Threat Hunting: repos y playbooks imprescindibles

Por qué threat hunting

TL;DR: El threat hunting es la práctica proactiva de buscar atacantes que han evadido las defensas convencionales de la red. Mientras que las firmas fallan ante nuevas técnicas, repositorios como HELK cuentan con más de 3,700 estrellas para facilitar la simulación y análisis de amenazas. Se recomienda integrar estos playbooks abiertos para fortalecer la detección de movimientos laterales y malware sin firma.

Las reglas de detección (Sigma, YARA, EDR) detectan lo conocido. Threat hunting busca lo desconocido: el atacante que evadió tus detecciones, el malware que no tiene firma, el movimiento lateral que parece tráfico legítimo. Es la diferencia entre una alarma de seguridad (detección) y un guardia que patrulla buscando anomalías (hunting).

En 2026, con técnicas de evasión cada vez más sofisticadas (EDR unhooking, direct syscalls, living-off-the-land), la detección basada en firmas cubre cada vez menos. Threat hunting cierra el gap.

Top repositorios

1. ThreatHunting-Keywords

Repo: mthcht/ThreatHunting-Keywords Stars: 3,000+ | Estado: muy activo

Base de datos masiva de keywords, artefactos y patrones para threat hunting. Organizado por herramienta ofensiva, técnica ATT&CK y tipo de log. Incluye queries listas para Splunk, Elastic y Microsoft Sentinel.

Uso: cuando necesitas buscar indicadores de una herramienta específica (Cobalt Strike, Mimikatz, Sliver) en tus logs.

2. HELK (Hunting ELK)

Repo: Cyb3rWard0g/HELK Stars: 3,700+ | Estado: activo

Plataforma de hunting basada en Elastic Stack + Kafka + Spark. Despliega un entorno completo de hunting con datasets precargados para practicar. Creado por Roberto Rodriguez (Cyb3rWard0g), una autoridad en threat hunting.

Uso: laboratorio de hunting. Despliega HELK, carga datasets de ataques simulados y práctica queries de hunting.

3. Threat Hunter Playbook

Repo: OTRF/ThreatHunter-Playbook Stars: 4,000+ | Estado: activo

Colección de playbooks de hunting organizados por técnica ATT&CK. Cada playbook incluye: hipótesis, data sources necesarios, queries analíticas (Spark, Elastic), y datasets de ejemplo para validar.

Uso: referencia metodológica. Cada playbook es una hipótesis de hunting lista para ejecutar con tus datos.

4. Mordor / Security Datasets

Repo: OTRF/Security-Datasets Stars: 1,500+ | Estado: activo

Datasets de ataques simulados en formato JSON (eventos Windows, Sysmon, etc.). Generados con herramientas de red teaming reales en entornos controlados. Complemento perfecto para Threat Hunter Playbook.

Uso: cargar en tu SIEM/ELK para practicar hunting sin necesidad de ejecutar ataques reales.

5. KQL Hunting Queries (Microsoft)

Repo: microsoft/Microsoft-365-Defender-Hunting-Queries Stars: 1,500+ | Estado: activo

Queries KQL de hunting para Microsoft Defender, Sentinel y M365. Organizadas por técnica ATT&CK. Si tu entorno es Microsoft, este repo es indispensable.

6. Splunk Attack Range

Repo: splunk/attack_range Stars: 2,000+ | Estado: activo

Framework para crear laboratorios de ataque automatizados. Despliega entornos Windows con Active Directory, ejecuta ataques con Atomic Red Team y recolecta logs en Splunk. Perfecto para generar datos de hunting.

7. Awesome Threat Detection

Repo: 0x4D31/awesome-threat-detection Stars: 3,500+ | Estado: activo

Meta-lista de recursos de detección y hunting: herramientas, papers, presentaciones, blogs y datasets. Punto de partida para descubrir más recursos.

Metodología de hunting

Hypothesis-Driven Hunting

1. Hipótesis: "Un atacante está usando PSExec para movimiento lateral"
2. Data source: Windows Event Log 4688, Sysmon 1, 17/18
3. Query: procesos con nombre psexec* O services.exe creando procesos hijo
4. Baseline: ejecutar query, identificar uso legítimo
5. Hunt: filtrar uso legítimo, investigar anomalías
6. Document: si encuentras algo, crear regla Sigma para detección futura

Stack de hunting recomendado

Componente	Herramienta	Alternativa
Log collection	Sysmon + WEF	Velociraptor
SIEM	Elastic/Splunk	Grafana Loki
Datasets	Security Datasets (OTRF)	Attack Range (Splunk)
Queries	Sigma + backend	KQL / SPL nativo
Validación	Atomic Red Team	Caldera
Playbooks	Threat Hunter Playbook	Custom

Errores comunes

1. Hunting sin hipótesis: navegar logs aleatoriamente no es hunting. Empieza con una hipótesis basada en CTI
2. Ignorar el baseline: sin saber qué es normal, todo parece sospechoso
3. No documentar resultados: si no conviertes hallazgos en detecciones (Sigma/YARA), el conocimiento se pierde
4. Solo buscar IOCs: hunting de IOCs es detection, no hunting. Busca comportamientos y patrones

Veredicto

Threat Hunter Playbook (OTRF) + Security Datasets es la combinación más completa para empezar. ThreatHunting-Keywords para queries operativas rápidas. HELK o Attack Range para laboratorio. Y Atomic Red Team para validar que tus hunts funcionan.