En este artículo, presentamos PHASE (Evaluación Pasiva de Simulación de Actividad Humana), un novedoso marco de aprendizaje automático para evaluar cuantitativamente la fiabilidad conductual de usuarios sintéticos que imitan el comportamiento humano real para mejorar la eficacia de los entornos de simulación de ciberseguridad (ciberalcance, honeypots y sandboxes). PHASE analiza los registros de conexión de Zeek para distinguir actividades humanas de no humanas con una precisión superior al 90 % y opera de forma pasiva, sin instrumentación del usuario ni firmas de vigilancia. Las actividades de red se recopilan mediante dispositivos de red Zeek, y se propone una novedosa técnica de etiquetado que utiliza registros DNS locales. El análisis SHAP se utiliza para identificar características temporales y conductuales que representan a los usuarios humanos, y se presenta un caso práctico para identificar y mejorar patrones poco realistas de usuarios sintéticos y generar usuarios sintéticos más realistas.
