Módulo Sessions
El Módulo de Sesiones constituye el núcleo operacional del sistema ADO-STS, proporcionando una interfaz completa para el monitoreo, análisis y gestión de todas las sesiones de usuario en tiempo real. Este módulo integra datos de múltiples fuentes para ofrecer una vista unificada del comportamiento del usuario y los riesgos asociados.
Sistema de Filtros Avanzados - Configuración Técnica
Filtros Primarios (Barra Superior)
Filtro Técnico
Tipo de Datos
Descripción Técnica
Interpretación de Uso
Algoritmo Subyacente
Brand
Enum de fabricantes
Filtrado por marca del dispositivo (Apple, Samsung, Google, etc.)
Análisis de patrones por fabricante, detección de cambios abruptos de marca
Matching exacto con base de datos de dispositivos
User Group
Categoría segmentada
Clasificación del tipo de usuario (Business, Personal, Premium, etc.)
Segmentación de riesgo por tipo de usuario, aplicación de políticas específicas
Clasificación basada en metadatos de cuenta
Device Source
Origen de adquisición
Fuente de donde proviene el dispositivo (Organic, Referral, Direct, etc.)
Tracking de procedencia para detectar dispositivos comprometidos
Análisis de cadena de referencia
IP Country
ISO 3166-1 Alpha-2
Código de país basado en geolocalización IP
Filtrado geográfico, detección de accesos desde países de riesgo
GeoIP database con actualización diaria
Indicators
Array de flags
Tipos específicos de alertas e indicadores de riesgo activados
Filtrado por señales específicas de fraude o comportamiento anómalo
Bitmap de indicadores con OR lógico
AI Context
Nivel de procesamiento
Profundidad del análisis de IA aplicado (Basic, Standard, Advanced, Deep)
Control del nivel de análisis, balance entre precisión y performance
Configuración de pipelines de ML
IP ISP
String del proveedor
Proveedor de servicios de Internet específico
Análisis por ISP, detección de granjas de bots o proxies comerciales
Lookup en bases de datos ASN/WHOIS
MUID
Hash único
Machine Unique Identifier para búsqueda específica
Tracking directo de dispositivos específicos
SHA-256 hash de características hardware
Platform
OS/Browser combo
Combinación de sistema operativo y plataforma de acceso
Análisis por plataforma, detección de emuladores
User-Agent parsing con validación
UA Device Brand
User-Agent parsing
Marca del dispositivo extraída del User-Agent
Comparación con brand real para detectare spoofing
Cross-validation entre fuentes
IP City
Geolocalización granular
Ciudad específica basada en IP con precisión metropolitana
Análisis local de patrones, detección micro-geográfica
GeoIP con precisión de ciudad (95%+ accuracy)
Date Range
Timestamp range
Selector de rango temporal con precisión de minutos
Análisis temporal de tendencias, investigación de incidentes
Índices temporales optimizados
Filtros Secundarios (Chips/Tags Contextuales)
Filtro Contextual
Descripción Técnica
Casos de Uso
Implementación
IP Location Risk
Evaluación automática del riesgo geográfico
Alto/Medio/Bajo basado en historial de fraude de la ubicación
Modelo ML entrenado con datos geográficos de fraude
User Group Business
Segmentación automática de usuarios corporativos
Aplicación de políticas específicas para usuarios empresariales
Clasificación basada en dominio de email y metadatos
Estructura de Columnas - Análisis Técnico Detallado
Columnas de Identificación y Control
Columna
Tipo de Dato
Descripción Técnica
Interpretación de Riesgo
Algoritmo de Análisis
TRY
Integer (1-∞)
Número secuencial de intentos de la sesión
>3 intentos indican comportamiento sospechoso, >5 es crítico
Contador incremental con timeout de reset
DATE
Timestamp UTC
Fecha y hora exacta de inicio de sesión con precisión de milisegundos
Análisis de patrones temporales, detección de actividad fuera de horarios
Índice temporal para consultas de rango
SCORE
Float (0-1000)
Puntuación de riesgo calculada por el motor de IA
0-199: Bajo, 200-499: Medio, 500-799: Alto, 800+: Crítico
Ensemble de 12 modelos ML con weighted average
USER
Hash/ID único
Identificador único del usuario en el sistema
Tracking de comportamiento histórico del usuario
Hash irreversible de PII
CSID
UUID v4
Client Session Identifier único por sesión
Correlación de eventos dentro de la misma sesión
UUID generado por cliente, validado por servidor
Columnas de Contexto Temporal y Operacional
Columna
Tipo de Dato
Descripción Técnica
Interpretación de Riesgo
Algoritmo de Análisis
DURATION
Integer (segundos)
Duración total de la sesión desde inicio hasta último evento
<30s o >3600s son anómalos según el tipo de operación
Análisis estadístico de distribución temporal
BRAND
Enum normalizado
Marca del dispositivo normalizada (Apple, Samsung, Xiaomi, etc.)
