Baselining: aprender lo normal para detectar lo anormal

• Alex De los Llanos Dueñas
• Junio 2025

En el día a día de cualquier sistema digital, hay una rutina que se repite sin que nadie la mire demasiado. Usuarios que acceden a ciertas carpetas, procesos que se ejecutan siempre a la misma hora, conexiones que viajan desde las mismas direcciones IP a los mismos puertos. Todo parece moverse con naturalidad, como si fuera parte del flujo normal de una red viva. Y de hecho, lo es.

Pero justo ahí, en esa aparente normalidad, es donde se esconde una de las claves más potentes de la ciberseguridad actual. Porque cuando se consigue aprender —de verdad— cuál es el comportamiento habitual de un sistema, entonces también se consigue detectar mucho antes cualquier desviación. Eso es el baselining. Y hoy, en 2025, se ha convertido en una herramienta imprescindible para anticiparse a los ataques.

No se trata de predecir el futuro. Ni de basarse en firmas, ni en reglas estáticas. Se trata, más bien, de observar con atención lo que ocurre cuando no pasa nada. De entender el pulso de una red cuando todo funciona bien. Y de utilizar ese conocimiento como referencia para saber cuándo algo se sale de lo normal.

El valor de conocer tu propia línea base

Cada red, cada empresa, cada entorno digital tiene su propia huella. Su propio ritmo. Hay compañías donde el tráfico se dispara por las mañanas y cae por completo por la noche. Otras donde ciertos procesos arrancan solo los viernes. O donde hay scripts automatizados que limpian carpetas cada madrugada. Todo eso forma parte del comportamiento esperado. Del patrón invisible que permite decir “esto es lo habitual”.

Baselining consiste en registrar y analizar ese comportamiento durante un periodo determinado, hasta obtener una línea base confiable. Y luego, usarla como referencia para detectar anomalías. Si una cuenta de usuario empieza a descargar gigas de información a las 3 de la mañana, cuando normalmente está inactiva, algo pasa. Si un servidor inicia una conexión externa inusual, algo pasa. Si una aplicación ejecuta procesos fuera de su ventana habitual, algo pasa.

Y cuando se detectan esas desviaciones, no siempre quiere decir que haya un ataque. A veces será un cambio operativo legítimo. O un error de configuración. Pero incluso entonces, el hecho de que el sistema lo señale como anómalo es útil. Porque permite reaccionar. Revisar. Confirmar. Y en caso de que sí sea un movimiento malicioso, ganar tiempo antes de que el daño se materialice.

Aquí no hay fórmulas mágicas. Lo que funciona en una empresa puede no tener sentido en otra. Por eso, el baselining no se puede importar ni copiar. Tiene que construirse internamente, con los datos propios, con los flujos reales, con las dinámicas auténticas de cada entorno.

De la detección a la anticipación: el cambio real

En ciberseguridad, los segundos cuentan. Y muchas veces, lo que marca la diferencia entre contener un incidente o sufrir un desastre es simplemente esto: haberlo visto a tiempo. Pero para ver algo a tiempo, primero hay que saber qué se está buscando. O mejor dicho: hay que saber qué se considera anormal.

Ahí es donde el baselining demuestra su potencia. Porque lo que ofrece no es una alerta basada en patrones de malware conocidos o en ataques ya catalogados. Lo que ofrece es algo más sutil, pero igual de valioso: una señal de que algo se comporta de manera diferente a lo que suele hacer.

Esta capacidad es especialmente útil para detectar ataques avanzados o persistentes, aquellos que no se ejecutan con violencia, sino con paciencia. Que entran sin dejar huella, se mueven lateralmente, esperan el momento. En esos casos, los métodos clásicos fallan. Pero las desviaciones sutiles —un nuevo comportamiento, una modificación de permisos, una conexión inusual— pueden delatarlos antes de que cumplan su objetivo.

Por eso, cada vez más organizaciones están invirtiendo en capacidades de baselining. No solo como parte de sus sistemas SIEM o de sus soluciones de detección de anomalías, sino como un enfoque mental. Una forma distinta de mirar la red. De tratar de entenderla antes de protegerla.

Y esto no solo sirve para detectar ataques. También ayuda a mejorar el rendimiento, a entender cuellos de botella, a afinar procesos internos. Conocer lo normal, al final, no solo protege. También optimiza.

Claro, todo esto exige tiempo. Y una cierta madurez técnica. No basta con encender un sistema y esperar que detecte cosas mágicamente. Hay que definir bien los parámetros, ajustar las ventanas de observación, entender que no todo cambio es peligroso. Se trata de entrenar la mirada, no de sustituirla. Y en eso, la experiencia y el contexto lo son todo.

Conclusión

El baselining no es una tecnología nueva, pero está viviendo una segunda juventud en un momento donde los ataques son más sofisticados que nunca y los entornos digitales cambian constantemente. En un mar de ruido, lo que permite este enfoque es distinguir el susurro que no encaja.

Porque cuando una red se entiende como un organismo con sus propios ritmos, es más fácil notar cuando algo se descompensa. Y esa capacidad, hoy, es oro. No por paranoia, sino por prevención. No por miedo, sino por sentido común.

Y si tu empresa necesita ayuda para implementar estas medidas, contacta con nosotros.