Las 9 mejores herramientas de análisis del comportamiento de usuarios y entidades (UEBA)
Como CISO en una industria altamente regulada con aproximadamente dos décadas de experiencia en ciberseguridad, comparé las 9 principales herramientas de análisis del comportamiento de usuarios y entidades (UEBA) que pueden ayudar a los SOC a detectar comportamientos anormales y potencialmente peligrosos de usuarios y dispositivos:
Comparación de características
Consulte las descripciones de las funciones .
Las herramientas de análisis del comportamiento de usuarios y entidades (UEBA, por sus siglas en inglés) ayudan a las empresas a descubrir amenazas internas y de día cero modernas en sus redes que pasarían desapercibidas para las herramientas de seguridad tradicionales.
Para detectar estas amenazas, las herramientas UEBA utilizan el aprendizaje automático para crear líneas base para usuarios y recursos individuales en una red, y luego utilizan análisis estadísticos para identificar desviaciones de esas líneas base.
Estas actividades anómalas pueden indicar que una entidad o la cuenta de un usuario se ha visto comprometida. Cuando la solución UEBA detecta dicha variación, asigna una puntuación de riesgo y proporciona información sobre el incidente y sugerencias para su corrección.
Estas herramientas se suelen utilizar junto con otras soluciones de seguridad empresarial, como la gestión de información y eventos de seguridad (SIEM) , la seguridad centrada en los datos , la prevención de pérdida de datos (DLP) y el software de monitorización de empleados.
Descargo de responsabilidad: Las opiniones (a continuación) provienen de nuestra experiencia con estas soluciones, así como de las experiencias de otros usuarios compartidas en Reddit. 1 , Gartner 2 y G2 3 .
1. Herramientas SIEM con UEBA
Depender exclusivamente de las herramientas SIEM deja vulnerabilidades. Los atacantes que utilizan credenciales válidas obtenidas mediante ataques de phishing o fuerza bruta pueden pasar desapercibidos para los sistemas basados en reglas.
UEBA subsana esa deficiencia analizando los patrones de autenticación y comparando los eventos actuales con datos históricos y de referencia similares, detectando inicios de sesión desde ubicaciones o dispositivos inusuales.
Beneficios de integrar SIEM con UEBA:
- Más fuentes de datos
- Análisis más preciso
- Alertas más prácticas
- Respuesta ante incidentes más eficiente
Registro de ManageEngine360
ManageEngine Log360 es un SIEM integrado con UEBA y capacidades SOAR. El módulo UEBA se puede añadir junto con ADAudit Plus, EventLog Analyzer y Cloud Security Plus.
Características principales:
- Análisis de actividad anómala de usuarios y entidades: Identifica actividades inusuales, como inicios de sesión en momentos inusuales, fallos de inicio de sesión repetidos y eliminaciones de archivos de hosts a los que el usuario rara vez accede.
- Informes Anomaly en todos los dispositivos y aplicaciones:
- Windows: eventos de inicio/apagado, actividad USB, lista blanca de aplicaciones, inicios de sesión, cambios de archivos, modificaciones del firewall.
- Unix: Actividad USB, inicios de sesión, inicios de sesión en VMware, transferencias de archivos
- Enrutadores: cambios de configuración y actividad de inicio de sesión
- Directorio activo: inicios de sesión, actividad de procesos, acciones de administración de usuarios
- Microsoft SQL Server: modificaciones de datos, inicios de sesión, cambios de contraseña
- Servidores FTP: transferencias de archivos, inicios de sesión, actividad de archivos
- Evaluación de riesgos basada en puntuaciones: Visualiza una puntuación de riesgo por usuario y host en cinco categorías: amenazas internas, exfiltración de datos, cuentas comprometidas, anomalías de inicio de sesión y anomalías en la nube/base de datos/servidor de archivos.
- Consola de detección centralizada (2026): Una vista única que unifica las reglas mapeadas por MITRE ATT&CK, UEBA, correlación e inteligencia de amenazas. Incluye filtrado a nivel de objeto en los niveles de usuario, grupo y unidad organizativa para reducir el ruido de alertas de las cuentas de prueba y de desarrollo, además de información para el ajuste de reglas basada en métricas de señales reales. 4
IBM Seguridad QRadar SIEM
IBM Security QRadar es una plataforma SIEM con análisis del comportamiento del usuario (UBA). Realiza un seguimiento de cada amenaza y correlaciona los comportamientos relacionados en todo el entorno.
