CyberGlossary

Seguridad de red

Detección basada en anomalías

También conocido como: Detección por comportamiento, Detección heurística

Definición

Enfoque de detección que construye una línea base de actividad normal y marca como potencialmente maliciosas las desviaciones respecto a ella.

La detección basada en anomalías aprende cómo es lo "normal" para una red, un host, un usuario o una aplicación —mediante modelos estadísticos, heurísticas o aprendizaje automático— y alerta cuando la actividad observada se desvía significativamente de esa línea base. Complementa a la detección por firmas porque permite descubrir amenazas desconocidas, abuso interno, malware nuevo y ataques sigilosos que ninguna firma describe. Se implementa en UEBA, analítica de NDR/XDR, perfiles de NetFlow y análisis de tráfico DNS. La contrapartida son más falsos positivos —los cambios legítimos también pueden parecer anómalos— por lo que se requiere ajuste de la ventana de aprendizaje, retroalimentación, umbrales y revisión de analistas para convertir anomalías en hallazgos accionables.

Ejemplos

  • Una UEBA marca una cuenta de servicio que de pronto se autentica desde un nuevo país a las 02:00.
  • Un NDR alerta cuando el volumen saliente de un servidor de bases de datos se triplica sin despliegue alguno.

Términos relacionados