Análisis del comportamiento de usuarios y entidades (UEBA): la guía completa para la detección de amenazas basada en el comportamiento

Los equipos de seguridad se enfrentan a una brecha fundamental en la detección. El 80 % de los ataques actuales malware y se basan en el compromiso de cuentas: los atacantes utilizan credenciales legítimas para moverse por los entornos sin ser detectados. Las herramientas tradicionales basadas en reglas no se diseñaron para esta realidad. El análisis del comportamiento de usuarios y entidades (UEBA) subsana esta brecha aprendiendo cuál es el comportamiento «normal» de cada usuario, terminal y aplicación, y señalando luego las desviaciones que puedan indicar una amenaza. Dado que el coste medio anual de los incidentes relacionados con personas internas alcanzará los 19,5 millones de dólares por organización en 2026, comprender cómo funciona el UEBA —y cuál es su lugar en una pila de seguridad moderna— ya no es opcional. Esta guía abarca los mecanismos básicos del UEBA, sus principales casos de uso, cómo se compara con el SIEM y la evolución emergente hacia la seguridad basada en IA y la gestión de riesgos internos.

¿Qué es la UEBA?

El análisis del comportamiento de usuarios y entidades (UEBA) es una tecnología de ciberseguridad que utiliza el aprendizaje automático y el análisis estadístico para establecer patrones de comportamiento de referencia de usuarios y entidades —como terminales, servidores y aplicaciones— y, a continuación, detecta anomalías que puedan indicar cuentas comprometidas, amenazas internas u otros riesgos de seguridad.

Esa definición resume la esencia de lo que hace la UEBA, pero el contexto es tan importante como la tecnología. En un panorama en el que los atacantes recurren cada vez más a credenciales robadas en lugar de malware, las defensas perimetrales y la detección basada en firmas se quedan cortas. La UEBA cubre esta laguna al desplazar el foco de atención de los patrones de ataque conocidos hacia las desviaciones de comportamiento que indican que algo va mal, incluso cuando todas las acciones se realizan mediante un acceso legítimo.

Esta tecnología surgió a partir del análisis del comportamiento de los usuarios (UBA), que solo supervisaba la actividad de los usuarios humanos. El UEBA amplió su ámbito de aplicación para incluir entidades —terminales, servidores, aplicaciones, cuentas de servicio y dispositivos IoT— ya que las amenazas rara vez se limitan a una sola sesión de usuario. Una cuenta de servicio comprometida o una aplicación mal configurada pueden suponer un riesgo tan grande como un empleado deshonesto.

En esencia, la UEBA se basa en cuatro componentes que funcionan de forma conjunta:

• Ingesta de datos: recopilación de registros y datos de telemetría procedentes de SIEM, Active Directory, cloud , agentes de terminales y sistemas de recursos humanos
• Creación de una línea de referencia: elaboración de perfiles de comportamiento a lo largo del tiempo mediante el aprendizaje automático y los modelos estadísticos
• Detección de anomalías: identificación de desviaciones respecto a los patrones establecidos en cuanto a horas de inicio de sesión, volúmenes de acceso a datos, conexiones de red y uso de recursos
• Puntuación de riesgo: asignación de puntuaciones numéricas que reflejan la gravedad y el grado de confianza de las anomalías detectadas

La UEBA es importante porque aborda el punto ciego en la detección que las herramientas basadas en reglas no pueden cubrir. Cuando un atacante inicia sesión con credenciales válidas, accede a datos dentro de su ámbito de autorización aparente y extrae información a través de canales autorizados, las reglas estáticas no detectan nada anormal. El análisis de comportamiento detecta la desviación respecto al patrón establecido del usuario y activa la alerta.

UBA contra UEBA: qué ha cambiado

El paso de UBA a UEBA refleja una lección práctica que han aprendido los equipos de seguridad. La supervisión exclusiva de la actividad de los usuarios dejaba importantes lagunas. Los servidores que se comunicaban con direcciones IP externas inusuales, las aplicaciones que realizaban llamadas a la API inesperadas y los dispositivos finales que mostraban un comportamiento de red anómalo quedaban todos fuera del alcance de UBA.

UEBA amplía la supervisión del comportamiento a todas las entidades con presencia en la red, creando una visión unificada de la actividad tanto de los usuarios como de la infraestructura. Este alcance más amplio resulta especialmente importante para detectar casos de robo de credenciales en los que los atacantes pasan de cuentas de usuario a accesos a nivel del sistema, o en los que las cuentas de servicio comprometidas operan independientemente de cualquier sesión humana.

