La IA en la inteligencia sobre amenazas

El CERT-EU identificó al menos 174 actores maliciosos distintos activos contra las instituciones, los órganos y las agencias de la Unión Europea, o su ecosistema, en 2025, frente a los 110 de 2024. Su análisis del panorama de amenazas de 2025, publicado en abril de 2026, también señala que la ampliación de la vigilancia mediante la automatización y la inteligencia artificial influyó en sus observaciones sobre la ciberdelincuencia. Para los equipos de inteligencia, esto plantea un reto práctico: procesar más información sin perder el contexto necesario para interpretar su significado.

¿Qué es la IA en el ámbito de la inteligencia sobre amenazas?

La IA aplicada a la inteligencia sobre amenazas consiste en el uso del aprendizaje automático, el procesamiento del lenguaje natural y la IA generativa para facilitar la recopilación, estructuración, análisis y comunicación de información sobre amenazas cibernéticas. Puede ser de ayuda para la síntesis de informes, la extracción de indicadores, la vinculación de entidades y la preparación de operaciones de búsqueda de amenazas. Su valor depende de que la inteligencia resultante sea precisa, relevante para la organización y útil para tomar una decisión fundamentada.

Un buen punto de partida es un flujo de trabajo delimitado: tomar un informe fiable, conservar sus pruebas, generar un borrador de evaluación o de búsqueda, y validar el resultado contrastándolo con los datos locales. Medir el esfuerzo del analista y la calidad de la decisión tras la verificación.

La inteligencia sobre amenazas cibernéticas, o CTI, convierte la información sobre los adversarios y sus actividades en un contexto para la toma de decisiones en materia de seguridad. La inteligencia artificial puede facilitar ese proceso, pero un conjunto de indicadores extraídos solo se convierte en inteligencia útil cuando se comprenden su relevancia, fiabilidad e implicaciones.

Una dirección IP que aparece en un informe es un dato observable. Una evaluación que explique por qué la actividad relacionada con esa dirección es relevante para una organización concreta aporta información de inteligencia. Dicha evaluación debe incluir pruebas, un marco temporal y el grado de incertidumbre adecuado.

Los equipos suelen trabajar con varios niveles de inteligencia. Sus límites varían según el programa, pero esta distinción ayuda a adaptar los resultados de la IA a la persona que los va a utilizar.

La inteligencia sobre amenazas y la detección de amenazas funcionan de forma conjunta. La inteligencia ayuda a explicar qué hay que buscar y por qué; la detección analiza la actividad en un entorno en busca de indicios de una amenaza. Un informe sobre una campaña externa no demuestra que esa misma campaña haya comprometido a tu organización.

En cuanto a la disciplina complementaria, profundiza en la detección de amenazas mediante IA.

¿Cómo contribuye la IA al ciclo de vida de la inteligencia sobre amenazas?

Un flujo de trabajo fiable asistido por IA comienza con una decisión que debe tomar el equipo. En cada etapa debe conservarse suficiente documentación para que la siguiente persona o sistema pueda comprobar el resultado, incluso cuando dicha documentación sea incompleta.

Definir los requisitos de inteligencia

Empieza con una pregunta que tenga un responsable y una posible acción. «¿Qué amenazas existen?» es una pregunta demasiado amplia para orientar una recopilación útil. «¿Qué ataques a la identidad de los que se ha informado podrían afectar a nuestros administradores de cloud , y podemos investigar esos comportamientos?» vincula la información con una necesidad operativa.

Define los sistemas pertinentes, los usuarios, la exposición geográfica y el intervalo de tiempo. Acuerda qué factores podrían modificar una decisión, como programar una búsqueda, revisar un control o escalar un hallazgo. La IA puede ayudar a redactar y organizar los requisitos, pero la organización debe decidir qué cuestiones son relevantes.

Recopilar y conservar el contexto de origen

Entre las fuentes de información pueden figurar avisos gubernamentales, fuentes comerciales, comunidades de intercambio de información, informes públicos sobre incidentes y conclusiones de investigaciones internas. Antes de procesar el contenido, hay que registrar el autor original, la fecha de publicación, el periodo de observación, la hora de recopilación y las restricciones de divulgación.

Conserva el idioma original junto con las traducciones y mantén una referencia estable a la fuente. Si un informe cita a otro informe, indica esa dependencia. El hecho de que varios artículos repitan un mismo comunicado no supone que haya varias confirmaciones independientes.

