Skip to main content

Módulo Sessions

El sistema ADO-STS opera bajo un modelo de análisis comportamental puro, donde:

  • El SDK recolecta datos comportamentales del usuario en tiempo real
  • Los modelos de IA procesan esta información y generan un score basado en patrones
  • El módulo Sessions recibe datos ya procesados con scores calculados
  • Los filtros son para análisis retrospectivo, no para modificar scores en tiempo real

Flujo de Datos Real:


Usuario → SDK (Recolección) → Modelos IA (Análisis) → Score Calculado → Sessions (Visualización)

1.2 Principio de Scoring Comportamental

Según la documentación técnica, el score se calcula mediante:

Componente Peso Descripción
Modelo de Comportamiento del Usuario 40% Patrones únicos de interacción
Modelos Generales de Comportamiento 35% Comparación con patrones conocidos
Modelos de Defraudadores Identificados 25% Correlación con fraudes confirmados

Fórmula de Score Integrado:


Score Final = (Comportamiento_Usuario × 0.40) + 
              (Comportamiento_General × 0.35) + 
              (Patrones_Fraude × 0.25)

2. SISTEMA DE FILTROS REALES

2.1 Device Source (Origen del Dispositivo)

Opciones Disponibles:

Plataforma Descripción Datos Recolectados Análisis Específico
Android Dispositivos Android nativos Hardware fingerprint, permisos, sensores Root detection, malware analysis
iOS Dispositivos Apple nativos Device specs, Touch/Face ID, certificados Jailbreak detection, enterprise certs
Web/JavaScript Navegadores web Browser fingerprint, plugins, canvas Bot detection, automation tools

Propósito del Filtro: Segmentar análisis por tipo de plataforma para identificar patrones específicos de cada ecosistema.

2.2 User Group (Grupo de Usuario)

Categorías Reales:

Grupo Descripción Características Umbrales de Alerta
Business Usuarios empresariales/corporativos Mayor volumen transaccional, horarios comerciales Score >650 = Revisión
Personal Usuarios individuales/consumidores Patrones de uso personal, horarios variables Score >700 = Revisión

Diferenciación Operacional:

  • Business: Tolerancia mayor a volúmenes altos, patrones repetitivos
  • Personal: Mayor sensibilidad a cambios de ubicación y horarios

2.3 IP Country (País de IP)

Funcionalidad Real:

  • Es un filtro de visualización únicamente
  • NO afecta el cálculo del score
  • Permite segmentar sesiones por país de origen de la IP

Casos de Uso:

Propósito Ejemplo Beneficio
Análisis Geográfico Filtrar sesiones de Colombia vs México Comparar patrones por país
Investigación de Incidentes Buscar todas las sesiones de IP españolas Rastrear origen geográfico
Reportes Regionales Generar reporte de actividad por país Compliance regional
Análisis de Tendencias Comparar fraude entre países Identificar hotspots

3. INDICADORES DE RIESGO (INDICATORS)

3.1 Indicadores Principales

Is New Device

Descripción: Detecta si es la primera vez que se registra este dispositivo en el sistema.

Estado Significado Impacto en Análisis Acciones Típicas
True Dispositivo nunca visto Mayor escrutinio requerido Verificación adicional
False Dispositivo conocido Análisis estándar Procesamiento normal

Metodología de Detección:

  • Basado en device fingerprinting único
  • Correlación con base de datos histórica
  • Persistente a través de reinstalaciones de apps

Is Malware

Descripción: Indica presencia de software malicioso detectado en el dispositivo.

Nivel Descripción Score Impact Respuesta Automática
Detected Malware confirmado +300-500 puntos Bloqueo inmediato
Suspected Indicadores sospechosos +150-300 puntos Verificación adicional
Clean Sin detección Sin impacto Procesamiento normal

Is Emulator Risk

Descripción: Detecta si el dispositivo es un emulador o dispositivo virtual.

Técnicas de Detección:

  • Análisis de especificaciones de hardware
  • Verificación de sensores físicos
  • Patrones de rendimiento del sistema
  • Respuestas de APIs del sistema operativo

Is Behavioural Risk

Descripción: Identifica desviaciones en patrones de comportamiento del usuario.

