Score de risco

O score de risco é a pontuação que o UEBA atribui a cada anomalia detectada. Ele varia de 0 a 100 e determina qual ação de mitigação a solução executa automaticamente.

Esta página explica como o score é interpretado, quanto vale cada evento e como os limiares de mitigação usam essa pontuação.

O que o score representa

O score não é uma porcentagem. É uma classificação operacional de severidade, usada para duas finalidades:

• ordenar os eventos, de modo que o analista veja primeiro o que mais importa;

• acionar as políticas de mitigação, comparando o score contra os limiares configurados.

Um score baixo indica um desvio leve em relação ao comportamento habitual do usuário. Um score alto indica um padrão que se afasta muito da linha de base e que merece contenção.

Faixas de classificação

Faixa	Classificação	Uso recomendado
0 a 49	Baixo	Registrar o evento e manter visibilidade para análise posterior.
50 a 69	Médio	Gerar alerta e destacar o evento para revisão operacional.
70 a 84	Alto	Permitir mitigação automática de contenção, como o encerramento da sessão.
85 a 100	Crítico	Permitir ações mais fortes, como o encerramento da sessão somado à rotação da credencial.

Score por evento

Cada tipo de comportamento identificado recebe uma severidade padrão:

Evento	Score	Classificação
Primeiro acesso a novo ativo	35	Baixo
Acesso fora do horário esperado	45	Baixo
Login a partir de novo IP	50	Médio
Login a partir de nova localização	50	Médio
Sessão iniciada a partir de novo IP	55	Médio
Pico de volume de sessões	60	Médio
Burst de comandos arriscados	65	Médio / alto
Excesso de falhas de login	70	Alto
Viagem impossível	85	Crítico
Evento com indício forte de comprometimento	90 a 100	Crítico extremo

A viagem impossível recebe 85 porque acessos sucessivos a partir de localidades incompatíveis no tempo indicam que a credencial está sendo usada por mais de uma pessoa.

O que a solução considera comportamento suspeito

Comportamento suspeito é a atividade que se afasta do padrão esperado para aquele usuário, conta, ativo ou sessão. O UEBA compara os eventos recentes com a linha de base histórica e atribui o score conforme o desvio observado.

São exemplos:

• acesso fora do horário normalmente utilizado pelo usuário;

• login a partir de endereço IP ou cidade não observados anteriormente;

• acesso a ativo sem histórico prévio para aquele usuário;

• aumento incomum no volume de sessões;

• múltiplas falhas de autenticação em curto intervalo;

• execução concentrada de comandos classificados como arriscados;

• acessos sucessivos a partir de localidades incompatíveis no tempo.

Como o score aciona a mitigação

A política do UEBA define dois limiares, ambos comparados contra o score da anomalia.

Encerramento de sessão

Ação de contenção. Interrompe a sessão ativa quando o score atinge o limiar configurado em Limiar de score para encerrar sessão.

O padrão é 80. Eventos abaixo desse valor continuam registrados e alertados, mas não encerram a sessão.

Rotação de credencial

Ação de revogação. Altera imediatamente o segredo da conta associada à anomalia, invalidando a senha anterior.

O padrão é 90, mais alto que o de encerramento porque o impacto operacional é maior. O encerramento interrompe o acesso em curso; a rotação invalida a credencial para todos os usos futuros, inclusive integrações que dependam dela.

Quando os dois limiares são atingidos

A solução executa a contenção primeiro e a revogação em seguida:

1. encerra a sessão ativa;

2. rotaciona a credencial associada;

3. registra a mitigação aplicada na anomalia;

4. mantém a trilha de auditoria com ator de automação.

Faixa dos limiares

Campo	Mínimo	Máximo	Padrão
Limiar de score para encerrar sessão	50	100	80
Limiar de score para rotação de credencial	50	100	90

O mínimo de 50 evita que sinais fracos acionem automações agressivas. O máximo de 100 permite restringir a ação automática apenas aos eventos de severidade máxima.

A rotação automática de credencial altera a senha de uma conta gerenciada sem intervenção humana. Antes de habilitá-la, verifique quais integrações consomem aquela credencial e mantenha a conta de acesso emergencial fora do alcance da política.

Analisar agora

O botão Analisar agora, na tela de política, executa a detecção sob demanda, sem aguardar a execução periódica. As anomalias encontradas são registradas e avaliadas contra a política vigente: se a mitigação automática estiver habilitada e os scores atingirem os limiares, as ações são aplicadas na mesma execução.

Escolhendo os limiares

Um caminho conservador para começar:

1. Deixe a mitigação automática desligada por algumas semanas e observe quais scores aparecem no seu ambiente.

2. Habilite primeiro o encerramento de sessão, no limiar padrão de 80.

3. Só depois habilite a rotação de credencial, e comece em 90 ou acima.

Baixar o limiar de rotação para a faixa de 70 significa incluir eventos como excesso de falhas de login, que também ocorrem por engano do próprio usuário.

Páginas relacionadas

• UEBA — a tela de política e seus campos