Falsos positivos
Este artículo explica cómo SMARTFENSE detecta, gestiona y oculta las estadísticas generadas por software (falsos positivos) dentro de las campañas. También detalla los reportes y configuraciones disponibles para asegurar la precisión de los resultados y mantener la fiabilidad de las métricas de los usuarios.
Estadísticas generadas por software
Las estadísticas generadas por software son un fenómeno independiente de la herramienta de simulación utilizada. Están presentes en casi todas las simulaciones actuales, ya que la mayoría de las organizaciones utiliza herramientas de email security.
Un falso positivo es una estadística generada automáticamente por un software, pero registrada a nombre de un usuario. Esta situación es común y puede afectar la precisión de los resultados de las campañas. Si tu herramienta de simulación no detecta estos casos, los reportes podrían incluir acciones que los usuarios no realizaron realmente.
SMARTFENSE incorpora algoritmos robustos y probados para detectar estas estadísticas y ofrecer resultados confiables en las campañas, constituyendo una ventaja diferencial frente a otras soluciones.
Análisis de las estadísticas
Auditoría - Detalle de campaña
Cualquier campaña afectada por estadísticas generadas por software se resalta para que el usuario administrativo pueda identificar esta situación. Esto puede ocurrir tanto en campañas de Newsletters como en simulaciones de Phishing o Ransomware.
Resumen
Falsos positivos
Desde la pestaña Falsos positivos, se presentan recursos y reportes que permiten analizar y conocer más detalles, facilitando la configuración del ocultado. Esta vista muestra si los falsos positivos están ocultos o visibles, con acceso directo para modificar la configuración.
Además, desde esta misma sección es posible reprocesar las estadísticas luego de ajustar la configuración de ocultado, obteniendo datos actualizados y fiables donde solo se muestran las acciones reales de los usuarios.
Listado de interacciones generadas por software
Este reporte lista los falsos positivos registrados en la campaña. La información incluye:
Cantidad de falsos positivos detectados.
Usuarios afectados por cada caso.
Origen de cada falso positivo.
Los datos pueden exportarse a Excel o CSV para su análisis, facilitando la eliminación de duplicados y la identificación de herramientas que generan falsos positivos.
Cantidad de interacciones por usuario
Este reporte muestra todos los usuarios asignados a la campaña junto con la cantidad de interacciones registradas a su nombre.
SMARTFENSE detecta automáticamente la mayoría de los falsos positivos; sin embargo, cada organización puede presentar casos particulares no detectados automáticamente.
Si un usuario tiene un número inusual de interacciones, será resaltado, ya que probablemente está afectado por falsos positivos no identificados de forma automática.
El reporte también puede exportarse a Excel o CSV.
Direcciones IP que interactuaron en la campaña
Este reporte muestra las direcciones IP desde las cuales se han generado interacciones con la campaña. Para cada IP, se detalla:
Si está relacionada únicamente con interacciones de usuarios.
Si está relacionada únicamente con falsos positivos.
Si está relacionada con ambos tipos de interacciones.
La información puede exportarse a Excel o CSV para facilitar el análisis y la identificación de herramientas generadoras de falsos positivos.
Cómo SMARTFENSE identifica las interacciones generadas por software
Este recurso en línea proporciona información clara sobre:
Proceso de Whitelist
Estadísticas generadas por Software
¿Cómo detecta SMARTFENSE la interacción de una herramienta de seguridad?
Interacciones provenientes de IPs o user-agents configurados en Whitelist
Activación de enlaces especiales
Análisis de interacciones previas
Reprocesar las estadísticas de una campaña
Si se modifican los filtros de ocultado de estadísticas generadas por software en la sección de Falsos positivos, los cambios sólo afectan a estadísticas registradas después de la modificación.
Sin embargo, es posible reprocesar las estadísticas de la campaña actual para:
Marcar como “Estadísticas generadas por software” todas las estadísticas recibidas desde los User Agents y rangos de IP actualmente configurados.
Marcar como “Estadísticas generadas por software” todas las estadísticas ocurridas 3 segundos antes de dichas interacciones.
Tenga en cuenta que el scoring de riesgo y el mapa de calor de los usuarios pueden modificarse tras realizar esta acción.
Para reprocesar las estadísticas, presione el botón azul Reprocesar las estadísticas de esta campaña y luego Aceptar.