Aplica las restricciones de intercambio antes de enviar material a un servicio de IA. Las directrices del «Protocolo del semáforo» de FIRST definen los límites del intercambio; no sustituyen a las comprobaciones relativas a las licencias, al tratamiento permitido ni a la gestión de datos.

Extraer y organizar entidades

El procesamiento del lenguaje natural permite identificar entidades como nombres de « malware », vulnerabilidades, dominios y organizaciones, para luego proponer relaciones entre ellas. El resumen de la investigación sobre 0-CTI, por ejemplo, describe la extracción, basada en transformadores, de entidades y relaciones a partir de informes de CTI. Esto ilustra un enfoque de investigación, no un nivel de precisión universal para los sistemas implementados.

Conserva el valor original junto con una versión normalizada. Un dominio «neutralizado» requiere un tratamiento cuidadoso; una cadena de caracteres de aspecto similar puede ser un ejemplo inofensivo y no una infraestructura maliciosa. Indica si cada elemento es un hecho observado, una evaluación de la fuente o una inferencia del analista.

El análisis sintáctico determinista simple puede resultar adecuado para hash o direcciones bien formadas. Utiliza un modelo de lenguaje en el que el contexto sea relevante, por ejemplo, para determinar si un informe describe una técnica observada o simplemente plantea una posibilidad.

Analizar la relevancia y la fiabilidad

La IA puede ayudar a relacionar la información extraída con un inventario de activos, una pila tecnológica o un requisito de inteligencia. Un informe de vulnerabilidad sobre un producto que ya no existe no debería recibir la misma atención operativa que una explotación creíble que afecte a un sistema expuesto que utilice la organización.

Hay que diferenciar la fiabilidad de la fuente de la credibilidad de una afirmación concreta. El marco CTI de CERT-EU distingue entre la fiabilidad de la fuente, la credibilidad de la información, la confianza en una evaluación y la probabilidad estimada. Se trata de valoraciones diferentes.

Una respuesta modelo bien elaborada no establece ninguna de ellas. Pregunta qué pruebas respaldan la valoración, si hay otros informes independientes, qué es lo que aún se desconoce y qué observación cambiaría la conclusión.

Difundir la inteligencia y probarla a nivel local

Un resultado debe ajustarse a su destino. Un informe de liderazgo debe incluir implicaciones y decisiones. Un cazador de amenazas necesita una hipótesis, comportamientos relevantes, datos de telemetría disponibles y una forma de interpretar los resultados. Un ingeniero de detección necesita una lógica que se pueda probar y mantener.

La IA puede elaborar borradores de consultas de búsqueda, pero el borrador debe ajustarse al esquema de datos, los campos, los permisos y el lenguaje de consulta reales. Una consulta que se ejecute correctamente puede, aun así, buscar en el campo equivocado u omitir el intervalo de tiempo pertinente. Una consulta que no devuelva resultados puede deberse a la falta de registros.

Integra esta fase en un proceso ya establecido de búsqueda de amenazas. Fomenta el uso de una lógica repetible mediante la ingeniería de detección, con validación y asignación de responsabilidades, antes de utilizarla en entorno de producción.

Utiliza los comentarios para mejorar el flujo de trabajo

Registra lo que ocurrió tras la difusión. ¿La información de inteligencia dio lugar a una investigación útil? ¿El analista corrigió a una entidad, rechazó una asignación o descubrió que la telemetría necesaria no estaba disponible?

Guarda las correcciones junto con el resultado original y la versión del flujo de trabajo que lo generó. Los comentarios pueden mejorar las indicaciones, la recuperación, las reglas y los conjuntos de datos de evaluación. Esto no significa que un modelo implementado aprenda automáticamente de forma segura a partir de cada acción del analista; las actualizaciones deben someterse a su propia revisión y pruebas.

El aprendizaje automático y la IA generativa en la inteligencia sobre amenazas

Las distintas técnicas de IA sirven para diferentes tareas. Elige el método más sencillo que permita obtener un resultado verificable y evalúa el flujo de trabajo completo, en lugar de dar por sentado que un modelo más complejo funcionará mejor.

Un modelo de lenguaje a gran escala (LLM, por sus siglas en inglés) genera e interpreta el lenguaje. Un agente añade un flujo de trabajo en el que el modelo puede seleccionar herramientas y realizar pasos sucesivos. Dar acceso a un modelo a una herramienta de consulta modifica lo que este puede hacer, pero no garantiza que sus conclusiones sean correctas.

