Puntuación de riesgo
La puntuación de 0 a 100 que el análisis de comportamiento asigna a cada anomalía, cuánto vale cada evento y cómo la puntuación impulsa la mitigación automática.
Qué representa la puntuación
Toda anomalía que detecta el módulo de análisis de comportamiento lleva una puntuación de 0 a 100. No es un porcentaje. Es una clasificación operativa de severidad, que sirve para dos cosas:
ordenar los eventos, para que el analista vea primero lo que más importa
disparar la mitigación, comparando la puntuación con los umbrales configurados
Una puntuación baja significa una desviación leve respecto del comportamiento habitual del usuario. Una puntuación alta significa un patrón lejano de la línea base, que conviene contener.
Bandas
0 a 49
Bajo
Registrar el evento y mantener visibilidad para un análisis posterior
50 a 69
Medio
Lanzar una alerta y llevar el evento a revisión operativa
70 a 84
Alto
Permitir la contención, como terminar la sesión
85 a 100
Crítico
Permitir una acción más fuerte, como la terminación sumada a la rotación de credenciales
Puntuación por evento
Cada clase de comportamiento detectado lleva una severidad predeterminada:
Primer acceso a un activo nuevo
35
Bajo
Acceso fuera del horario previsto
45
Bajo
Inicio de sesión desde una IP nueva
50
Medio
Inicio de sesión desde una ubicación nueva
50
Medio
Sesión iniciada desde una IP nueva
55
Medio
Pico en el volumen de sesiones
60
Medio
Ráfaga de comandos arriesgados
65
Medio o alto
Exceso de inicios de sesión fallidos
70
Alto
Viaje imposible
85
Crítico
Evento con indicios sólidos de compromiso
90 a 100
Extremo
Qué cuenta como sospechoso
El comportamiento sospechoso es la actividad que se aparta del patrón esperado para ese usuario, cuenta, activo o sesión. El módulo compara los eventos recientes con la línea base histórica y puntúa la desviación.
Ejemplos:
acceso fuera de las horas en que el usuario trabaja normalmente
inicio de sesión desde una dirección IP o una ciudad nunca vistas antes
acceso a un activo sin historial previo para ese usuario
un aumento inusual del volumen de sesiones
varios fallos de autenticación en un intervalo corto
una tanda concentrada de comandos clasificados como arriesgados
accesos sucesivos desde ubicaciones incompatibles en el tiempo
Cómo impulsa la puntuación la mitigación
La política define dos umbrales, ambos comparados con la puntuación de la anomalía.
La terminación de sesión es una acción de contención. Interrumpe la sesión en curso cuando la puntuación alcanza el umbral de score para terminar sesión, con valor predeterminado 80. Los eventos por debajo se siguen registrando y alertando, pero la sesión continúa.
La rotación de credenciales es una acción de revocación. Cambia el secreto de la cuenta implicada, invalidando la contraseña anterior. El valor predeterminado es 90, más alto que el de la terminación porque el impacto operativo es mayor. La terminación detiene el acceso en curso; la rotación invalida la credencial para todo uso futuro, incluidas las integraciones que dependen de ella.
Cuando se alcanzan ambos umbrales, la contención va primero:
se termina la sesión en curso
se rota la credencial asociada
la mitigación aplicada se registra en la anomalía
el registro de auditoría conserva la automatización como actor
Rangos de los umbrales
Umbral de score para terminar sesión
50
100
80
Umbral de rotación de credenciales
50
100
90
El mínimo de 50 impide que señales débiles disparen una automatización agresiva. El máximo de 100 permite restringir la acción automática solo a los eventos de severidad máxima.
La rotación automática cambia la contraseña de una cuenta gestionada sin ninguna persona en el circuito. Antes de habilitarla, compruebe qué integraciones consumen esa credencial, y mantenga la cuenta de acceso de emergencia fuera del alcance de la política.
Elegir los umbrales
Un camino conservador:
Deje la mitigación automática apagada unas semanas y observe qué puntuaciones aparecen realmente en su entorno.
Habilite primero la terminación de sesión, con el valor predeterminado 80.
Solo después habilite la rotación de credenciales, empezando en 90 o por encima.
Bajar el umbral de rotación a la franja de los 70 significa incluir eventos como el exceso de inicios de sesión fallidos, que también ocurren cuando un usuario simplemente se equivoca al escribir.
Analizar ahora
El botón Analizar ahora de la pantalla de la política ejecuta la detección a demanda, sin esperar a la ejecución periódica. Las anomalías halladas se registran y se evalúan contra la política vigente: si la mitigación automática está habilitada y las puntuaciones alcanzan los umbrales, las acciones se aplican en esa misma ejecución.
Páginas relacionadas
Política de detección y mitigación: la pantalla y sus campos
Atualizado
Isto foi útil?