En el mundo de la ciberseguridad, durante décadas hemos construido murallas. Cortafuegos, antivirus, sistemas de detección de intrusos... todos operaban bajo una lógica simple pero profundamente limitada: “esto es malo, bloquéalo”. Esta aproximación, basada en firmas y reglas predefinidas, ha demostrado ser tan efectiva como una cerca de jardín frente a un ejército. La realidad es que el panorama de amenazas ha evolucionado. Hoy, el enemigo no siempre llama a la puerta; a veces, ya está dentro, camuflado entre las sombras de la actividad legítima, o peor aún, es alguien que tiene las llaves y el código de acceso.
La pregunta que debería inquietar a cualquier líder empresarial no es si su organización será atacada, sino si sabrá reconocer el ataque cuando este se produzca en su propio interior, bajo la apariencia de un empleado que trabaja hasta tarde o de un administrador de sistemas que realiza tareas de mantenimiento. Para abordar este desafío, ha surgido un enfoque radicalmente distinto, que abandona el concepto de muralla en favor de una comprensión profunda del comportamiento: el Análisis de Comportamiento de Usuarios y Entidades, conocido como UEBA.
El problema fundamental: confiar en lo que no se comprende
La seguridad perimetral clásica presenta un fallo de base: parte de la suposición de que podemos catalogar todo el tráfico y toda la actividad como bueno o malo. Esta premisa es insostenible en un ecosistema digital complejo. Un empleado que descarga un volumen masivo de datos a altas horas de la madrugada podría ser un espía corporativo, pero también podría ser un desarrollador que está lanzando una actualización crítica. Un administrador que accede a un servidor desde una ubicación geográfica inusual podría ser un atacante con credenciales robadas, o podría ser un ejecutivo que se ha conectado desde un hotel en el extranjero. Los sistemas tradicionales, carentes de contexto, suelen fallar por exceso o por defecto: o generan una avalancha de falsas alarmas que inmovilizan a los equipos de seguridad, o dejan pasar amenazas reales que, por no ajustarse a un patrón conocido, pasan desapercibidas.
Esta falta de contexto es la principal causa del “agotamiento por alertas” que sufren los Centros de Operaciones de Seguridad (SOC). Cientos o miles de alertas diarias, la mayoría de ellas falsos positivos, provocan que los analistas se conviertan en “mecánicos que esperan el siguiente coche averiado” sin tiempo para una investigación profunda. El resultado es una paradoja peligrosa: a pesar de contar con más herramientas que nunca, la capacidad de detectar amenazas reales ha disminuido. Es aquí donde el UEBA emerge como un cambio de paradigma, una nueva forma de pensar sobre la seguridad.
El cambio de lógica: de buscar el “qué” a entender el “quién” y el “cómo”
UEBA no se basa en temas archiconocidos de la ciberseguridad como buscar un “archivo malicioso” o una “dirección IP conocida”, según dirían mis alumnos del pregrado. Su principio es más sutil y, a la vez, más poderoso. La tecnología se centra en la “entidad”, que puede ser un usuario, un dispositivo, una aplicación o incluso una dirección IP, y se dedica a aprender su comportamiento normal a lo largo del tiempo. A partir de este aprendizaje, UEBA construye un perfil dinámico de lo que es “normal” para esa entidad concreta. Cualquier desviación significativa de esta línea base es considerada una anomalía.
Piense en el UEBA como un vigilante de seguridad en una oficina que conoce a cada empleado. Sabe que María suele llegar a las 8:00 a. m., toma un café y revisa su correo; que Pedro, un ingeniero, raramente accede al sistema de recursos humanos; y que el servidor de facturación solo recibe peticiones de un grupo específico de equipos. El sistema UEBA aprende estos patrones de forma automatizada. Cuando observa una actividad que no encaja, no solo lanza una alarma, sino que la califica con un nivel de riesgo.
- Desviación temporal: ¿Por qué un empleado del departamento de contabilidad está accediendo a los servidores de desarrollo a las 3:00 a. m.?
- Desviación geográfica: ¿Por qué un usuario en Madrid inicia sesión desde un dispositivo en Brasil pocos minutos después de haberlo hecho en su oficina?
- Desviación en el volumen de datos: ¿Por qué un diseñador gráfico está descargando gigabytes de código fuente, algo que nunca antes había hecho?
Pero la capacidad del UEBA va más allá del individuo. Una de sus características más disruptivas es el “análisis de grupos de pares” (peer group analysis). Esta técnica compara el comportamiento de un usuario con el de otros que desempeñan roles o funciones similares, creando un estándar de “normalidad” grupal. Si la media de usuarios del departamento de marketing descarga 10 archivos al día, y uno de ellos descarga 1 000, el sistema genera una alerta de alta prioridad. Este enfoque evita que un atacante que ha comprometido una cuenta pueda esconderse entre la multitud, actuando de una manera que, aunque normal para él, es extremadamente inusual para su grupo.
