Analítica del Comportamiento

La analítica del comportamiento es un método, no un producto. Toma datos de actividad, como inicios de sesión, operaciones con archivos, flujos de red, mensajes, transacciones y uso de aplicaciones, construye una imagen de lo que es típico para cada sujeto y puntúa todo lo que se aparta de esa imagen.

La diferencia con la detección por firmas está en la pregunta que hace cada una. Una firma coincide con un archivo malicioso conocido o con una dirección bloqueada. La analítica del comportamiento pregunta si una cuenta, un dispositivo o un flujo de datos empezó a actuar distinto de su propio historial. Por eso suele ser la única señal disponible antes de que una amenaza nueva o de movimiento lento llegue a su objetivo.

La misma lógica impulsa la detección de amenazas internas, donde el sujeto es un empleado de confianza y no un atacante externo, y donde una firma no tiene nada con qué coincidir.

Sea cual sea el sujeto, el trabajo sigue la misma secuencia. La calidad la decide la línea base, porque una puntuación vale solo lo que vale la imagen de lo normal que hay detrás. Las líneas base se construyen mediante el perfilado de cada usuario, dispositivo o cuenta.

1. 1

   Recolección

   Los datos de actividad provienen de fuentes relevantes, como agentes en los equipos, sensores de red, proveedores de identidad y registros de transacciones, en volumen e historial suficientes para ser útiles.

2. 2

   Línea base

   Se construye un perfil de lo normal para cada sujeto, sea un usuario, un dispositivo, un segmento de red o una cuenta. Suele contrastarse también con las normas de su grupo de referencia.

3. 3

   Puntuación

   La actividad nueva se compara con la línea base mediante reglas de umbral, modelos estadísticos o aprendizaje automático. Recibe una puntuación de desviación o de riesgo, no un simple veredicto de coincidencia o no coincidencia.

4. 4

   Triaje y respuesta

   Los hallazgos puntuados se ordenan y se envían a los analistas mediante un flujo de SOC o la consola del SIEM. Los analistas los investigan y luego los escalan o los usan para afinar la línea base.

El mismo método funciona en cuatro áreas, y cada una tiene su propio nombre en el mercado:

Los términos se superponen lo suficiente como para generar confusión. La analítica del comportamiento es la disciplina general: el uso de estadística y aprendizaje automático sobre datos de comportamiento, para cualquier sujeto y cualquier parte de la pila de seguridad. El análisis del comportamiento de usuarios y entidades (UEBA) es una categoría de producto construida sobre ella, limitada a usuarios y entidades de TI dentro de una organización.

El análisis de comportamiento es la práctica de fondo de estudiar la actividad para establecer qué es normal, ya sea que lo haga un analista a mano o que un software lo automatice. La detección de anomalías conductuales es una tarea más acotada: marcar una desviación concreta una vez que existe una línea base. En la práctica, un equipo SOC se enfrenta a las cuatro a la vez: el método, la categoría de plataforma, el trabajo de interpretación y la alerta que lo puso en marcha.

Anexet aplica el mismo método mediante reglas explícitas. Cada regla que se activa crea un incidente, y la consola agrupa los incidentes por categoría y por nivel de riesgo. El analista ve el patrón en la detección de amenazas internas antes de abrir un solo evento.

Las categorías se editan en el gestor de categorías de riesgo, así que una organización puede añadir las suyas junto a las estándar. Las dos vistas de abajo se generan con los mismos datos de incidentes.

1 / 2

• 
• 

La analítica del comportamiento detecta lo que no detectan la detección por firmas ni la basada en reglas: desviaciones lentas, acumulativas o nuevas, formadas por acciones que, por separado, son legítimas. Esa fortaleza es también su principal debilidad.

Las puntuaciones alimentan un programa de gestión del riesgo interno, y las decisiones las toman personas, no la puntuación. Estas son las cuatro limitaciones más importantes:

• Las líneas base necesitan semanas de historial antes de que las puntuaciones signifiquen algo.
• Un proyecto nuevo, un cambio de rol o un pico estacional puede parecer una desviación.
• Demasiados umbrales generan falsos positivos, y los analistas dejan de confiar en las alertas.
• Los datos sobre la actividad de los empleados están sujetos a la legislación laboral y de protección de datos.

Empieza por los sujetos y los datos cuya filtración o mal uso causaría más daño, y luego por los canales que realmente los transportan. Construye primero las líneas base de esos sujetos y ajusta los umbrales antes de que alguien actúe sobre una puntuación.

Un programa que parte de un propósito claro, una lista corta de reglas y un registro de auditoría completo es más fácil de defender que uno que puntúa todo a la vez.