El análisis de comportamiento es un enfoque de seguridad que detecta amenazas observando lo que realmente hacen los programas, usuarios y sistemas, en lugar de basarse solo en el aspecto de los archivos maliciosos conocidos.
Cómo funciona el análisis de comportamiento
En vez de preguntar «¿se sabe que este archivo es malicioso?», el análisis de comportamiento pregunta «¿es esta actividad típica de un ataque?». Se recoge telemetría —inicio de procesos, cambios en archivos y en el registro, conexiones de red, operaciones de memoria— y la comparan con patrones de comportamiento malicioso. Ejemplos de actividad sospechosa:
- un proceso que cifra o renombra muchos archivos en poco tiempo, típico del ransomware;
- un documento de Word que lanza PowerShell para descargar un archivo;
- un programa que lee la memoria de lsass.exe para volcar credenciales;
- el borrado de instantáneas de volumen o la desactivación de herramientas de seguridad.
El mismo principio se aplica en un sandbox, que ejecuta un archivo sospechoso en un entorno aislado y registra sus acciones, y en la monitorización de red que busca balizas hacia servidores de mando. El comportamiento de usuarios y cuentas lo analizan los sistemas UEBA.
Por qué es importante
Los atacantes pueden cambiar sin fin el aspecto de su código, pero deben realizar las mismas acciones para lograr sus objetivos. Por eso la detección por comportamiento descubre malware nuevo, ataques sin archivos y el abuso de herramientas legítimas que el análisis por firmas no ve. Es una capacidad central del EDR y de los antivirus modernos, y encaja con las técnicas de MITRE ATT&CK.
Sus límites son el ruido y el momento: las herramientas legítimas de administración pueden comportarse como un atacante, y algunas acciones maliciosas solo se detectan después de empezar.
Cómo se utiliza
- Activar la monitorización del comportamiento y el bloqueo automático en los endpoints.
- Ajustar las reglas a la actividad administrativa conocida para reducir falsos positivos.
- Enviar las detecciones al SOC y correlacionarlas con datos de red e identidad.
