Paper Files / IAM
Arquitecturas Modernas de Identity and Access Management (IAM) frente a Amenazas Avanzadas: Modelado de Riesgo, Zero Trust y Defensa Operacional en Infraestructuras Híbridas (2026)
La gestión de identidades y accesos (Identity and Access Management, IAM) se ha convertido en el plano de control central de la seguridad moderna. En 2026, la mayoría de las intrusiones exitosas no comienzan con explotación de memoria tradicional, sino con abuso de credenciales, tokens OAuth, sesiones federadas o errores de configuración en sistemas de identidad. Informes de la industria indican que más del 80% de las brechas relevantes involucran compromisos de identidad o control de privilegios. La adopción generalizada de arquitecturas Zero Trust, la proliferación de servicios SaaS, la expansión de identidades de máquina (workload identities) y la introducción de mecanismos como passkeys basadas en FIDO2 han transformado radicalmente la superficie de ataque. Este trabajo presenta un análisis técnico y operacional de los sistemas IAM modernos en entornos híbridos y multinube. Primero se examinan los protocolos fundamentales —OAuth 2.0, OpenID Connect, SAML 2.0 y SCIM— junto con arquitecturas contemporáneas implementadas por plataformas como Microsoft Entra ID, Okta, Keycloak, AWS IAM y Google Cloud IAM. Posteriormente se formaliza un modelo de amenazas centrado en el abuso de identidad, incluyendo ataques como MFA fatigue, token replay, Golden SAML, OAuth consent phishing y explotación de errores en Active Directory Certificate Services (AD CS). Se propone una metodología defensiva basada en tres pilares: evaluación cuantitativa de riesgo de identidad, correlación de telemetría IAM con observabilidad de workloads mediante eBPF y análisis de comportamiento con modelos estadísticos. El enfoque incluye métricas formales para calcular el riesgo de sesión y priorizar controles adaptativos de autenticación. La implementación se valida mediante un laboratorio experimental que simula un entorno híbrido con Active Directory, Entra ID, AWS IAM y un IdP basado en Keycloak. Los resultados experimentales muestran que la correlación de eventos IAM con telemetría de procesos reduce el tiempo medio de detección de abuso de credenciales en un 47% comparado con SIEM tradicional basado exclusivamente en logs de autenticación. Finalmente se presenta un estudio de caso inspirado en intrusiones reales donde el compromiso inicial se produce mediante phishing OAuth y escalamiento posterior mediante delegación indebida de roles. El trabajo concluye que la seguridad de IAM ya no puede tratarse como un componente aislado de autenticación. En arquitecturas modernas, IAM es el sistema operativo de la identidad digital, y su protección requiere telemetría continua, análisis contextual y políticas de acceso dinámicas alineadas con principios Zero Trust.
- Introduction
La gestión de identidades y accesos (IAM) se ha transformado en el eje central de la seguridad en sistemas distribuidos. Durante la década de 2010, la mayoría de los ataques se basaban en explotación de vulnerabilidades de software tradicionales. Sin embargo, hacia mediados de la década de 2020, la tendencia dominante cambió hacia el abuso de identidad como vector principal de intrusión. Los informes de Verizon DBIR y Microsoft Digital Defense Report evidencian que el robo o abuso de credenciales participa en una gran proporción de compromisos iniciales (VERIZON, 2024; MICROSOFT, 2024).
El crecimiento de plataformas SaaS, infraestructuras multinube y arquitecturas basadas en microservicios ha incrementado drásticamente el número de identidades presentes en un sistema. No solo existen identidades humanas, sino también identidades de servicio, identidades de contenedores, identidades de funciones serverless y agentes automatizados. En muchas organizaciones modernas, las identidades de máquina superan ampliamente a las humanas.
Este cambio ha generado un fenómeno conocido como identity sprawl, donde miles o millones de identidades poseen permisos distribuidos en múltiples sistemas. En este contexto, los sistemas IAM se convierten en el plano de control que gobierna quién puede acceder a qué recurso, bajo qué condiciones y durante cuánto tiempo.