Cómo funciona la UEBA

La UEBA funciona mediante un proceso estructurado que transforma los datos de telemetría sin procesar en alertas priorizadas y con puntuación de riesgo. Comprender este proceso es fundamental para evaluar las soluciones de UEBA y establecer expectativas realistas de implementación.

1. Recopilar datos de los registros de SIEM, Active Directory, los registros cloud , la telemetría de los dispositivos finales y los sistemas de recursos humanos
2. Normalizar y enriquecer los eventos sin procesar con información sobre la identidad, la clasificación de activos y metadatos organizativos
3. Crea grupos de referencia por función, departamento, ubicación geográfica y patrones de acceso
4. Establecer patrones de referencia de comportamiento mediante el aprendizaje automático supervisado y no supervisado durante un periodo de aprendizaje de entre 60 y 90 días
5. Detectar anomalías comparando la actividad en tiempo real con los valores de referencia establecidos y las normas del grupo de referencia
6. Asignar puntuaciones de riesgo en función de la gravedad de la desviación, la frecuencia y los factores contextuales
7. Sesiones de Stitch para correlacionar eventos discretos en líneas temporales de investigación unificadas
8. Generar alertas priorizadas con información contextual puntuada según el riesgo para que los analistas las revisen y respondan

Los métodos de aprendizaje automático en los que se basa la UEBA varían según la implementación. El aprendizaje supervisado entrena modelos a partir de ejemplos etiquetados de amenazas conocidas. El aprendizaje no supervisado identifica agrupaciones y valores atípicos sin etiquetas predefinidas, lo que lo hace especialmente valioso para detectar nuevos patrones de ataque. La mayoría de las implementaciones de UEBA en producción combinan ambos enfoques con modelos estadísticos para equilibrar la precisión de la detección y las tasas de falsos positivos.

Según la ISA Global Cybersecurity Alliance, el UEBA basado en el aprendizaje automático puede reducir los falsos positivos hasta en un 60 % en comparación con los métodos de detección basados en reglas. Esta reducción no es automática, sino que depende de la calidad de los datos, la duración del periodo de referencia y el ajuste continuo.

Evaluación de riesgos y análisis comparativo

La puntuación de riesgo de la UEBA asigna un valor numérico —normalmente en una escala de 0 a 100— a cada usuario y entidad en función de la gravedad y la frecuencia de las anomalías de comportamiento. Un solo inicio de sesión inusual desde una nueva ubicación podría sumar cinco puntos. Ese mismo inicio de sesión, combinado con un volumen anormal de descarga de datos y el acceso a un repositorio al que no se había accedido anteriormente, podría hacer que la puntuación superara un umbral crítico.

Los grupos de referencia permiten obtener una evaluación más precisa. En lugar de comparar el comportamiento de un analista financiero con el de toda la organización, la UEBA lo compara con el de otros analistas financieros de la misma región que presentan patrones de acceso similares. Un administrador de bases de datos que ejecuta 500 consultas al día puede parecer anómalo en comparación con el conjunto general, pero normal dentro de su grupo de referencia. Sin el contexto del grupo de referencia, la UEBA genera ruido en lugar de señales.

El establecimiento dinámico de líneas de referencia garantiza que los grupos de referencia y las líneas de referencia evolucionen con el tiempo. Cuando un empleado cambia de puesto, asume nuevos proyectos o adopta nuevas herramientas, la línea de referencia se ajusta en consecuencia, lo que evita que los cambios legítimos en el comportamiento provoquen falsos positivos persistentes.

El periodo de aprendizaje inicial

El periodo de entrenamiento inicial es uno de los aspectos más importantes —y más a menudo subestimados— de la implementación de UEBA. Security Boulevard recomienda un periodo de entrenamiento inicial de entre 60 y 90 días antes de que las organizaciones puedan esperar una detección fiable de anomalías.

Durante este periodo, el sistema recopila datos, elabora perfiles de comportamiento, crea grupos de referencia y ajusta los umbrales de puntuación de riesgo. Implementar UEBA y esperar resultados de detección inmediatos conlleva dos problemas: un exceso de falsos positivos debido a referencias incompletas y la falta de detección debido a modelos insuficientemente entrenados.

Las organizaciones deben planificar el periodo de referencia durante la implementación. Es mejor empezar por casos de uso de gran valor —como la supervisión de cuentas con privilegios y la detección de fugas de datos— en lugar de intentar supervisarlo todo a la vez. Este enfoque específico genera confianza en el sistema mientras los valores de referencia se consolidan en todo el entorno.

