Módulo Sessions

Manual Técnico - Módulo Sessions

Plataforma ADO-STS (Funcionamiento Real del Sistema)

---

MÓDULO SESSIONS - ANÁLISIS COMPLETO

1. ARQUITECTURA REAL DEL SISTEMA

Propósito1.1 Funcionamiento del SDK y FuncionalidadModelo de Scoring

El sistema ADO-STS opera bajo un modelo de análisis comportamental puro, donde:

• El SDK recolecta datos comportamentales del usuario en tiempo real
• Los modelos de IA procesan esta información y generan un score basado en patrones
• El módulo Sessions proporcionarecibe unadatos vistaya detalladaprocesados con scores calculados
• Los filtros son para análisis retrospectivo, no para modificar scores en tiempo real

Flujo de Datos Real:

Usuario → SDK (Recolección) → Modelos IA (Análisis) → Score Calculado → Sessions (Visualización)

1.2 Principio de Scoring Comportamental

Según la documentación técnica, el score se calcula mediante:

Componente	Peso	Descripción
Modelo de Comportamiento del Usuario	40%	Patrones únicos de interacción
Modelos Generales de Comportamiento	35%	Comparación con patrones conocidos
Modelos de Defraudadores Identificados	25%	Correlación con fraudes confirmados

Fórmula de Score Integrado:

Score Final = (Comportamiento_Usuario × 0.40) + 
              (Comportamiento_General × 0.35) + 
              (Patrones_Fraude × 0.25)

---

2. SISTEMA DE FILTROS REALES

2.1 Device Source (Origen del Dispositivo)

Opciones Disponibles:

Plataforma	Descripción	Datos Recolectados	Análisis Específico
Android	Dispositivos Android nativos	Hardware fingerprint, permisos, sensores	Root detection, malware analysis
iOS	Dispositivos Apple nativos	Device specs, Touch/Face ID, certificados	Jailbreak detection, enterprise certs
Web/JavaScript	Navegadores web	Browser fingerprint, plugins, canvas	Bot detection, automation tools

Propósito del Filtro: Segmentar análisis por tipo de plataforma para identificar patrones específicos de cada ecosistema.

2.2 User Group (Grupo de Usuario)

Categorías Reales:

Grupo	Descripción	Características	Umbrales de Alerta
Business	Usuarios empresariales/corporativos	Mayor volumen transaccional, horarios comerciales	Score >650 = Revisión
Personal	Usuarios individuales/consumidores	Patrones de uso personal, horarios variables	Score >700 = Revisión

Diferenciación Operacional:

• Business: Tolerancia mayor a volúmenes altos, patrones repetitivos
• Personal: Mayor sensibilidad a cambios de ubicación y filtrablehorarios

2.3 IP Country (País de IP)

Funcionalidad Real:

• Es un filtro de visualización únicamente
• NO afecta el cálculo del score
• Permite segmentar sesiones por país de origen de la IP

Casos de Uso:

enPermitealos específicas,patronesdefraude y realizar análisis forenses detallados.

Navegación e Interfaz

Estructura de Navegación:

Tipos

legítimas:auténticoconcomportamiento

Propósito	Ejemplo	Beneficio
Análisis Geográfico	Filtrar sesiones de Colombia vs México	Comparar patrones por país
Investigación de Incidentes	Buscar todas las sesiones de usuarioIP registradasespañolas	Rastrear laorigen plataforma.geográfico
Reportes analistasRegionales	Generar reporte de seguridadactividad investigarpor actividadespaís	Compliance identificarregional
Filtros Personal: Configuraciones de filtrado personalizadas del usuario Filtros Business: Filtros predefinidos para casos de uso empresariales comunes Total de páginas: Navegación paginada para grandes volúmenes de datos Sistema de Filtros Avanzados Filtros Principales: 1. Select Options (Opciones de Selección) Funcionalidad: Permite seleccionar múltiples elementos para análisis en lote o acciones masivas. Selección individual de sesiones Selección masiva con checkbox principal Acciones en lote para elementos seleccionados 2. Indicators (Indicadores) Propósito: Filtrado basado en tipos específicos de indicadores de riesgo detectados. Categorías disponibles: Indicadores de malware Indicadores de emulación Indicadores de ubicación sospechosa Indicadores de comportamiento anómalo Indicadores de dispositivos comprometidos 3. Session Type (Tipo de Sesión) Clasificación: Categorización de sesiones basada en el resultado del anáAnálisis de fraude. Tendencias	Comparar disponibles: fraude entre Sesionespaíses	Identificar Usuariohotspots