La generación aumentada mediante recuperación (RAG, por sus siglas en inglés) proporciona material recuperado como contexto para la respuesta de un modelo. Un grafo de conocimiento puede añadir relaciones explícitas a ese contexto. Ambos enfoques dependen de la calidad, la actualidad y los permisos de la información subyacente.

Estos métodos pueden coexistir. Una regla de extracción podría identificar un hash, un modelo de lenguaje podría resumir el uso que se le ha atribuido y un gráfico podría vincularlo con observaciones relacionadas. El analista debería poder examinar cada transformación.

Ventajas y casos de uso operativo

La inteligencia artificial puede reducir las tareas repetitivas de preparación y facilitar a los analistas el acceso a más material de referencia. Esos beneficios deben evaluarse tras la verificación de las fuentes, las correcciones y la investigación, ya que un borrador elaborado rápidamente puede seguir generando una cantidad considerable de trabajo posterior.

Priorizar las amenazas contra el medio ambiente real

Un equipo puede utilizar la inteligencia artificial para cotejar los informes con las tecnologías, los proveedores y las identidades de las que depende. La lista resultante puede explicar por qué un informe merece atención, qué pruebas locales hay disponibles y qué responsable debería revisarlo.

A la hora de priorizar las vulnerabilidades, hay que distinguir entre la existencia de una vulnerabilidad y las pruebas de que se ha aprovechado, así como la exposición local. Una etiqueta de urgencia generada por un modelo debería remitir a las pruebas pertinentes y al contexto del activo. Un informe de alto impacto sobre un producto que la organización no utiliza puede justificar la notificación sin que sea necesaria una tarea de corrección inmediata.

Relaciona los informes sin exagerar la atribución

La resolución de entidades asistida por IA puede ayudar a los analistas a encontrar informes que describan infraestructuras, alias o comportamientos relacionados. Esto puede reducir el trabajo que supone elaborar una cronología de la campaña y poner de relieve las contradicciones que merecen ser investigadas.

Mantén los vínculos propuestos como provisionales hasta que se confirmen. La infraestructura compartida puede tener explicaciones inocentes, y las técnicas de los atacantes suelen reutilizarse. Un dominio similar, una familia de malware o un comportamiento similar no demuestran que exista un operador común. Conserva los nombres de los actores específicos de cada fuente en lugar de fusionarlos silenciosamente en una sola identidad.

Elaborar resúmenes útiles para distintos tipos de lectores

Un mismo conjunto de pruebas puede servir de base tanto para un informe técnico de investigación como para un resumen ejecutivo, siempre que ambos reflejen el mismo grado de incertidumbre. La inteligencia artificial puede ayudar a adaptar el vocabulario, extraer pasajes relevantes e identificar la información que falta.

Es necesario que cada afirmación derivada incluya una referencia a la fuente. Un resumen no debe convertir un «acceso sospechoso» en una «intrusión confirmada», ni omitir que una observación se refería a un sector o un periodo de tiempo distintos. La persona que reciba el resumen debe poder reconstruir su fundamento sin tener que repetir todo el proceso de investigación.

¿Por qué una mayor cantidad de información de inteligencia no garantiza una mayor seguridad?

Una recopilación más amplia modifica lo que un equipo de inteligencia puede observar. Evalúa ese cambio por separado de las mejoras en la calidad de la investigación o en los resultados defensivos.

El informe de 2026 de CERT-EU resulta útil porque matiza sus propias observaciones: el cambio en sus datos sobre ciberdelincuencia reflejaba tanto la actividad de las amenazas como la ampliación de la vigilancia mediante la automatización y la inteligencia artificial. Sus cifras describen un ámbito específico y un proceso de recopilación concretos. No establecen una tasa de crecimiento mundial de los ataques ni aíslan la contribución de la inteligencia artificial al recuento de actores.

Las implicaciones para un programa de CTI empresarial son prácticas. Si un flujo de trabajo asistido por IA procesa más fuentes, el equipo podría descubrir más actores, relaciones y sucesos relevantes. El aumento del volumen de resultados podría deberse a una mejor cobertura, a la duplicación de informes, a un cambio real en la amenaza o a una combinación de estos factores.

Realiza un seguimiento del denominador de la recopilación junto con el resultado: fuentes revisadas, períodos de informe, requisitos cubiertos y esfuerzo de revisión. A continuación, pregúntate si la información adicional ha influido en una búsqueda, un control o una decisión de investigación. Una cola más amplia resulta útil cuando la organización es capaz de explicar su contenido y actuar en consecuencia.