Casos de uso de UEBA

UEBA aporta valor en varios escenarios de detección críticos que las herramientas basadas en reglas tienen dificultades para abordar:

1. Detección de cuentas comprometidas: identificación del uso indebido de credenciales mediante desplazamientos imposibles, horas de inicio de sesión inusuales y desviaciones en los patrones de acceso respecto a los valores de referencia de comportamiento
2. Detección de la filtración de datos: identificación de volúmenes de descarga anormales, acceso a repositorios de datos inusuales y patrones atípicos de transferencia saliente
3. Escalada de privilegios: detección de cambios en los permisos, modificaciones de roles y ampliaciones de acceso que se desvían de las líneas de base establecidas
4. Actividades fraudulentas por parte de personas con información privilegiada: identificación de fraudes financieros, robos de propiedad intelectual e incumplimientos de las políticas mediante el análisis de desviaciones en el comportamiento
5. Infiltración de agentes de Estados-nación: detección de agentes que utilizan credenciales legítimas mediante la identificación de patrones de comportamiento incompatibles con las funciones que afirman desempeñar

Ejemplos de la vida real

Fraude financiero en Goldguard Holdings. En un caso documentado en una publicación académica de IntechOpen, un asesor financiero de Goldguard Holdings intentó blanquear dinero a través de cuentas de clientes inactivas. El sistema UEBA detectó consultas anómalas en la base de datos y una desactivación muy frecuente de las notificaciones de las cuentas, comportamientos que se desviaban de la línea de base establecida para el asesor. Las herramientas basadas en reglas no detectaron esta actividad en absoluto, ya que el asesor utilizó en todo momento credenciales legítimas y aplicaciones autorizadas.

Espionaje corporativo a través de plataformas SaaS. El Informe sobre amenazas internas de 2026 del Cyber Strategy Institute documenta un caso en el que un empleado filtró listas de clientes, detalles de precios e información de empleados a través de Slack, Salesforce y Google Drive durante cuatro meses. Los sistemas tradicionales de prevención de pérdida de datos (DLP) no detectaron la filtración porque cada acción individual parecía estar autorizada. Una supervisión del comportamiento multiplataforma de tipo UEBA habría señalado la desviación acumulada respecto a los patrones de acceso habituales del empleado.

Infiltración de trabajadores de TI de la RPDC. Según los informes de inteligencia sobre amenazas de Flashpoint, agentes vinculados a la RPDC realizaron más de 6.500 entrevistas dirigidas a más de 5.000 empresas hasta mediados de 2025, consiguiendo puestos de trabajo mediante identidades falsas para obtener acceso legítimo con fines de espionaje. El análisis de patrones de comportamiento de UEBA está especialmente preparado para detectar a estos agentes, ya que sus patrones de trabajo reales —los sistemas a los que acceden, los datos que consultan, las horas que trabajan— se desvían inevitablemente de las normas de comportamiento propias de los puestos que dicen ocupar.

UEBA frente a SIEM: funciones complementarias

Una de las preguntas más habituales que se plantean los equipos de seguridad es si la UEBA sustituye al SIEM, o si forma parte de él. La respuesta es que no es ninguna de las dos cosas. La UEBA y el SIEM desempeñan funciones complementarias que, en conjunto, ofrecen una cobertura de detección más amplia que la que cualquiera de ellos lograría por sí solo.

Comparación entre SIEM y UEBA en cuanto a sus capacidades básicas de detección:

El SIEM destaca en la detección de amenazas conocidas mediante reglas predefinidas y correlaciones. Cuando sabes qué buscar —un indicador específico de compromiso, una dirección IP maliciosa conocida, un patrón de incumplimiento de políticas—, el SIEM lo detecta de manera eficaz. El UEBA destaca en la detección de amenazas desconocidas y riesgos internos mediante la identificación de desviaciones de comportamiento que ninguna regla había previsto.

¿Forma parte la UEBA del SIEM? Cada vez más, sí. El mercado avanza hacia la convergencia, y las principales plataformas están integrando el análisis de comportamiento directamente en los flujos de trabajo del SIEM. Esta convergencia tiene sentido desde el punto de vista operativo: los analistas necesitan el contexto de comportamiento junto con los datos de registro, y no en una consola independiente.

