La detección de anomalías identifica la actividad que se aparta del patrón normal de un entorno, como picos de tráfico, accesos en horarios inusuales o descargas atípicas. A diferencia del UEBA (análisis del comportamiento de usuarios y entidades), centrado en cuentas y equipos, aplica a cualquier dato: red, registros o transacciones. Por ejemplo, alerta si un servidor envía de madrugada diez veces más datos.
Cómo lo resolvemos en TecnetOne: TecnetSOC
anomaly detection, detección de comportamiento anómalo, análisis de anomalías, detección basada en comportamiento, anomalías de red
Términos relacionados
Casos de uso del SIEM (reglas de detección)
Un caso de uso del SIEM (gestión de información y eventos de seguridad) es un escenario de amenaza que el sistema debe detectar, con sus fuentes de registros, su regla de correlación y la respuesta esperada. Por ejemplo, alertar cuando una cuenta suma varios inicios de sesión fallidos y luego entra desde otro país. Sin ellos, el SIEM acumula registros con pocas alertas útiles.
Parche virtual
Un parche virtual es una regla que bloquea en la red los intentos de explotar una vulnerabilidad conocida, en un firewall, un IPS (sistema de prevención de intrusiones) o un WAF (firewall de aplicaciones web), sin modificar el software afectado. Protege mientras llega el parche oficial o en equipos sin soporte del fabricante, pero no sustituye al parche.
Priorización de vulnerabilidades (KEV y EPSS)
La priorización de vulnerabilidades es el proceso de decidir qué fallas corregir primero según su riesgo real, no solo su severidad. Además de la calificación CVSS, usa el catálogo KEV (vulnerabilidades explotadas conocidas) de CISA, la agencia de ciberseguridad de EE. UU., y el EPSS (sistema de predicción de explotación), que estima la probabilidad de que una falla se explote en los próximos 30 días.
Evaluación de compromiso (compromise assessment)
Una evaluación de compromiso (compromise assessment) es una revisión que busca evidencia de que un atacante ya está o estuvo dentro de la red de una organización, aunque no se haya detectado ningún incidente. Analiza equipos, cuentas, registros y tráfico en busca de indicadores de compromiso; es útil para una empresa sin SOC (centro de operaciones de seguridad) tras una alerta aislada.
Reglas de enfrentamiento (pentest)
Las reglas de enfrentamiento son el documento que define, antes de una prueba de penetración (pentest), qué sistemas se pueden atacar, con qué técnicas, en qué horarios y a quién avisar si surge un problema. Por ejemplo, pueden excluir la ingeniería social o prohibir pruebas de denegación de servicio en horario laboral; protegen a la empresa y dan respaldo legal a quien ejecuta la prueba.
¿Quieres pasar del concepto a tu operación?
Cuéntanos qué necesitas y un ingeniero de TecnetOne te responde.
Hablar con un ingenieroHablar con un ingeniero
Cuéntanos qué necesitas y te respondemos el mismo día hábil.