Crear una arquitectura que preserve las pruebas

Un diseño fiable mantiene separados el material de origen, las evaluaciones generadas y la autorización para actuar. La arquitectura que se presenta a continuación es un patrón de implementación propuesto que los equipos pueden adaptar a sus requisitos en materia de datos y riesgos.

El proceso es sencillo: recopilar fuentes autorizadas, normalizarlas e indexarlas, extraer la información relevante, generar un borrador con restricciones, validarlo y publicarlo en un destino autorizado. Incorporar las correcciones al repositorio de información y al proceso de evaluación.

Utilizar la recuperación con controles de acceso

Aplica restricciones de acceso antes de la recuperación, de modo que un usuario no pueda obtener material al que no tenga permiso para acceder a través de un resumen generado por IA. Mantén los mismos límites al indexar documentos, recuperar fragmentos y almacenar los resultados generados.

Anota qué versiones de las fuentes se han consultado. Una referencia a un documento que haya sufrido modificaciones posteriores podría no explicar una valoración anterior. Cuando las fuentes discrepen, expón la discrepancia y sus fechas, en lugar de combinar las afirmaciones para formular una afirmación más categórica.

Limita el acceso a las herramientas a lo estrictamente necesario para el flujo de trabajo. Un servicio de resumen de informes suele poder funcionar sin privilegios para desactivar cuentas, modificar detecciones o ponerse en contacto con destinos externos. Una capa de políticas independiente debería determinar si se permite una acción propuesta.

Definir un registro de inteligencia mínima

Utiliza un registro coherente para que la información siga siendo verificable una vez que salga del modelo. Un contrato inicial útil incluye:

• Las necesidades de información y el destinatario previsto.
• La fuente original, el fragmento correspondiente y las fechas de publicación u observación.
• La entidad o afirmación extraída, con su forma original y su forma normalizada.
• Si el dato procede de una fuente, se ha observado de forma independiente o se ha deducido.
• Confianza, pruebas que la respaldan, pruebas contradictorias e incertidumbre sin resolver.
• Relevancia local, el siguiente paso recomendado, el propietario y una fecha de revisión o de caducidad.
• Restricciones de divulgación y un registro de las aprobaciones humanas cuando sea necesario.

Considera la falta de pruebas como un estado visible. La expresión «no se ha demostrado» resulta más útil que una conclusión plausible que más adelante se convierta en un hecho imposible de rastrear. Mantén los registros generados separados de los aprobados, de modo que los borradores no puedan circular como información validada.

Utiliza STIX y TAXII para garantizar la interoperabilidad

La «Structured Threat Information Expression» (STIX) proporciona objetos y relaciones para representar la inteligencia sobre amenazas. El «Trusted Automated Exchange of Intelligence Information» (TAXII) permite el intercambio de CTI a través de HTTPS. Sus funciones son complementarias: representación e intercambio.

La IA puede ayudar a proponer registros estructurados para estos flujos de trabajo. Valida tanto la estructura como el significado antes de publicarlos. Un registro bien estructurado puede contener, aun así, una atribución no admitida, un indicador incorrecto o una relación que la fuente nunca haya establecido.

Un ejemplo práctico: del informe de amenazas a la investigación validada

Imaginemos una empresa de ejemplo que investiga una denuncia sobre el robo de credenciales, seguido de cambios no autorizados en los privilegios de una cuent cloud . Se trata de un flujo de trabajo hipotético, no de un incidente real de un cliente ni de una afirmación sobre el rendimiento que haya sido comprobada.

El requisito: determinar si se observa un comportamiento similar en el entorno de la organización y si los datos de telemetría de que dispone pueden servir de apoyo a la investigación.

En primer lugar, el analista aprueba el informe para su procesamiento. El asistente de IA extrae los comportamientos descritos en el informe, las tecnologías afectadas, el periodo de observación y los pasajes relevantes. Registra que el informe describe otro entorno; no indica que se haya visto comprometida una cuenta local.

A continuación, el asistente propone una hipótesis de investigación: es posible que se haya utilizado una cuenta válida para realizar un cambio inusual en los privilegios y, a continuación, acceder a recursos confidenciales. Enumera las pruebas necesarias para comprobar dicha hipótesis, como los eventos de inicio de sesión, los registros de auditoría de cambios en los privilegios, la actividad de cloud y la titularidad de activos o identidades.

