El problema que resuelve el UEBA
La monitorización de seguridad clásica se basa en reglas: «si ocurre este evento, avisa». Funciona bien con amenazas conocidas, como una firma de malware, un intento de inicio de sesión bloqueado o una transferencia a una dirección en lista negra.
Se queda corta ante amenazas que se despliegan despacio mediante una secuencia de acciones legítimas por separado. Un empleado descarga cada día algo más de archivos de lo habitual durante un mes. Una cuenta comprometida inicia sesión desde una nueva ubicación. Un contratista entra en sistemas fuera de su horario normal.
Cada acción pasa las reglas. Lo que delata la amenaza es el patrón, es decir, la desviación acumulada respecto del comportamiento normal del usuario. El UEBA está diseñado para encontrar estos patrones de conducta.
Cómo funciona el UEBA
El UEBA sigue cinco etapas, desde los datos brutos que registra el monitoreo de actividad de usuarios hasta la comparación con el grupo de pares.
- 1
Recogida de datos
El UEBA consume datos de actividad de todo el entorno: inicios de sesión, acceso a archivos, uso de aplicaciones, transferencias, conexiones de red y actividad en los equipos. Cuantos más ricos sean los datos, más precisas serán las líneas base.
- 2
Establecimiento de la línea base
Para cada usuario y entidad, el sistema construye un perfil conductual: horarios habituales, aplicaciones usadas, datos a los que accede, contactos y origen de las conexiones. La línea base se aprende con el tiempo y se adapta a los cambios de puesto.
- 3
Detección de anomalías
La nueva actividad se compara con la línea base. Los modelos estadísticos y el aprendizaje automático señalan desviaciones, como un salto súbito del volumen de datos, accesos fuera del ámbito habitual, horas inusuales o ubicaciones nuevas.
- 4
Puntuación de riesgo
En lugar de alertas binarias, el UEBA combina varias señales débiles en una puntuación de riesgo. Trabajar hasta tarde supone un riesgo bajo. Trabajar hasta tarde, descargar archivos en masa y subirlos a una nube personal supone un riesgo alto.
- 5
Comparación con el grupo de pares
El UEBA también compara al usuario con personas del mismo puesto o departamento. Una conducta normal para el equipo, pero anómala para la persona (o al revés), aporta contexto adicional.
Usuarios y entidades
Muchas amenazas afectan a ambas dimensiones. Una cuenta de usuario comprometida (anomalía de usuario) puede operar desde un dispositivo inusual (anomalía de entidad). El UEBA correlaciona las dos.
- Los usuarios son personas: empleados, contratistas, administradores y cuentas de servicio. El UEBA sigue sus patrones de conducta, base de cualquier programa de riesgo de insider.
- Las entidades son actores no humanos: dispositivos, servidores, aplicaciones y nodos de red. Una entidad puede mostrar tráfico anómalo, conexiones inesperadas o cambios de configuración.
El UEBA frente a enfoques afines
El UEBA se solapa con otras herramientas, pero cada una responde a una pregunta distinta.
| Enfoque | En qué se diferencia del UEBA |
|---|---|
| Monitoreo de Actividad de Usuarios (UAM) | Recoge datos brutos de actividad. El UEBA los analiza buscando anomalías. |
| Prevención de Pérdida de Datos (DLP) | Impide que datos concretos salgan por canales concretos. UEBA observa patrones. |
| SIEM | Correlaciona registros, normalmente con reglas. El UEBA añade analítica conductual. |
Cómo se ve en Anexet
El análisis de riesgo del módulo Anexet Activity agrupa los incidentes por categoría de riesgo, para que el analista vea qué usuarios tienen puntuaciones altas.
1 / 2
Limitaciones
Cuatro limitaciones afectan a los resultados en la práctica.
| Limitación | Qué vigilar | Estado |
|---|---|---|
| Madurez de la línea base | Nuevas incorporaciones, cambios de puesto y patrones estacionales generan falsos positivos iniciales. | Fase inicial |
| Calidad de los datos | Los datos de entrada incompletos o ruidosos reducen la precisión del análisis. | Continuo |
| Explicabilidad | Las mejores implantaciones muestran factores de riesgo interpretables, no solo una puntuación. | Elección del proveedor |
| Falsos positivos | Un proyecto nuevo o un ascenso pueden parecer anómalos. Ajuste fino imprescindible. | Ajuste constante |
Dónde aporta más el UEBA
Cada caso usa la misma idea: una línea base personal y una desviación que una sola regla no detectaría, como en la detección de amenazas internas.
Lectura recomendada: ¿Cómo identifica un oficial de seguridad a un insider mediante el sistema DLP?.
- Detección de amenazas internas: identificar empleados o contratistas cuyos indicadores de amenaza interna sugieren robo de datos, sabotaje o fraude, antes de que ocurra o mientras ocurre.
- Detección de cuentas comprometidas: cuando un atacante externo usa credenciales robadas, el patrón de actividad difiere de la línea base del usuario legítimo.
- Detección de movimiento lateral: los atacantes que se desplazan por la red generan patrones de acceso distintos de la conducta normal.
- Vigilancia de cuentas privilegiadas: los administradores tienen acceso amplio, y el UEBA ayuda a detectar cuándo se usa de forma inusual.
Una fuga lenta rara vez activa una sola regla. Aparece como un patrón que ya no se parece a la persona que hace el trabajo.
Anexet TeamCómo lo resuelve Anexet
El motor de análisis de riesgo de Anexet, parte del módulo Activity, implementa una puntuación conductual de riesgo al estilo UEBA sobre los datos de actividad recogidos en los equipos:
La arquitectura on-premise implica que todos los datos conductuales y las puntuaciones de riesgo permanecen en la infraestructura de la organización. Es relevante porque los propios perfiles conductuales son sensibles: patrones de actividad de la plantilla y evaluaciones de riesgo.
Fuente de datos conductuales
los agentes de endpoint recogen la actividad de los usuarios en los equipos: aplicaciones usadas, archivos abiertos, actividad web y de mensajería, patrones horarios y transferencias de datos. Aportan los datos de entrada ricos que necesita el UEBA.
Categorías de riesgo
los usuarios reciben una puntuación en ocho categorías de riesgo predefinidas: «amenaza interna», «fuga de datos», «deslealtad de empleados», «conducta inadecuada», «actividad improductiva», «infracción legal», «uso de recursos de la empresa» e «incumplimiento de jornada». Cada categoría combina varias señales conductuales en una puntuación de riesgo.
Paneles de tendencia
las puntuaciones de riesgo se siguen a lo largo del tiempo, con umbrales configurables y visualizaciones de tendencia en la consola de cliente.
Gestor de notificaciones
las alertas por umbral se envían por correo, syslog o Telegram cuando la puntuación de riesgo de un usuario supera los límites definidos, lo que permite investigar de forma anticipada.
Funcionalidad de Detección de Amenazas Internas
Más información