Cambios frecuentes de marca (>1/semana) incrementan score
Análisis de estabilidad de dispositivo
CHANNEL
String categorizado
Canal de acceso (Mobile App, Web, API, etc.)
Canales inusuales para el perfil del usuario
Análisis de consistencia de canal
CONTEXT
JSON estructurado
Información contextual adicional de la operación
LOGIN, LOGOUT, TRANSFER, etc. afectan interpretación del riesgo
Parsing de contexto operacional
Columnas de Análisis de Red e Infraestructura
Columna
Tipo de Dato
Descripción Técnica
Interpretación de Riesgo
Algoritmo de Análisis
ISP
String del proveedor
Nombre del proveedor de servicios de Internet
Cambios frecuentes de ISP sin roaming legítimo
Análisis de estabilidad de conectividad
IP
IPv4/IPv6
Dirección IP pública desde la cual se origina la conexión
IPs de TOR, VPN, proxies conocidos incrementan riesgo
Blacklists y análisis de reputación IP
IP AGE
Integer (días)
Edad de la primera vez que esta IP fue vista en el sistema
IPs nuevas (edad 0) tienen mayor riesgo inherente
Tracking temporal de IPs
IP COUNTRY
ISO Alpha-2
Código de país de dos letras basado en geolocalización IP
Países en listas de riesgo incrementan score automáticamente
GeoIP con validación de coherencia
Columnas de Análisis de Dispositivo y Usuario
Columna
Tipo de Dato
Descripción Técnica
Interpretación de Riesgo
Algoritmo de Análisis
KNOWN DEVICE
Boolean/Enum
Estado de reconocimiento del dispositivo (0=Nuevo, 1=Conocido)
Dispositivos nuevos requieren verificación adicional
Fingerprinting multi-dimensional
USERS ON DEVICE TW
Integer
Número de usuarios únicos que han usado este dispositivo en ventana temporal
>1 usuario por dispositivo es indicador de riesgo
Análisis de multiplicidad de usuarios
DEVICE USED
Integer
Número de veces que este dispositivo específico ha sido utilizado
Muy poco uso (<5) o uso excesivo (>100/día) es sospechoso
Análisis de frecuencia de uso
USER AGE
Integer (días)
Antigüedad del usuario en el sistema desde su primer registro
Usuarios muy nuevos (<7 días) tienen score de riesgo elevado
Cálculo de antigüedad con factor de confianza
Columnas de Identificadores Técnicos
Columna
Tipo de Dato
Descripción Técnica
Interpretación de Riesgo
Algoritmo de Análisis
MUID
Hash SHA-256
Machine Unique Identifier basado en características hardware
Cambios de MUID indican nuevo dispositivo o manipulación
Hashing de componentes hardware únicos
SID
UUID v4
Session Identifier único generado por el sistema
Utilizado para correlación de eventos y debugging
UUID generado server-side
Interpretación de Códigos de Color en el Dashboard
Sistema de Semáforo Visual
Color
Rango de Score
Interpretación
Acción Automática
Revisión Requerida
Verde
0-299
Riesgo Bajo - Comportamiento normal
Procesamiento automático
No
Amarillo
300-599
Riesgo Medio - Anomalías menores detectadas
Logging adicional
Revisión opcional
Naranja
600-799
Riesgo Alto - Múltiples indicadores sospechosos
Verificación automática
Revisión recomendada
Rojo
800-949
Riesgo Crítico - Patrón fraudulento probable
Bloqueo temporal
Revisión obligatoria
Rojo Intenso
950-1000
Riesgo Extremo - Fraude casi confirmado
Bloqueo inmediato
Escalamiento
Funcionalidades Avanzadas del Módulo
Sistema de Búsqueda y Filtrado
Motor de Búsqueda:
Elasticsearch backend para consultas complejas
Índices optimizados por timestamp, score, usuario e IP
Búsqueda fuzzy para identificadores parciales
Agregaciones en tiempo real para estadísticas dinámicas
Filtros Combinados:
Operadores lógicos (AND, OR, NOT) entre filtros
Filtros temporales relativos (última hora, último día, última semana)
Filtros geográficos con mapas interactivos
Filtros por rangos para scores y métricas numéricas
Exportación y Reporting
Formato
Descripción
Casos de Uso
CSV
Datos tabulares para análisis en Excel/Python
Análisis estadístico offline
JSON
Estructura completa de datos para integración
APIs y sistemas automatizados
PDF
Reportes formateados para presentación
Documentación de incidentes
Excel
Hojas de cálculo con gráficos automáticos
Análisis ejecutivo
Alertas y Notificaciones Configurables
Tipos de Alertas:
Threshold alerts cuando score supera límites configurados
Pattern alerts cuando se detectan patrones específicos
Velocity alerts cuando aumenta la frecuencia de eventos
Geographic alerts para accesos desde ubicaciones inusuales
Canales de Notificación:
Email con plantillas personalizables
SMS para alertas críticas
Webhooks para integración con sistemas externos
Dashboard notifications en tiempo real
Interpretación de Casos Específicos Observados en el Dashboard
Análisis de Sesiones Mostradas
Sesión 1 (Score 935):
Interpretación: Riesgo medio por ser dispositivo nuevo (KNOWN DEVICE = 0)
Factores: Apple/JavaScript, BIE channel, IP alemana (98.98.26.149)
Recomendación: Monitoreo adicional pero no bloqueo
Sesión 2 (Score 972):
Interpretación: Riesgo crítico - múltiples factores sospechosos
Factores: Score muy alto, posible cambio de dispositivo
Recomendación: Bloqueo inmediato y revisión manual
Sesión 3 (Score 868):
Interpretación: Riesgo alto - patrón fraudulento probable
Factores: Duración 380 segundos (inusual), contexto LOGIN_LOGIN_LOGOUT
Recomendación: Verificación adicional requerida
Optimización del Uso del Módulo
Mejores Prácticas Operacionales
Monitoreo Proactivo: Revisar scores >600 en tiempo real
Análisis de Tendencias: Usar filtros temporales para identificar patrones
Correlación de Datos: Combinar múltiples filtros para investigaciones
Documentación de Casos: Exportar evidencia para análisis forense
Configuraciones Recomendadas por Industria
Sector Bancario:
Threshold de alerta: 400
Revisión manual obligatoria: 600+
Bloqueo automático: 800+
E-commerce:
Threshold de alerta: 500
Revisión manual obligatoria: 700+
Bloqueo automático: 850+
Sector Gobierno:
Threshold de alerta: 300
Revisión manual obligatoria: 500+
Bloqueo automático: 700+
Análisis Relacional
Grafos de Conexión
El sistema visualiza relaciones entre:
Usuarios → Dispositivos
Dispositivos → Ubicaciones
Ubicaciones → Redes
Redes → ISPs
Usuarios → Patrones de Comportamiento
Indicadores de Alerta en Análisis Relacional
Mismo Wi-Fi → Distintos Usuarios: Posible uso compartido malicioso
Mismo Patrón de Comportamiento → Distintos Dispositivos: Posible bot
Mismos Dispositivos BT → Diferentes Ubicaciones: Dispositivo móvil sospechoso
Mismo ISP → Diferentes Cuentas: Granjas de fraude
Parámetros de Filtrado
Filtros Temporales
Parámetro
Opciones
Uso Recomendado
Date Range
Selector de fechas
Análisis de tendencias y patrones temporales
Time of Day
Franjas horarias
Detección de actividad fuera de horarios normales
Filtros Geográficos
Parámetro
Opciones
Uso Recomendado
IP Country
Lista de países
Identificación de accesos desde países de riesgo
IP City
Ciudades específicas
Análisis local de patrones
Location Risk
Alto, Medio, Bajo
Filtrado por nivel de riesgo geográfico
Filtros de Dispositivo
Parámetro
Opciones
Uso Recomendado
Device Brand
Apple, Samsung, etc.
