¿Qué es UEBA (análisis del comportamiento de usuarios y entidades)?

¿Qué es el análisis del comportamiento de usuarios y entidades (UEBA)?

El análisis del comportamiento de usuarios y entidades (UEBA, por User and Entity Behavior Analytics) es una técnica de seguridad que aprende qué es normal para cada usuario y cada entidad (un servidor, una cuenta de servicio, un dispositivo o una aplicación) y avisa cuando la actividad se aparta de ese patrón. Está pensado para amenazas que usan credenciales válidas, donde cada acción está permitida pero el conjunto no: una cuenta que de pronto lee datos que nunca tocó, a una hora en la que nunca trabaja, desde un lugar desde el que nunca entra. UEBA es una disciplina de seguridad. LoadFocus no la ofrece, y esta página explica el concepto para que lo sitúes junto a las herramientas que sí desarrollamos.

Cómo funciona UEBA

1. Recoger eventos

UEBA lee registros que ya existen: inicios de sesión, accesos a archivos y bases de datos, flujos de red, actividad de endpoints, registros de auditoría de la nube y datos de identidad de tu sistema de gestión de identidades y accesos. Cuantas más fuentes, mejor imagen.

2. Construir líneas base

Para cada usuario y entidad se registra el comportamiento típico durante un periodo de aprendizaje: horarios, ubicaciones, dispositivos, sistemas usados y volúmenes de datos. También se crean grupos de pares, de modo que una analista de finanzas se compara con otras analistas de finanzas y no con toda la empresa.

3. Puntuar las desviaciones

Cada evento nuevo se puntúa frente a la línea base individual y al grupo de pares, con estadística y a menudo con aprendizaje automático. Un evento raro casi nunca importa. La señal útil es que varias rarezas pequeñas se acumulen para la misma identidad en poco tiempo: sube su puntuación de riesgo y pasa al principio de la cola de los analistas.

Ejemplo

Una cuenta de servicio que solo llamaba a una API interna empieza a autenticarse en un servidor de archivos por la noche y a listar cientos de directorios. No se ha roto ninguna regla y las credenciales son válidas. UEBA lo marca porque esa cuenta nunca se comportó así y ninguna de su grupo lo hace. Un analista comprueba entonces si se filtró un secreto, y ahí empieza la respuesta a incidentes.

En qué es bueno UEBA

• Credenciales comprometidas: un inicio de sesión válido desde un dispositivo, lugar u hora desconocidos.
• Uso indebido interno: descargas masivas inusuales o acceso a registros ajenos al trabajo habitual.
• Movimiento lateral: una cuenta comprometida llega a sistemas que nunca usó.
• Identidades no humanas: cuentas de servicio, tareas y claves de API que de repente actúan distinto.

El NIST describe este uso en la SP 800-215, donde se cita UEBA como forma de detectar anomalías en el comportamiento de acceso a la nube de los usuarios y de ayudar a frenar amenazas internas y ataques avanzados.

UEBA, SIEM y XDR

• SIEM reúne y almacena registros y aplica reglas de correlación para patrones conocidos.
• UEBA añade líneas base de comportamiento sobre esos datos para encontrar lo que ninguna regla describe. Suele apoyarse en un SIEM o venir integrado en él.
• XDR correlaciona señales de endpoints, red, correo, identidad y nube y puede responder de forma automática. Consulta detección y respuesta extendidas.

Errores frecuentes

• Esperar resultados el primer día. Las líneas base necesitan historial limpio. Una instalación nueva genera ruido hasta que aprende lo que es normal en tu entorno.
• Darle pocas fuentes. Solo con los registros de inicio de sesión se pierde el comportamiento de acceso a datos y de red que da sentido a una anomalía.
• No ajustarlo nunca. Los umbrales y los grupos de pares necesitan revisión continua, o los analistas aprenden a ignorar las alertas.
• Verlo como sustituto. UEBA no reemplaza el control de acceso, el registro ni los procesos de respuesta. Prioriza qué mirar.
• Ignorar los puntos ciegos. La actividad en dispositivos no gestionados o en canales cifrados que no ves no se puede modelar.

UEBA, las API y dónde encaja LoadFocus

El análisis de comportamiento también se aplica al tráfico de API: tasas de peticiones inusuales, secuencias nuevas de endpoints o una clave usada desde una región nueva. Eso corresponde a la seguridad de las API y a tus herramientas de seguridad. LoadFocus no ofrece analítica de seguridad, detección de anomalías en el comportamiento de usuarios ni detección de amenazas. Lo que sí ofrece son comprobaciones sintéticas: la monitorización de API mide la disponibilidad y los tiempos de respuesta de tus endpoints de forma programada, y las pruebas de carga muestran cómo se comportan tus servicios con mucho tráfico. Ambas dan una línea base de rendimiento que puedes leer junto a las señales de seguridad. Para ver el contexto, consulta nuestra guía de buenas prácticas de seguridad en pruebas en la nube y la entrada sobre amenazas de ciberseguridad.

Preguntas frecuentes: análisis del comportamiento de usuarios y entidades

¿Qué diferencia hay entre UEBA y UBA?

UBA analiza solo a las personas. UEBA añade entidades como servidores, cuentas de servicio, dispositivos y aplicaciones. UBA es hoy sobre todo un término heredado.

¿UEBA necesita aprendizaje automático?

No necesariamente. Las líneas base estadísticas y las reglas funcionan, y muchos productos las combinan con aprendizaje automático. Las reglas se explican mejor en una auditoría, mientras que el aprendizaje automático detecta patrones para los que nadie escribió una regla.

¿Puede UEBA sustituir a un SIEM?

No. Un SIEM recoge, almacena y correlaciona registros. UEBA lee esos datos y añade una puntuación de comportamiento, así que se complementan.

¿Qué datos necesita UEBA?

Primero los registros de autenticación, luego los accesos a archivos y bases de datos, los flujos de red, la actividad de endpoints, los registros de auditoría de la nube y los datos de identidad. Cuantas más fuentes relevantes, mejor línea base.

¿Ofrece LoadFocus UEBA?

No. LoadFocus es una plataforma de rendimiento para pruebas de carga, monitorización de API y velocidad de página. No analiza el comportamiento de los usuarios para detectar amenazas de seguridad.