normal

---

Sesiones

3. sospechosas:INDICADORES ActividadDE que requiere revisión adicional

Sesiones fraudulentas: Actividad confirmada como maliciosa

Sesiones en revisión: Casos pendientes de análisis manual

Filtros de Búsqueda:

Reporter ID

Función: Búsqueda por identificador específico del reportero o sistema que generó la alerta.

• Permite rastrear alertas desde sistemas específicos
• Útil para análisis de efectividad de diferentes fuentes de detección

Date RangeRIESGO (Rango de Fechas)

Capacidades:

• Selección de períodos específicos
• Filtros predefinidos (última hora, último día, última semana)
• Rangos personalizados para análisis históricos

INDICATORS)

Columnas3.1 deIndicadores Datos DetalladasPrincipales

InformaciónIs Temporal:New Device

CREATE TIME

Contenido: Timestamp exacto de cuando se creó la sesión.

• Formato: YYYY-MM-DD HH:MM:SS
• Zona horaria del servidor
• Permite análisis temporal de patrones de fraude

Estados de Análisis:

FRAUD STATUS

Valores posibles:

• Confirmed Fraud: Fraude confirmado por análisis automático o manual
• Suspected Fraud: Alta probabilidad de fraude, requiere revisión
• Legitimate: Sesión verificada como auténtica
• Under Review: En proceso de análisis

Categorías de Fraude Específicas:

Las siguientes columnas proporcionan análisis granular de diferentes tipos de fraude:

ATO FRAUD (Account Takeover)

Descripción: Detección de intentos de apropiación de cuentas.

• Indicadores: Login desde nuevos dispositivos/ubicaciones
• Cambios en patrones de comportamiento
• Intentos de modificación de credenciales

CELL THEFT (Robo de Celular)

Señales:

• Cambio súbito de ubicación geográfica
• Nuevo patrón de uso del dispositivo
• Cambio en redes Wi-Fi habituales

DIGITAL FRAUD (Fraude Digital)

Alcance: Actividades fraudulentas específicamente digitales.

• Manipulación de datos
• Ataques de ingeniería social digital
• Uso de herramientas automatizadas

IS NEW DEVICE (Dispositivo Nuevo)

Análisis: DeterminaDetecta si es la primera vez que se veregistra este dispositivo.dispositivo en el sistema.

Estado	Significado	Impacto en Análisis	Acciones Típicas
True	Dispositivo nunca visto	Mayor escrutinio requerido	Verificación adicional
False	Dispositivo conocido	Análisis estándar	Procesamiento normal

Metodología de Detección:

• Basado en device fingerprinting único
• Correlación con base de datos histórica
• Persistente a través de reinstalaciones de apps

Is Malware

Descripción: Indica presencia de software malicioso detectado en el dispositivo.

Nivel	Descripción	Score Impact	Respuesta Automática
Detected	Malware confirmado	+300-500 puntos	Bloqueo inmediato
Suspected	Indicadores sospechosos	+150-300 puntos	Verificación adicional
Clean	Sin detección	Sin impacto	Procesamiento normal

Is Emulator Risk

Descripción: Detecta si el dispositivo es un emulador o dispositivo virtual.