Características principales:
- Análisis de QRadar: Analiza la inteligencia sobre amenazas, la actividad de la red y el comportamiento del usuario para identificar componentes vulnerables de la red.
- Análisis de riesgos: Atribuye riesgos a los casos de uso de seguridad basándose en criterios como las visitas maliciosas a sitios web, y cada evento se puntúa según su gravedad y fiabilidad.
- Identificadores de usuario unificados: Crea perfiles de amenazas de usuario correlacionando los datos de eventos y flujos que ya se encuentran en QRadar.
- Se supervisan tres categorías de tráfico: acceso a la red y autenticación; actividad de proxy, cortafuegos, IPS y VPN; registros de aplicaciones de punto final y SaaS.
Examen
Exabeam New-Scale es una plataforma de operaciones de seguridad con análisis de comportamiento (UEBA) como base. Funciona como una capa de aumento de SIEM sobre SIEM existentes (IBM QRadar, Splunk, Microsoft Sentinel, OpenText ArcSight, LogRhythm, McAfee Nitro, Sumo Logic, Google Cloud Pub/Sub) o como un reemplazo de SIEM independiente a través de New-Scale Fusion. 5
Características principales:
- Detección sin reglas ni firmas: Identifica amenazas desconocidas y de día cero mediante el análisis de patrones y anomalías en tiempo real. Cronogramas automáticos de incidentes: Combina los eventos de seguridad asociados en un cronograma que rastrea un problema a través de usuarios, direcciones IP y sistemas.
- Agrupaciones dinámicas entre pares: Agrupa entidades similares (usuarios del mismo departamento, dispositivos IoT de la misma clase) para contextualizar las desviaciones de comportamiento.
- Análisis del comportamiento de los agentes: Exabeam amplió su UEBA para monitorizar agentes de IA como identidades no humanas, siendo la primera plataforma en hacerlo. Cuando un agente accede a sistemas ajenos a su función o extrae volúmenes inusuales de datos confidenciales, la plataforma detecta la desviación y genera automáticamente una cronología forense de cada acción. Se integra con Gemini Enterprise (Google) para una visibilidad en tiempo real de la actividad de los agentes. 6
- Panel de seguridad de IA con agentes: Una vista lista para la junta directiva que muestra la postura de riesgo de la IA, las brechas de cobertura y el seguimiento de la madurez de la actividad de los agentes de IA en toda la organización.
Análisis del comportamiento del usuario de Splunk
Ya no es posible adquirir Splunk UBA como licencia nueva. Cisco y Splunk han integrado las funcionalidades de UEBA directamente en las ediciones Splunk Enterprise Security (ES). Los clientes actuales deben planificar la migración antes del 10 de diciembre de 2026, fecha en la que cesan el soporte técnico, las correcciones de errores y las actualizaciones de seguridad. 7
Características principales:
- Análisis y exploración de amenazas: Visualiza las amenazas a lo largo de toda la ruta de ataque.
- Información sobre la gravedad y la detección de amenazas: Proporciona información detallada para modelos de anomalías personalizados basados en los procesos, los activos y las funciones de los usuarios de su organización.
Consideraciones clave (UBA independiente, solo para clientes existentes):
El producto independiente reempaqueta varios componentes de código abierto en lugar de ejecutarse de forma nativa en la plataforma Splunk. Exporta eventos sin procesar desde Splunk y los reintroduce en motores de análisis de código abierto, lo que significa que su infraestructura debe gestionar la carga adicional de búsqueda e ingesta.
2. Herramientas DLP con UEBA
UEBA proporciona contexto de comportamiento a las herramientas DLP. Un sistema DLP por sí solo marca un correo electrónico con un archivo adjunto sensible, pero sin datos de referencia de comportamiento, no puede determinar si esa acción es sospechosa para ese usuario en particular. Con UEBA, el sistema también verifica si el correo electrónico se envió fuera del horario habitual, a un destinatario inusual o con un volumen anormal.
Beneficios:
- Análisis del comportamiento
- Detección de amenazas internas
- Señales contextuales: ubicación del usuario, tipo de dispositivo, actividad de red.
Ejemplo real: Un proveedor global de medios y telecomunicaciones automatizó la mitigación del 80 % de las infracciones de políticas no maliciosas mediante la combinación de UEBA con DLP.