Al finalizar, la plataforma volverá automáticamente a la vista Resumen con los datos actualizados en la gráfica de embudo y los falsos positivos ocultos.
| Advertencia: el reprocesado no modificará las estadísticas que ya se encuentran marcadas como “Estadísticas generadas por software”. No se crearán nuevas interacciones en nombre de los usuarios. |
Vista de los Usuarios asignados a la campaña y sus acciones
Desde la vista Usuarios asignados a la campaña puede consultar la tabla con los usuarios y sus interacciones.
Haciendo clic sobre un usuario específico, se muestra su historial de interacciones, indicando si son de tipo usuario o software.
Si en la sección Configuración > Seguridad > Falsos positivos está configurado el ocultado, solo se mostrarán las acciones de tipo usuario.
Para visualizar todas las interacciones, configure en dicha sección para que los falsos positivos, es decir las acciones de software sean mostrados.
En el historial de cada usuario, la plataforma puede mostrar el estado en verde Sin advertencias, o en rojo con la advertencia de que el usuario ha sido afectado por falsos positivos.
Ejemplo sin advertencias:
Ejemplo con advertencia de falso positivo:
Por cada interacción del usuario se muestra:
- Tipo de Acción (Usuario o Software).
- Dirección IP.
- Whois (acceso mediante el botón Consulta Whois).
- User Agent.
- Acciones, con el botón Marcar como falso positivo.
| Nota: esta acción es irreversible. |
Al presionar este botón de Marcar como falso positivo, se debe elegir alguna de estas opciones:
Marcar únicamente esa interacción como falso positivo.
Marcar todas las interacciones provenientes de una dirección IP específica (x.x.x.x) como falsos positivos, tanto en la campaña actual como en futuras.
Marcar todas las interacciones provenientes de un User Agent específico (x), tanto en la campaña actual como en futuras.
Configuraciones
Desde el Menú Configuración > Seguridad > Falsos positivos se puede definir si se desea mostrar u ocultar los falsos positivos en los distintos reportes de la plataforma.
Opciones:
- Mostrar falsos positivos
- Ocultar falsos positivos
Rango de segundos
El rango de segundos define el nivel de tolerancia frente a un falso positivo.
Cuando se detecta una estadística generada por software, se marcarán también como falsos positivos las interacciones que ocurran dentro del rango configurado.
Importante: si se modifica este rango, el cambio solo afectará interacciones futuras.
Para aplicarlo a estadísticas ya registradas, se debe reprocesar la campaña correspondiente.
Opciones:
Activar rango de segundos (recomendado)
Desactivar rango de segundos
Reporte de simulaciones a través del botón de reporte de Phishing
En las campañas de simulación de Phishing o Ransomware, luego de que un usuario realiza un reporte mediante el botón de Phishing, es posible:
Continuar analizando todas las interacciones posteriores al reporte.
Marcar como falsos positivos todas las interacciones que ocurran después del reporte.
Esta configuración garantiza que, una vez que un usuario identifica y reporta una simulación, las interacciones generadas automáticamente por software sean tratadas como falsos positivos.
La lógica se aplica de forma individual: si un usuario reporta una simulación, esto no afecta la recolección de estadísticas de otros usuarios.
Configuración de User Agent
Esta configuración permite indicar qué User Agents deben marcarse siempre como falsos positivos.
Cada vez que se registre una interacción, se verificará si el User Agent coincide con alguno de los ingresados.
No es necesario ingresar los User Agents completos.
Por ejemplo: si se registra la cadena Chrome 83.0, una interacción con el User Agent “PC / Mac OS X 10.15.4 / Chrome 83.0.4103” será marcada como falso positivo.
| Importante: las modificaciones solo aplican a interacciones futuras. Para que tengan efecto sobre campañas anteriores, se debe reprocesar las estadísticas de la campaña. |
Configuración de IP
Permite indicar qué rangos de direcciones IP deben marcarse siempre como falsos positivos.
Cada vez que se registre una interacción, se verificará si su dirección IP pertenece a alguno de los rangos definidos.
| Importante: las modificaciones solo aplican a interacciones futuras. Para que tengan efecto sobre campañas anteriores, se debe reprocesar las estadísticas de la campaña. |
💡 Recomendaciones
Revise regularmente los reportes de Falsos positivos para mantener la integridad de los datos.
Utilice el reprocesado de estadísticas tras modificar configuraciones de IP o User Agent.
Active el rango de segundos para mejorar la precisión en la detección de falsos positivos.
Exporte los reportes a Excel o CSV para un análisis más profundo y auditorías internas.