ESEl Análisis de comportamiento examina los datos de actividad para encontrar patrones en cómo las personas utilizan los sitios web, las aplicaciones y los servicios digitales. Los equipos de producto lo utilizan para comprender el compromiso y la conversión. Los equipos de seguridad lo utilizan para identificar actividades inusuales que necesitan una revisión más detallada.
La misma acción puede servir para ambos propósitos. Un inicio de sesión fallido puede revelar un proceso de inicio de sesión confuso. Los fallos repetidos en muchas cuentas también pueden respaldar una investigación de seguridad. El evento importa, pero su significado depende de la actividad que lo rodea.
¿Qué mide el Análisis de comportamiento?
Los datos de comportamiento incluyen las acciones que registra un servicio y el orden en que ocurren. Algunos sistemas analizan las visitas y compras de la página. Otros examinan los intentos de inicio de sesión, el tiempo de interacción o la actividad dentro de una cuenta.
Los tipos de datos comunes incluyen:
| tipo de datos | Ejemplos | Lo que ayuda a explicar |
|---|---|---|
| Eventos | Visitas a páginas, registros, compras, envíos de formularios | Qué acciones completan o abandonan los usuarios |
| Secuencias | Páginas visitadas antes del pago, acciones después de iniciar sesión | Cómo los usuarios avanzan a través de un proceso |
| Momento y frecuencia | Tiempo entre acciones, intentos repetidos, revisitas. | Cómo cambia la actividad dentro o entre sesiones |
| Patrones de interacción | Desplazamiento, movimiento del puntero, interacción con el teclado. | Cómo los usuarios operan una interfaz |
| Contexto de actividad | Rol de la cuenta, historial de sesiones, etapa de la transacción | Si una acción se ajusta a la situación |
No todos los sistemas recogen todas estas señales. Un equipo de producto puede estudiar un embudo de registro sin registrar los movimientos del mouse. Un sistema de seguridad API puede analizar secuencias de solicitudes sin recopilar datos de interacción del navegador.
Las propiedades del dispositivo y la información de la red pueden agregar contexto. Una huella digital del navegador describe las características del entorno de navegación. Esas características difieren de las acciones que se realizan dentro de él.
Un nuevo navegador es un cambio de entorno. Un aumento repentino en la actividad sensible de la cuenta es un cambio de comportamiento. Un sistema puede evaluar ambos, pero proporcionan evidencia diferente.
¿Cómo funciona el Análisis de comportamiento?
El proceso comienza con una pregunta. Es posible que un equipo de producto desee saber dónde abandonan el registro los usuarios. Un equipo de seguridad podría investigar si una cuenta se comporta de manera inusual.
Esa pregunta determina qué datos importan y cómo interpretarlos.
- Recopile actividad relevante. Los eventos del sitio web, los SDK de aplicaciones y los registros del servidor registran las acciones seleccionadas. El cobro depende del servicio y su configuración.
- Organiza los registros. Los eventos se agrupan por sesión, cuenta, segmento de usuarios o flujo de trabajo. Los eventos faltantes y la coincidencia de identidades incompleta pueden afectar el resultado.
- Busque patrones. Los analistas pueden comparar rutas, medir la conversión, agrupar usuarios o examinar cambios de un patrón esperado.
- Interprete los hallazgos. El resultado puede sugerir un problema con el producto, respaldar una hipótesis o identificar una actividad que merece investigación.
- Revise el resultado. Los experimentos, los comentarios de los usuarios y las investigaciones de seguridad ayudan a los equipos a juzgar si su interpretación fue útil.
Gestión de sesiones mantiene el estado de la aplicación en todas las solicitudes. Ese estado puede ayudar a un servicio a realizar acciones dentro de la misma sesión. Una sesión por sí sola no prueba quién las realizó.
Análisis de producto
Los equipos de producto suelen utilizar embudos para medir el progreso a través de una secuencia, como el registro, la configuración y el primer uso. El análisis de retención muestra si los usuarios regresan. El análisis de cohortes compara grupos que comparten un comportamiento o característica.
Estos métodos ayudan a localizar diferencias que vale la pena investigar. No explican la causa por sí solos.
Por ejemplo, los usuarios que completen la configuración pueden regresar con más frecuencia. Eso no prueba que completar la configuración provoque retención. Es más probable que los usuarios más motivados hagan ambas cosas.
Análisis de seguridad
Los equipos de seguridad pueden comparar la actividad actual con una línea de base. Esta línea de base representa el comportamiento esperado para una cuenta, un grupo o un flujo de trabajo en particular.
Un empleado de finanzas y un administrador de sistemas pueden tener patrones de acceso muy diferentes. Comparar ambos con un estándar amplio perdería un contexto útil.
