> For the complete documentation index, see [llms.txt](https://wiki.datadike.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.datadike.com/es/pam/administration/ueba/risk-score.md).

# Puntuación de riesgo

La puntuación de 0 a 100 que el análisis de comportamiento asigna a cada anomalía, cuánto vale cada evento y cómo la puntuación impulsa la mitigación automática.

## Qué representa la puntuación

Toda anomalía que detecta el módulo de análisis de comportamiento lleva una puntuación de 0 a 100. **No es un porcentaje.** Es una clasificación operativa de severidad, que sirve para dos cosas:

* ordenar los eventos, para que el analista vea primero lo que más importa
* disparar la mitigación, comparando la puntuación con los umbrales configurados

Una puntuación baja significa una desviación leve respecto del comportamiento habitual del usuario. Una puntuación alta significa un patrón lejano de la línea base, que conviene contener.

## Bandas

| Rango    | Clasificación | Para qué sirve                                                                           |
| -------- | ------------- | ---------------------------------------------------------------------------------------- |
| 0 a 49   | Bajo          | Registrar el evento y mantener visibilidad para un análisis posterior                    |
| 50 a 69  | Medio         | Lanzar una alerta y llevar el evento a revisión operativa                                |
| 70 a 84  | Alto          | Permitir la contención, como terminar la sesión                                          |
| 85 a 100 | Crítico       | Permitir una acción más fuerte, como la terminación sumada a la rotación de credenciales |

## Puntuación por evento

Cada clase de comportamiento detectado lleva una severidad predeterminada:

| Evento                                     | Puntuación | Banda        |
| ------------------------------------------ | ---------- | ------------ |
| Primer acceso a un activo nuevo            | 35         | Bajo         |
| Acceso fuera del horario previsto          | 45         | Bajo         |
| Inicio de sesión desde una IP nueva        | 50         | Medio        |
| Inicio de sesión desde una ubicación nueva | 50         | Medio        |
| Sesión iniciada desde una IP nueva         | 55         | Medio        |
| Pico en el volumen de sesiones             | 60         | Medio        |
| Ráfaga de comandos arriesgados             | 65         | Medio o alto |
| Exceso de inicios de sesión fallidos       | 70         | Alto         |
| Viaje imposible                            | 85         | Crítico      |
| Evento con indicios sólidos de compromiso  | 90 a 100   | Extremo      |

{% hint style="info" %}
El **viaje imposible** puntúa 85 porque accesos sucesivos desde ubicaciones que no pueden alcanzarse ambas en el tiempo transcurrido significan que la credencial la está usando más de una persona.
{% endhint %}

## Qué cuenta como sospechoso

El comportamiento sospechoso es la actividad que se aparta del patrón esperado para ese usuario, cuenta, activo o sesión. El módulo compara los eventos recientes con la línea base histórica y puntúa la desviación.

Ejemplos:

* acceso fuera de las horas en que el usuario trabaja normalmente
* inicio de sesión desde una dirección IP o una ciudad nunca vistas antes
* acceso a un activo sin historial previo para ese usuario
* un aumento inusual del volumen de sesiones
* varios fallos de autenticación en un intervalo corto
* una tanda concentrada de comandos clasificados como arriesgados
* accesos sucesivos desde ubicaciones incompatibles en el tiempo

## Cómo impulsa la puntuación la mitigación

La política define dos umbrales, ambos comparados con la puntuación de la anomalía.

La **terminación de sesión** es una acción de *contención*. Interrumpe la sesión en curso cuando la puntuación alcanza el **umbral de score para terminar sesión**, con valor predeterminado **80**. Los eventos por debajo se siguen registrando y alertando, pero la sesión continúa.

La **rotación de credenciales** es una acción de *revocación*. Cambia el secreto de la cuenta implicada, invalidando la contraseña anterior. El valor predeterminado es **90**, más alto que el de la terminación porque el impacto operativo es mayor. La terminación detiene el acceso en curso; la rotación invalida la credencial para todo uso futuro, incluidas las integraciones que dependen de ella.

Cuando se alcanzan ambos umbrales, la contención va primero:

1. se termina la sesión en curso
2. se rota la credencial asociada
3. la mitigación aplicada se registra en la anomalía
4. el registro de auditoría conserva la automatización como actor

### Rangos de los umbrales

| Campo                                | Mínimo | Máximo | Predeterminado |
| ------------------------------------ | ------ | ------ | -------------- |
| Umbral de score para terminar sesión | 50     | 100    | 80             |
| Umbral de rotación de credenciales   | 50     | 100    | 90             |

El mínimo de 50 impide que señales débiles disparen una automatización agresiva. El máximo de 100 permite restringir la acción automática solo a los eventos de severidad máxima.

{% hint style="warning" %}
La rotación automática cambia la contraseña de una cuenta gestionada sin ninguna persona en el circuito. Antes de habilitarla, compruebe qué integraciones consumen esa credencial, y mantenga la cuenta de acceso de emergencia fuera del alcance de la política.
{% endhint %}

## Elegir los umbrales

Un camino conservador:

1. Deje la mitigación automática apagada unas semanas y observe qué puntuaciones aparecen realmente en su entorno.
2. Habilite primero la terminación de sesión, con el valor predeterminado 80.
3. Solo después habilite la rotación de credenciales, empezando en 90 o por encima.

Bajar el umbral de rotación a la franja de los 70 significa incluir eventos como el exceso de inicios de sesión fallidos, que también ocurren cuando un usuario simplemente se equivoca al escribir.

## Analizar ahora

El botón **Analizar ahora** de la pantalla de la política ejecuta la detección a demanda, sin esperar a la ejecución periódica. Las anomalías halladas se registran y se evalúan contra la política vigente: si la mitigación automática está habilitada y las puntuaciones alcanzan los umbrales, las acciones se aplican en esa misma ejecución.

## Páginas relacionadas

* [Política de detección y mitigación](/es/pam/administration/ueba/policy.md): la pantalla y sus campos
* [Rotar credenciales](/es/pam/administration/accounts/rotation.md)
* [Monitorización en vivo](/es/pam/administration/sessions/live-monitoring.md)
* [Registro de auditoría](/es/pam/administration/audit/audit-trail.md)