# Funciones: NDR con alertas explicadas > Detección de amenazas de red por comportamiento, cada alerta explicada, cota conformal de falsos positivos, monitorización OT pasiva e IA en la sombra. Source page: https://netsenx.com/es/features ## Qué hace NetSenX en su red y cómo puede comprobarlo Funcionalidades de NetSenX NetSenX observa cómo se comportan los equipos de su red, genera una alerta cuando ese comportamiento parece un ataque y explica cada alerta en lenguaje claro. Los resultados de detección pasan por una capa conforme que indica la confianza que los respalda, y cada versión de modelo queda registrada. A continuación verá qué hace cada funcionalidad, qué plan necesita y qué no hace. Límite conforme de falsos positivos Datos de clientes almacenados en la UE Un motivo en lenguaje claro para cada alerta Lo esencial Vea cómo se muestra el límite #### Comportamiento, no firmas Detección por comportamiento El motor evalúa cómo se comporta cada equipo en la red, de modo que incluso una variante nueva de malware sin firma deja rastro. Vigila los pasos que preceden a una fuga de datos: beaconing C2 (comando y control), escaneos, movimiento lateral y volumen inusual de datos salientes. NetSenX trabaja junto a su EDR y su SIEM. Aporta la visión de red que a ellos les falta; no los sustituye. Beaconing C2 (comando y control) Escaneos y movimiento lateral Volumen inusual de datos salientes #### NetSenX Math Guarantee Falsos positivos acotados Una capa split-conformal calcula un límite de falsos positivos válido para muestras finitas sobre las alertas que emite el motor, al nivel de confianza que usted configure, a partir del tráfico legítimo que sus analistas han etiquetado en su propia red. El límite es una propiedad de la construcción, no un umbral ajustado hasta que las cifras quedaran bien. Cada alerta indica su confianza con palabras claras, junto con la versión del modelo que la generó, y una alerta cuya puntuación no está calibrada se marca como preliminar. Sus auditores ven las mismas pruebas que su equipo. Su panel muestra el límite que sus datos de calibración respaldan hoy. Si todavía no respaldan ninguno, lo dice e indica qué falta, en lugar de mostrar una cifra que no puede justificar. Límite split-conformal a un nivel de confianza declarado Un estado claro de «aún sin respaldo» en vez de una cifra inventada Incluido en todos los planes, también el Free #### Correlación en toda la red Movimiento lateral La detección por flujo ve lo que ocurre en una conexión. Los ataques rara vez se quedan en un equipo: tras el primer punto de apoyo, el intruso escanea, inicia sesión en la siguiente máquina y avanza hacia los datos. Desde el plan Pro, NetSenX relaciona los equipos de su red en un grafo de quién habla con quién, de modo que el movimiento lateral y los grupos de equipos que envían beacons al mismo destino aparecen como una sola historia y no como alertas sueltas. Estas alertas incluyen los equipos y conexiones que las sustentan como prueba, listos para un informe de incidente o una notificación a su autoridad. Movimiento lateral y clústeres C2 entre equipos Los equipos y conexiones detrás de cada alerta Técnica de MITRE ATT&CK nombrada cuando corresponde #### NetSenX TLS Fingerprint Engine Tráfico cifrado Las herramientas de ataque dejan una firma en el handshake TLS antes de mover ningún dato. Desde el plan Starter, NetSenX lee los parámetros del handshake e identifica clientes sospechosos en ese momento, antes de que se intercambie contenido alguno. El handshake solo es visible donde el agente captura paquetes: en Linux o como sensor en un puerto SPAN o TAP, no en el modo básico que se usa en macOS. Funciona en conexiones cifradas sin descifrarlas: no hay proxy de interceptación que mantener ni certificado que instalar en sus dispositivos. Un mismo handshake alimenta tanto la puntuación de comportamiento del equipo como la correlación en toda la red. Identificación en el handshake, antes de cualquier contenido Sin descifrado TLS Alimenta la detección por equipo y en toda la red #### NetSenX AI Analyst Core Triaje en lenguaje claro Muchas alertas de NDR llegan como campos en bruto y salen como tickets. Con AI Analyst Core activado, cada alerta recibe una nota en lenguaje claro: qué ha pasado, por qué importa y qué hacer a continuación. Las notas las escriben modelos con versiones fijadas y procedencia registrada, estructuradas para las notificaciones del artículo 14 del CRA y el artículo 21 de NIS2, de modo que los datos que necesita su informe de incidente ya están en un solo lugar. Funciona con su propia clave de proveedor de IA en todos los planes de pago y permanece desactivado hasta que usted lo configura. La detección funciona sin él. Una nota en lenguaje claro por alerta Estructurada para las notificaciones de CRA y NIS2 Versión del modelo registrada en cada nota #### Protocolos industriales, observados de forma pasiva OT / ICS · desde el plan Pro Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP y S7comm se analizan mediante captura pasiva en un puerto SPAN o TAP. Los dispositivos clasificados como OT nunca se sondean de forma activa: no hay riesgo para los PLC ni para el SCADA, y en los controladores no cambia nada. El tráfico OT aparece en el mismo panel que la red IT, con la misma explicación en lenguaje claro en cada alerta. Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP, S7comm Sin sondeo activo de dispositivos OT Desde el plan Pro #### Vea qué servicios de IA utiliza su red Shadow AI · desde el plan Pro NetSenX señala el tráfico hacia servicios de IA externos y hacia entornos de modelos de lenguaje que se ejecutan en sus propias máquinas, para que el uso no autorizado de la IA sea visible antes de convertirse en un problema de protección de datos. Ve qué equipo llegó a qué servicio de IA, cuándo y cuántos datos se movieron. El tráfico cifrado nunca se descifra, así que el contenido de un prompt no se lee. Empiece por averiguar qué se está usando de verdad; después redacte una política de IA que su plantilla pueda seguir. Servicios de IA externos y modelos ejecutados en local Qué equipo, qué servicio, cuántos datos Desde el plan Pro #### Cumplimiento listo para auditoría Pruebas incluidas NetSenX sigue cada incidente frente a los plazos del artículo 23 de NIS2 — alerta temprana en 24 horas, notificación en 72 horas, informe final en un mes — y prepara para su DPD una notificación de brecha conforme al artículo 33 del RGPD. Enviarla sigue siendo cosa suya. Las alertas, las decisiones de los analistas y los cambios de configuración se registran en un registro de auditoría que puede entregar a su auditor, y las pruebas están organizadas para revisiones de CRA, NIS2, RGPD y AI Act. SOC 2, ISO/IEC 42001 e ISO/IEC 27001 están en preparación; ninguno se ha concedido todavía, y solo publicaremos una fecha cuando haya una auditoría reservada. Plazos de NIS2 seguidos por incidente Registro de auditoría de alertas, decisiones y cambios SOC 2, ISO 42001 e ISO 27001 en preparación ### Un límite de falsos positivos que puede comprobar, no una cifra que tenga que creerse. NetSenX Math Guarantee Una capa split-conformal se sitúa después de la detección y calcula un límite de falsos positivos para las alertas que emite el motor, al nivel de confianza que usted configure, a partir del tráfico legítimo que sus analistas han etiquetado en su propia red. Su panel muestra el límite que esos datos respaldan hoy y, cuando el conjunto de calibración es demasiado pequeño, lo dice en lugar de mostrar una cifra. Acotado por construcción Calculado con sus propios datos #### Predicción split-conformal Cada alerta indica su confianza con palabras claras y lo dice cuando su puntuación aún no está calibrada. Donde se aplica la garantía estadística, el límite de falsos positivos entre las alertas emitidas se deriva de la construcción del predictor a un nivel de confianza declarado; no es un umbral ajustado hasta que las cifras quedaran bien. #### Gobierno de los modelos Los modelos tienen versiones fijadas y su procedencia queda registrada. La Math Guarantee forma parte del sistema de gestión de IA que estamos construyendo según ISO/IEC 42001, no de una nota a pie de página comercial. #### A qué nos comprometemos Al método y a las pruebas: el límite que respaldan sus datos de calibración, el tamaño de muestra que lo sostiene y un estado claro de «aún sin respaldo» cuando no respaldan ninguno. No publicamos una tasa de falsas alarmas que no hayamos medido con sus datos. Qué muestra su panel Cinco estados, cuatro de ellos sin cifra Aún sin calibrar Hay muy poco tráfico legítimo etiquetado por los analistas para respaldar ningún límite. El producto lo dice tal cual e indica qué falta; no muestra un cero. Activo — límite más amplio Los datos de calibración respaldan un límite, pero más holgado que el objetivo configurado. El producto indica que se atiene al límite más amplio y sigue sin mostrar cifra, porque nunca se alcanzó el objetivo más estricto. Activo — límite objetivo El tamaño de la calibración respalda el nivel de confianza configurado. Es el único estado con cifra, y nunca aparece sola: el límite, el número de muestras auditadas que lo respaldan y la ventana en que se midieron se muestran juntos. Pendiente de recalibración La calibración en la que se basa el límite ha caducado, o el tráfico con el que se construyó se ha alejado de cómo es hoy la red. El límite se retira hasta que lo sustituya una calibración nueva; una cifra obsoleta no se queda en pantalla solo porque un día fue cierta. Revalidando Se está verificando una actualización de la calibración antes de que entre en vigor. Mientras tanto, la afirmación anterior queda retirada. Estos son los estados que el producto devuelve realmente: ninguno muestra un límite que los datos de calibración no respalden. No publicamos cifras comparativas de otros proveedores, porque no hemos realizado esas pruebas. ### Cada alerta llega con una nota con la que un analista puede actuar. NetSenX AI Analyst Core Los datos en bruto de la alerta van acompañados de una nota en lenguaje claro: qué ha pasado, por qué importa y la respuesta recomendada, estructurada para sus notificaciones del artículo 14 del CRA y el artículo 21 de NIS2. Datos de la alerta · ejemplo ilustrativo gravedad: alta Nota del analista generada automáticamente Se ha detectado beaconing desde finance-srv-04 hacia un dominio nunca visto (delta-cargo-track.xyz), registrado hace 6 horas. El tráfico saliente es pequeño, periódico y con poca variación: un patrón compatible con un canal de comando y control tras un primer compromiso. La capa de grafo también ha observado que otros dos equipos de la subred de finanzas (finance-srv-02, finance-srv-09) consultaron por DNS el mismo dominio en los últimos 90 minutos. Respuesta recomendada Aislar finance-srv-04 de la VLAN de producción. Capturar una imagen de memoria antes de reiniciar, para el análisis forense. Revisar la subred de finanzas en busca de otros equipos que contacten con el mismo dominio o dirección IP. Abrir un ticket según su procedimiento de respuesta a incidentes; la alerta ya está estructurada para el registro de incidentes del artículo 14 del CRA. Ejemplo ilustrativo, no una detección real. Las notas las escriben modelos con versiones fijadas y procedencia registrada. Páginas relacionadas ### Véalo en su propia red Empiece con el plan Free para un máximo de 3 dispositivos: sin límite de tiempo y sin tarjeta de crédito. O reserve una demo de 20 minutos y seguiremos una alerta real desde la captura hasta la nota del analista, con el registro de auditoría visible en cada paso. Empezar gratis Reservar una demo