O que é baseline comportamental
O baseline comportamental é o perfil de referência construído para cada usuário, credencial ou ativo monitorado pelo Behavior Engine da Segura®. Ele representa o conjunto típico de ações, padrões, horários, métodos de acesso e comportamentos de interação que caracterizam o uso comum e legítimo daquele usuário no contexto da organização.
Esse perfil serve como parâmetro dinâmico para comparação contínua, sendo atualizado conforme o comportamento evolui ou novas atividades legítimas são aprendidas.
Criação do perfil do usuário
O Segura® emprega múltiplas fontes e sinais para construir e atualizar o baseline de cada usuário:
- Padrões de digitação: analisa a velocidade, ritmo, pressão e sequência das teclas pressionadas durante sessões interativas (RDP, SSH, web), identificando padrões únicos de cada usuário.
- Comandos executados: monitora a sequência, frequência e natureza dos comandos e scripts utilizados, tanto em terminais quanto em aplicações específicas.
- Horários de acesso: mapeia os horários e dias da semana mais comuns para cada usuário acessar recursos sensíveis.
- Dispositivos e locais: identifica endpoints, endereços IP, dispositivos móveis e locais de acesso habituais.
- Aplicações acessadas: registra quais sistemas, aplicações web, bancos de dados e ativos o usuário costuma utilizar, assim como a frequência e contexto.
- Padrões de sessão: analisa duração típica de sessões, intervalos entre acessos, workflow de navegação, e variações sazonais.
- Consultas e visualizações de credenciais: monitora a frequência, tipo e horário das consultas a segredos e senhas.
Fases do baseline
O processo de baseline é dividido em três grandes fases:
- Aprendizado inicial: nos primeiros acessos, o motor de comportamento coleta dados amplos, aprendendo os padrões fundamentais de cada usuário. Nesta fase, thresholds são mais flexíveis para evitar falsos positivos.
- Adaptação contínua: com o uso regular, o baseline se ajusta automaticamente a mudanças legítimas (ex: novo horário de trabalho, promoção de cargo, mudança de função). O modelo aprende novas rotinas e ajusta limites dinamicamente.
- Limites dinâmicos: os limites (thresholds) para detecção de anomalias não são estáticos: são adaptados por algoritmos de machine learning e reavaliados constantemente, levando em conta contexto organizacional, sazonalidade, e alterações de políticas.