La calidad del dato se convierte en el principal obstáculo para el threat hunting
La falta de datos suficientes y de calidad se ha convertido en el principal problema para los equipos de threat hunting. Por primera vez, este factor supera a la escasez de profesionales especializados, según el SANS 2026 Threat Hunting Survey, que analiza la evolución de estas prácticas a partir de las respuestas de 500 profesionales y responsables de seguridad de diferentes regiones.
El 50 % de los encuestados señala la calidad o cantidad de los datos como su principal barrera para realizar una búsqueda proactiva de amenazas eficaz, frente al 45 % que apunta a la falta de personal cualificado. El dato resulta especialmente significativo porque el 82 % de los participantes lleva al menos dos años realizando este tipo de tareas.
También continúa descendiendo la externalización del threat hunting
El problema está relacionado con la creciente dificultad para disponer de una telemetría completa y coherente. Los equipos necesitan información procedente de endpoints, identidades, redes y entornos cloud para identificar comportamientos anómalos, especialmente cuando los atacantes utilizan herramientas y credenciales legítimas para pasar desapercibidos.
Precisamente, las técnicas living off the land, que aprovechan herramientas ya presentes en los sistemas comprometidos, aparecen como una de las principales tendencias del estudio. El 73 % de los participantes las identifica como la técnica predominante entre actores vinculados a Estados, mientras que un 63% observa su utilización por parte del crimen organizado.
El cloud sigue planteando dificultades
Los entornos cloud continúan siendo uno de los principales puntos débiles. Un 32 % de los encuestados los considera el entorno más difícil en el que realizar threat hunting, por delante del resto de infraestructuras. La falta de visibilidad y las dificultades para recopilar y correlacionar registros complican especialmente la detección de actividades que intentan confundirse con operaciones legítimas.
Esta situación cobra importancia a medida que el threat hunting evoluciona desde la búsqueda de indicadores conocidos —como direcciones IP o hashes maliciosos— hacia la identificación de comportamientos. Detectar el uso anómalo de una herramienta legítima o movimientos poco habituales de información exige conocer previamente qué constituye una actividad normal, algo difícil de conseguir cuando los registros son incompletos o están dispersos entre diferentes sistemas.
El estudio también apunta a cierto retroceso en la formalización de estas prácticas. Solo el 3 7% de las organizaciones dispone actualmente de una metodología de threat hunting definida, frente al 46% de 2025 y el 51% de 2024. Al mismo tiempo, los enfoques ad hoc han aumentado hasta el 39 %.
Menos organizaciones miden los resultados
Otro dato llamativo es la caída de las organizaciones que miden formalmente la eficacia de sus actividades de threat hunting. Apenas lo hace el 40%, frente al 64% registrado en 2024. Esta falta de métricas dificulta tanto determinar el impacto real de estas prácticas como justificar las inversiones destinadas a ellas.
La inteligencia artificial tampoco aparece, al menos por ahora, como una solución directa al problema. El 39 % sitúa la incorporación de IA y machine learning entre sus principales mejoras previstas, frente al 48 % de 2025. SANS interpreta esta evolución como una señal de que las organizaciones están evaluando estas tecnologías de forma más práctica y comprobando hasta qué punto pueden integrarlas en sus procesos.
También continúa descendiendo la externalización del threat hunting. El porcentaje de organizaciones que recurre a proveedores externos ha pasado del 30 % en 2025 al 18 % en 2026, mientras que un 58% mantiene estas capacidades internamente por segundo año consecutivo.
La entrada La calidad del dato se convierte en el principal obstáculo para el threat hunting se publicó primero en Ciberseguridadtic.