Guía del producto

Analítica de comportamiento

Detecte el comportamiento de usuarios y procesos en endpoints que no coincide con la línea base del dispositivo.

Qué es la analítica de comportamiento#

La analítica de comportamiento busca actividad en el endpoint que no coincida con lo que ese endpoint hace normalmente. Existe porque la actividad más dañina a menudo la realizan herramientas que en sí mismas no son maliciosas: una utilidad de administración legítima usada por la persona equivocada en el momento equivocado.

La línea base es por endpoint. Un cambio en un servidor que nunca cambia se trata como significativo, mientras que el mismo cambio en una estación de trabajo de desarrollo puede ser rutinario.

Panel de analítica de comportamiento — Relación de productividad, duración de actividad por categoría y cronología de actividad de la flota.

Señales de comportamiento#

Cinco familias de señales describen la mayor parte del comportamiento anómalo de endpoints:

Señal	Qué busca
Proceso inusual	Un proceso que no se ha visto antes en este endpoint, especialmente con un proceso padre inesperado.
Cadena padre-hijo inusual	Un proceso iniciado por una aplicación que normalmente no lo inicia, como un lector de documentos que lanza una shell.
Inicio de sesión inusual	Un inicio de sesión a una hora, desde un origen o por un usuario que no coincide con el patrón normal del endpoint.
Volumen inusual	Un gran número de operaciones de archivos, conexiones o transferencias en comparación con la línea base del endpoint.
Persistencia inusual	Un nuevo elemento de inicio, tarea programada o servicio registrado fuera de la ventana de cambios.

Combinación, no aislamiento

Un proceso inusual es evidencia débil. Un proceso inusual, iniciado por un padre inusual, escribiendo un nuevo elemento de inicio, en el mismo minuto, es una señal fuerte.

Puntuación e importancia#

La severidad refleja cuánto se desvía el comportamiento de la línea base propia del endpoint, no de un promedio global.
Una desviación en un servidor que nunca cambia es más significativa que la misma desviación en una estación de trabajo de desarrollo.
Múltiples señales débiles en el mismo endpoint en una ventana corta se elevan juntas, porque su combinación es la verdadera señal.
Una puntuación es una invitación a mirar, no un veredicto. La plataforma no etiqueta un endpoint como comprometido.

Respuesta#

1
Confirmar la línea base
Compruebe si el comportamiento es realmente nuevo. Un despliegue de software puede cambiar el patrón de procesos en todos los endpoints a la vez.
2
Leer la cronología
Abra la cronología forense del endpoint y reconstruya el orden de los eventos alrededor de la señal.
3
Comprobar el usuario
Confirme qué usuario del sistema operativo estaba activo. Un comportamiento atribuido a la cuenta equivocada conduce a la conclusión equivocada.
4
Decidir y registrar
Acepte el comportamiento como esperado y documente por qué, o escálelo a través de su proceso de incidentes con la cronología adjunta.

No aisle solo por la puntuación

Aislar un endpoint interrumpe a un usuario. Confirme el comportamiento contra la cronología y el usuario antes de realizar una acción disruptiva.

Preguntas frecuentes#

¿Es aprendizaje automático?

El módulo compara el comportamiento observado con la línea base registrada del endpoint. Reporta las desviaciones y su combinación; no produce un veredicto autónomo.

¿Por qué un endpoint nuevo produce muchas señales?

Un endpoint nuevo tiene poca historia de línea base, por lo que el comportamiento normal parece nuevo. Las señales se estabilizan una vez que el endpoint ha sido observado durante un tiempo.

¿La analítica de comportamiento reemplaza la protección de endpoints?

No. Complementa la detección basada en firmas reportando comportamientos que las firmas no pueden describir, como una cadena de procesos inusual sin un archivo malicioso conocido.

¿Qué debo hacer con una señal de baja severidad?

Léala en el contexto de las otras señales del mismo endpoint. Las señales de baja severidad que aparecen juntas suelen ser más significativas que una señal de alta severidad sola.