Para las organizaciones que están comparando UEBA y XDR, la comparación no es tan directa. La detección y respuesta ampliadas (XDR) ofrecen detección y respuesta multidominio en terminales, redes, cloud y la identidad. UEBA proporciona la capa de análisis de comportamiento que enriquece las detecciones de XDR con el contexto del usuario y la entidad. Del mismo modo, UEBA se diferencia del análisis del tráfico de red (NTA) en que este último se centra en las anomalías a nivel de red, mientras que UEBA supervisa los patrones de comportamiento en todas las fuentes de datos.

Detección de amenazas internas con UEBA

Las amenazas internas siguen siendo uno de los retos de seguridad más difíciles de abordar. Según el Índice de Riesgos Internos, el 93 % de las organizaciones afirma que los ataques internos son tan difíciles —o más— de detectar como las amenazas externas. La UEBA está diseñada específicamente para hacer frente a este problema.

Las amenazas internas se dividen en tres categorías, cada una de las cuales requiere distintos métodos de detección:

• Empleados o contratistas malintencionados: personas que, de forma intencionada, roban datos, cometen fraudes o sabotean los sistemas. La UEBA los detecta a través de desviaciones de comportamiento continuadas, como volúmenes inusuales de acceso a datos o actividad fuera del horario laboral.
• Cuentas comprometidas: credenciales de usuarios legítimos controladas por atacantes externos. UEBA las detecta a través de inconsistencias de comportamiento, como desplazamientos imposibles, uso de dispositivos desconocidos y patrones de acceso que se desvían de la línea de base del titular de la cuenta.
• Usuarios negligentes: empleados que, sin darse cuenta, generan riesgos al incumplir las políticas o seguir prácticas de seguridad deficientes. La UEBA los detecta a través de patrones como intentos repetidos de autenticación fallidos, uso no autorizado de aplicaciones y anomalías en el manejo de datos.

El Informe sobre amenazas internas de 2026 revela que el 78 % de los incidentes de este tipo afectan actualmente a recursos cloud SaaS, lo que hace imprescindible la supervisión del comportamiento multiplataforma. Las implementaciones tradicionales de UEBA en las propias instalaciones, que se centran únicamente en Active Directory y en los registros de los terminales, pasan por alto la mayor parte de la actividad actual relacionada con las amenazas internas.

MITRE ATT&CK para las detecciones de UEBA

Las capacidades de detección de UEBA se corresponden directamente con MITRE ATT&CK , lo que proporciona un marco estandarizado para evaluar la cobertura de detección:

Cobertura de detección de UEBA asignada a MITRE ATT&CK :

Este esquema muestra que UEBA ofrece detección de amenazas cobertura en las distintas fases de la cadena de ataque, desde el acceso inicial hasta la exfiltración. El enfoque basado en el comportamiento resulta especialmente eficaz contra los ataques basados en credenciales (cuentas válidas, T1078) ya que estas técnicas se aprovechan específicamente de un acceso legítimo que las herramientas basadas en firmas no pueden distinguir de la actividad normal.

Reclasificación de IRM y evolución de UEBA según Gartner

En una medida que marca un hito en el mercado, Gartner ha reclasificado las soluciones UEBA independientes dentro de la categoría más amplia de «soluciones de gestión del riesgo interno». Esta reclasificación refleja la realidad de que el análisis del comportamiento por sí solo no es una respuesta completa al riesgo interno: las organizaciones necesitan capacidades integradas que abarquen UEBA, prevención de pérdida de datos, supervisión de empleados y flujos de trabajo de investigación.

Para los responsables de seguridad que evalúan herramientas de UEBA, la reclasificación del IRM implica tres cosas. En primer lugar, las implementaciones de UEBA independientes son cada vez menos habituales: el mercado se decanta por las plataformas integradas. En segundo lugar, los criterios de evaluación deben ir más allá de la detección de anomalías para incluir la protección de datos, los flujos de trabajo de investigación y los informes de cumplimiento normativo. En tercer lugar, la propia definición de «usuario interno» se está ampliando más allá de los usuarios humanos para incluir cuentas de servicio y agentes de IA.

El mercado de UEBA refleja esta evolución. Con un valor estimado de 4.270 millones de dólares en 2026 y un crecimiento anual compuesto del 33,8 %, el mercado se está consolidando rápidamente en torno a plataformas integradas de gestión de riesgos internos. El informe «Global Cybersecurity Outlook 2026» del Foro Económico Mundial señala que el 40 % de las organizaciones utilizan actualmente capacidades de UEBA potenciadas por la inteligencia artificial, lo que supone un aumento significativo con respecto a años anteriores.

