> For the complete documentation index, see [llms.txt](https://wiki.datadike.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.datadike.com/es/pam/administration/ueba/policy.md).

# Política de detección y mitigación

Configure cómo detecta DataDike PAM el comportamiento anómalo de los usuarios y qué hace automáticamente cuando la puntuación de riesgo cruza un umbral.

{% hint style="info" %}
Tres controles de esta pantalla, Solicitar reautenticación, Rotación automática de credenciales y Revocar credenciales automáticamente, se entregarán en una versión futura. El resto de los ajustes descritos en esta página ya están disponibles.
{% endhint %}

## Qué es esto y cuándo usarlo

El módulo de análisis de comportamiento construye una línea base de cómo trabaja normalmente cada usuario (cuándo se conecta, desde dónde, a qué activos) y puntúa cualquier desviación respecto de ella. La política es donde usted decide dos cosas distintas: **cuán sensible es la detección** y **qué hace la solución por su cuenta** cuando una puntuación cruza un límite que usted fija.

Configúrela cuando despliegue el análisis de comportamiento por primera vez, y revísela cuando el volumen de anomalías resulte demasiado ruidoso para revisarlo o demasiado silencioso para ser útil.

Detección y mitigación son independientes. Puede ejecutar solo la detección: la solución registra la anomalía y lanza una alerta, y una persona decide qué hacer. La mitigación automática es lo que le permite actuar sin esperar a esa persona.

## Antes de empezar

* El perfil **SYSADMIN**. La política no es visible para otros perfiles.
* Al menos una ventana de referencia de historial de sesiones. En una instalación nueva las puntuaciones no son fiables hasta que los usuarios hayan trabajado durante una ventana completa.
* Si piensa habilitar la rotación automática de credenciales, debe existir ya al menos una tarea de rotación de credenciales, y estar activa. La política es el disparador; la tarea es lo que realmente rota. Consulte [Rotar credenciales](/es/pam/administration/accounts/rotation.md).

## Pasos

1. Abra **Políticas › UEBA**.
2. Active la **Detección habilitada**. Nada se puntúa mientras esté apagada.
3. Fije la **Ventana del baseline (días)** en el periodo que la solución debe tratar como comportamiento normal. Treinta días cubren un ciclo mensual de trabajo; las ventanas más cortas reaccionan antes, pero marcan más falsos positivos.
4. Fije **Fuera de horario (inicio → fin)** con las horas fuera de las cuales el acceso es inusual en su organización. El rango cruza la medianoche, de modo que `18 → 8` significa desde las seis de la tarde hasta las ocho de la mañana siguiente.
5. Fije el **Umbral de inicios de sesión fallidos** en el número de inicios de sesión fallidos en veinticuatro horas que debe tratarse como una ráfaga.
6. Decida si la solución debe actuar por su cuenta. Si debe hacerlo, active la **Mitigación automática**. Déjela apagada para operar en modo de solo alerta.
7. Con la mitigación automática activada, fije cada acción y su umbral:
   * **Umbral de score para terminar sesión**: la puntuación a partir de la cual se termina una sesión en curso.
   * **Rotación automática de credenciales** y **Umbral de rotación de credenciales**: la puntuación a partir de la cual se rota todo secreto definido en las tareas de rotación.
   * **Revocar credenciales automáticamente**: revoca las credenciales vinculadas al usuario o a la sesión.
8. Haga clic en **Guardar**.

## Lo que debe ver

Los contadores de la parte superior de la pantalla (**Abiertas**, **Alto riesgo** y **Total**) reflejan anomalías ya registradas. No cambian al guardar la política; cambian en la siguiente ejecución del análisis.