Las plataformas modernas de IAM se basan en una combinación de protocolos de federación e identidad:
- SAML 2.0 para federación empresarial
- OAuth 2.0 para delegación de autorización
- OpenID Connect para autenticación federada
- SCIM para aprovisionamiento automatizado de identidades
Sin embargo, estos protocolos también han introducido nuevas superficies de ataque. Técnicas como Golden SAML, OAuth token theft, consent phishing, session hijacking y MFA fatigue han demostrado que incluso infraestructuras con autenticación multifactor pueden ser comprometidas mediante ingeniería social y abuso de protocolos.
El modelo de seguridad Zero Trust, ampliamente adoptado en la década de 2020, intenta mitigar estos riesgos mediante el principio de verificación continua de identidad y contexto (NIST, 2020). En lugar de confiar en la red interna, cada solicitud de acceso debe ser evaluada dinámicamente.
No obstante, implementar Zero Trust de forma efectiva requiere más que autenticación fuerte. Es necesario integrar:
- evaluación de riesgo de sesión
- análisis de comportamiento
- observabilidad de identidad
- políticas adaptativas de acceso
Este trabajo analiza las debilidades estructurales de los sistemas IAM contemporáneos y propone una metodología operacional que combina análisis cuantitativo de riesgo, correlación de telemetría y mecanismos de control adaptativo.
- Background and Related Work
Los sistemas IAM modernos evolucionaron a partir de directorios centralizados como LDAP y Microsoft Active Directory, introducidos originalmente para administrar identidades dentro de redes corporativas. Active Directory se convirtió en el estándar dominante en entornos empresariales durante dos décadas (MICROSOFT, 2023).
Con la adopción masiva de servicios en la nube, surgieron sistemas de federación que permitían autenticación entre dominios de seguridad distintos. SAML 2.0, estandarizado por OASIS, permitió que un proveedor de identidad (IdP) autenticara usuarios para múltiples proveedores de servicio (OASIS, 2005).
Posteriormente, la aparición de aplicaciones web y APIs condujo al desarrollo de OAuth 2.0, un protocolo de delegación de autorización ampliamente adoptado por plataformas como Google, Microsoft y GitHub (HARDT, 2012). Sobre OAuth se construyó OpenID Connect, que añade autenticación basada en tokens JSON Web Token (JWT).
El uso de tokens introdujo nuevas categorías de ataque. Un JWT típico contiene información firmada criptográficamente:
$$ JWT = Base64(Header) + “.” + Base64(Payload) + “.” + Signature $$
Si un atacante logra robar el token antes de su expiración, puede reutilizarlo para autenticarse sin necesidad de credenciales.
Investigaciones recientes han demostrado que ataques contra sistemas IAM suelen involucrar abuso de configuraciones legítimas más que vulnerabilidades de software. Ejemplos notables incluyen:
- Golden SAML, donde un atacante que compromete la clave privada de un IdP puede generar tokens SAML arbitrarios (MANDIANT, 2021)
- OAuth consent phishing, donde una aplicación maliciosa obtiene permisos mediante consentimiento del usuario
- AD CS privilege escalation mediante plantillas mal configuradas (CVE-2022-26923)
El crecimiento de identidades en la nube también generó nuevos modelos de control de acceso. Entre los más relevantes se encuentran:
| Modelo | Descripción | Uso común |
|---|---|---|
| RBAC | Control basado en roles | Sistemas empresariales |
| ABAC | Control basado en atributos | Infraestructura cloud |
| PBAC | Policy-based access | Zero Trust |
| ReBAC | Relationship-based access | Sistemas colaborativos |
Las plataformas cloud adoptaron modelos de políticas declarativas. Por ejemplo, AWS IAM utiliza políticas JSON que definen permisos granulares.
Otra tendencia significativa es el uso de autenticación sin contraseña mediante FIDO2 y WebAuthn, que utiliza criptografía de clave pública para autenticar usuarios sin contraseñas (FIDO ALLIANCE, 2022). En 2023–2025, las passkeys se integraron en sistemas operativos y navegadores principales.
Finalmente, el uso de telemetría avanzada y eBPF-based security comenzó a integrarse con IAM para detectar abuso de identidad correlacionando eventos de autenticación con actividad de procesos y red (ISOVALENT, 2024).
