Saltar al contenido
03 · SOC Gestionado03 · Managed SOC

Analítica de Comportamiento (UEBA)Behaviour Analytics (UEBA)

Detección por desviación del comportamiento normal de usuarios y equipos.Detection based on deviation from normal user and device behaviour.

UEBAUEBA 3.3 · Servicios Gestionados de Plataformas3.3 · Managed Platform Services

¿Qué es este servicio?What is this service?

Es la analítica que aprende cómo se comporta habitualmente cada usuario y cada equipo —horarios, sistemas a los que accede, volúmenes que descarga, desde dónde se conecta— y alerta cuando ese patrón se rompe, sin depender de una regla escrita de antemano.

Analytics that learn how each user and each machine normally behaves — hours, systems accessed, volumes downloaded, where they connect from — and alert when the pattern breaks, without depending on a rule written in advance.

¿Para qué se usa?What is it used for?

Sirve para detectar lo que no tiene firma: una credencial válida usada por otra persona, o alguien de dentro que empieza a descargar el repositorio comercial completo tres semanas antes de renunciar. Dicho eso, hay que ser honesto con dos cosas: necesita un periodo de aprendizaje de varias semanas antes de servir de algo, y al inicio genera muchísimos falsos positivos porque todavía no distingue lo raro de lo simplemente nuevo. Quien lo venda como enchufar y detectar está mintiendo.

It detects what has no signature: a valid credential used by somebody else, or an insider who starts downloading the entire sales repository three weeks before resigning. That said, two things deserve honesty: it needs a learning period of several weeks before it is worth anything, and it produces a great many false positives at first because it cannot yet tell odd from merely new. Anybody selling it as plug in and detect is lying.

Qué beneficios traeBenefits it delivers

  • Detecta el uso de credenciales legítimas por parte de quien no es su dueño, que es el escenario que ninguna regla estática atrapa.
  • Cubre el riesgo de la amenaza interna, donde no hay malware que detectar sino una persona autorizada haciendo algo inusual.
  • Acumula riesgo por entidad en vez de disparar alertas sueltas, así que se prioriza a la persona con diez señales débiles y no a cada señal por separado.
  • Encuentra cuentas de servicio que se comportan distinto de un día para otro, que suele ser la primera señal de que alguien las tomó.
  • Detects legitimate credentials used by somebody who is not their owner, the scenario no static rule catches.
  • Covers insider risk, where there is no malware to detect but an authorised person doing something unusual.
  • Accumulates risk per entity instead of firing isolated alerts, so the person with ten weak signals is prioritised rather than each signal separately.
  • Finds service accounts behaving differently from one day to the next, usually the first sign somebody took them over.

¿En qué momentos es obligatorio?When is it mandatory?

Costa RicaCosta Rica

  • No es obligatorio en Costa Rica.
  • Conviene atender el otro lado: perfilar el comportamiento de personas identificables es tratamiento de datos personales bajo la Ley 8968, que sigue vigente, y PRODHAB es la autoridad competente. Hay que informarlo y documentar la finalidad antes de encenderlo.
  • La reforma que alinearía el régimen al modelo europeo está en trámite legislativo, no aprobada; si avanza, este tipo de analítica sobre empleados es de lo primero que se vuelve más exigente.
  • It is not mandatory in Costa Rica.
  • There is another side to consider: profiling the behaviour of identifiable people is personal data processing under Law 8968, still in force, with PRODHAB as the competent authority. It must be disclosed and its purpose documented before switching it on.
  • The reform that would align the regime with the European model is in the legislature, not approved; if it advances, this kind of analytics on employees is among the first things to face stricter rules.

InternacionalInternational

  • Ningún marco lo exige por nombre.
  • El RGPD obliga a informar a las personas sobre el tratamiento de sus datos y a limitarlo a lo necesario, lo que en la práctica condiciona cómo se despliega esta analítica sobre empleados en Europa.
  • DORA menciona la detección de anomalías entre las capacidades esperadas de las entidades cubiertas.
  • No framework requires it by name.
  • The GDPR requires informing people about the processing of their data and limiting it to what is necessary, which in practice shapes how this analytics is deployed on employees in Europe.
  • DORA mentions anomaly detection among the capabilities expected of covered entities.

Requisitos mínimosMinimum requirements

  • Identidades consolidadas: si la misma persona es tres usuarios distintos en tres sistemas, el modelo aprende tres comportamientos y no detecta nada.
  • Registros de autenticación y de acceso consistentes y con volumen suficiente, porque el modelo aprende de ahí.
  • Un periodo de aprendizaje sin cambios organizativos grandes: arrancar en plena migración o reestructuración arruina la línea base.
  • Acuerdo previo con las áreas legal y de recursos humanos sobre qué se monitorea, cómo se comunica y quién puede ver los resultados.
  • Consolidated identities: if the same person is three different users in three systems, the model learns three behaviours and detects nothing.
  • Consistent authentication and access logs with enough volume, because that is what the model learns from.
  • A learning period without major organisational change: starting mid-migration or mid-restructure ruins the baseline.
  • Prior agreement with legal and HR on what is monitored, how it is communicated and who may see the results.

Plazo típico de entregaTypical delivery time

Servicio continuo Ongoing service rango habitual del mercado usual market range

Es un servicio continuo, pero con una salvedad que hay que decir antes de firmar: la conexión de fuentes lleva de tres a seis semanas y después viene un periodo de aprendizaje de cuatro a ocho semanas más, durante el cual las alertas no son confiables. El servicio empieza a aportar de verdad hacia el tercer mes, y sigue afinándose durante el primer año.

This is a continuous service, with one caveat worth stating before signing: connecting sources takes three to six weeks and is followed by a learning period of another four to eight weeks, during which alerts are not reliable. The service starts genuinely paying off around the third month and keeps tuning through the first year.

NomenclaturaTerminology

Las siglas y estándares que aparecen en esta ficha, explicados. The acronyms and standards used on this page, explained.

UEBAUEBA
Analítica del comportamiento de usuarios y entidades: detecta por desviación de lo normal, no por coincidencia con una firma conocida. User and entity behaviour analytics: it detects by deviation from normal, not by matching a known signature.
Línea baseBaseline
El retrato de lo que es normal para cada usuario o equipo, construido durante el periodo de aprendizaje. The portrait of what is normal for each user or machine, built during the learning period.
Puntuación de riesgoRisk score
El acumulado de señales débiles de una misma entidad. Diez rarezas pequeñas juntas dicen más que una sola alerta. The accumulated weak signals for a single entity. Ten small oddities together say more than one alert alone.
Amenaza internaInsider threat
El riesgo que viene de alguien con acceso legítimo: empleado, contratista o proveedor. The risk coming from somebody with legitimate access: an employee, a contractor or a supplier.
Viaje imposibleImpossible travel
Detección clásica de esta analítica: la misma cuenta conectándose desde dos países en un intervalo que ningún avión cubre. A classic detection from this analytics: the same account connecting from two countries within an interval no aircraft could cover.