Sesión 05: Detectando Amenazas Agénticas

KQL, Sentinel y playbooks cuando el IOC tradicional ya no alcanza Qué vas a aprender Por qué un agente comprometido no genera malware: ejecuta acciones autorizadas, solo que en el orden incorrecto, y por qué eso rompe la detección basada en firmas. Nueve o más patrones de detección diseñados específicamente para comportamiento de agente, no de humano ni de malware clásico. Por qué un SOC calibrado para volumen humano deja pasar 5,000 llamadas por hora como "normal", cuando el delta contra el baseline del propio agente es lo que importa. Las 7 etapas de JadePuffer, el patrón de ransomware agéntico que se ejecuta sin pausa ni fatiga entre pasos, documentado por Sysdig en 2026. Cómo se arma una cadena de contención automática completa (detección, Logic App, revisión humana) que actúa en segundos, no en el tiempo que tarda un humano en reaccionar. Al terminar vas a poder mostrarle a tu directorio por qué "no vimos ninguna alerta" no significa "no pasó nada", y tu SOC va a poder correr en vivo el JailbreakScore que acumula puntaje por frase, no por coincidencia exacta. Laboratorio en vivo: cinco ejercicios, de intentos de jailbreak a la cadena completa de JadePuffer, contra el tenant demo.