Algunos sistemas utilizan patrones históricos y de pares para evaluar qué tan inusual es una acción. Una acción desconocida puede destacarse para una cuenta y resultar rutinaria para otras con una función diferente.
El resultado puede ser una puntuación o una etiqueta de anomalía. Una política separada determina lo que sucederá a continuación. El servicio puede solicitar verificación adicional, limitar una acción o enviar la actividad para su revisión.
Ejemplos de Análisis de comportamiento
Encontrar un problema al finalizar la compra
Supongamos que muchos compradores se van después de que aparecen los cargos de envío.
El análisis conductual identifica la etapa donde ocurren esas salidas. Luego, el equipo puede comparar dispositivos, opciones de entrega y grupos de clientes.
El costo de envío es una posible explicación. También podrían contribuir tiempos de entrega inesperados o información poco clara. Los comentarios de los clientes y las pruebas controladas ayudan a distinguir entre esas explicaciones.
El valor práctico es saber dónde investigar antes de cambiar el proceso de pago.
Revisión de actividad inusual de la cuenta
Considere una cuenta que normalmente accede a un pequeño conjunto de documentos durante el horario laboral. De repente comienza a descargar grandes volúmenes de archivos desconocidos después de un nuevo inicio de sesión.
Cada evento podría tener una explicación legítima. El usuario podría estar viajando o preparándose para un nuevo proyecto. En conjunto, los cambios pueden justificar verificar si la cuenta ha sido comprometida.
La investigación necesita permisos de cuenta, contexto de inicio de sesión y actividad comercial. Un patrón inusual inicia la revisión. No lo soluciona.
Evaluación de la actividad automatizada
La evidencia de comportamiento puede contribuir a la Detección de bots. Las secuencias de solicitudes repetidas o tasas de actividad inusuales pueden ayudar a identificar el tráfico automatizado.
Sin embargo, la automatización no es intrínsecamente dañina. Las pruebas aprobadas, los servicios de monitoreo y las integraciones pueden producir patrones altamente consistentes.
Los sistemas de detección pueden combinar señales de solicitud, sesión y navegador en lugar de depender únicamente del comportamiento. Una secuencia repetida se vuelve más útil cuando el sistema también sabe qué acción se intenta y bajo qué condiciones.
Una persona que utiliza la navegación con el teclado puede no producir ningún movimiento del mouse. Un administrador de contraseñas puede completar campos casi al instante. Ninguna acción prueba que la sesión sea maliciosa.
Análisis de comportamiento frente a conceptos relacionados
Varios términos se superponen con Análisis de comportamiento. Sus principales diferencias se refieren a los datos que enfatizan y las decisiones que apoyan.
| Concepto | Enfoque principal | Relación con Análisis de comportamiento |
|---|---|---|
| Analítica web | Tráfico y uso del sitio web | Puede incluir los mismos eventos, rutas y análisis de conversión. |
| Huellas digitales del navegador | Características del navegador y del dispositivo | Agrega contexto ambiental en lugar de describir el patrón de actividad completo. |
| Biometría del comportamiento | Características de interacción, como el ritmo de escritura. | Se centra más estrechamente en la identidad, la autenticación o la evaluación de riesgos. |
| Análisis de comportamiento de usuarios y entidades, o UEBA | Patrones de seguridad entre usuarios y otras entidades | Aplica análisis de comportamiento al monitoreo de seguridad |
| Puntuación de riesgo de propiedad intelectual | Señales de riesgo asociadas con una Dirección IP | Evalúa el contexto de la red en lugar del comportamiento completo de una cuenta. |
El análisis web y el Análisis de comportamiento suelen utilizar los mismos datos. Una herramienta puede informar vistas de páginas y también analizar las rutas entre esas páginas. La diferencia muchas veces radica en la pregunta que se hace.
La biometría del comportamiento tiene un enfoque más limitado. Examina las características de interacción que pueden ayudar a evaluar la identidad o el riesgo. El Análisis de comportamiento también cubre preguntas más amplias, como qué características adoptan los usuarios o dónde se desmorona un proceso de compra.
Una Puntuación de riesgo de IP se refiere a señales seleccionadas asociadas con una dirección de red. No resume todo lo que hace un usuario dentro de una cuenta. Un servicio puede considerar esa puntuación junto con la evidencia conductual, pero las dos evaluaciones no son intercambiables.
La frase análisis del comportamiento del usuario también aparece tanto en el contenido del producto como en el de seguridad. Su significado debe quedar claro en la aplicación, en lugar de asumirse a partir del nombre.
Dónde encajan los perfiles del navegador
Perfiles de navegador separados ayudan a organizar las cookies, las sesiones y los entornos de navegación. MoreLogin utiliza perfiles para mantener los entornos de cuentas separados.
