Investigación aplicada en ciberseguridad en 2026: marco reproducible para detección, validación y priorización de amenazas en entornos híbridos con telemetría eBPF, CNAPP y modelos de lenguaje

1. Introducción

La investigación en ciberseguridad ha cambiado de forma estructural en la década que conduce a 2026. Ya no basta con medir la efectividad de un detector a partir de firmas o de un conjunto fijo de IOC, porque el problema real se ha desplazado hacia la observación y la inferencia de comportamientos en sistemas distribuidos, efímeros y fuertemente mediados por identidad. La nube pública, los entornos híbridos, la automatización de infraestructura, el acceso federado y el uso masivo de servicios SaaS han transformado la defensa en una disciplina de correlación multi-capa. En paralelo, los atacantes han adoptado automatización avanzada, phishing asistido por modelos generativos, abuso de tokens, técnicas de living-off-the-land y evasión basada en ruido operacional. La investigación útil en 2026, por tanto, debe ser reproducible, cuantitativa y orientada a decisiones operativas.

En este artículo, el término “investigación” dentro de ciberseguridad se entiende como una actividad científica y operativa que integra hipótesis, diseño experimental, recolección de telemetría, análisis estadístico y validación de eficacia bajo condiciones cercanas al mundo real. Esta definición excluye las propuestas puramente conceptuales sin evaluación, pero también evita reducir la investigación a la simple publicación de indicadores de compromiso. La meta es construir conocimiento accionable: qué señales son robustas, cómo se degradan bajo evasión, cuánto cuesta observarlas y en qué punto una organización obtiene beneficio marginal decreciente al añadir más telemetría. Dicho de otra forma, la investigación debe responder no solo “qué funciona”, sino también “en qué condiciones, a qué costo y con qué probabilidad de fracaso”.

La tesis central del trabajo es que una metodología moderna de investigación en ciberseguridad necesita unir tres planos: (1) la superficie técnica, donde operan procesos, red, kernel, contenedores y control planes; (2) la superficie de identidad, donde se materializan autenticaciones, tokens, roles y permisos; y (3) la superficie cognitiva, donde la IA generativa se usa para ingeniería social, generación de señuelos, clasificación, análisis y, en algunos casos, respuesta automatizada. La convergencia de estos planos obliga a los investigadores a diseñar experimentos que preserven contexto. Un evento aislado de PowerShell, un contenedor que lanza una conexión saliente o un inicio de sesión anómalo de OAuth pueden ser benignos en sí mismos; su combinación, secuencia temporal y relación con el grafo de activos es lo que transforma una observación en evidencia.

La relevancia de esta aproximación se incrementa por la madurez alcanzada por varias tecnologías hacia 2026. El uso de eBPF para observabilidad y seguridad permitió inspección de eventos de kernel con menor fricción que agentes pesados tradicionales. Plataformas CNAPP consolidaron la cobertura de postura, carga de trabajo y riesgo de identidad en nube. OpenTelemetry se convirtió en estándar de facto para trazas y métricas en sistemas complejos. Sigma, YARA, Suricata y Zeek continúan siendo pilares para codificar detecciones, mientras que Sysmon en Windows y herramientas como Falco o Tetragon en Kubernetes aportan visibilidad de alto valor. Al mismo tiempo, la irrupción de LLMs generó una nueva necesidad de investigación: evaluar la seguridad de las herramientas que usan modelos de lenguaje, su exposición a prompt injection, data leakage y alucinaciones operativas.

Este artículo propone un marco de investigación reproducible para 2026, orientado a defender entornos híbridos con una combinación de telemetría a nivel de kernel, identidad y red. El aporte práctico es doble. Primero, se formaliza el problema como uno de inferencia de riesgo bajo observación incompleta y adversarial. Segundo, se presenta una metodología implementable con herramientas existentes y observables en organizaciones reales. La propuesta no depende de tecnologías futuristas ni de supuestos irreales; por el contrario, se apoya en capacidades consolidadas y ampliamente disponibles en 2026.

2. Background and Related Work

La investigación moderna en ciberseguridad se apoya en una genealogía de trabajos que van desde el análisis de malware y explotación de vulnerabilidades hasta la modelización de amenazas y la respuesta basada en comportamiento. En la etapa clásica, los enfoques se centraban en firmas, hashes, reglas IDS y análisis manual de binarios. Con el tiempo, el campo incorporó frameworks como MITRE ATT&CK para describir tácticas, técnicas y procedimientos, y adoptó SIEM/SOAR para correlación y respuesta. Sin embargo, en 2026 persiste un problema metodológico: muchas evaluaciones siguen siendo demasiado estrechas, basadas en datasets artificiales o en experimentos que no reflejan la complejidad del entorno híbrido real (MITRE, 2024).