![La pantalla de la política de UEBA con la detección habilitada y la mitigación automática apagada](https://162891664-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fs5AnPAmUmMC3tSpoBhHY%2Fuploads%2Fgit-blob-b253259551396e7d7affb12598adf82dd68a88db%2Fueba-policy-full.png?alt=media)

## Cómo verificar que funcionó

Guardar la política no prueba que esté en vigor. Verifíquelo contra una anomalía real:

1. Haga clic en **Analizar ahora** y espere a que termine la ejecución.
2. Abra **Auditoría › UEBA**.
3. Abra cualquier anomalía y lea el campo **Mitigación**.

El campo indica qué acción se aplicó y por qué. Con la mitigación automática apagada dice `Alert only — auto-mitigation disabled`. Con ella activada, el campo nombra la acción que tomó la solución, y una sesión terminada por la política aparece además como cerrada en **Sesiones › En línea**.

Si el campo Mitigación sigue mostrando el comportamiento anterior, la política no se guardó: vuelva a abrir la pantalla y confirme que los valores persistieron.

## Errores comunes

| Síntoma                                                 | Causa                                                                                    | Solución                                                         |
| ------------------------------------------------------- | ---------------------------------------------------------------------------------------- | ---------------------------------------------------------------- |
| Ninguna anomalía tras **Analizar ahora**                | Hay menos historial que la ventana de referencia                                         | Espere a una ventana completa, o acorte la ventana temporalmente |
| Todo se marca como anomalía                             | La línea base se construyó en un periodo atípico, como una migración                     | Alargue la ventana de referencia y vuelva a ejecutar el análisis |
| Las sesiones no se terminan aunque se alcance el umbral | La **Mitigación automática** está apagada; la acción individual no hace nada por sí sola | Active la Mitigación automática                                  |
| Un valor se rechaza al escribirlo                       | El campo está fuera de su rango aceptado                                                 | Vea el rango en la referencia de campos de abajo                 |

## Referencia de campos

| Campo                                | Qué hace                                                                                                 | Valores aceptados     | Predeterminado |
| ------------------------------------ | -------------------------------------------------------------------------------------------------------- | --------------------- | -------------- |
| Detección habilitada                 | Interruptor maestro de la puntuación. Nada se analiza mientras esté apagado                              | Activado, Desactivado | Activado       |
| Mitigación automática                | Interruptor maestro de toda acción automática. Mientras esté apagado, la solución solo registra y alerta | Activado, Desactivado | Desactivado    |
| Solicitar reautenticación            | Reta al usuario a autenticarse de nuevo                                                                  | Activado, Desactivado | Desactivado    |
| Rotación automática de credenciales  | Rota todo secreto definido en las tareas de rotación                                                     | Activado, Desactivado | Desactivado    |
| Revocar credenciales automáticamente | Revoca las credenciales vinculadas al usuario o a la sesión                                              | Activado, Desactivado | Desactivado    |
| Ventana del baseline (días)          | Periodo tratado como comportamiento normal                                                               | De 7 a 180            | 30             |
| Fuera de horario (inicio → fin)      | Rango horario tratado como fuera de la jornada. Cruza la medianoche                                      | De 0 a 23, cada uno   | 18 → 8         |
| Umbral de inicios de sesión fallidos | Inicios de sesión fallidos en 24 h que cuentan como una ráfaga                                           | De 3 a 50             | 5              |
| Umbral de score para terminar sesión | Puntuación a partir de la cual se termina una sesión                                                     | De 50 a 100           | 80             |
| Umbral de rotación de credenciales   | Puntuación a partir de la cual se rotan las credenciales                                                 | De 50 a 100           | 90             |

## Páginas relacionadas

* [Puntuación de riesgo](/es/pam/administration/ueba/risk-score.md): cómo se calcula la puntuación y qué significa cada banda
* [Rotar credenciales](/es/pam/administration/accounts/rotation.md): la tarea que ejecuta la rotación
* [Registro de auditoría](/es/pam/administration/audit/audit-trail.md): dónde se registran las acciones de mitigación
* [Monitorización en vivo](/es/pam/administration/sessions/live-monitoring.md): terminar una sesión a mano