Esa separación no cambia automáticamente la forma en que un operador utiliza un sitio web. Todavía pueden ocurrir acciones similares en diferentes entornos. Un perfil tampoco borra la actividad ya registrada por un servicio.
Mantener los entornos de cuentas separados puede reducir las confusiones de configuración. El servicio aún evalúa el historial y la actividad de la cuenta según sus propias reglas.
Limitaciones, falsos positivos y privacidad
Historia perdida y hábitos cambiantes
Las cuentas nuevas tienen poca historia con la que comparar. Las nuevas funciones y flujos de trabajo también pueden hacer que los patrones existentes sean menos útiles.
Incluso los usuarios establecidos cambian su comportamiento. Un ascenso, un dispositivo diferente o una nueva responsabilidad pueden alterar la actividad normal. Un sistema que ignora esos cambios puede generar alertas innecesarias.
Las líneas de base deben revisarse a medida que cambia el trabajo subyacente.
Datos incompletos o engañosos
El análisis depende de la calidad de los registros.
- Los eventos faltantes pueden hacer que un proceso completo parezca abandonado.
- Los eventos duplicados pueden inflar los recuentos de actividad.
- Las cuentas compartidas pueden mezclar las acciones de diferentes personas.
- Los cambios en las definiciones de eventos pueden dificultar la comparación de períodos.
Antes de interpretar un patrón inesperado, los equipos deben verificar si la recopilación de datos en sí cambió.
Falsos positivos y amenazas perdidas
La actividad legítima puede parecer inusual. La actividad sospechosa también puede parecerse al uso normal.
Las herramientas de accesibilidad, las interfaces táctiles y los usuarios experimentados pueden producir patrones que difieren de una sesión de escritorio típica. La Automatización del navegador autorizada también puede repetir acciones con una sincronización constante. Un proceso de seguridad necesita contexto para distinguir estas actividades del abuso.
Más alertas no significan necesariamente una mejor detección. Los equipos deben revisar qué alertas generaron hallazgos útiles y cuáles generaron trabajo innecesario.
Privacidad y manejo de datos
Los registros de comportamiento pueden exponer información detallada sobre cómo alguien utiliza un servicio. La colección debe coincidir con un propósito definido.
Los controles útiles incluyen:
- Limitar la recogida a los eventos necesarios.
- Enmascarar campos de entrada sensibles.
- Restringir el acceso a registros detallados.
- Establecimiento de periodos de retención.
- Explicar cómo se utilizarán los datos.
No se debe asumir que la grabación de sesiones oculta información confidencial automáticamente. Los equipos deben verificar su configuración y comprobar qué se captura realmente.
Preguntas frecuentes
¿Es el Análisis de comportamiento lo mismo que el análisis de comportamiento del usuario?
Los términos muchas veces se superponen. Los equipos de productos pueden utilizarlos para análisis de participación y conversión. Los equipos de seguridad pueden utilizar análisis del comportamiento del usuario para investigar actividades inusuales en la cuenta. El significado pretendido depende de los datos que se analizan y de la decisión que respaldan.
¿El Análisis de comportamiento requiere seguimiento del mouse?
No. Las visitas a páginas, el uso de funciones, las compras y los registros del servidor pueden respaldar el análisis de comportamiento sin datos punteros. El seguimiento del mouse es una posible fuente de información. No es un requisito y puede ser irrelevante para las aplicaciones móviles o la actividad API.
¿Puede el Análisis de comportamiento detectar bots?
Puede proporcionar evidencia de automatización. El tiempo de solicitud, las secuencias repetidas y otros patrones pueden contribuir al resultado de la detección. Esos patrones todavía necesitan contexto. La automatización aprobada puede parecer mecánica, mientras que algunas actividades automatizadas pueden parecerse al uso humano.
¿Puede una VPN o un perfil de navegador detener el seguimiento del comportamiento?
Ninguno de los dos garantiza que un servicio no pueda registrar la actividad dentro de su propio sitio web o aplicación. Una VPN cambia la ruta de la red. Un perfil de navegador separa partes del entorno de navegación. Ninguno de los dos elimina automáticamente los registros del servidor ni impide el análisis de las acciones actuales.
¿En qué se diferencia el Análisis de comportamiento de la biometría del comportamiento?
El Análisis de comportamiento examina los patrones de actividad con fines tales como la mejora del producto y la revisión de seguridad. La biometría del comportamiento se centra en las características de interacción que pueden respaldar decisiones de identidad o autenticación. El ritmo de escritura puede ser relevante para la biometría, mientras que el abandono del proceso de pago es una cuestión más amplia de Análisis de comportamiento.
