Investigación aplicada en ciberseguridad en 2026: una metodología reproducible para detección, validación y respuesta a amenazas híbridas con IA, nube y eBPF

1. Introducción

La investigación en ciberseguridad dejó de ser, hace tiempo, una actividad exclusivamente académica o una disciplina de laboratorio. En 2026, investigar en ciberseguridad significa operar en un entorno donde la infraestructura digital es híbrida, la superficie de ataque está fragmentada entre SaaS, IaaS, endpoint, identidades y pipelines de integración continua, y los adversarios emplean automatización, IA generativa y servicios criminales como parte del ciclo ofensivo. En este contexto, la investigación útil no es la que solo produce intuiciones o demostraciones puntuales, sino la que genera conocimiento reproducible, medible y transferible a la defensa. Esa exigencia redefine el significado de “Research” dentro de ciberseguridad: ya no basta con describir técnicas de ataque o enumerar controles; es necesario formalizar el método con el cual se detecta, valida y corrige una debilidad. La disciplina necesita rigor científico, pero también sensibilidad operativa, porque el objeto de estudio cambia a una velocidad superior a la de muchos ciclos de publicación.

La presión sobre la investigación es doble. Por un lado, los defensores deben responder a campañas de phishing asistido por modelos generativos, abusos de OAuth, secuestro de tokens, explotación de proveedores de software, movimiento lateral en entornos cloud y evasión de telemetría por parte de actores con recursos considerables. Por otro lado, las organizaciones requieren evidencia sólida para priorizar inversiones, diseñar controles y justificar el costo de la instrumentación. Esto implica que la investigación en ciberseguridad debe producir resultados que sean estadísticamente defendibles, operacionalmente relevantes y éticamente responsables. En otras palabras, debe maximizar el valor de la observación y minimizar el ruido. Si definimos la calidad de una investigación como una función de utilidad $U$, podemos representarla de forma simplificada como $$U = \alpha R + \beta P + \gamma V - \delta C,$$ donde $R$ representa reproducibilidad, $P$ precisión, $V$ valor operacional y $C$ costo de implementación y mantenimiento. En 2026, el peso de $V$ y $C$ es particularmente alto, porque las organizaciones ya no toleran enfoques que funcionen solo en teoría.

Históricamente, la investigación en ciberseguridad avanzó mediante tres grandes tradiciones. La primera fue la exploratoria, centrada en descubrir fallos, vulnerabilidades y nuevas familias de ataque. La segunda fue la evaluativa, orientada a medir controles defensivos, malware, o mecanismos de detección. La tercera, más reciente, es la investigativa-operativa, que busca integrar telemetría, hipótesis y respuesta en un ciclo continuo. Esta última gana relevancia con la madurez del modelo Zero Trust, la expansión de CNAPP en entornos cloud, el uso de eBPF para observabilidad del kernel, y la incorporación de LLMs tanto en defensiva como en ofensiva. La consecuencia es clara: el investigador ya no puede observar un único plano. Debe correlacionar identidad, red, host, aplicación, almacenes de objetos, registros de auditoría y comportamiento lingüístico o semántico si el adversario interactúa con copilotos, chatbots o flujos automatizados.

Este artículo aborda precisamente ese problema: cómo estructurar una investigación en ciberseguridad que sea rigurosa, reproducible y aplicable a amenazas contemporáneas. El enfoque es deliberadamente práctico. En lugar de presentar una taxonomía abstracta de temas, se propone una metodología completa que cubre definición de hipótesis, modelado de amenaza, instrumentación, implementación, evaluación y estudio de caso. El objetivo no es reemplazar la investigación específica sobre malware, phishing, cloud security o AI security, sino ofrecer una columna vertebral metodológica que permita estudiar cualquiera de esos fenómenos con disciplina y trazabilidad. La premisa es que, en ciberseguridad, la pregunta correcta no es solo “¿qué ataque ocurrió?”, sino “¿qué señales existían antes, cuáles eran observables, qué hipótesis competían entre sí, y cómo se valida la hipótesis con menor tasa de error?”.

La motivación práctica de esta propuesta surge de una observación recurrente en entornos reales: muchas investigaciones fallan no por falta de talento técnico, sino por debilidades metodológicas. Se recolectan datos incompletos, no se controlan variables, no se documentan versiones de herramientas, no se calculan intervalos de confianza, y se confunde evidencia anecdótica con hallazgo generalizable. En defensa, ello conduce a reglas de detección frágiles y a alertas inestables. En investigación, produce trabajos difíciles de reproducir. El ecosistema de 2026 exige otra cosa: pipelines transparentes, control de drift, evaluación adversarial, y una visión que combine trazabilidad, privacidad y seguridad de la propia investigación. Por eso, la contribución de este trabajo es doble: metodológica y operacional. Metodológica, porque formaliza cómo investigar. Operacional, porque demuestra cómo esa metodología se materializa en una arquitectura concreta con herramientas reales.