El analista comprueba si existen dichas fuentes, si el periodo de conservación abarca el periodo pertinente y si los identificadores pueden vincularse de forma fiable. Si no se dispone de una fuente de auditoría necesaria, ello se convierte en una limitación de la investigación y da lugar a una anotación en el registro. El asistente no debe presentar los datos que faltan como si se tratara de un resultado correcto.

A continuación, el asistente elabora una consulta utilizando el esquema real de la organización. Un ingeniero de detección comprueba los nombres de los campos, el tratamiento del tiempo, los filtros y el comportamiento de las uniones. El equipo prueba la consulta con actividades administrativas benignas conocidas y con un caso de prueba autorizado que representa el comportamiento sospechoso.

Supongamos que la búsqueda validada detecta un cambio en los privilegios. El analista comprueba el registro del cambio, el titular de la cuenta, la actividad relacionada y las pruebas contextuales. Una acción administrativa autorizada podría explicar el suceso. Un cambio inexplicable, acompañado de actividad sospechosa que lo corrobore, podría justificar que se eleve el asunto a un nivel superior.

El informe final de inteligencia integra el informe externo, las observaciones locales, la versión de la consulta, la evaluación del analista y las lagunas pendientes. Cualquier restricción de acceso se ajusta a la autoridad de la organización en materia de respuesta a incidentes y a los protocolos establecidos.

Este flujo de trabajo genera un resultado auditable incluso cuando la investigación no detecta ningún ataque confirmado: una evaluación fundamentada, una laguna de visibilidad documentada o una mejora en la detección que se ha comprobado.

Riesgos y controles relacionados con la inteligencia sobre amenazas basada en la IA

Los errores en la información de inteligencia pueden extenderse a los informes, la lógica de detección y las decisiones de respuesta. Establece controles en aquellos puntos en los que el contenido generado se considera fiable o adquiere la capacidad de afectar a otro sistema.

Pruebas alucinadas y falsa certeza

Un modelo puede inventarse un indicador, asociar una técnica al actor equivocado o citar un pasaje que no respalde su afirmación. Las directrices de OWASP sobre desinformación identifican las respuestas inventadas y la dependencia excesiva de los resultados de los modelos como riesgos para las aplicaciones de los modelos de lenguaje a gran escala (LLM).

Exige que las afirmaciones con implicaciones estén respaldadas por pasajes de texto y comprueba que realmente conduzcan a esa conclusión. Permite que el proceso se abstenga. Mantén la distinción entre los hechos relatados, los juicios analíticos y las recomendaciones.

No se debe interpretar la confianza declarada por un modelo como una probabilidad calibrada de que se produzca un ataque. Se debe utilizar un proceso de evaluación basado en pruebas y contrastar cualquier sistema de puntuación numérica con los resultados adecuados para el uso previsto.

Prompt injection y material de origen contaminado

Los informes de amenazas, las páginas consultadas y otros datos externos pueden contener instrucciones destinadas a redirigir a un asistente de IA. Las directrices de OWASP sobre la inyección de comandos explican que el RAG y el ajuste fino no mitigan por completo este riesgo.

Trata el material recuperado como una prueba que hay que analizar, no como instrucciones que hay que seguir. Limita el acceso a las herramientas, valida los resultados fuera del modelo y exige autorización para las acciones con privilegios. Comprueba si el contenido de fuentes malintencionadas puede alterar la tarea prevista, revelar información restringida o provocar una llamada no autorizada a una herramienta.

La información falsa también puede inducir a error sin dar instrucciones. Un informe inventado puede introducir asociaciones falsas que resultan cada vez más convincentes a medida que otros sistemas las repiten. Hay que rastrear la procedencia y la dependencia de las fuentes para evitar confundir la repetición con la corroboración.

H3: Información sensible e información obsoleta

Los informes restringidos pueden contener datos de las víctimas, conclusiones de la investigación o información compartida bajo condiciones específicas. Confirma qué entornos de procesamiento de IA pueden recibirlos y revisa las condiciones relativas a la conservación, el acceso, el registro y la reutilización. Una simple etiqueta de «compartir» no resuelve estas cuestiones.

La información de inteligencia también envejece. La infraestructura puede cambiar de titular, las evaluaciones pueden revisarse y los indicadores antiguos pueden perder su valor operativo. Establece fechas de revisión adecuadas para cada elemento, conserva las revocaciones y correcciones, y haz que los registros sustituidos sean visibles para los usuarios posteriores.