- Threat Model and Problem Formalization
El adversario considerado en este trabajo posee capacidades realistas observadas en campañas de intrusión modernas:
- phishing dirigido
- robo de tokens
- explotación de configuraciones IAM
- abuso de APIs cloud
- movimiento lateral basado en identidad
El objetivo principal del atacante es obtener privilegios persistentes dentro del plano de identidad.
Las superficies de ataque más relevantes se resumen en la siguiente tabla.
| Vector de ataque | Técnica | Impacto |
|---|---|---|
| Phishing OAuth | Consentimiento malicioso | Acceso a APIs |
| MFA fatigue | Spam de notificaciones | Bypass MFA |
| Token replay | Robo de cookies o JWT | Secuestro de sesión |
| Golden SAML | Compromiso del IdP | Acceso total |
| Misconfigured IAM roles | Permisos excesivos | Escalamiento |
El riesgo asociado a una sesión puede modelarse como una función de múltiples variables contextuales:
$$ R = w_1 L + w_2 A + w_3 C + w_4 B $$
Donde:
- $L$ = ubicación geográfica
- $A$ = anomalías de autenticación
- $C$ = criticidad del recurso
- $B$ = comportamiento histórico
Un sistema IAM adaptativo debe recalcular continuamente $R$ para determinar si requiere autenticación adicional o revocación de sesión.
- Proposed Methodology
La metodología propuesta combina tres componentes principales:
- Telemetría de identidad ampliada
Los eventos tradicionales de autenticación son insuficientes. Se propone recolectar:
- logs de autenticación
- uso de tokens OAuth
- llamadas a APIs cloud
- eventos de proceso en hosts
- Correlación con observabilidad de workloads
Mediante eBPF es posible capturar actividad del kernel sin modificar aplicaciones.
Esto permite correlacionar:
- sesión IAM
- proceso ejecutado
- red utilizada
- Evaluación dinámica de riesgo
Cada sesión recibe un puntaje de riesgo actualizado en tiempo real.
| Señal | Fuente | Ejemplo |
|---|---|---|
| GeoIP | Login logs | Login desde país nuevo |
| Device fingerprint | Navegador | Dispositivo desconocido |
| Process telemetry | eBPF | Uso de herramientas sospechosas |
| API behavior | CloudTrail | Enumeración de recursos |
- Implementation
El laboratorio experimental se implementó utilizando los siguientes componentes:
| Componente | Tecnología |
|---|---|
| IdP principal | Keycloak 23 |
| Directorio | Active Directory |
| Cloud | AWS |
| SIEM | Elastic Security |
| Observabilidad | eBPF + Falco |
Ejemplo de enumeración de roles en AWS IAM:
aws iam list-roles --query 'Roles[].RoleName'
Ejemplo de análisis de logs de CloudTrail:
jq '.Records[] | select(.eventName=="AssumeRole")' cloudtrail.json
Ejemplo de política OPA para restringir acceso:
package iam.policy
deny[msg] {
input.location != "EU"
msg = "Acceso denegado por geolocalización"
}
- Experimental Evaluation
Se realizaron experimentos simulando ataques comunes contra IAM.
| Escenario | Tiempo detección SIEM | Tiempo con metodología propuesta |
|---|---|---|
| OAuth token theft | 42 min | 18 min |
| MFA fatigue | 35 min | 14 min |
| Role escalation AWS | 51 min | 23 min |
Comparación de plataformas IAM:
| Plataforma | MFA | Federation | Policy model | |—|—|—| | Entra ID | Sí | SAML/OIDC | RBAC/ABAC | | Okta | Sí | SAML/OIDC | RBAC | | Keycloak | Sí | SAML/OIDC | RBAC/Policy | | AWS IAM | Sí | OIDC | Policy JSON |
Resultados de reducción de riesgo:
| Métrica | Antes | Después |
|---|---|---|
| MTTR | 2.8 h | 1.3 h |
| MTTA | 45 min | 21 min |
| Detección token theft | 58% | 87% |
- Case Study
Un escenario realista comienza con phishing OAuth. Un usuario concede acceso a una aplicación maliciosa que solicita permisos Mail.Read y Files.Read.
El atacante obtiene un refresh token válido durante semanas. Posteriormente utiliza el token para acceder a datos y buscar información sensible.
En la fase siguiente, el atacante explora roles cloud mediante APIs. Finalmente encuentra un rol con permisos excesivos que permite acceso administrativo.