Teramind
Teramind es una plataforma de prevención de pérdida de datos (DLP) y gestión de riesgos internos que supervisa la actividad de empleados, usuarios remotos y contratistas para prevenir fugas de datos. Rastrea aplicaciones, sitios web, correos electrónicos, mensajería instantánea, redes sociales, transferencias de archivos, impresoras y redes. Los administradores configuran reglas para notificar, bloquear, cerrar sesión o redirigir a los usuarios.
Garantiza el cumplimiento de las normativas GDPR, HIPAA, PCI DSS e ISO 27001.
Características principales:
- Monitorización del comportamiento: Identifica el uso excesivo de Internet a nivel personal, los intentos de acceso no autorizados y las infracciones de las políticas.
- Análisis del tiempo activo frente al tiempo inactivo: Informes sobre el tiempo productivo frente al tiempo inactivo por usuario.
- Aplicación móvil: Panel de control para Android que permite la visibilidad desde dispositivos móviles. Disponible en la nube, en las instalaciones del cliente o en la nube privada (AWS, Azure).
Amenaza interna de Forcepoint
Forcepoint Insider Threat cuenta con más de 15 años de experiencia en entornos gubernamentales y de empresas Fortune 100. Monitorea el comportamiento de los usuarios (inicios de sesión, trabajos de impresión) y la información de las entidades (datos de recursos humanos) para detectar amenazas internas.
La solución puede monitorizar el comportamiento del usuario (por ejemplo, inicios de sesión, trabajos de impresión) y la información de la entidad (por ejemplo, datos de recursos humanos).
Características principales:
Sistemas de puntuación: Forcepoint Behavioral Analytics utiliza varios sistemas de puntuación y análisis para proporcionar información sobre las personas en función de sus acciones.
Notificaciones automatizadas: La solución proporciona ajustes detallados y configurables que permiten a los responsables de seguridad establecer notificaciones automatizadas para acciones específicas de los empleados que generen preocupación.
Consideraciones clave:
Forcepoint Insider Threat es eficaz para habilitar medidas de seguridad proactivas al conectar el comportamiento del usuario con el movimiento de datos. Recomendamos Forcepoint Insider Threat para:
- Grandes empresas que requieren amplias capacidades de monitorización y que cuentan con el presupuesto necesario para integrar el producto con otras herramientas de Forcepoint para lograr una postura de seguridad más sólida.
- Empresas con antecedentes de amenazas internas.
Si bien Forcepoint Insider Threat ofrece sólidas capacidades para abordar necesidades de seguridad complejas, su implementación puede resultar un desafío, ya que a menudo requiere recursos sustanciales y experiencia especializada para integrarse sin problemas con la infraestructura de TI existente.
Además, Forcepoint Insider Threat ofrece una integración más fluida con los productos de Forcepoint que las herramientas de terceros, lo que hace que sus opciones de integración sean más efectivas para las organizaciones que ya están comprometidas con el ecosistema de Forcepoint.
3. Software de seguridad centrado en datos con UEBA
UEBA enriquece el software de seguridad de datos mediante:
- Información contextual: Agrega datos de comportamiento a los eventos registrados, de modo que un inicio de sesión en una base de datos confidencial a las 2 a. m. desde un dispositivo desconocido se clasifica como de mayor riesgo que el mismo inicio de sesión durante el horario laboral desde un dispositivo conocido.
- Evaluación dinámica de amenazas: Enriquece los registros con perfiles de usuario y metadatos para una evaluación de la gravedad más precisa.
- Líneas base adaptativas: Los modelos se actualizan continuamente a medida que surgen nuevos patrones, lo que reduce los falsos positivos con el tiempo.
Beneficios:
- Registros de actividad enriquecidos
- Evaluaciones dinámicas de amenazas
- Gestión proactiva de riesgos
Cynet
Cynet combina respuesta a incidentes, detección de intrusiones, UEBA y XDR. Monitorea los puntos finales y las redes, analizando la actividad sospechosa. Ofrece corrección automatizada junto con la revisión manual por parte de analistas.
Implementación: Local, IaaS, SaaS, híbrida.
Características principales:
- Líneas base de comportamiento personalizables: defina patrones normales en función del rol, el grupo, la ubicación geográfica y las horas de trabajo.