Técnicas de Detección:

• Análisis de huellaespecificaciones digitalde hardware
• Verificación de sensores físicos
• Patrones de rendimiento del dispositivosistema
• Respuestas de APIs del sistema operativo

OWNER

Is DEVICEBehavioural (Propietario del Dispositivo)

Risk

VerificacióDescripción: ConfirmaIdentifica sidesviaciones elen usuariopatrones actualde escomportamiento eldel propietariousuario.

legítimo.

Métricas Analizadas:

Comportamiento	Rango Normal	Umbral de Riesgo
Velocidad de Escritura	40-120 WPM	<20 o >200 WPM
Presión Táctil	0.2-0.8	<0.1 o >0.9
Patrones de Mouse	Orgánico	Mecánico/Repetitivo
Timing de Interacciones	Variable humano	Demasiado consistente

3.2 Umbrales de Score

Min Score 800

Propósito: Filtrar sesiones con score mínimo de 800 (alta probabilidad de fraude).

Rango	Clasificación	Probabilidad Fraude	Acción Requerida
800-849	Alto Riesgo	75-85%	Revisión manual inmediata
850-899	Muy Alto Riesgo	85-95%	Bloqueo temporal
900-949	Riesgo Crítico	95-98%	Bloqueo inmediato
950-1000	Fraude Confirmado	>98%	Bloqueo permanente

Min Score 900

Propósito: Filtrar solo las sesiones de máximo riesgo (score ≥900).

Casos de Uso Específicos:

• Investigación de fraudes confirmados
• Análisis de patrones de comportamientoalta históricosseveridad
• CorrelaciónReportes con datosejecutivos de registroincidentes críticos
• Evidencia para procesos legales

MALWARE

3.3 FRAUDIndicadores (FraudeGeográficos pory Malware)

de Red

Is GPS Enabled

DeteccióDescripción: PresenciaVerifica si el GPS está habilitado en el dispositivo.

malicioso.

Estado GPS	Implicación de softwareSeguridad	Nivel de Riesgo
Enabled	Ubicación verificable	Bajo
Disabled	Posible ocultación de ubicación	Medio
Spoofed	Manipulación de coordenadas	Alto

Is Location Risk

Descripción: Evalúa riesgos asociados con la ubicación geográfica.

Factores

• de Riesgo:

  Factor	Descripción	Peso en Evaluación
  Velocidad de Viaje	Movimiento físicamente imposible	Alto
  Países de Riesgo	Jurisdicciones problemáticas	Medio
  Inconsistencia GPS/IP	Discrepancia entre fuentes	Alto
  Zonas de Conflicto	Áreas con alta actividad criminal	Medio

  3.4 Análisis de Enlaces y Conexiones

  Is Link Analysis

  Descripción: Detecta conexiones sospechosas entre usuarios, dispositivos o ubicaciones.

  Tipos de Enlaces Analizados:

  dispositivo sospechosas

  Tipo de Enlace	Descripción	Algoritmo
  User-Device	Múltiples usuarios en mismo dispositivo	Clustering temporal
  Device-Network	Dispositivos en mismas redes WiFi	Graph analysis
  Behavioral	Patrones de comportamiento delsimilares	ML Detecciósimilarity
  Geographic	Correlación de comunicacionesubicaciones	Spatial Identificacióanalysis

  Is Link Analysis 6

  Descripción: Análisis de modificacionesconexiones node autorizadas

sexto

PHISHINGgrado (Suplantació6 grados de separación)

.

IndicadoresMetodología:

• RedireccionesAnaliza sospechosasconexiones hasta 6 niveles de profundidad
• EntradaIdentifica redes complejas de credencialesfraude en sitios no legítimosorganizado
• PatronesDetecta demulas navegaciónfinancieras anómalosy cuentas intermediarias

REMOTE

3.5 ACCESSIndicadores FRAUDde (FraudeUsuario pory Acceso

Remoto)

Is New IP Country

SeñalesDescripción: Detecta si es la primera vez que el usuario accede desde este país.

Análisis de Impacto:

Escenario	Riesgo	Verificación Requerida
País vecino	Bajo	Verificación estándar
Continente diferente	Medio	Verificación adicional
País de alto riesgo	Alto	Autenticación reforzada
País sancionado	Crítico	Bloqueo automático

Login By Type

Descripción: Categoriza el método de autenticación utilizado.