Análisis del comportamiento de los agentes de IA: la próxima frontera

La aparición de agentes de IA en entornos empresariales crea una nueva categoría de riesgo interno que el UEBA tradicional no estaba diseñado para abordar. En enero de 2026, un importante proveedor de UEBA lanzó el análisis del comportamiento de los agentes (ABA), aplicando los principios de establecimiento de referencias de comportamiento a la actividad de los agentes de IA, una novedad en el sector.

La necesidad es evidente. Los agentes de IA operan con credenciales, acceden a repositorios de datos, realizan llamadas a API e interactúan con los sistemas de una forma muy similar al comportamiento de los usuarios humanos. Sin embargo, según un informe sobre riesgos internos de 2026 analizado por Kiteworks, solo el 19 % de las organizaciones considera actualmente a los agentes de IA con credenciales como usuarios internos.

Esta brecha supone un riesgo considerable. Un agente de IA comprometido —o uno que se desvíe de su ámbito de actuación previsto— puede acceder a datos confidenciales, modificar configuraciones y filtrar información a la velocidad de una máquina. Ampliar los principios de la UEBA a la seguridad de la IA basada en agentes implica establecer un patrón de referencia del comportamiento esperado de un agente (qué API invoca, a qué datos accede, qué volúmenes procesa) y generar alertas cuando se producen desviaciones.

Enfoques modernos del análisis del comportamiento

Para que la implementación de UEBA sea eficaz en 2026, no basta con elegir la tecnología adecuada. Las organizaciones deben abordar cuestiones como la integración, la adecuación a los requisitos normativos y la preparación operativa para poder extraer un valor real del análisis del comportamiento.

Buenas prácticas de implementación:

• Empieza por los casos de uso de mayor importancia —la supervisión de cuentas con privilegios y la detección de fugas de datos— antes de ampliar el alcance
• Integra UEBA con la infraestructura SIEM existente para obtener un contexto más detallado y guiones automatizados de respuesta a incidentes
• Planifica un periodo de aprendizaje inicial de entre 60 y 90 días y establece las expectativas con la dirección en consecuencia
• Establecer una coordinación interdepartamental entre los equipos de seguridad, TI, RR. HH. y el departamento jurídico para la gestión del acceso a los datos
• Ajustar continuamente las líneas de referencia y los umbrales de puntuación de riesgo para mantener la precisión de la detección a medida que evoluciona el entorno

Criterios de evaluación para soluciones UEBA:

• Amplitud de las fuentes de datos: ¿cuántas fuentes de telemetría puede integrar la plataforma?
• Transparencia de los modelos de aprendizaje automático: ¿pueden los analistas comprender por qué se ha asignado una puntuación de riesgo?
• Nivel de integración: ¿se integra la plataforma con tus herramientas actuales de SIEM, SOAR y respuesta?
• Índices de falsos positivos: ¿qué reducción del ruido de las alertas puede demostrar la plataforma?
• Cobertura Cloud SaaS: ¿ofrece la plataforma supervisión del comportamiento más allá de la infraestructura local?

Las organizaciones también deberían tener en cuenta cómo el UEBA complementa la detección y respuesta de red (NDR) y la detección y respuesta ante amenazas de identidad (ITDR). El NDR ofrece detección basada en el comportamiento en la capa de red, identificando patrones de tráfico anómalos y movimientos laterales. El ITDR se centra en los ataques basados en la identidad en Active Directory y en los proveedores cloud . Junto con el UEBA, estas capacidades crean una detección basada en el comportamiento en múltiples capas que abarca a usuarios, entidades, redes e identidades.

La UEBA y los marcos de cumplimiento

Las capacidades de UEBA se ajustan directamente a los requisitos de los principales marcos de cumplimiento:

Conformidad de la UEBA con los principales marcos normativos y de seguridad:

El estudio «El coste de las filtraciones de datos en 2025», elaborado por el Ponemon Institute, reveló que las organizaciones que utilizan la inteligencia artificial y la automatización —incluida la UEBA— reducen los tiempos de detección en aproximadamente 80 días, lo que supone un ahorro de unos 1,9 millones de dólares por cada filtración. Estos datos ponen de relieve los argumentos financieros y de cumplimiento normativo a favor de la inversión en análisis de comportamiento.