Métricas Analizadas:

Comportamiento Rango Normal Umbral de Riesgo
Velocidad de Escritura 40-120 WPM <20 o >200 WPM
Presión Táctil 0.2-0.8 <0.1 o >0.9
Patrones de Mouse Orgánico Mecánico/Repetitivo
Timing de Interacciones Variable humano Demasiado consistente

3.2 Umbrales de Score

Min Score 800

Propósito: Filtrar sesiones con score mínimo de 800 (alta probabilidad de fraude).

Rango Clasificación Probabilidad Fraude Acción Requerida
800-849 Alto Riesgo 75-85% Revisión manual inmediata
850-899 Muy Alto Riesgo 85-95% Bloqueo temporal
900-949 Riesgo Crítico 95-98% Bloqueo inmediato
950-1000 Fraude Confirmado >98% Bloqueo permanente

Min Score 900

Propósito: Filtrar solo las sesiones de máximo riesgo (score ≥900).

Casos de Uso Específicos:

  • Investigación de fraudes confirmados
  • Análisis de patrones de alta severidad
  • Reportes ejecutivos de incidentes críticos
  • Evidencia para procesos legales

3.3 Indicadores Geográficos y de Red

Is GPS Enabled

Descripción: Verifica si el GPS está habilitado en el dispositivo.

Estado GPS Implicación de Seguridad Nivel de Riesgo
Enabled Ubicación verificable Bajo
Disabled Posible ocultación de ubicación Medio
Spoofed Manipulación de coordenadas Alto

Is Location Risk

Descripción: Evalúa riesgos asociados con la ubicación geográfica.

Factores de Riesgo:

Factor Descripción Peso en Evaluación
Velocidad de Viaje Movimiento físicamente imposible Alto
Países de Riesgo Jurisdicciones problemáticas Medio
Inconsistencia GPS/IP Discrepancia entre fuentes Alto
Zonas de Conflicto Áreas con alta actividad criminal Medio

3.4 Análisis de Enlaces y Conexiones

Is Link Analysis

Descripción: Detecta conexiones sospechosas entre usuarios, dispositivos o ubicaciones.

Tipos de Enlaces Analizados:

Tipo de Enlace Descripción Algoritmo
User-Device Múltiples usuarios en mismo dispositivo Clustering temporal
Device-Network Dispositivos en mismas redes WiFi Graph analysis
Behavioral Patrones de comportamiento similares ML similarity
Geographic Correlación de ubicaciones Spatial analysis

Is Link Analysis 6

Descripción: Análisis de conexiones de sexto grado (6 grados de separación).

Metodología:

  • Analiza conexiones hasta 6 niveles de profundidad
  • Identifica redes complejas de fraude organizado
  • Detecta mulas financieras y cuentas intermediarias

3.5 Indicadores de Usuario y Acceso

Is New IP Country

Descripción: Detecta si es la primera vez que el usuario accede desde este país.

Análisis de Impacto:

Escenario Riesgo Verificación Requerida
País vecino Bajo Verificación estándar
Continente diferente Medio Verificación adicional
País de alto riesgo Alto Autenticación reforzada
País sancionado Crítico Bloqueo automático

Login By Type

Descripción: Categoriza el método de autenticación utilizado.

Tipo de Login Nivel de Seguridad Riesgo Asociado
Password Básico Medio
2FA/OTP Alto Bajo
Biometric Muy Alto Muy Bajo
Social Login Variable Medio
API Key Específico Variable

Is New User

Descripción: Identifica usuarios recién registrados en la plataforma.