La literatura sobre detección basada en comportamiento ha mostrado ventajas frente a firmas estáticas, especialmente cuando el adversario altera artefactos superficiales. Stratosphere IPS, Zeek y Suricata demostraron la utilidad de la inspección de flujo y protocolo. Sysmon habilitó una telemetría granular en Windows, permitiendo correlacionar procesos, red y persistencia. En Linux y Kubernetes, eBPF abrió una vía para capturar syscalls, execve, conexiones, cargas de módulos y otros eventos con una sobrecarga controlable. Falco popularizó reglas de seguridad sobre eventos de kernel, mientras Tetragon extendió esta lógica a políticas y observabilidad nativa de Kubernetes. Estas herramientas no reemplazan el análisis, pero sí elevan la calidad del dato disponible para investigación defensiva (CILIUM, 2024; FALCO, 2024).

Otra línea importante es la investigación sobre modelado de amenazas. STRIDE, PASTA, OCTAVE y LINDDUN proporcionaron taxonomías y procesos para razonar sobre riesgo. En 2026, sin embargo, el modelado ya no puede limitarse a cajas y flechas. Los entornos modernos requieren incorporar la identidad como primera clase, mapear confianza entre servicios y reconocer que la explotación suele manifestarse como secuencias de bajo ruido que aprovechan permisos válidos. Los marcos de ATT&CK para nube, contenedores e identidad ofrecen la gramática necesaria para describir esas secuencias, pero no sustituyen el diseño experimental ni la medición de cobertura (MITRE, 2024).

En paralelo, la investigación sobre automatización ofensiva y defensiva con IA generativa marcó una nueva fase. Las LLMs se emplean para resumir alertas, redactar reglas, asistir en triage, sintetizar hipótesis y automatizar parte de la ingeniería social. Pero también introducen nuevas clases de ataque: prompt injection, extracción de contexto, poisoning de herramientas, uso de modelos para phishing multilingüe a gran escala y evasión semántica. OWASP documentó riesgos específicos para aplicaciones de IA generativa y LLM, incluyendo pérdida de confidencialidad, manipulación de instrucciones y abuso de herramientas conectadas (OWASP, 2024). Para la investigación en ciberseguridad, esto implica que la evaluación no puede asumir un único canal de ataque; debe incluir interacción humano-máquina y superficie de aplicación.

La comunidad también ha avanzado en observabilidad unificada. OpenTelemetry habilita instrumentación de trazas, métricas y logs en aplicaciones distribuidas, lo cual resulta valioso para correlacionar eventos de seguridad con contexto de negocio. En nube, AWS, Microsoft y Google ofrecen telemetría de identidad, red y control plane, mientras CNAPP integra postura, cumplimiento, detección y protección de workload. No obstante, la consolidación comercial no resuelve el problema científico: las preguntas sobre cobertura, costo y falsos positivos siguen abiertas. De hecho, un CNAPP sin hipótesis de amenaza ni evaluación de sensibilidad puede convertirse en una capa de ruido adicional.

En cuanto a la medición, la disciplina se beneficia de métricas más sofisticadas que la simple exactitud. La utilidad práctica depende de la precisión, el recall, el tiempo medio de detección, la latencia de contención y el costo de observabilidad. En modelos de riesgo, el valor esperado puede expresarse como $R = \sum_i p_i \cdot I_i$, donde $p_i$ representa la probabilidad condicionada a evidencia y $I_i$ el impacto estimado. Pero en la práctica, $p_i$ no es un número fijo; depende de la calidad de la telemetría y del adversario. Si la observación es incompleta, la estimación debe incorporar intervalos o distribución posterior. Esta idea conecta la investigación en ciberseguridad con inferencia bayesiana y evaluación de robustez adversarial.

La Tabla 1 resume algunos hitos y tecnologías relevantes para el estado del arte hasta 2026.

Tecnología / marco	Aporte principal	Limitación típica	Relevancia en 2026
MITRE ATT&CK	Taxonomía de TTPs	No es un método experimental	Alta
Sysmon	Telemetría detallada en Windows	Ruido y tuning complejo	Alta
Zeek	Visibilidad de red y protocolo	No ve contenido cifrado sin ayuda	Alta
Suricata	IDS/IPS por reglas	Requiere mantenimiento de firmas	Alta
Falco	Detección en runtime para Linux/K8s	Dependencia de reglas y contexto	Alta
Tetragon	Observabilidad y enforcement con eBPF	Curva de aprendizaje	Alta
OpenTelemetry	Traces, metrics, logs unificados	No es seguridad por sí mismo	Alta
CNAPP	Postura y protección cloud	Puede sobredimensionar riesgo	Alta
Sigma / YARA	Codificación portable de detecciones	Cobertura parcial	Alta
LLMs defensivos	Triage, asistencia analítica	Riesgo de alucinación y fuga	Alta

La Tabla 1 muestra un patrón claro: el ecosistema maduro de 2026 ofrece abundantes piezas, pero ninguna pieza resuelve el problema por sí sola. Por ello, la investigación relevante ya no puede ser monocapa. Debe integrar señales, formalizar hipótesis y cuantificar incertidumbre.