Tipo de Login	Nivel de Seguridad	Riesgo Asociado
Password	Básico	Medio
2FA/OTP	Alto	Bajo
Biometric	Muy Alto	Muy Bajo
Social Login	Variable	Medio
API Key	Específico	Variable

Is New User

Descripción: Identifica usuarios recién registrados en la plataforma.

Consideraciones Especiales:

• UsoMayor tolerancia a patrones "anómalos" iniciales
• Período de softwareaprendizaje comportamental
• Umbrales de accesoriesgo remotoajustados
• PatronesMonitoreo deintensivo controldurante externos
primeras
• Actividad no interactivasesiones

SIM

---

SWAP

4. (IntercambioESTRUCTURA DE DATOS DE REPORTE

4.1 Columnas Principales de SIM)

Visualización

COUNTRY (País)

DeteccióFuente: Geolocalización de IP de la sesión Formato: Código de país ISO 3166-1 alpha-2 Propósito: Identificación geográfica para análisis y reportes

Código	País	Uso Típico
CO	Colombia	Análisis local
MX	México	Comparación regional
US	Estados Unidos	Benchmark internacional
ES	España	Análisis europeo

DATE (Fecha y Hora)

Formato: YYYY-MM-DD HH:MM:SS (UTC) Propósito: Análisis temporal y correlación de eventos

Componentes de Análisis:

Componente	Utilidad	Ejemplo
Fecha	Tendencias diarias	2025-06-26
Hora	Patrones horarios	11:55:02
Día de Semana	Patrones semanales	Martes
Estacionalidad	Tendencias anuales	Q2 2025

SCORE (Puntuación de Riesgo)

Rango: 0-1000 puntos Cálculo: Algoritmo de ML basado en comportamiento Actualización: Tiempo real durante la sesión

Interpretación de Rangos:

Score	Clasificación	Probabilidad	Acción
0-199	Muy Bajo	<5%	Normal
200-399	Bajo	5-15%	Monitoreo
400-599	Moderado	15-35%	Verificación
600-799	Alto	35-70%	Alerta
800-899	Muy Alto	70-90%	Bloqueo temporal
900-1000	Crítico	>90%	Bloqueo inmediato

USER (Identificador de Usuario)

Formato: Hash protegido para privacidad Ejemplo: UNPROTECTED_117916500 Propósito: Seguimiento de actividad sin exponer identidad real

CSID (Client Session Identifier)

Formato: UUID v4 Ejemplo: cfe31330-31b0-48a4-a2dc-486dbdc0284b Propósito: Correlación con logs de aplicación cliente

Estructura del CSID:

cfe31330 - Timestamp encoded
31b0     - Client identifier
48a4     - Session type
a2dc     - Random component
486dbdc0284b - Additional entropy

4.2 Métricas de Sesión y Actividad

DURATION (Duración)

Unidad: Segundos Rango Típico: 30-3600 segundos Propósito: Análisis de patrones de uso

Interpretación de Valores:

Duración	Interpretación	Posible Indicador
<30s	Ultra rápida	Bot o automatización
30-120s	Rápida	Usuario experimentado
121-900s	Normal	Uso típico
901-3600s	Extendida	Investigación detallada
>3600s	Muy larga	Posible account takeover

BRAND (Marca)

Valores: Identificador de la entidad comercial Propósito: Segmentación por línea de negocio Uso: Análisis comparativo entre marcas

CHANNEL (Canal)

Opciones Reales:

Canal	Descripción	Características
Web	Navegador de escritorio	Mouse + teclado
Mobile	Aplicación móvil	Touch + sensores
API	Integración directa	Automatizada

ISP (Proveedor de Servicios de Internet)

Descripción: Compañía que proporciona conectividad a internet al usuario

Categorías de ISP:

