El análisis del comportamiento de usuarios y entidades (UEBA) es una tecnología que aprende el comportamiento normal de usuarios, equipos y otras entidades y señala anomalías que pueden indicar un compromiso o una amenaza interna.
Cómo funciona UEBA
UEBA recopila datos de los registros —autenticación, VPN, servicios en la nube, endpoints, acceso a archivos, tráfico de red— y usa estadística y aprendizaje automático para aprender qué es normal para cada usuario, dispositivo, cuenta de servicio o aplicación, y para su grupo de pares. Después puntúa las desviaciones, por ejemplo:
- un inicio de sesión desde un país nuevo poco después de otro desde la oficina («viaje imposible»);
- una cuenta que accede a muchos más archivos o servidores de lo habitual;
- una cuenta de servicio que de repente se usa de forma interactiva;
- grandes descargas o subidas poco antes de que un empleado deje la empresa.
Las anomalías individuales se suman en una puntuación de riesgo por entidad, de modo que los analistas ven una lista priorizada en lugar de eventos aislados. La categoría la definió Gartner, que en 2015 amplió el «user behavior analytics» (UBA) con las entidades.
Por qué es importante
Los atacantes que usan credenciales robadas y herramientas integradas no generan alertas de malware: sus acciones parecen trabajo normal. UEBA está pensado para detectar justo esos casos: cuentas comprometidas, movimiento lateral, exfiltración de datos y amenazas internas. Hoy suele ser una función de plataformas SIEM y XDR, como Microsoft Sentinel o Splunk, más que un producto aparte. Complementa el análisis de comportamiento en los endpoints con el contexto de identidad y acceso.
Sus límites son el periodo de aprendizaje, la sensibilidad a los cambios organizativos y los falsos positivos cuando las líneas base son pobres.
Cómo se utiliza
- Alimentarlo con registros de calidad de identidad, nube y endpoints.
- Combinar las puntuaciones de riesgo con respuestas automáticas, como exigir MFA o suspender sesiones.
- Hacer que el SOC revise las entidades de alto riesgo y ajuste los modelos.