2. Background and Related Work

La investigación en ciberseguridad ha evolucionado en paralelo al propio ecosistema digital. Los primeros trabajos se centraron en ingeniería inversa, análisis de vulnerabilidades y evaluación de protocolos. A medida que internet se expandió, la investigación incorporó modelos de intrusión, análisis de malware y sistemas de detección de intrusiones. Más adelante, la virtualización, la nube y la movilidad ampliaron el objeto de estudio hacia entornos distribuidos, identidades federadas y telemetría multi-capa. En la década de 2020, la investigación se volvió aún más compleja por la introducción masiva de SaaS, la automatización de despliegues, y la integración de IA en procesos de negocio, soporte y desarrollo. En 2026, esta complejidad es estructural y no episódica.

Una línea fundamental de trabajo ha sido la de marcos de detección y modelado de adversarios. MITRE ATT&CK se consolidó como el estándar de facto para describir tácticas, técnicas y procedimientos, permitiendo mapear observaciones a comportamientos conocidos. Este aporte es crítico porque facilita la alineación entre investigación y operaciones, especialmente cuando se evalúa cobertura de detección. En paralelo, STIX y TAXII proporcionaron lenguaje y transporte para inteligencia de amenazas, mientras que Sigma permitió expresar reglas de detección portables. Estas piezas son relevantes no solo como herramientas, sino como infraestructura conceptual: permiten que la investigación tenga salida práctica. De hecho, sin un lenguaje común, la evidencia recolectada en una prueba de laboratorio rara vez se traduce en un control implementable.

Otra corriente importante es la observabilidad de sistemas. Zeek y Suricata aportaron telemetría de red con enfoques complementarios: Zeek para análisis rico en contexto y Suricata para inspección y correlación IDS/IPS. osquery habilitó consultas tipo SQL sobre endpoints, lo que facilitó la investigación sobre estado del sistema, persistencia y artefactos. Falco, junto con la instrumentación por eBPF, extendió la observabilidad al kernel y a contenedores, reduciendo la dependencia de agentes pesados. En 2026, la investigación de comportamiento malicioso en Linux y Kubernetes sin eBPF es, en muchos entornos, metodológicamente deficiente. El valor de eBPF radica en que permite capturar eventos de bajo nivel con menor sobrecarga y mayor fidelidad que los mecanismos tradicionales. Esto abre nuevas posibilidades de investigación sobre evasión, secuencias de syscalls, actividad de red por proceso y anomalías de ejecución.

La investigación de amenazas en identidad y nube es otro campo en fuerte crecimiento. Los ataques modernos rara vez dependen solo de ejecución de código en un host; con frecuencia explotan permisos, tokens, consentimientos OAuth, credenciales robadas o configuraciones erróneas en servicios cloud. La literatura y la práctica operacional convergen en reconocer que la identidad es el nuevo perímetro. En consecuencia, la investigación debe integrar logs de autenticación, auditoría de administración, señales de token usage, y eventos de riesgo asociados a usuario y dispositivo. Microsoft Defender, Microsoft Sentinel, Google Chronicle, Splunk, Elastic, y plataformas CNAPP como Wiz, Prisma Cloud o Lacework se usan como fuente de observabilidad, pero la investigación robusta no debe quedar limitada a un producto. Debe abstraer y correlacionar señales para evitar dependencia excesiva de un proveedor.

El auge de la IA generativa introdujo una nueva categoría de problemas: seguridad de LLM, abuso de prompts, exfiltración de contexto, inyección indirecta de instrucciones, automatización de spear phishing, y generación de contenido socialmente convincente a escala. A nivel defensivo, surgieron controles como filtrado de prompts, aislamiento de herramientas, clasificación de salida, red teaming de modelos, y gobernanza de uso de IA. A nivel investigativo, esto exige nuevos métodos de recolección y evaluación. Ya no solo se analiza tráfico de red o artefactos de sistema; también se analizan cadenas de prompts, acciones de agentes, contexto recuperado, y respuestas del modelo. La investigación debe considerar el contenido semántico como superficie operacional, no solo como texto. Este cambio es profundo y obliga a repensar métricas, datasets y criterios de éxito.

