El análisis de ciberseguridad generalmente sigue cuatro pasos:

1. Recopilación de datos. Las herramientas de seguridad extraen datos de firewalls, endpoints, servidores, plataformas en la cloud, aplicaciones y tráfico de red. Esto incluye intentos de inicio de sesión, acceso a archivos, conexiones de red y cambios en el sistema.
2. Correlación. La plataforma vincula eventos relacionados entre sí. Un inicio de sesión fallido por sí solo no es alarmante. Diez inicios de sesión fallidos desde una ubicación desconocida, seguidos de uno exitoso y la creación de una nueva cuenta de administrador, cuenta otra historia.
3. Establecimiento de línea base. El sistema aprende cómo se ve lo normal para tu negocio: quién inicia sesión y cuándo, qué dispositivos se comunican con qué servidores, y cuánta cantidad de datos suele entrar y salir. Esta línea base es lo que hace posible detectar anomalías.
4. Alertas y respuesta. Cuando la actividad se aleja de la línea base de una forma que sugiere riesgo, la plataforma la señala para que una persona la revise o, en algunas configuraciones, activa una respuesta automatizada, como aislar un dispositivo.

El aprendizaje automático juega un papel importante en los pasos tres y cuatro. En lugar de depender solo de firmas de ataques conocidos, un modelo de aprendizaje automático puede aprender los patrones normales de tu organización y señalar desviaciones, incluso de ataques que nadie ha visto antes.