- Alertas y medidas correctivas automatizadas: Envía alertas sobre actividades sospechosas. Puede bloquear automáticamente las cuentas comprometidas o remitirlas para su revisión.
Plataforma de seguridad de datos Varonis
Varonis proporciona gestión de la postura de seguridad de los datos (DSPM), que incluye el descubrimiento de datos confidenciales, la gobernanza del acceso a los datos, la detección de anomalías de comportamiento, la asistencia para el cumplimiento del RGPD, manuales de incidentes e informes forenses.
Integraciones de conectores: Splunk, QRadar, Palo Alto Cortex XSOAR, Google Chronicle SOAR y otros.
Características principales:
- Detección de amenazas: Supervisa el acceso a los datos, la actividad del usuario y el comportamiento de la red para detectar amenazas de forma proactiva.
- Detección y respuesta de datos gestionada (MDDR): Se centra en las amenazas a los datos en lugar de en los puntos finales. Detecta y responde a incidentes relacionados con los datos en tiempo real.
Consideraciones clave:
Varonis es la opción ideal para organizaciones centradas en datos, especialmente para la clasificación de datos, la gestión de accesos y las alertas sobre actividad anómala en archivos, como patrones de ransomware. Se integra con los sistemas SIEM/SOAR existentes mediante conectores o syslog/SNMP. Resulta muy útil para equipos de seguridad que necesitan rastrear quién accedió o modificó archivos.
4. Soluciones de gestión de riesgos internos con UEBA
Las plataformas de análisis de riesgos internos están diseñadas específicamente para detectar amenazas provenientes de usuarios de confianza. UEBA proporciona a estas herramientas un contexto de comportamiento: las solicitudes de acceso con privilegios elevados, las eliminaciones inusuales de archivos o los inicios de sesión nocturnos contribuyen a una puntuación de riesgo que evoluciona a medida que cambia el comportamiento.
Beneficios:
- Información más precisa sobre las violaciones de acceso privilegiado.
- Detección de movimiento lateral más precisa
- Investigaciones de amenazas internas con gran riqueza de contexto
Microsoft Defensor de la identidad
Microsoft Defender for Identity (anteriormente Azure Advanced Threat Protection / Azure ATP) se centra en las amenazas de Active Directory.
Datos recopilados:
- Tráfico de red hacia/desde los controladores de dominio, incluidas las consultas DNS.
- Registros de eventos de seguridad de Windows
- Información de Active Directory, incluidas las subredes.
- Información de la entidad: nombres, direcciones de correo electrónico, números de teléfono
Características principales:
- Puntuación de alertas: Muestra el impacto de cada usuario en una alerta específica, puntuado según la gravedad, el impacto del usuario y la frecuencia de la actividad.
- Puntuación de actividad: Estima la probabilidad de que un usuario realice una actividad específica basándose en su propio historial de comportamiento y el de sus compañeros.
Consideraciones clave:
Defender for Identity supervisa Active Directory local, ya que los agentes se instalan en los controladores de dominio. Para la protección de los endpoints contra actividades maliciosas, se requiere la integración con Defender for Endpoint.
Integraciones:
- Herramientas Microsoft: Correlaciona las alertas de identidad con las señales en todo el ecosistema de seguridad Microsoft.
- SIEM: Envía alertas de syslog a cualquier servidor SIEM cuando se activa una alerta de seguridad.
Factores clave a considerar al implementar herramientas UEBA
1. Las herramientas UEBA alertan, no bloquean
UEBA detecta y señala posibles ataques, malware, phishing, whaling, ingeniería social y DDoS, pero no los previene. La respuesta la toma el equipo de seguridad o las plataformas integradas.
2. Las herramientas UEBA no son independientes.
UEBA es una capa que funciona junto con los sistemas de seguridad existentes. Mejora la monitorización de la red y la seguridad de los datos; no los reemplaza.
3. UEBA funciona mejor cuando está integrado.
Por ejemplo, al combinar UEBA con soluciones de perímetro definido por software (SDP), se añaden datos de DNS, VPN y proxy web del contexto del perímetro a las líneas base de comportamiento, lo que proporciona a los analistas del SOC alertas más precisas.
Descripciones de las características
Proveedores con:
- El análisis de grupos de pares puede utilizar el aprendizaje automático para identificar usuarios y anfitriones con características similares y agruparlos. Esto ayuda a comprender el contexto del comportamiento de un usuario y compararlo con el de un grupo de pares relevante.