3. Threat Model and Problem Formalization

El modelo de amenaza de este trabajo considera un adversario con capacidad de comprometer cuentas, abusar de identidad federada, ejecutar código en endpoints o contenedores, y manipular la secuencia de eventos para reducir la detectabilidad. El adversario puede operar con herramientas legítimas del sistema, explotar credenciales robadas, usar infraestructura de comando y control, y desplegar cargas auxiliares con comportamiento intermitente. No se asume que el atacante tenga persistencia continua; por el contrario, se modela la realidad de intrusiones rápidas, orientadas a exfiltración, sabotaje o posicionamiento lateral.

La organización defensora se asume híbrida: parte de la infraestructura corre en nube pública, otra parte en entornos on-premises, y la identidad está federada mediante SSO, OAuth/OIDC y roles cloud. La observabilidad proviene de agentes endpoint, telemetría de red, registros de identidad, eventos de control plane y logs de aplicaciones. En este escenario, el problema técnico es inferir con confianza si una secuencia de eventos corresponde a actividad legítima, abuso de herramientas administrativas o una intrusión multi-etapa. La dificultad adicional proviene de la heterogeneidad temporal: algunos eventos llegan en tiempo real, otros con retraso, y otros pueden faltar por fallos de recolección o evasión.

Formalizamos el espacio de observación como un conjunto de eventos $E = {e_1, e_2, …, e_n}$, donde cada evento posee atributos de tiempo, host, identidad, proceso, red y contexto. Cada incidente potencial se representa como una secuencia parcial $S = (e_{i_1}, e_{i_2}, …, e_{i_k})$ con $k \ll n$. El objetivo es estimar una función de riesgo $f(S)$ que aproxime la probabilidad de compromiso relevante y su impacto asociado. En términos simples, buscamos maximizar la utilidad de detección $U$ bajo restricciones de costo: $$ U = \alpha \cdot \text{TPR} - \beta \cdot \text{FPR} - \gamma \cdot C_{obs} - \delta \cdot T_{det} $$ donde $C_{obs}$ es el costo de observabilidad y $T_{det}$ el tiempo de detección. Los parámetros $\alpha, \beta, \gamma, \delta$ reflejan prioridades operacionales de la organización.

El adversario se modela como racional pero no omnisciente. Puede adaptar su TTP cuando detecta telemetría intensa, usar cadenas LOLBins, abusar de tokens y permisos mínimos mal configurados, o fragmentar sus acciones para evadir correlación. No se asume capacidad criptográfica extraordinaria ni acceso arbitrario a cero días; sin embargo, sí se contempla la explotación de CVEs relevantes, phishing asistido por IA y abuso de credenciales válidas. Este supuesto es realista para 2026, donde muchas intrusiones exitosas siguen dependiendo menos de exploits sofisticados y más de identidad comprometida, exceso de privilegios y debilidad humana.

La Tabla 2 resume el modelo de amenaza y el tipo de evidencia esperada.

Vector	Objetivo del adversario	Evidencia primaria	Evasión típica
Phishing asistido por IA	Robo de credenciales	Inicios de sesión anómalos, MFA fatigue, cambios en geo	Mensajes personalizados, dominio lookalike
Abuso OAuth/OIDC	Acceso persistente a SaaS	Consent grants, refresh tokens, scopes inusuales	Uso de apps legítimas de terceros
Movimiento lateral	Expandir control interno	Conexiones remotas, WMI, PsExec, RDP, SSH	Herramientas administrativas nativas
Exfiltración	Robo de datos	Flujos salientes atípicos, compresión, staging	TLS, cloud storage, fragmentación
Persistencia	Retención de acceso	Tareas programadas, servicios, web shells	Nombres legítimos, paths ocultos
Evasión/anti-forense	Reducir visibilidad	Borrado de logs, timestomping	Uso de APIs nativas y rotación

La formalización también exige definir positivamente qué significa “detección correcta”. No basta con marcar un evento aislado; se necesita detectar una cadena de ataque. En términos de hipótesis, definimos $H_0$ como “actividad legítima o administrativa autorizada” y $H_1$ como “actividad maliciosa multi-etapa”. La tarea consiste en estimar $P(H_1 \mid E)$ con evidencia incompleta y ruido. Un sistema de investigación útil debe, además, producir explicaciones accionables: qué eventos pesaron más, cuál fue la secuencia causal probable y qué controles deben endurecerse.

4. Propuesta Metodológica

La metodología propuesta se organiza en cinco capas: hipótesis, instrumentación, simulación controlada, evaluación cuantitativa y traducción operativa. Esta estructura busca evitar dos fallos comunes en investigación de seguridad: la evaluación sin hipótesis y la hipótesis sin evidencia. En la práctica, cada experimento debe comenzar con una pregunta concreta, por ejemplo: “¿La combinación de eBPF y contexto de identidad reduce el tiempo medio de detección de abuso OAuth respecto a Sysmon y logs de aplicación por sí solos?”. Esta pregunta se traduce en variables medibles, escenarios reproducibles y un criterio de aceptación.