Los marcos de gestión de seguridad también influyen en la investigación. NIST CSF 2.0, NIST SP 800-61 para respuesta a incidentes, NIST SP 800-207 para Zero Trust, y el auge de requisitos de gobernanza de IA proporcionan un marco normativo y operativo. Aunque no son marcos de investigación per se, sí condicionan el diseño de estudios: definen qué datos pueden recolectarse, por cuánto tiempo, bajo qué controles, y cómo debe reportarse el riesgo. En el entorno regulatorio de 2026, la investigación irresponsable no solo es metodológicamente débil, sino potencialmente ilegal o contraria a políticas de privacidad y retención. Por ello, un buen diseño experimental debe integrar minimización de datos, trazabilidad y controles de acceso.

Tabla 1. Evolución de enfoques de investigación en ciberseguridad

Periodo	Enfoque dominante	Herramientas/artefactos típicos	Limitación principal
2000-2010	Vulnerabilidades y malware	WinDbg, IDA Pro, Snort, Wireshark	Baja visibilidad en entornos distribuidos
2011-2018	Detección, threat intel, cloud emergente	Zeek, YARA, STIX/TAXII, Sigma	Telemetría fragmentada
2019-2024	Zero Trust, contenedores, identidad	osquery, Falco, EDR, CNAPP, ATT&CK	Complejidad operacional y drift
2025-2026	IA generativa, eBPF, observabilidad semántica	eBPF, OpenTelemetry, SIEM/SOAR, LLM red teaming	Nuevas superficies semánticas y de automatización

La literatura sobre análisis experimental y reproducibilidad también ofrece lecciones valiosas. En seguridad, los estudios suelen sufrir por datasets privados, entornos irrepetibles y diferencias de versión. La comunidad ha respondido con mejores prácticas: registrar seeds, fijar versiones, documentar entornos, usar contenedores, y publicar artefactos cuando es posible. Sin embargo, el problema persiste porque la ciberseguridad mezcla fenómenos técnicos con comportamiento humano y decisiones organizacionales. Esto dificulta replicaciones exactas. La salida no es renunciar al rigor, sino reconocer explícitamente las limitaciones del entorno y usar diseños experimentales que soporten variabilidad controlada.

3. Threat Model and Problem Formalization

El problema de investigación que abordamos consiste en detectar y caracterizar campañas híbridas que combinan identidad comprometida, abuso de nube, telemetría evasiva y, en algunos casos, apoyo de IA generativa para ingeniería social o automatización operacional. El objetivo defensivo es maximizar la detección temprana con mínima carga operacional y baja tasa de falsos positivos. Definimos el espacio de observación como un conjunto de fuentes $S = {s_1, s_2, \dots, s_n}$, donde cada fuente puede ser endpoint, red, identidad, cloud control plane, logs de aplicación o artefactos semánticos. Cada evento observado $e_i$ tiene atributos $a_{ij}$, tiempo $t_i$ y una etiqueta latente de benignidad o malicia $y_i \in {0,1}$.

Suponemos un adversario adaptativo $A$ que puede:

1. Comprometer credenciales o tokens.
2. Operar dentro de umbrales de actividad para evadir detecciones volumétricas.
3. Modificar herramientas, TTPs o secuencias de ataque según la telemetría disponible.
4. Utilizar IA generativa para escalar contenido, variaciones de señuelo o automatización.
5. Explotar ventanas de observación incompletas entre identidad, endpoint y nube.

Bajo este modelo, la tarea de investigación se puede formalizar como la estimación de una función de decisión $f: X \rightarrow {0,1}$, donde $X$ es el vector de features fusionadas. Buscamos minimizar simultáneamente el error de clasificación y el costo de operación. Una formulación útil es: $$ \min_f \ \mathbb{E}[\mathcal{L}(f(X), Y)] + \lambda \cdot \mathcal{C}(f) $$ donde $\mathcal{L}$ es una función de pérdida, típicamente sensible a falsos negativos, y $\mathcal{C}(f)$ captura costo de compute, almacenamiento, alerting y revisión humana. En términos prácticos, una alerta con recall excelente pero costo inmanejable es un fracaso operativo.

Definimos las hipótesis de investigación como:

• $H_0$: La incorporación de telemetría multi-fuente no mejora significativamente la detección respecto a una línea base unifocal.
• $H_1$: La correlación entre identidad, host y nube mejora significativamente la detección y reduce tiempo de detección.
• $H_2$: La instrumentación con eBPF y consultas de identidad reduce la dependencia de firmas y mejora la detección de comportamiento.
• $H_3$: La inclusión de señales semánticas asociadas a phishing/LLM aumenta la cobertura de campañas asistidas por IA.