Vigila los cambios en el comportamiento del modelo y en las fuentes de datos de entrada. Una indicación o un clasificador que antes resultaban útiles pueden funcionar de forma diferente tras una actualización del modelo o un cambio en el lenguaje utilizado en los informes. Reevalúa el flujo de trabajo antes de dar por sentado que sus resultados anteriores siguen siendo válidos.

¿Cómo evaluar la IA en el ámbito de la inteligencia sobre amenazas?

Compara un flujo de trabajo asistido por IA con el proceso actual en el mismo tipo de trabajo, utilizando material reservado para la evaluación. Evalúa las decisiones resultantes y el esfuerzo total, incluyendo la validación y las modificaciones.

Un resumen de una investigación del SANS Technology Institute, de septiembre de 2026, describe las pruebas realizadas con tres modelos de lenguaje grande (LLM) comerciales utilizando 10 informes del CTI, así como la evaluación de la extracción de información de forma independiente de las consultas de búsqueda generadas. El resumen publicado respalda esa distinción en la evaluación; no establece un punto de referencia universal de rendimiento.

Mide la precisión y el esfuerzo por separado

Crea un conjunto de referencia revisado por analistas antes de comparar los resultados. Resuelve las discrepancias y registra los casos dudosos, en lugar de dar por sentado que la primera respuesta humana es completa. Asegúrate de que las versiones de origen, los modelos, las indicaciones, los parámetros de recuperación y las condiciones de prueba sean reproducibles.

La siguiente ficha de evaluación es un marco de evaluación propuesto. Selecciona los indicadores y los umbrales de aceptación que se ajusten a las consecuencias de un error en el flujo de trabajo elegido.

Define la unidad de evaluación de forma coherente. Un hash exacto, una relación extraída correctamente y un informe completo son unidades diferentes. Indica los denominadores de los informes y los tipos de error, incluidos los falsos negativos, en lugar de basarte en una única puntuación de precisión combinada.

Prueba los casos más complejos antes de ampliar la automatización

Incluye informes contradictorios, indicadores obsoletos, alias ambiguos de actores, cadenas de texto inofensivas, ejemplos benignos, datos de telemetría que faltan e instrucciones hostiles integradas en el material original. Prueba el contenido en los idiomas y formatos con los que el equipo trabaja realmente.

Empieza con una tarea de solo lectura, como la extracción vinculada a fuentes o la síntesis. Introduce la redacción de consultas una vez que el equipo pueda verificar la información de forma fiable. Añade la ejecución controlada solo cuando se hayan definido los permisos, la validación, los registros de auditoría y los procedimientos de reversión.

Una prueba piloto debe responder a una pregunta concreta: ¿ayuda este flujo de trabajo a los analistas a tomar decisiones fundamentadas con un esfuerzo y un margen de error aceptables? Si la comprobación de las fuentes supone un coste superior al ahorro en el trabajo de preparación, hay que revisar la tarea o el método antes de ampliar el acceso.

A la hora de evaluar una plataforma, pregunta cómo presenta las pruebas, mantiene los permisos, gestiona las correcciones y exporta los registros validados. Para conocer criterios de compra más amplios, consulta la guía sobre herramientas de inteligencia sobre amenazas.

¿Dónde encaja « Vectra AI »?

La inteligencia externa ayuda a los equipos a decidir qué comportamientos deben investigar. Las pruebas de comportamiento locales ayudan a determinar si se están produciendo actividades relacionadas en sus propias identidades, en su red y en los entornos de cloud .

Vectra AIEl enfoque de seguridad y observabilidad basado en IA de [nombre] es relevante para esa conexión operativa. Su caso de uso documentado sobre identidades describe el análisis del comportamiento de identidades humanas y no humanas, así como la correlación entre la identidad y la actividad de red. Estas capacidades pueden aportar contexto a las investigaciones basadas en inteligencia sobre amenazas; deben evaluarse en función de la telemetría y los flujos de trabajo reales de la organización.

Explora la detección y contención de ataques basados en la identidad para evaluar esa conexión. Aporta un requisito de inteligencia, una búsqueda representativa y las pruebas que esperas que examine un analista.

Para evaluar el producto, solicita una demostración de « Vectra AI » centrada en cómo tu equipo puede analizar comportamientos relevantes y llegar a una decisión fundamentada.

Nota: Esta guía se basa en investigaciones públicas, normas y documentación de productos. El ejemplo práctico y el marco de evaluación son orientaciones propuestas, no resultados de una prueba comparativa de productos.

‍