Tipo de ISP	Características	Nivel de Confianza	Ejemplo
Tier 1 Carriers	Proveedores principales nacionales	Alto (90-95%)	Telefónica, Claro
ISPs Regionales	Proveedores locales legítimos	Alto (85-90%)	ETB, UNE
ISPs Móviles	Operadores de telefonía móvil	Medio-Alto (80-85%)	Movistar, Tigo
Hosting Providers	Proveedores de servidores	Bajo (40-60%)	AWS, Google Cloud
VPN/Proxy Services	Servicios de anonimización	Muy Bajo (10-30%)	NordVPN, ExpressVPN
TOR Exit Nodes	Red de anonimato	Crítico (<10%)	Tor Project

4.3 Información de Dispositivos y Red

KNOWN DEVICE (Dispositivo Conocido)

Tipo: Boolean (True/False) Significado:

• CambioTrue: súbitoDispositivo depreviamente operador o númeroregistrado
• NuevaFalse: informacióPrimera aparición dedel SIM
• Patrones de uso inconsistentesdispositivo

InformacióIP (Dirección Contextual:IP)

SOCIAL ENGINEERING FRAUD (Fraude por Ingeniería Social)

Formato: IPv4 o IPv6 Propósito: Identificación de origen de conexión Análisis: Geolocalización, reputación, tipo de red

Métricas de Edad (Age)

Métrica	Descripción	Unidad	Interpretación
IP AGE	Tiempo desde primera vez vista esta IP	Días	IP nueva = mayor riesgo
IP COUNTRY AGE	Tiempo desde primera vez en este país	Días	País nuevo = mayor riesgo
DEVICE AGE	Tiempo desde primer registro del dispositivo	Días	Dispositivo nuevo = mayor riesgo
USER AGE	Tiempo desde registro de la cuenta	Días	Usuario nuevo = mayor tolerancia

USERS ON MUI ID (Usuarios en Dispositivo)

Descripción: Ataques basados en manipulación psicológica.

• PatronesNúmero de presiónusuarios temporal
diferentes
• Solicitudesque inusualeshan usado este dispositivo Rango Típico: 1-10+ usuarios Análisis de informacióRiesgo:
  Comportamiento
  presión

  SESSION

  ID

  Número de Usuarios	Interpretación	Nivel atípicode bajoRiesgo
  1	Dispositivo personal	Bajo
  2-3	Dispositivo familiar/compartido	Medio
  4-10	Dispositivo público/compartido	Alto
  >10	Posible device farm	Crítico

  4.4 Identificadores Técnicos

  CONTEXT (Contexto)

  PropósitoDescripción: Información adicional sobre el contexto de la aplicación Uso: Debugging y correlación con eventos específicos

  MUID (Machine User Identifier)

  Descripción: Identificador único paray rastreopersistente del dispositivo Formato: Hash SHA-256 del device fingerprint Persistencia: Mantiene estabilidad a través de reinstalaciones

  SID (Session Identifier)

  Descripción: Identificador único asignado por el sistema ADO-STS Formato: UUID generado internamente Propósito: Rastreo interno y análisis detallado.

  • Permite correlación conde logseventos
    del

    ---

    sistema

  5.

  FacilitaCASOS investigacionesDE forenses

  USO

  OPERACIONALES

  REPORTER

  5.1 Investigación de Account Takeover

  InformaciónFiltros Recomendados: Sistema o persona que reportó la actividad sospechosa.

  Fuente
  de
  la
  alerta
  inicial
  • Permite
    aná

- Is New Device: True
- Min Score: 800
- User Group: Personal (usuarios más vulnerables)
- Device Source: Cualquiera
- Date Range: Últimas 24 horas

- Is Emulator Risk: True
- Device Source: Android
- IP ISP: Hosting providers
- Users on MUI ID: >5

- IP Country: País específico
- Date Range: Último mes
- All Context: Complete
- Export: CSV para análisis

- Is New User: True
- User Age: 0-7 días
- Score: Todos los rangos
- Device Source: Todos