> For the complete documentation index, see [llms.txt](https://wiki.datadike.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.datadike.com/product-docs/product-guide/configuracoes/pam/sysadmin/policies/ueba/ueba-score-de-risco.md).

# Score de risco

O score de risco é a pontuação que o UEBA atribui a cada anomalia detectada. Ele varia de 0 a 100 e determina qual ação de mitigação a solução executa automaticamente.

Esta página explica como o score é interpretado, quanto vale cada evento e como os limiares de mitigação usam essa pontuação.

## O que o score representa

O score **não é uma porcentagem**. É uma classificação operacional de severidade, usada para duas finalidades:

* ordenar os eventos, de modo que o analista veja primeiro o que mais importa;
* acionar as políticas de mitigação, comparando o score contra os limiares configurados.

Um score baixo indica um desvio leve em relação ao comportamento habitual do usuário. Um score alto indica um padrão que se afasta muito da linha de base e que merece contenção.

## Faixas de classificação

| Faixa    | Classificação | Uso recomendado                                                                           |
| -------- | ------------- | ----------------------------------------------------------------------------------------- |
| 0 a 49   | Baixo         | Registrar o evento e manter visibilidade para análise posterior.                          |
| 50 a 69  | Médio         | Gerar alerta e destacar o evento para revisão operacional.                                |
| 70 a 84  | Alto          | Permitir mitigação automática de contenção, como o encerramento da sessão.                |
| 85 a 100 | Crítico       | Permitir ações mais fortes, como o encerramento da sessão somado à rotação da credencial. |

## Score por evento

Cada tipo de comportamento identificado recebe uma severidade padrão:

| Evento                                      | Score    | Classificação   |
| ------------------------------------------- | -------- | --------------- |
| Primeiro acesso a novo ativo                | 35       | Baixo           |
| Acesso fora do horário esperado             | 45       | Baixo           |
| Login a partir de novo IP                   | 50       | Médio           |
| Login a partir de nova localização          | 50       | Médio           |
| Sessão iniciada a partir de novo IP         | 55       | Médio           |
| Pico de volume de sessões                   | 60       | Médio           |
| Burst de comandos arriscados                | 65       | Médio / alto    |
| Excesso de falhas de login                  | 70       | Alto            |
| Viagem impossível                           | 85       | Crítico         |
| Evento com indício forte de comprometimento | 90 a 100 | Crítico extremo |

{% hint style="info" %}
A **viagem impossível** recebe 85 porque acessos sucessivos a partir de localidades incompatíveis no tempo indicam que a credencial está sendo usada por mais de uma pessoa.
{% endhint %}

## O que a solução considera comportamento suspeito

Comportamento suspeito é a atividade que se afasta do padrão esperado para aquele usuário, conta, ativo ou sessão. O UEBA compara os eventos recentes com a linha de base histórica e atribui o score conforme o desvio observado.

São exemplos:

* acesso fora do horário normalmente utilizado pelo usuário;
* login a partir de endereço IP ou cidade não observados anteriormente;
* acesso a ativo sem histórico prévio para aquele usuário;
* aumento incomum no volume de sessões;
* múltiplas falhas de autenticação em curto intervalo;
* execução concentrada de comandos classificados como arriscados;
* acessos sucessivos a partir de localidades incompatíveis no tempo.

## Como o score aciona a mitigação

A política do UEBA define dois limiares, ambos comparados contra o score da anomalia.

### Encerramento de sessão

Ação de **contenção**. Interrompe a sessão ativa quando o score atinge o limiar configurado em **Limiar de score para encerrar sessão**.

O padrão é **80**. Eventos abaixo desse valor continuam registrados e alertados, mas não encerram a sessão.

### Rotação de credencial

Ação de **revogação**. Altera imediatamente o segredo da conta associada à anomalia, invalidando a senha anterior.

O padrão é **90**, mais alto que o de encerramento porque o impacto operacional é maior. O encerramento interrompe o acesso em curso; a rotação invalida a credencial para todos os usos futuros, inclusive integrações que dependam dela.

### Quando os dois limiares são atingidos

A solução executa a contenção primeiro e a revogação em seguida:

1. encerra a sessão ativa;
2. rotaciona a credencial associada;
3. registra a mitigação aplicada na anomalia;
4. mantém a trilha de auditoria com ator de automação.

## Faixa dos limiares

| Campo                                      | Mínimo | Máximo | Padrão |
| ------------------------------------------ | ------ | ------ | ------ |
| Limiar de score para encerrar sessão       | 50     | 100    | 80     |
| Limiar de score para rotação de credencial | 50     | 100    | 90     |

O mínimo de 50 evita que sinais fracos acionem automações agressivas. O máximo de 100 permite restringir a ação automática apenas aos eventos de severidade máxima.

{% hint style="warning" %}
A rotação automática de credencial altera a senha de uma conta gerenciada sem intervenção humana. Antes de habilitá-la, verifique quais integrações consomem aquela credencial e mantenha a conta de acesso emergencial fora do alcance da política.
{% endhint %}

## Analisar agora

O botão **Analisar agora**, na tela de política, executa a detecção sob demanda, sem aguardar a execução periódica. As anomalias encontradas são registradas e avaliadas contra a política vigente: se a mitigação automática estiver habilitada e os scores atingirem os limiares, as ações são aplicadas na mesma execução.

## Escolhendo os limiares

Um caminho conservador para começar:

1. Deixe a mitigação automática desligada por algumas semanas e observe quais scores aparecem no seu ambiente.
2. Habilite primeiro o encerramento de sessão, no limiar padrão de 80.
3. Só depois habilite a rotação de credencial, e comece em 90 ou acima.

Baixar o limiar de rotação para a faixa de 70 significa incluir eventos como excesso de falhas de login, que também ocorrem por engano do próprio usuário.

## Páginas relacionadas

* [UEBA](/product-docs/product-guide/configuracoes/pam/sysadmin/policies/ueba.md) — a tela de política e seus campos