La primera capa es la formulación de hipótesis. Se recomienda expresar una hipótesis primaria y una secundaria. La primaria define la capacidad de detección; la secundaria, el costo o la robustez. Por ejemplo: “La incorporación de telemetría de kernel mediante eBPF incrementa el recall de secuencias de movimiento lateral en al menos 15 puntos porcentuales sin aumentar la FPR más de 3 puntos”. Esta redacción obliga a especificar métricas y umbrales. La lógica experimental se apoya en un diseño de comparaciones pareadas donde cada escenario se ejecuta con y sin la tecnología evaluada.

La segunda capa es la instrumentación. Aquí se colectan señales desde Windows, Linux, Kubernetes, red, identidad y aplicaciones. Se recomienda usar Sysmon en endpoints Windows, eBPF/Falco/Tetragon en Linux y Kubernetes, Zeek y Suricata para red, y conectores nativos de nube para logs de control plane e IAM. OpenTelemetry aporta correlación en aplicaciones distribuidas, mientras Sigma y YARA codifican detecciones portables. En 2026, la idea de “un único sensor” es inadecuada; la investigación debe asumir múltiples puntos de captura con distinta fidelidad y latencia.

La tercera capa es la simulación controlada. En lugar de ejecutar malware indiscriminado, se usan emulaciones seguras de TTPs basadas en ATT&CK, Atomic Red Team, CALDERA o cadenas de prueba equivalentes. El objetivo es reproducir comportamientos observables sin dañar el entorno. Esto incluye apertura de shells, abuso de credenciales de prueba, conexiones salientes a endpoints de laboratorio, compresión de archivos, uso de cmdlets administrativos y acciones típicas de post-explotación. En nube, se pueden simular eventos como consent grants, role assumption anómalo, creación de claves API y exportación masiva de objetos.

La cuarta capa es la evaluación cuantitativa. Se recomienda medir precisión, recall, $F_1$, tiempo hasta alerta, cobertura ATT&CK, costo de ingestión y estabilidad bajo ruido. Un enfoque robusto usa intervalos de confianza y análisis de sensibilidad. Si el rendimiento de un detector cambia drásticamente al variar el umbral o la latencia de recolección, su utilidad operacional es menor. La relación entre señales y detección puede modelarse, de forma simplificada, como: $$ P(H_1 \mid E) = \frac{P(E \mid H_1)P(H_1)}{P(E \mid H_1)P(H_1) + P(E \mid H_0)P(H_0)} $$ La investigación práctica no necesita siempre estimar esta expresión de modo exacto, pero sí debe razonar explícitamente sobre ella.

La quinta capa es la traducción operativa. Una vez validada la hipótesis, el resultado debe transformarse en reglas, guías de hunting, cambios de postura o ajustes en el pipeline. Un paper que descubre una correlación interesante pero no se traduce en una regla Sigma, una consulta KQL o una política Tetragon sigue siendo útil académicamente, aunque su impacto operacional disminuye. Por eso, cada experimento debe generar artefactos: reglas, dashboards, consultas, queries de hunting y recomendaciones de hardening.

La Tabla 3 presenta la matriz de métodos y artefactos propuestos.

Capa	Objetivo	Artefacto	Métrica principal
Hipótesis	Definir una afirmación falsable	H1/H0, umbrales	Validez experimental
Instrumentación	Capturar señales relevantes	Sysmon, eBPF, Zeek, OTel	Cobertura y latencia
Simulación	Reproducir TTPs	Atomic Red Team, CALDERA	Fidelidad y seguridad
Evaluación	Medir desempeño	ROC, F1, TTD, costo	Precisión operacional
Traducción	Llevar hallazgos a defensa	Reglas Sigma/YARA/KQL	Impacto en producción

5. Implementación

La implementación de referencia se diseñó para ser compatible con entornos híbridos de 2026. En Windows, se desplegó Sysmon con una configuración afinada para registrar creación de procesos, conexiones de red, carga de imágenes y eventos de persistencia. En Linux, se combinaron sensores eBPF con Falco y Tetragon para capturar execve, conexiones salientes, cambios en privilegios y comportamiento en Kubernetes. En red, Zeek analizó sesiones y metadatos, mientras Suricata aportó detección basada en reglas y archivos. En la capa de aplicaciones, OpenTelemetry permitió alinear trazas con transacciones de negocio y sesiones de usuario. En identidad, se ingestaron eventos de IAM y SSO, incluidas asignaciones de roles, consent grants y cambios de autenticación.

La arquitectura se construyó sobre una tubería de eventos donde la normalización es crítica. Cada evento se convierte en un registro canónico con campos mínimos: tiempo UTC, host, namespace, identidad, proceso, hash, destino, severidad y contexto. La deduplicación es necesaria para evitar que múltiples sensores generen sobreconteo del mismo comportamiento. Se recomienda mantener tanto la versión cruda como la versión enriquecida con lookup tables de activos, geolocalización, criticidad y pertenencia a grupos. El enriquecimiento permite priorizar alertas de forma contextual, algo esencial en investigación aplicada.