Consideraciones Especiales:

  • Mayor tolerancia a patrones "anómalos" iniciales
  • Período de aprendizaje comportamental
  • Umbrales de riesgo ajustados
  • Monitoreo intensivo durante primeras sesiones

4. ESTRUCTURA DE DATOS DE REPORTE

4.1 Columnas Principales de Visualización

COUNTRY (País)

Fuente: Geolocalización de IP de la sesión Formato: Código de país ISO 3166-1 alpha-2 Propósito: Identificación geográfica para análisis y reportes

Código País Uso Típico
CO Colombia Análisis local
MX México Comparación regional
US Estados Unidos Benchmark internacional
ES España Análisis europeo

DATE (Fecha y Hora)

Formato: YYYY-MM-DD HH:MM:SS (UTC) Propósito: Análisis temporal y correlación de eventos

Componentes de Análisis:

Componente Utilidad Ejemplo
Fecha Tendencias diarias 2025-06-26
Hora Patrones horarios 11:55:02
Día de Semana Patrones semanales Martes
Estacionalidad Tendencias anuales Q2 2025

SCORE (Puntuación de Riesgo)

Rango: 0-1000 puntos Cálculo: Algoritmo de ML basado en comportamiento Actualización: Tiempo real durante la sesión

Interpretación de Rangos:

Score Clasificación Probabilidad Acción
0-199 Muy Bajo <5% Normal
200-399 Bajo 5-15% Monitoreo
400-599 Moderado 15-35% Verificación
600-799 Alto 35-70% Alerta
800-899 Muy Alto 70-90% Bloqueo temporal
900-1000 Crítico >90% Bloqueo inmediato

USER (Identificador de Usuario)

Formato: Hash protegido para privacidad Ejemplo: UNPROTECTED_117916500 Propósito: Seguimiento de actividad sin exponer identidad real

CSID (Client Session Identifier)

Formato: UUID v4 Ejemplo: cfe31330-31b0-48a4-a2dc-486dbdc0284b Propósito: Correlación con logs de aplicación cliente

Estructura del CSID:


cfe31330 - Timestamp encoded
31b0     - Client identifier
48a4     - Session type
a2dc     - Random component
486dbdc0284b - Additional entropy

4.2 Métricas de Sesión y Actividad

DURATION (Duración)

Unidad: Segundos Rango Típico: 30-3600 segundos Propósito: Análisis de patrones de uso

Interpretación de Valores:

Duración Interpretación Posible Indicador
<30s Ultra rápida Bot o automatización
30-120s Rápida Usuario experimentado
121-900s Normal Uso típico
901-3600s Extendida Investigación detallada
>3600s Muy larga Posible account takeover

BRAND (Marca)

Valores: Identificador de la entidad comercial Propósito: Segmentación por línea de negocio Uso: Análisis comparativo entre marcas

CHANNEL (Canal)

Opciones Reales:

Canal Descripción Características
Web Navegador de escritorio Mouse + teclado
Mobile Aplicación móvil Touch + sensores
API Integración directa Automatizada

ISP (Proveedor de Servicios de Internet)

Descripción: Compañía que proporciona conectividad a internet al usuario

Categorías de ISP:

Tipo de ISP Características Nivel de Confianza Ejemplo
Tier 1 Carriers Proveedores principales nacionales Alto (90-95%) Telefónica, Claro
ISPs Regionales Proveedores locales legítimos Alto (85-90%) ETB, UNE
ISPs Móviles Operadores de telefonía móvil Medio-Alto (80-85%) Movistar, Tigo
Hosting Providers Proveedores de servidores Bajo (40-60%) AWS, Google Cloud
VPN/Proxy Services Servicios de anonimización Muy Bajo (10-30%) NordVPN, ExpressVPN
TOR Exit Nodes Red de anonimato Crítico (<10%) Tor Project

4.3 Información de Dispositivos y Red

KNOWN DEVICE (Dispositivo Conocido)

Tipo: Boolean (True/False) Significado:

  • True: Dispositivo previamente registrado
  • False: Primera aparición del dispositivo

IP (Dirección IP)

Formato: IPv4 o IPv6 Propósito: Identificación de origen de conexión Análisis: Geolocalización, reputación, tipo de red

Métricas de Edad (Age)