Cómo Vectra AI la detección de amenazas basadas en el comportamiento

El enfoque Vectra AI para la detección de amenazas basada en el comportamiento se basa en la filosofía de «asumir que el sistema ha sido comprometido»: el reconocimiento de que los atacantes decididos lograrán acceder al sistema, por lo que la prioridad debe ser localizarlos rápidamente. Attack Signal Intelligence el análisis de comportamiento en la red, las identidades y cloud para detectar los comportamientos de los atacantes que realmente importan, no solo las anomalías que son fáciles de encontrar. En lugar de tratar la UEBA como una capacidad independiente, esta metodología integra la detección de comportamiento en una señal unificada que reduce el ruido y proporciona a los analistas la claridad necesaria para actuar con decisión.

Tendencias futuras y consideraciones emergentes

El panorama del análisis del comportamiento está evolucionando rápidamente, impulsado por los cambios en las tácticas de ataque, la complejidad de las infraestructuras y la presión normativa. En los próximos 12 a 24 meses, las organizaciones deben prepararse para varios avances clave.

El riesgo asociado a los agentes de IA se acelerará. A medida que las empresas implementen más agentes de IA con capacidad de toma de decisiones autónoma y credenciales de sistema, la superficie de ataque para las amenazas de tipo interno se ampliará drásticamente. La ampliación de los perfiles de comportamiento a las identidades no humanas —mediante el seguimiento de los patrones de llamadas a las API, los volúmenes de acceso a los datos y las frecuencias de interacción— pasará de ser una capacidad emergente a convertirse en un requisito fundamental. El 19 % de las organizaciones que actualmente tratan a los agentes de IA como personal interno deberá aumentar considerablemente.

La convergencia entre SIEM y UEBA se intensificará. El mercado de las soluciones UEBA independientes se está reduciendo, ya que los principales proveedores de plataformas están integrando el análisis de comportamiento directamente en los flujos de trabajo de SIEM y XDR. Las organizaciones que tengan previsto invertir en UEBA deberían evaluar si una herramienta independiente de primera categoría o una plataforma integrada se adapta mejor a su modelo operativo, teniendo en cuenta que la tendencia del mercado se inclina claramente hacia la integración.

Los requisitos normativos impulsarán su adopción. La aplicación de la Directiva NIS II en toda la UE, la ampliación de los requisitos de ciberseguridad de la HIPAA y el énfasis del Marco de Ciberseguridad del NIST en la supervisión continua del comportamiento llevarán a más organizaciones a adoptar la UEBA, especialmente en los sectores de infraestructuras críticas, atención sanitaria y servicios financieros.

Los flujos de trabajo autónomos del SOC transformarán las operaciones. Dado que, según el informe «Global Cybersecurity Outlook 2026» del Foro Económico Mundial, el 77 % de las organizaciones está adoptando la inteligencia artificial para la ciberseguridad, las puntuaciones de riesgo generadas por UEBA alimentarán cada vez más los guiones automatizados de investigación y respuesta. La función del analista pasará de revisar alertas individuales a validar las conclusiones de las investigaciones basadas en la inteligencia artificial y ajustar los modelos de comportamiento.

Las organizaciones deberían dar prioridad a las inversiones en plataformas que ofrezcan detección de comportamientos en múltiples entornos (que abarquen la red, la identidad, cloud y el SaaS), modelos de aprendizaje automático transparentes que los analistas puedan comprender y ajustar, y la integración con los flujos de trabajo de orquestación de seguridad existentes.

Conclusión

La UEBA aborda una de las carencias más persistentes de la seguridad moderna: la detección de amenazas que utilizan el acceso legítimo para eludir las defensas basadas en reglas. Dado que los costes derivados de los riesgos internos ascienden a 19,5 millones de dólares al año y que el 78 % de los incidentes internos afectan a cloud , el análisis de comportamiento se está convirtiendo en un elemento fundamental, más que en una opción.

El mercado está evolucionando rápidamente. La reclasificación de IRM de Gartner, la aparición del análisis del comportamiento de los agentes de IA y la convergencia de UEBA con las plataformas SIEM y XDR están transformando la forma en que las organizaciones conciben la detección basada en el comportamiento. Los equipos de seguridad que invierten hoy en UEBA deben planificar la integración, dar prioridad a la cobertura del comportamiento en todas las superficies y prepararse para un futuro en el que las identidades no humanas requieran el mismo escrutinio de comportamiento que los usuarios humanos.

Para aquellas organizaciones que deseen explorar cómo encaja la detección de amenazas basada en el comportamiento en una arquitectura de seguridad moderna, la descripción general de la plataformaVectra AI ofrece un punto de partida para comprender cómo Attack Signal Intelligence detección basada en el comportamiento en cloud de red, de identidad y cloud .