por comportamiento es donde están las victorias duraderas: parte de una hipótesis, por ejemplo un atacante usando un binario firmado para proxear ejecución, y luego caza las relaciones padre hijo que lo delatarían. Es más lenta y produce más cosas que filtrar, así que acoto las cazas en el tiempo y documento también los resultados negativos, porque saber que miraste importa. El ejemplo más claro que he tenido fue una lista de indicadores que no coincidió con nada, mientras que una caza por comportamiento sobre creación de servicios desde un proceso no administrativo encontró al mismo actor en dos hosts.