Métrica Descripción Unidad Interpretación
IP AGE Tiempo desde primera vez vista esta IP Días IP nueva = mayor riesgo
IP COUNTRY AGE Tiempo desde primera vez en este país Días País nuevo = mayor riesgo
DEVICE AGE Tiempo desde primer registro del dispositivo Días Dispositivo nuevo = mayor riesgo
USER AGE Tiempo desde registro de la cuenta Días Usuario nuevo = mayor tolerancia

USERS ON MUI ID (Usuarios en Dispositivo)

Descripción: Número de usuarios diferentes que han usado este dispositivo Rango Típico: 1-10+ usuarios Análisis de Riesgo:

Número de Usuarios Interpretación Nivel de Riesgo
1 Dispositivo personal Bajo
2-3 Dispositivo familiar/compartido Medio
4-10 Dispositivo público/compartido Alto
>10 Posible device farm Crítico

4.4 Identificadores Técnicos

CONTEXT (Contexto)

Descripción: Información adicional sobre el contexto de la aplicación Uso: Debugging y correlación con eventos específicos

MUID (Machine User Identifier)

Descripción: Identificador único y persistente del dispositivo Formato: Hash SHA-256 del device fingerprint Persistencia: Mantiene estabilidad a través de reinstalaciones

SID (Session Identifier)

Descripción: Identificador único asignado por el sistema ADO-STS Formato: UUID generado internamente Propósito: Rastreo interno y correlación de eventos

5. CASOS DE USO OPERACIONALES

5.1 Investigación de Account Takeover

Filtros Recomendados:


- Is New Device: True
- Min Score: 800
- User Group: Personal (usuarios más vulnerables)
- Device Source: Cualquiera
- Date Range: Últimas 24 horas

Análisis de Patrones:

  • Dispositivos nuevos con scores altos
  • Cambios geográficos imposibles
  • Patrones de comportamiento inconsistentes

5.2 Detección de Granjas de Dispositivos

Filtros Específicos:


- Is Emulator Risk: True
- Device Source: Android
- IP ISP: Hosting providers
- Users on MUI ID: >5

Indicadores Clave:

  • Múltiples usuarios por dispositivo
  • ISPs de hosting/cloud
  • Patrones de comportamiento idénticos

5.3 Análisis de Tendencias por País

Configuración:


- IP Country: País específico
- Date Range: Último mes
- All Context: Complete
- Export: CSV para análisis

Métricas de Análisis:

  • Distribución de scores por país
  • Patrones temporales regionales
  • Tipos de dispositivos predominantes

5.4 Monitoreo de Nuevos Usuarios

Filtros de Seguimiento:


- Is New User: True
- User Age: 0-7 días
- Score: Todos los rangos
- Device Source: Todos

Propósito:

  • Establecer baseline comportamental
  • Detectar fraude de registro
  • Optimizar experiencia de onboarding

6. MEJORES PRÁCTICAS DE USO

6.1 Optimización de Consultas

Práctica Descripción Beneficio
Filtros Temporales Usar rangos de fecha específicos Mejor performance
Filtros Combinados Combinar múltiples indicadores Resultados más precisos
Export Selectivo Exportar solo columnas necesarias Archivos más manejables
Análisis Gradual Comenzar con filtros amplios Identificación eficiente

6.2 Interpretación de Resultados

Escenario Score Típico Factores Clave Acción Recomendada
Usuario Legítimo 0-400 Dispositivo conocido, comportamiento consistente Procesamiento normal
Usuario Sospechoso 400-700 Algunos indicadores de riesgo Monitoreo adicional
Fraude Probable 700-900 Múltiples indicadores Investigación inmediata
Fraude Confirmado 900-1000 Todos los indicadores críticos Bloqueo inmediato

6.3 Reportes Ejecutivos

Métricas Clave para Reportes:

  • Distribución de scores por período
  • Tendencias de fraude por país/región
  • Efectividad de detección por canal
  • ROI de la implementación del sistema

El módulo Sessions proporciona la base analítica para entender patrones de fraude, investigar incidentes específicos y optimizar la efectividad del sistema de detección mediante análisis retrospectivo de datos comportamentales procesados por los modelos de inteligencia artificial.

Back to top