Loading
_ DESCIFRANDO CONEXIÓN SEGURA...

Lo normal de una cuenta y de sus pares

5 tareas · 40 min · Principiante

En Andamar una cuenta que hoy toca once equipos distintos puede ser un intruso o una persona que cambió de puesto el jueves. Un umbral igual para todos no lo sabe. El análisis del comportamiento de usuarios y entidades (UEBA, a nivel conceptual) compara cada cuenta con su propia historia y con la de quienes hacen su mismo trabajo. Aquí calculas esas desviaciones sobre tablas ya escritas y aprendes cuándo la base propia no sirve. Todo es lectura de tablas de ejemplo.

0 de 5 · 0%

Objetivo de la sala

En Andamar una cuenta que hoy toca once equipos distintos puede ser un intruso o una persona que cambió de puesto el jueves. Un umbral igual para todos no lo sabe. El análisis del comportamiento de usuarios y entidades (UEBA, a nivel conceptual) compara cada cuenta con su propia historia y con la de quienes hacen su mismo trabajo. Aquí calculas esas desviaciones sobre tablas ya escritas y aprendes cuándo la base propia no sirve. Todo es lectura de tablas de ejemplo.

Una línea base puede ser propia (la historia de esa cuenta: cuántos equipos suele tocar) o de pares (lo que hacen hoy las demás cuentas de su rol). La propia detecta cambios respecto a uno mismo; la de pares detecta a quien se sale del grupo. La medida es la misma: cuántas desviaciones separan el valor de hoy de la media, es decir (valor - media) / desviación.

La base propia necesita historia. Una cuenta con pocos días no tiene una media fiable, y con una desviación diminuta cualquier cosa parece enorme. Ahí entran los pares.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Una cuenta se creó hace pocos días y su historia propia es casi nula. ¿Con qué se compara su comportamiento de hoy?

La tabla historial_cuentas trae, por cuenta, los equipos distintos de hoy, su media y su desviación propias y los días de historia. Calcula para cada cuenta cuántas desviaciones se alejó hoy. Como regla de la tabla, solo cuentan las que tienen 14 o más días de historia: con menos, la media no es fiable.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe la cuenta con mayor desviación propia entre las que tienen 14 o más días de historia.

Ver pista de ayuda

Calcula (equipos_hoy - media_propia) / desv_propia por fila, ignorando las de menos días.

evargas lleva pocos días y hoy tocó once equipos. La tabla pares_facturacion tiene lo que tocaron hoy ocho cuentas de su rol. Calcula la media de los ocho valores y su desviación poblacional (la raíz del promedio de los cuadrados de las diferencias con la media, dividiendo entre ocho) y mide a evargas contra ese grupo.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe cuántas desviaciones se aleja evargas de la media de sus pares.

Ver pista de ayuda

La media y la desviación salen de la columna equipos_hoy de pares_facturacion.

El valor más alto de la tarea 2 pertenece a alguien que cambió de puesto hace pocos días: su historia es de otro trabajo. Un salto así no es una anomalía, es un cambio conocido. La tabla cambios_rol los trae de RR. HH. Hay que descartar las cuentas con un cambio de rol en los últimos catorce días (hoy es 6 de octubre de 2026) y quedarse con la mayor desviación propia que queda.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Escribe la cuenta de mayor desviación propia, con historia suficiente, que no cambió de rol en los últimos 14 días.

Ver pista de ayuda

Cruza historial_cuentas con cambios_rol y mira la fecha de cada cambio.

Dos cuentas de la tabla no tienen historia suficiente. Callarlas sería ciego (justo las nuevas son las que nadie conoce) y alertar por todas sería ruidoso. La práctica razonable es evaluarlas contra sus pares, marcar el resultado con menor confianza y revisarlo con la misma prioridad que otras señales débiles.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Hay cuentas con pocos días de historia. ¿Cómo las trata la regla de comportamiento?

Inicia sesión para registrar tus puntos y progreso en el ranking.

Conectando con la base…

SIEM · Distribuidora Andamar — comportamiento propio y de los pares
KQL · consultas previstas · datos ficticios, no se ejecuta nada

Tablas

historial_cuentas

  • cuenta
  • rol
  • dias_de_historial
  • equipos_hoy
  • media_propia
  • desv_propia

pares_facturacion

  • cuenta
  • equipos_hoy

cambios_rol

  • cuenta
  • rol_anterior
  • rol_nuevo
  • fecha
Ctrl + Enter
Consola de consultas v1.0 · build b77233

Whoami-Labs Pro

Whoami-Labs Pro utiliza cookies

Utilizamos cookies y almacenamiento local para el funcionamiento del sitio, seguridad de sesión y, si lo autorizas, analítica y marketing. Puedes aceptar, rechazar o personalizar. Política de Privacidad