El cortafuegos de IA es una capa de seguridad integrada en Hermetry. Recoge señales de seguridad de cada parte de la plataforma (inicios de sesión, claves de API, miembros, dispositivos, cambios de configuración y más), puntúa lo que hace cada actor, agrupa la actividad sospechosa en incidentes y explica cada uno. Esta página explica qué ves y qué puedes configurar.
Necesitas el rol Admin. Las páginas son AI firewall (dirección /admin/ai-firewall), Security incidents (dirección /admin/ai-firewall/incidents) y Settings > AI firewall (dirección /admin/settings/ai-firewall).
Qué vigila
El cortafuegos escucha las señales que registran los módulos, por ejemplo: inicios de sesión fallidos e inusuales, bloqueos de cuentas, permisos denegados, fallos y anomalías de claves de API, cambios de membresía y de rol, cambios de configuración, cambios en las credenciales de dispositivos, inicios de sesión de dispositivos rechazados y señuelos tocados. Cada señal tiene una gravedad y un peso inicial. Signals en la página AI firewall enumera cada tipo que produce tu organización, con su gravedad, los tipos de actor a los que afecta y qué datos personales contienen sus atributos.
Los detectores y las reglas puntúan a cada actor (una persona, una clave de API, un dispositivo, una dirección) frente a su propio comportamiento normal. Cuando la puntuación es lo bastante alta, se abre un incidente.
Incidentes de seguridad
Abre Security incidents: «Lo que el cortafuegos de IA ha detectado, actor por actor. Solo observa: aquí nada se actúa hasta que una persona decide.»
Cada fila es el incidente de un actor, con su gravedad, estado, detectores, tipo de actor y última actividad. Filtra por estado, gravedad, detector, actor y tráfico; busca; elige las columnas.
| Gravedad | Puntuación máxima |
|---|---|
| Baja | menos de 40 |
| Media | de 40 a 59 |
| Alta | de 60 a 79 |
| Crítica | 80 o más |
La gravedad es la de la puntuación máxima y nunca baja mientras el incidente está activo.
Abre una fila para ver:
- Por qué se marcó: los detectores que se cumplieron, con su descripción, intensidad y evidencias, y las mayores contribuciones como frases sencillas con sus puntos.
- La línea temporal de la puntuación.
- Los eventos del actor. Actor history muestra los otros incidentes del actor y sus eventos de los últimos 7 días (con direcciones, para los miembros que pueden leer eventos de seguridad).
Tratar un incidente
| Acción | Efecto |
|---|---|
| Reconocer | Te estás encargando de él. Si la gravedad sube más tarde, se vuelve a abrir. |
| Resolver | «El incidente se cierra y su alerta se resuelve. Una detección posterior del mismo actor abre un incidente nuevo; puedes reabrir este desde su fila.» |
| Falsa alarma | Lo cierra y le indica al cortafuegos que el patrón era inofensivo aquí. |
| Reabrir | Vuelve a abrir un incidente cerrado. |
«¿Fue un ataque real?» Tu veredicto es un ejemplo del que aprende el cortafuegos y con el que ajusta sus umbrales para tu organización. Un incidente que permanece tranquilo durante un día, o que tiene más de 7 días, se cierra como «Went quiet».
Cada cambio de estado se registra en el registro de auditoría (ai_firewall.incident_status_changed).
Señuelos
Hermetry mantiene señuelos en cada organización: una clave de API falsa, registros falsos de ids de miembros y de claves, y rutas de administración antiguas y verosímiles. Nadie legítimo los usa, y no aparecen en ninguna lista, recuento ni exportación. Tocar uno responde exactamente igual que un elemento inexistente y genera una señal crítica sobre el llamante. Decoys en la página AI firewall los enumera.
Acciones y modos
La página AI firewall enumera las Actions que el cortafuegos podría ejecutar, como terminar una sesión, suspender una membresía o desactivar una clave de API. «Cada acción solo observa hasta que decidas lo contrario.» Para cada acción eliges un modo:
| Modo | Significado |
|---|---|
| Observe | Registra lo que la acción habría hecho. Es el valor por defecto de cada acción. |
| Suggest | Cada ejecución espera a que una persona la apruebe. |
| Auto | Se ejecuta por sí sola, dentro de su límite de tiempo y presupuesto horario, y puede deshacerse. Cada cambio a Auto pide confirmación. |
Reglas que siempre se cumplen:
- Una acción que no puede deshacerse nunca se ejecuta como Auto: «Una persona aprueba cada ejecución de esta acción; no puede ejecutarse por sí sola.»
- Las acciones sobre dispositivos empiezan en Suggest. Revocar la credencial de un dispositivo, terminar su conexión y revocar su certificado solo son Suggest. Desactivar un dispositivo (puede deshacerse) se ejecuta por sí solo solo si lo configuras en Auto.
- Algunas acciones afectan a toda la cuenta (bloquear una cuenta, vetar una dirección, olvidar dispositivos de confianza, forzar una contraseña nueva). Su modo lo elige Hermetry para toda la plataforma, no por organización.
En desarrollo: la ejecución de acciones (la cola de aprobación para Suggest, las ejecuciones automáticas, deshacer y sus notificaciones). Hoy el cortafuegos observa y registra incidentes; elegir un modo prepara cómo actuará.
Configuración
Settings > AI firewall (AI Firewall Settings: «Lo que el cortafuegos puede hacer por sí solo, y cuánto tiempo guarda los eventos de seguridad»):
| Ajuste | Valor por defecto | Significado |
|---|---|---|
| Detener las acciones del cortafuegos en este espacio de trabajo | Desactivado | «Mientras esté activado, el cortafuegos solo observa aquí: no propone nada ni ejecuta nada por sí solo.» Los eventos de seguridad siguen registrándose, y los bloqueos y vetos ordinarios siguen funcionando. |
| Modo de una acción que no has configurado | Observe | Observe o Suggest. Las ejecuciones automáticas se activan una acción cada vez, nunca como valor por defecto. |
| Conservar los eventos de seguridad (días) | 90 | De 7 a 365. «Los eventos de seguridad almacenados, los incidentes cerrados y las acciones terminadas más antiguos que esto se eliminan cada noche.» |
| Permitir que el cortafuegos bloquee registros desde una red | Desactivado | Desactivado: la protección de registro sigue siendo suave (verificación de correo, comprobación de seguridad, revisión por un administrador). Activado: el cortafuegos también puede rechazar registros desde una red. |
Cualquier cambio de modo o de ajuste queda auditado; un cambio a Auto es una fila de auditoría de gravedad alta.
Privacidad
El cortafuegos trata datos de seguridad bajo interés legítimo. Los contadores y las líneas base usan hashes con clave, no nombres. Un incidente conserva el id del actor para que una persona pueda actuar sobre él. Las líneas temporales y las explicaciones de los incidentes contienen solo nombres de características y números. Las direcciones se guardan con los eventos y se eliminan con la retención. Cuando se borran los datos de una persona, sus incidentes pierden el actor y se cierran como «The person was erased», y su línea base se elimina. Los incidentes forman parte de la exportación de la organización. Consulta Privacidad y borrado de datos.