La ingeniería del “nosotros”: la era del aprendizaje automático y la matemática para la detección
¿Cómo logra el UEBA este nivel de sofisticación sin la necesidad de intervención humana constante? La respuesta reside en la aplicación de avanzados algoritmos de aprendizaje automático, y sí mis queridos lectores la inteligencia artificial sigue siendo de mucha ayuda actualmente. En esencia, el sistema se entrena con grandes volúmenes de datos históricos para aprender lo que es normal, un proceso que suele requerir de 30 a 90 días. A medida que se recopilan nuevos datos, el sistema se reentrena, adaptando sus modelos a la evolución natural del negocio.
Las técnicas son variadas y a menudo se combinan. Algunos sistemas emplean modelos matemáticos como la distancia de Mahalanobis o la Descomposición en Valores Singulares (SVD) para cuantificar matemáticamente qué tan lejos está un punto de datos de la “nube” de comportamiento normal. A algunos ahora mismo podría ver que aplicaciones tienen todas esas teorías que una vez vimos en aulas universitarias y es que la matemática se aplica en muchos elementos de nuestra vida, aunque no lo sepamos directamente. Otros sistemas más avanzados implementan arquitecturas de aprendizaje profundo, como los autoencoders. Un autoencoder es un tipo de red neuronal que se entrena para comprimir la información de entrada (la actividad normal) en una representación más pequeña y luego reconstruirla.
El “error de reconstrucción“ es la clave: si el sistema recibe una actividad nueva y no puede reconstruirla bien (porque no es similar a lo que ha visto antes), la interpreta como una anomalía. La gran ventaja de los autoencoders es su capacidad para procesar datos de forma multimodal, integrando desde logs numéricos (volumen de datos transferidos) hasta información textual (descripciones de errores o nombres de archivos), ofreciendo resultados que son, además, más explicables para los analistas humanos.
Estos modelos han demostrado un rendimiento extraordinario. Estudios recientes han reportado que sistemas basados en arquitecturas de Transformers combinados con Graph Neural Networks (GNN), capaces de comprender secuencias de acciones y las relaciones entre entidades, pueden alcanzar un Área Bajo la Curva ROC (AUC) de 0.999, lo que indica una capacidad casi perfecta para distinguir entre comportamiento normal y malicioso. Por supuesto, ningún sistema es perfecto. Incluso estos avanzados modelos presentan una tasa de falsos positivos de alrededor de 11 por cada 1 000 sesiones, un número que, aunque significativamente menor que el de los sistemas tradicionales, sigue requiriendo de la supervisión humana para validar las alertas.
El lado humano de la ecuación: complejidad y confianza
Sin embargo, el UEBA no es una varita mágica al estilo de Harry Potter. Su implementación y gestión conlleva desafíos significativos que las organizaciones deben abordar. El primero es la configuración y el ajuste continuo. Establecer una línea de base precisa requiere tiempo, datos de calidad y un profundo conocimiento de la actividad de la organización. Un sistema mal configurado puede generar un volumen de alertas tan alto como el que pretendía resolver, o, en el caso contrario, ser demasiado laxo y pasar por alto una amenaza real.
El segundo gran desafío es la integración de datos. El UEBA se nutre de diversas fuentes de información: logs de sistemas, datos de identidad como Active Directory, tráfico de red, aplicaciones en la nube... Para que el modelo funcione correctamente, debe tener una visión unificada y coherente de todas las actividades. La heterogeneidad de las fuentes de datos, con formatos y diversas API dispares, puede crear puntos ciegos donde las amenazas se ocultan.
Por último, y quizás el más delicado, está el desafío de la privacidad y la confianza. La idea de que una máquina esté monitorizando constantemente la actividad de los empleados puede generar una sensación de vigilancia y desconfianza, especialmente en culturas corporativas que no fomentan la transparencia. Es fundamental que las organizaciones comuniquen abiertamente el propósito del UEBA: no se trata de espiar a los empleados, sino de proteger a la empresa y a sus propios colaboradores de amenazas externas (como un ciberdelincuente que robe credenciales) o internas (como un error humano que exponga datos sensibles).
El futuro de la seguridad es una historia de comportamiento
UEBA representa una evolución fundamental en la ciberseguridad. Es un paso adelante desde un modelo reactivo, basado en la defensa perimetral, hacia un modelo proactivo y centrado en el análisis del comportamiento. Es el arte de aprender a leer las señales de nuestra propia actividad digital para detectar al intruso que se esconde en la normalidad.
La tecnología, sin embargo, no es un sustituto del criterio humano. El futuro más prometedor no es la sustitución de los analistas por máquinas, sino una colaboración simbiótica. UEBA actúa como un faro que ilumina las anomalías más sospechosas, priorizando el ruido para que el analista humano pueda enfocar su inteligencia, intuición y experiencia en la investigación y respuesta a las amenazas que realmente importan. El verdadero valor de la ciberseguridad moderna no está en construir muros más altos, sino en aprender a leer el comportamiento de quienes están dentro. Por hoy nos despedimos hasta la próxima semana. Los espero acá en Código Seguro.