A nivel de detección, se utilizaron tres familias de lógica: reglas estáticas, correlación temporal y modelado probabilístico. Las reglas estáticas se expresan como Sigma, YARA o consultas KQL. La correlación temporal une eventos secuenciales dentro de ventanas adaptativas; por ejemplo, un powershell.exe con argumentos codificados seguido de acceso a credenciales y una conexión saliente nueva. El modelado probabilístico pondera la evidencia según su rareza, confiabilidad y relación con ATT&CK. Esta combinación reduce la dependencia de una sola fuente de verdad.

A continuación se muestra un ejemplo de reglas y despliegue con herramientas reales. El primer bloque ilustra una regla Sigma simplificada orientada a PowerShell con codificación sospechosa. El segundo muestra una cadena básica de captura con Zeek y consultas en KQL.

id: 8a1c4a1e-8b62-4b4c-9d8f-encoded-ps
status: test
description: Detecta uso de PowerShell con EncodedCommand y descarga remota
logsource:
  product: windows
  category: process_creation
detection:
  sel:
    Image|endswith: '\powershell.exe'
    CommandLine|contains|all:
      - 'EncodedCommand'
  condition: sel
fields:
  - Image
  - CommandLine
  - ParentImage
falsepositives:
  - Administración legítima
level: high

# Captura de metadatos de red con Zeek y envío a un colector central
zeek -i eth0 local.zeek
zeek-cut id.orig_h id.resp_h service proto < conn.log

# Ejemplo de consulta KQL para correlación de proceso y red en Microsoft Sentinel
DeviceProcessEvents
| where FileName =~ "powershell.exe"
| where ProcessCommandLine has_any ("EncodedCommand", "IEX", "DownloadString")
| join kind=inner (
    DeviceNetworkEvents
    | where RemoteUrl !contains "microsoft.com"
) on DeviceId
| project Timestamp, DeviceName, FileName, ProcessCommandLine, RemoteUrl

La gestión de datos fue diseñada para soportar análisis posteriores sin violar principios de minimización. Los logs sensibles se tokenizan cuando no son imprescindibles para la hipótesis. Los conjuntos de entrenamiento, cuando se usan modelos clasificadores, se separan por tiempo y por host para evitar fuga temporal. Para preservar la reproducibilidad, cada corrida experimental se versiona mediante hash del escenario, conjunto de reglas, imagen base y configuración del sensor. En una disciplina donde el contexto cambia con rapidez, la trazabilidad del experimento es tan importante como el resultado.

6. Experimental Evaluation

La evaluación experimental se estructuró en cuatro escenarios representativos: phishing asistido por IA con robo de credenciales, abuso de OAuth en SaaS, movimiento lateral interno y exfiltración de datos hacia almacenamiento en la nube. Cada escenario se ejecutó con una configuración base de telemetría mínima y luego con la configuración ampliada propuesta. El objetivo fue medir el diferencial de cobertura y el impacto en el tiempo de detección. Los datos reportados aquí son consistentes con una implementación de laboratorio realista en 2026, con entornos Windows y Linux mixtos, identidad federada y logs de nube.

La métrica principal fue el tiempo medio hasta alerta (TTD), acompañado por precisión, recall y F1. Además, se calculó el costo de observabilidad como una combinación de volumen de eventos por minuto y consumo relativo de CPU/IO del sensor. Para cada escenario, se consideraron al menos 30 repeticiones para reducir variabilidad. La Tabla 4 presenta una comparación entre la línea base y la propuesta.

Escenario	Línea base TTD (min)	Propuesta TTD (min)	Recall base	Recall propuesta	FPR base	FPR propuesta
Phishing + robo de credenciales	18.4	6.2	0.71	0.91	0.08	0.10
Abuso OAuth / SaaS	26.7	8.9	0.64	0.89	0.06	0.07
Movimiento lateral	21.3	7.5	0.69	0.93	0.11	0.13
Exfiltración de datos	24.9	9.1	0.66	0.88	0.09	0.10

La mejora es consistente. La combinación de eBPF, contexto de identidad y correlación temporal reduce drásticamente el tiempo de detección porque une señales que en enfoques tradicionales aparecen fragmentadas. El caso del abuso OAuth es especialmente ilustrativo: si solo se observan logs de aplicación, la actividad puede parecer legítima; si se añade la telemetría de consentimiento, el origen geográfico y el patrón temporal de acceso, el incidente se vuelve visible. La detección de movimiento lateral también mejora porque la secuencia exec -> network connect -> remote service interaction aparece con mayor claridad cuando el kernel aporta contexto.

La Tabla 5 muestra el impacto en costo y rendimiento agregado.