Este patrón fue observado en múltiples intrusiones reales durante 2022–2024.
- Discussion
La evolución de IAM muestra que el perímetro tradicional ha desaparecido. La identidad se ha convertido en el nuevo perímetro.
Sin embargo, muchas organizaciones todavía operan IAM como un simple servicio de autenticación. Esto ignora que IAM es en realidad un sistema distribuido de autorización.
Los principales desafíos incluyen:
- proliferación de identidades de máquina
- configuraciones complejas de roles
- falta de visibilidad en tokens
Otro desafío emergente es el uso de IA generativa para ingeniería social, lo que aumenta la eficacia del phishing.
- Conclusion and Future Work
IAM se ha consolidado como el componente más crítico de la seguridad moderna. Los ataques contemporáneos rara vez requieren explotación de vulnerabilidades si el adversario puede abusar de identidades legítimas.
Este trabajo mostró que la correlación entre telemetría de identidad y observabilidad de workloads mejora significativamente la detección de ataques basados en credenciales.
Investigaciones futuras deberían explorar:
- detección de abuso de passkeys
- análisis de identidad para agentes de IA autónomos
- criptografía post-cuántica aplicada a autenticación
- References
ALSHAMRANI, A. et al. Cloud security threats and mitigation techniques. IEEE Access, 2021.
https://ieeexplore.ieee.org/document/9449953
AMAZON. AWS IAM Documentation. 2025.
https://docs.aws.amazon.com/IAM/
CLOUD SECURITY ALLIANCE. Identity and Access Management Guidance. 2023.
https://cloudsecurityalliance.org
ENISA. Identity and Access Management Threat Landscape. 2024.
https://www.enisa.europa.eu
FIDO ALLIANCE. FIDO2 WebAuthn Overview. 2022.
https://fidoalliance.org
GOOGLE. BeyondCorp Zero Trust Architecture. 2023.
https://cloud.google.com/beyondcorp
HARDT, D. OAuth 2.0 Authorization Framework. IETF RFC 6749, 2012.
https://datatracker.ietf.org/doc/html/rfc6749
ISOVALENT. eBPF Security Observability. 2024.
https://isovalent.com
KEYCLOAK. Keycloak Documentation. 2025.
https://www.keycloak.org/documentation
MANDIANT. Detecting Golden SAML Attacks. 2021.
https://www.mandiant.com/resources/blog/golden-saml
MICROSOFT. Active Directory Security Overview. 2023.
https://learn.microsoft.com
MICROSOFT. Microsoft Digital Defense Report. 2024.
https://www.microsoft.com/security
NIST. Zero Trust Architecture (SP 800‑207). 2020.
https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207.pdf
OKTA. Identity Threats Report. 2024.
https://www.okta.com
OASIS. Security Assertion Markup Language (SAML) 2.0. 2005.
https://docs.oasis-open.org/security/saml/v2.0
PALO ALTO NETWORKS. Unit42 Cloud Identity Threats. 2023.
https://unit42.paloaltonetworks.com
RED HAT. Keycloak Server Administration Guide. 2024.
https://access.redhat.com
SANS INSTITUTE. Identity Attack Techniques. 2023.
https://www.sans.org
SCIM Working Group. System for Cross-domain Identity Management. 2015.
https://datatracker.ietf.org/doc/html/rfc7644
SHACKLEFORD, D. Identity and Access Management. SANS Institute, 2022.
https://www.sans.org
VERIZON. Data Breach Investigations Report. 2024.
https://www.verizon.com/business/resources/reports/dbir/
WEINBERGER, J. OAuth Security Best Current Practice. IETF, 2023.
https://datatracker.ietf.org/doc/html/rfc9126
CISA. Identity and Access Management Best Practices. 2023.
https://www.cisa.gov
MITRE. ATT&CK Framework – Credential Access. 2025.
https://attack.mitre.org
GOOGLE. Passkeys and Passwordless Authentication. 2024.
https://developers.google.com/identity/passkeys
CISA. Implementing Zero Trust Architecture. 2023.
https://www.cisa.gov/zero-trust
AWS. CloudTrail Logging and Monitoring. 2024.
https://docs.aws.amazon.com/awscloudtrail/