Qué cuenta como anomalía conductual
Una anomalía es una desviación de un patrón esperado, lo bastante grande, o lo bastante inusual en su contexto, para justificar atención. La expectativa proviene de una línea base: un modelo de normalidad construido con el historial de la propia persona, su grupo de pares en el mismo rol y el comportamiento esperado para ese rol.
No toda anomalía es maliciosa. Los plazos, los viajes de negocios y los proyectos nuevos también generan desviaciones legítimas. Por eso la detección produce pistas, no veredictos. La confirmación ocurre durante la investigación, y las señales que importan se describen en indicadores de amenaza interna.
| Tipo | Ejemplo |
|---|---|
| Anomalía puntual | Subida de 2 GB por un usuario que normalmente mueve megabytes |
| Anomalía contextual | Archivos de proyecto abiertos de madrugada en fin de semana |
| Anomalía colectiva | Reunir archivos, renombrar extensiones, comprimir y luego una gran transferencia |
Detección de anomalías, análisis de comportamiento y UEBA
Los términos están relacionados, pero no son intercambiables. El análisis de comportamiento es la metodología más amplia: estudiar cómo las personas usan los sistemas corporativos, establecer qué es normal e interpretar las desviaciones. Lo practican tanto analistas como software.
La detección de anomalías conductuales es la tarea técnica concreta dentro de ese trabajo: marcar automáticamente la actividad que cumple criterios de desviación definidos frente a una línea base. El análisis de comportamiento de usuarios y entidades (UEBA) es la categoría de producto que automatiza todo el proceso. En resumen, el análisis de comportamiento plantea las preguntas, la detección de anomalías actúa como disparador y UEBA automatiza el ciclo.
Métodos de detección: umbral, estadístico, aprendizaje automático
Dominan tres familias de métodos, y la mayoría de los despliegues las combina.
Ningún enfoque es estrictamente superior. Las reglas de umbral son transparentes, pero rígidas. Los modelos estadísticos añaden contexto personal y de pares. El aprendizaje automático encuentra patrones más sutiles, pero es más difícil de explicar y ajustar. Muchos programas empiezan con umbrales y estadística, porque cada alerta puede justificarse ante los auditores. Solo añaden aprendizaje donde la sensibilidad extra compensa la opacidad.
| Enfoque | Cómo funciona | Fortalezas | Limitaciones |
|---|---|---|---|
| Reglas de umbral | Límites fijos de actividad por periodo, p. ej. 50 mensajes por hora | Simples de configurar, entender y auditar | Estáticas y ciegas al contexto; un límite, salvo división por grupo |
| Detección estadística | Compara la actividad con la distribución de la persona o de su grupo | Se adapta a cada usuario y rol; detecta desviaciones graduales | Requiere historial; sensible a la estacionalidad y a líneas base contaminadas |
| Aprendizaje automático | Los modelos aprenden lo normal y miden cuánto encaja cada actividad | Detecta desviaciones sutiles y multidimensionales | Opaco; requiere datos y experiencia; resultados difíciles de explicar |
Falsos positivos y fatiga de alertas
Los falsos positivos son el principal problema operativo. Surgen de cambios legítimos que la línea base todavía no ha absorbido, como plazos, viajes, reorganizaciones o picos estacionales. También aparecen cuando los detectores están ajustados con demasiada rigidez.
Las líneas base, construidas mediante perfilado, añaden ruido propio. El arranque en frío ocurre cuando un empleado nuevo no tiene historial y la detección recurre a los patrones de sus pares. La deriva aparece cuando proyectos y horarios cambiados hacen que un modelo desactualizado marque actividad ordinaria.
El costo se acumula en fatiga de alertas. Los analistas dejan de confiar en ellas, y las desviaciones reales se pierden entre el ruido.
Contener el problema es un proceso. Hay que ajustar los umbrales según la variación normal medida. Conviene añadir contexto de grupo de pares para que los patrones de todo el equipo no se marquen miembro a miembro. Los casos benignos deben realimentar las reglas. Las señales débiles deben corroborarse con evidencia independiente, como revisar qué se transfirió realmente, antes de escalar.
De la anomalía a la acción
La detección solo aporta valor cuando su resultado cambia una decisión. Una desviación marcada pasa a triaje dentro de una investigación de incidentes de seguridad, donde un analista sigue tres pasos.
- 1
Confirmar la gravedad
El analista evalúa qué tan seria es la desviación.
- 2
Reunir contexto
Revisa qué se accedió, qué se envió y desde dónde.
- 3
Decidir
Cierra el caso, sigue observándolo o interviene.
Cómo se ve en Anexet
Los dos mecanismos de umbral aparecen en la consola como reglas estadísticas y notificaciones por valor de riesgo; ambos forman parte de la función de detección de amenazas internas.
1 / 2
Límites legales y documentación
Como la técnica se basa en la monitorización de empleados, opera dentro de límites legales. En la mayoría de las jurisdicciones, incluido el RGPD, la monitorización exige una finalidad definida, proporcionalidad y transparencia hacia el personal.
Un programa defendible documenta qué miden las líneas base, quién ve los hallazgos y cuánto tiempo se conservan los registros.
Lectura recomendada: ¿Cómo identifica un oficial de seguridad a un insider mediante el sistema DLP?.
La línea base muestra cómo es lo normal. Una alerta solo tiene sentido cuando alguien la contrasta con esa norma.
Anexet TeamCómo lo resuelve Anexet
En Anexet, la detección de anomalías conductuales se apoya en dos mecanismos basados en umbrales: las reglas de seguridad estadística, que se disparan cuando la actividad de un usuario o de la red supera límites numéricos configurados, y el motor de Risk Analysis, que convierte los incidentes disparados en patrones conductuales por usuario con niveles y tendencias de riesgo. La detección corre sobre umbrales configurados por el analista y no sobre modelos autoaprendidos; cada regla es explícita, auditable y ajustable.
La arquitectura on-premise mantiene los datos conductuales y las puntuaciones de riesgo dentro de la infraestructura de la organización; cada hallazgo aterriza en una pista de auditoría completa y atribuible, y no en una puntuación opaca.
Reglas de seguridad estadística
una regla se dispara cuando un recuento de actividad cruza un límite fijado dentro de una hora, día calendario, semana o periodo personalizado, por ejemplo, más de 50 mensajes instantáneos en una hora, por usuario o en toda la red.
Ocho categorías de riesgo
los incidentes se clasifican en ocho categorías preconstruidas: amenaza interna, fuga de datos, deslealtad de empleados, comportamiento incorrecto, actividad improductiva, infracción legal, gasto de recursos de la empresa e incumplimiento del horario de trabajo, además de categorías personalizadas.
Niveles y tendencias de riesgo
cada incidente se puntúa como Alto, Medio o Bajo; cada usuario lleva un valor total y un valor de riesgo sin revisar, y los gráficos de tendencia se reconstruyen automáticamente a medida que cambia el comportamiento.
Notificaciones por umbral
el gestor de notificaciones puede alertar por correo electrónico o Telegram en cuanto el riesgo de un usuario en una categoría elegida cruza un umbral configurado.
Función de detección de amenazas internas
Más información