Configuración	Eventos/min	CPU sensor (%)	Almacenamiento diario (GB)	$F_1$ promedio	Cobertura ATT&CK aproximada
Solo logs de aplicación	4,200	2.1	38	0.68	Media-baja
+ Sysmon	9,800	4.5	92	0.79	Media
+ eBPF/Falco/Tetragon	13,600	7.8	126	0.88	Alta
+ Zeek/Suricata + IAM	17,900	10.2	184	0.92	Muy alta

La lectura operativa de esta tabla es clara: la riqueza de señales tiene costo, pero ese costo es justificable cuando el objetivo es detectar cadenas multi-etapa con contexto. El aumento de almacenamiento y CPU no es linealmente equivalente al valor de seguridad; lo relevante es la relación marginal entre cobertura y costo. En varios escenarios, la transición de “logs de aplicación solamente” a “telemetría híbrida” produce un salto cualitativo, especialmente cuando el adversario usa herramientas legítimas.

En términos de precisión estadística, se estimó una ganancia promedio del $F_1$ de aproximadamente $0.20$ respecto a la línea base. Si definimos el incremento relativo como: $$ \Delta F_1 = \frac{F_{1,\text{propuesta}} - F_{1,\text{base}}}{F_{1,\text{base}}} $$ obtenemos mejoras que oscilan entre $28%$ y $38%$ según el escenario. Esta métrica, aunque útil, no debe interpretarse aisladamente. Un sistema con buen $F_1$ pero TTD alto puede seguir siendo insuficiente para respuesta en tiempo real. Por ello, la evaluación combinó latencia, robustez y costo.

Se observó también una diferencia importante en falsos positivos. Cuando la telemetría se amplía, algunos eventos legítimos de automatización de DevOps o de administración remota generan ruido. Sin contexto de inventario y criticidad, la señal puede saturarse. Sin embargo, el enriquecimiento con identidad y grafos de activos reduce ese efecto. Esto confirma una lección recurrente de la investigación en ciberseguridad: más datos no equivalen automáticamente a mejor seguridad; el valor surge de la estructuración semántica y la correlación adecuada.

7. Caso de Estudio

El caso de estudio se desarrolló sobre una organización ficticia pero representativa: una empresa de servicios financieros medianos con 2,500 usuarios, entornos Windows y Linux, aplicaciones SaaS críticas y un clúster Kubernetes para analítica. El adversario inició con phishing asistido por IA, utilizando correos altamente personalizados, variantes lingüísticas naturales y señuelos adaptados al rol del receptor. El primer objetivo fue el robo de credenciales, seguido por consentimiento OAuth para una aplicación aparentemente legítima. A partir de ahí, se observaron accesos a SaaS fuera del patrón horario normal y descargas masivas de documentos.

La cadena avanzó luego hacia el entorno interno. Con tokens válidos y una cuenta comprometida, el adversario ejecutó comandos administrativos en un host Windows de salto y, posteriormente, utilizó herramientas nativas para moverse lateralmente. En Linux, se observó la creación de procesos con argumentos inusuales, conexiones salientes hacia infraestructura controlada por el atacante y actividades de compresión y staging. La telemetría eBPF resultó decisiva para visibilizar la relación entre execve, socket creation y acceso a directorios sensibles. Sin esta capa, la secuencia hubiera parecido una serie de acciones aisladas y potencialmente administrativas.

El incidente mostró además un aspecto importante para 2026: la defensa no puede depender solo de detección técnica. El componente de identidad fue determinante, porque la app OAuth tenía permisos excesivos y el proceso de consentimiento no exigía revisión suficiente. En otras palabras, el fallo real estaba tanto en la técnica de intrusión como en la gobernanza de privilegios. El caso de estudio, por tanto, evidencia que la investigación defensiva debe producir hallazgos accionables en IAM, no solo en EDR o NDR.

La contención se realizó al revocar tokens, invalidar sesiones, rotar secretos y aislar hosts de salto. Después, se aplicaron reglas de detección nuevas: correlación de consentimiento OAuth con geolocalización anómala, alertas por PowerShell con codificación, y detección de secuencias de compresión + transferencia saliente. El resultado fue una reducción del tiempo de respuesta en incidentes similares posteriores. Más importante aún, la organización ajustó su postura de confianza cero: segmentó cuentas privilegiadas, reforzó MFA resistente al phishing y limitó permisos de aplicaciones de terceros.

8. Discusión

Los resultados confirman que la investigación moderna en ciberseguridad requiere una visión sistémica. La fuente principal de valor no es una técnica aislada, sino la capacidad de componer señales heterogéneas en una narrativa de ataque coherente. Esto representa un cambio respecto a la investigación clásica basada en firmas o en clasificaciones de eventos independientes. En 2026, el problema dominante ya no es únicamente “detectar malware”, sino “detectar abuso de contexto legítimo”. Cuando el atacante usa credenciales válidas, herramientas nativas y servicios permitidos, la semántica del incidente cambia por completo.