Análisis por fabricante
OS Family
iOS, Android, Windows
Segmentación por sistema operativo
Device Age
Nuevo, Conocido, Frecuente
Estado del dispositivo en el sistema
Device Source
Orgánico, Referido, etc.
Origen del dispositivo
Filtros de Red
Parámetro
Opciones
Uso Recomendado
ISP
Proveedores específicos
Análisis por proveedor de Internet
Connection Type
Móvil, Wi-Fi, Ethernet
Tipo de conexión utilizada
VPN Detection
Sí, No, Probable
Identificación de uso de VPN
Filtros de Comportamiento
Parámetro
Opciones
Uso Recomendado
User Behavior
Normal, Sospechoso, Anómalo
Filtrado por patrón comportamental
Session Duration
Rangos de tiempo
Identificación de sesiones atípicas
Activity Pattern
Múltiples criterios
Análisis de patrones de actividad
Filtros de Riesgo
Parámetro
Opciones
Uso Recomendado
Risk Score
Rangos 0-1000
Filtrado por nivel de riesgo
Fraud Indicators
Lista de indicadores
Búsqueda por señales específicas
Alert Type
Categorías de alertas
Filtrado por tipo de alerta
Casos de Uso y Ejemplos
Caso 1: Detección de Fraude por Copiar/Pegar DNI
Indicadores Detectados:
Patrón de escritura: Paste vs Manual typing
Pausas máximas durante el tecleo >2 segundos
Navegación por teclado vs mouse
Interpretación: Los usuarios legítimos escriben su DNI manualmente, mientras que los fraudadores suelen copiarlo y pegarlo.
Caso 2: Detección de Dispositivos Robados
Indicadores Clave:
Wi-Fi Name: Cambio abrupto de red doméstica
BT Sign: Dispositivos Bluetooth desconocidos
Location ID: Nueva ubicación sin patrón de viaje
New ISP: Cambio de proveedor de Internet
SIM Status: "No SIM detected"
New Location: Ubicación nunca antes vista
Caso 3: Análisis de Usuario Múltiple en Dispositivo
Patrones Detectados:
Diferentes tamaños de huella dactilar
Variaciones en movimientos del acelerómetro
Pausas máximas en actividad inconsistentes
Múltiples usuarios en ventana de 4 horas
Caso 4: Detección de Estafas (Account Move Scam)
Indicadores Específicos:
Is clean account money transfer: 98.7% prevalencia en fraude
Multiple switch phone position ear-eye: Comportamiento nervioso
Is new payee: 98.7% prevalencia en fraude
Call status during login: "ON GOING" - llamada activa durante login
Is senior user: Target demográfico común para estafas
Caso 5: Análisis de Edad de Ubicación
Patrón Normal vs Fraudulento:
Usuarios Legítimos: Consistencia en ubicaciones (edad >14 días)
Sesiones Fraudulentas: Concentración en ubicaciones nuevas (edad 0-1 días)
Mejores Prácticas de Uso
1. Configuración de Alertas
Establecer umbrales de score según el nivel de riesgo aceptable
Configurar alertas automáticas para scores >800
Implementar escalamiento para scores >950
2. Análisis Relacional
Revisar grafos de conexión semanalmente
Identificar clusters de actividad sospechosa
Monitorear dispositivos con múltiples usuarios
3. Optimización de Filtros
Combinar múltiples filtros para análisis específicos
Guardar configuraciones de filtros frecuentes
Utilizar rangos de fechas para análisis de tendencias
4. Interpretación de Scores
0-199: Procesamiento automático
200-499: Revisión ligera
500-799: Revisión manual requerida
800-949: Bloqueo temporal y investigación
950-1000: Bloqueo inmediato y escalamiento