- La inteligencia sobre amenazas proporciona información detallada y práctica sobre las amenazas, que incluye:
- Inteligencia táctica (en tiempo real)
- inteligencia operativa (proactiva)
- Inteligencia estratégica (perspectiva a largo plazo)
Factores diferenciadores clave en las aplicaciones UEBA
Preguntas frecuentes
El análisis del comportamiento de usuarios y entidades proporciona detección de anomalías a través de una variedad de enfoques analíticos, que normalmente combinan:
– métodos analíticos básicos (por ejemplo, reglas que utilizan firmas, coincidencia de patrones y estadísticas simples)
– análisis avanzado (por ejemplo, aprendizaje automático supervisado y no supervisado).
Los proveedores utilizan análisis integrados para evaluar la actividad de los usuarios y otras entidades (servidores, aplicaciones, tráfico de red) con el fin de detectar posibles problemas (actividades que se desvían de los perfiles y comportamientos habituales de los usuarios y las entidades).
Entre los ejemplos de estas actividades se incluyen el acceso anómalo a sistemas y datos por parte de personas internas o terceros.
Las herramientas UEBA recopilan registros y alertas de todas las fuentes de datos conectadas y los analizan para crear perfiles de comportamiento de referencia de las entidades de su organización (por ejemplo, usuarios, hosts, direcciones IP y aplicaciones) a lo largo del tiempo y dentro de los límites de los grupos de pares.
Estas herramientas pueden aprovechar la detección de amenazas basada en anomalías para proporcionar información completa sobre usuarios y entidades respecto a actividades inusuales y ayudarle a determinar si un activo ha sido pirateado. Esto ayuda a los SOC a priorizar la investigación y la respuesta a incidentes. Para más información: Herramientas de respuesta a incidentes .
Cabe destacar que, a diferencia del análisis del comportamiento del usuario (UBA), el UEBA tiene un alcance más amplio. Mientras que el UBA se centra únicamente en evaluar la actividad del usuario, el UEBA abarca el comportamiento tanto de los usuarios como de las entidades de la red, incluyendo:
-dispositivos de red
-enrutadores
-bases de datos
Los sistemas IPS/IDS (sistemas de detección de intrusiones) tradicionales utilizan la detección basada en firmas y no pueden detectar patrones o indicadores de amenazas nuevas y desconocidas.
Los atacantes pueden eludir estas medidas de seguridad utilizando medios como los siguientes:
- Denegación de servicio
-Malware sin archivos
- Ofuscación (los atacantes utilizan la ofuscación de código, que consiste en alterar el código del malware).
-Exploits de día cero
Algunas soluciones IPS/IDS abordan este desafío comparando los datos de red actuales con los patrones de tráfico de referencia. Si bien este enfoque permite una detección de intrusiones más configurable y adaptativa, presenta ciertas desventajas.
Estos sistemas suelen ser más costosos y requieren más recursos para su implementación y mantenimiento. Además, a pesar de sus capacidades, los sistemas IPS/IDS no son infalibles.
SIEM, SOAR y UEBA son todas tecnologías de seguridad, pero cada una tiene características únicas.
-SIEM recopila y analiza los registros de eventos de seguridad.
-SOAR automatiza los procedimientos de respuesta ante incidentes.
-UEBA detecta amenazas internas mediante análisis que rastrean las acciones de los usuarios.
Los SIEM no están obsoletos. Desempeñan un papel fundamental en la ciberseguridad, ya que proporcionan una visión integral de los eventos de seguridad en toda la red y capturan datos rápidamente para su evaluación temprana. Al combinarse con tecnologías como UEBA, los SIEM pueden mejorar sus capacidades y permitir una detección y respuesta a amenazas más analítica y detallada.
Se analizan las 9 mejores herramientas integradas con UEBA.
Un producto UEBA debe:
-Utilizar el aprendizaje automático para crear comportamientos de referencia para usuarios y recursos individuales en una red.
-Supervisar la red, los usuarios y los recursos para detectar anomalías en los patrones de comportamiento de los usuarios.
-Proporcionar información sobre incidentes y sugerencias para su solución, o capacidades integradas de respuesta ante incidentes.
Lecturas adicionales
Enlaces de referencia
Sé el primero en comentar
Tu dirección de correo electrónico no será publicada. Todos los campos son obligatorios.