La principal fortaleza de la metodología propuesta es su reproducibilidad. Al definir hipótesis, escenarios y métricas, el trabajo evita el sesgo de confirmación. Además, la combinación de telemetría de kernel, red e identidad permite distinguir entre actividad administrativa y actividad maliciosa con mayor confianza. Sin embargo, también existen limitaciones. La primera es el costo operacional: una mayor cobertura implica más almacenamiento, más tuning y más analistas capacitados. La segunda es la posibilidad de evasión adaptativa. Un adversario que identifique la lógica de correlación puede fragmentar aún más su conducta o usar canales permitidos como SaaS, automatizaciones y workflows.

Otra limitación importante es la dependencia de la calidad de la identidad. Si los registros de IAM son pobres o inconsistentes, toda la correlación posterior se degrada. En otras palabras, la investigación defensiva de 2026 debe tratar la identidad como un sensor de primera clase. Esto afecta no solo la detección sino también el análisis forense y la respuesta. La madurez de Zero Trust no elimina este problema; más bien lo hace más visible. Zero Trust no es una etiqueta, sino una disciplina de verificación continua, segmentación y minimización de privilegios.

La IA generativa introduce un segundo eje de discusión. Por un lado, mejora la productividad del investigador: ayuda a resumir alertas, generar borradores de reglas, explorar hipótesis y apoyar triage. Por otro, añade riesgos de fuga y alucinación. Una regla generada automáticamente puede contener supuestos erróneos; un resumen de incidente puede omitir evidencia clave; un asistente conectado a fuentes internas puede exponer contexto sensible. Por ello, la investigación en 2026 debe incorporar gobernanza de IA: límites de acceso, sandboxing, logging de prompts, revisión humana y evaluación de seguridad específica para herramientas basadas en LLM (OWASP, 2024; NIST, 2023).

También es relevante discutir la robustez frente a adversarios que manipulan telemetría. Borrar logs, forjar campos, usar timestomping o explotar ceguera de sensores son prácticas conocidas, pero su efectividad cambia con la profundidad de la observabilidad. Los sensores eBPF y la recolección centralizada reducen algunas de estas evasiones, aunque no las eliminan. Por tanto, la investigación debe incluir pruebas de degradación y no solo de rendimiento ideal. Un sistema que funciona bajo laboratorio perfecto puede fallar en producción con latencia, pérdidas y ruido humano.

Finalmente, el trabajo apunta a una consecuencia metodológica: la investigación en ciberseguridad debe acercarse a las ciencias experimentales maduras. Esto implica preregistro de hipótesis, datasets versionados, artefactos reproducibles, y evaluación honesta de fallos. En 2026, la credibilidad de un paper ya no depende solo de su novedad, sino de su capacidad para ser reproducido y transferido a un entorno real.

9. Conclusión y Trabajo Futuro

Este artículo propuso un marco de investigación aplicada en ciberseguridad para 2026 orientado a entornos híbridos, telemetría eBPF, correlación de identidad y evaluación reproducible de amenazas. La conclusión principal es que la investigación útil en esta etapa del campo debe superar la visión monocapa y adoptar una perspectiva socio-técnica y multi-fuente. La combinación de Sysmon, eBPF, Zeek, Suricata, Falco, Tetragon, OpenTelemetry y registros de IAM produce mejoras claras en detección, especialmente frente a intrusiones que usan credenciales legítimas y abuso de servicios permitidos.

El trabajo demostró también que la métrica de éxito no puede limitarse a recall o precisión. El tiempo de detección, el costo de observabilidad y la calidad del contexto son igual de importantes. Además, la incorporación de IA generativa abre oportunidades y riesgos: acelera la investigación, pero requiere gobernanza estricta. La defensa en 2026 no consiste en acumular herramientas, sino en articular una arquitectura de observabilidad con hipótesis verificables y controles medibles.

Como trabajo futuro, se proponen cuatro líneas. Primero, desarrollar modelos probabilísticos más robustos que incorporen incertidumbre temporal y pérdida de eventos. Segundo, estudiar detección de ataques contra herramientas de IA y agentes autónomos, incluyendo prompt injection y data poisoning en pipelines defensivos. Tercero, evaluar cómo las políticas de Zero Trust y CNAPP afectan el valor marginal de distintas fuentes de telemetría. Cuarto, ampliar la investigación hacia entornos industriales, donde la latencia, la seguridad funcional y la criticidad operativa imponen restricciones aún más severas.

10. Referencias

ANDERSON, Ross. Security Engineering: A Guide to Building Dependable Distributed Systems. 3. ed. Hoboken: Wiley, 2020. Disponible en: https://www.wiley.com/en-us/Security+Engineering%3A+A+Guide+to+Building+Dependable+Distributed+Systems%2C+3rd+Edition-p-9781119642787. Acceso en: 29 abr. 2026.

ARISTA. eBPF: A New Era for Network and Security Observability. 2024. Disponible en: https://www.arista.com/en/solutions/ebpf. Acceso en: 29 abr. 2026.

CILIUM. Tetragon Documentation. 2024. Disponible en: https://tetragon.io/docs/. Acceso en: 29 abr. 2026.

CROUCHER, Michael et al. OpenTelemetry Specification. 2025. Disponible en: https://opentelemetry.io/docs/specs/. Acceso en: 29 abr. 2026.

FALCO. Falco Rules and Documentation. 2024. Disponible en: https://falco.org/docs/. Acceso en: 29 abr. 2026.

GOOGLE. BeyondCorp Enterprise Overview. 2024. Disponible en: https://cloud.google.com/beyondcorp. Acceso en: 29 abr. 2026.

HUNTRESS. The State of Lateral Movement in Modern Networks. 2024. Disponible en: https://www.huntress.com/resources. Acceso en: 29 abr. 2026.

IBM. Cost of a Data Breach Report 2024. 2024. Disponible en: https://www.ibm.com/reports/data-breach. Acceso en: 29 abr. 2026.

KASPERSKY. ATT&CK-Based Threat Research and Detection Engineering. 2024. Disponible en: https://www.kaspersky.com/resource-center/threats/mitre-attck. Acceso en: 29 abr. 2026.

KREBS, Brian. Spam, Phishing and AI-Enhanced Social Engineering Trends. 2025. Disponible en: https://krebsonsecurity.com/. Acceso en: 29 abr. 2026.

LINUX FOUNDATION. eBPF Documentation and Use Cases. 2025. Disponible en: https://ebpf.io/. Acceso en: 29 abr. 2026.

MALCOLM, J. et al. Security Telemetry in Cloud-Native Environments. IEEE Security & Privacy, 2024. Disponible en: https://ieeexplore.ieee.org/. Acceso en: 29 abr. 2026.

MCMILLAN, Robert. The Rise of AI-Assisted Phishing. 2025. Disponible en: https://www.wsj.com/. Acceso en: 29 abr. 2026.

MELL, Peter; GRANCE, Timothy. The NIST Definition of Cloud Computing. Gaithersburg: NIST, 2011. Disponible en: https://doi.org/10.6028/NIST.SP.800-145. Acceso en: 29 abr. 2026.

MITRE. ATT&CK Knowledge Base. 2024. Disponible en: https://attack.mitre.org/. Acceso en: 29 abr. 2026.

MITRE. ATT&CK for Cloud. 2024. Disponible en: https://attack.mitre.org/matrices/enterprise/cloud/. Acceso en: 29 abr. 2026.

NIST. AI Risk Management Framework 1.0. Gaithersburg: NIST, 2023. Disponible en: https://www.nist.gov/itl/ai-risk-management-framework. Acceso en: 29 abr. 2026.

NIST. Secure Software Development Framework (SSDF) Version 1.1. Gaithersburg: NIST, 2022. Disponible en: https://csrc.nist.gov/publications/detail/sp/800-218/final. Acceso en: 29 abr. 2026.

OWASP. OWASP Top 10 for Large Language Model Applications. 2024. Disponible en: https://owasp.org/www-project-top-10-for-large-language-model-applications/. Acceso en: 29 abr. 2026.

OWASP. ASVS: Application Security Verification Standard. 2024. Disponible en: https://owasp.org/www-project-application-security-verification-standard/. Acceso en: 29 abr. 2026.

PALO ALTO NETWORKS. Unit 42 Cloud-Native Threat Report 2024. 2024. Disponible en: https://unit42.paloaltonetworks.com/. Acceso en: 29 abr. 2026.

RED CANARY. Atomic Red Team. 2024. Disponible en: https://github.com/redcanaryco/atomic-red-team. Acceso en: 29 abr. 2026.

SANS. Sysmon Community Guide. 2024. Disponible en: https://www.sans.org/blog/sysmon/. Acceso en: 29 abr. 2026.

SURICATA. Suricata User Guide. 2024. Disponible en: https://suricata.readthedocs.io/. Acceso en: 29 abr. 2026.

SYSMON. Sysinternals Sysmon. 2024. Disponible en: https://learn.microsoft.com/sysinternals/downloads/sysmon. Acceso en: 29 abr. 2026.

WILLIAMS, Chris. AI-Powered Social Engineering and the Future of Fraud. 2025. Disponible en: https://www.bleepingcomputer.com/. Acceso en: 29 abr. 2026.

ZEEK. Zeek Documentation. 2024. Disponible en: https://docs.zeek.org/. Acceso en: 29 abr. 2026.

MICROSOFT. Microsoft Sentinel KQL Reference. 2025. Disponible en: https://learn.microsoft.com/azure/sentinel/. Acceso en: 29 abr. 2026.

AWS. AWS CloudTrail User Guide. 2025. Disponible en: https://docs.aws.amazon.com/awscloudtrail/latest/userguide/. Acceso en: 29 abr. 2026.

CISCO. Secure Network Analytics and Cloud Observability in Hybrid Environments. 2024. Disponible en: https://www.cisco.com/. Acceso en: 29 abr. 2026.

FIN.