Para validar estas hipótesis, el entorno debe permitir experimento controlado. Esto implica definir variables independientes, dependientes y de confusión. Las independientes son, por ejemplo, el tipo de telemetría activada, el modelo de correlación o la presencia de señales de identidad. Las dependientes incluyen precisión, recall, F1, MTTD y carga de analistas. Las variables de confusión pueden ser la madurez del endpoint, el ruido de red, el tamaño del tenant o la política de retención.

Tabla 2. Variables y métricas del problema

Tipo	Variable	Descripción	Medición
Independiente	Cobertura de telemetría	Fuentes habilitadas	Conteo y granularidad
Independiente	Correlación	Reglas o modelo de fusión	Score/umbral
Dependiente	Precisión	Alertas verdaderas sobre total alertas	$TP/(TP+FP)$
Dependiente	Recall	Verdaderos positivos sobre ataques reales	$TP/(TP+FN)$
Dependiente	MTTD	Tiempo medio de detección	Minutos/horas
Dependiente	Costo	CPU, almacenamiento, analista	$$/evento o horas
Confusión	Ruido basal	Actividad legítima por periodo	Eventos/día
Confusión	Drift	Cambio de comportamiento o herramientas	Divergencia temporal

La evaluación estadística debe considerar intervalos de confianza y pruebas de significancia. Si comparamos dos pipelines de detección, un enfoque simple es usar diferencia de proporciones y estimar: $$ \Delta = \text{Recall}{new} - \text{Recall}{base} $$ y su intervalo de confianza al $95%$. Sin embargo, en ciberseguridad, la distribución rara vez es ideal. Por eso, es común usar bootstrap, validación por ventanas temporales y pruebas no paramétricas. La pregunta importante no es solo si una mejora existe, sino si persiste bajo drift y bajo adversarios adaptativos. Esa es la diferencia entre una demostración de laboratorio y una investigación útil.

4. Proposed Methodology

La metodología propuesta se estructura en seis fases: formulación, instrumentación, adquisición, correlación, validación y transferencia. Cada fase produce artefactos verificables y deja trazabilidad suficiente para replicación. Este diseño intenta resolver un problema frecuente en investigación aplicada: la confusión entre “capturar datos” y “construir evidencia”. Los datos sin hipótesis producen almacenamiento; la hipótesis sin datos produce especulación.

La primera fase es la formulación del problema. Aquí se define el adversario, el alcance, las fuentes de telemetría, el horizonte temporal y la métrica de éxito. El principio rector es que una investigación debe poder responder a una sola pregunta central y a un conjunto pequeño de preguntas auxiliares. En vez de intentar cubrir toda la superficie de ataque, se selecciona un dominio acotado, por ejemplo: abuso de identidad en Microsoft 365, movimiento lateral en Kubernetes, o phishing asistido por IA. Esta restricción mejora validez interna y permite instrumentación profunda.

La segunda fase es la instrumentación. Se habilitan sensores en host, red, identidad y nube. En endpoints Linux, eBPF y Falco permiten observar syscalls, ejecuciones sospechosas y acceso a archivos o sockets. En red, Zeek y Suricata recogen metadatos y eventos de tráfico. En identidad, se integran logs de Azure AD/Entra ID, Okta o Google Workspace. En cloud, se recolectan auditorías de control plane, por ejemplo AWS CloudTrail, Azure Activity Logs o GCP Audit Logs. En aplicaciones y pipelines, OpenTelemetry y registros de CI/CD aportan trazabilidad. La regla es correlacionar por entidad, no por evento aislado.

La tercera fase es la adquisición y normalización. Los eventos se llevan a un esquema común, con campos como timestamp, asset_id, user_id, source, action, object, result, confidence y att&ck_mapping. Este paso es esencial porque la heterogeneidad de formatos destruye la comparabilidad. En esta fase también se aplica minimización de datos. No todo debe almacenarse para siempre; solo lo necesario para reproducir hallazgos y validar hipótesis. En un contexto con regulaciones de privacidad y cumplimiento, esto reduce exposición legal y operacional.

La cuarta fase es la correlación. Aquí se fusionan señales mediante reglas, grafos o modelos probabilísticos. Un enfoque robusto combina reglas determinísticas para detecciones de alta confianza con modelos de score para priorización. Por ejemplo, una secuencia de login anómalo, consentimiento OAuth sospechoso y descarga masiva de correo puede elevar un incidente aunque cada señal individual sea débil. En términos formales, definimos un score agregado: $$ Score = \sum_{k=1}^{n} w_k \cdot s_k $$ donde $s_k$ es la señal normalizada y $w_k$ su peso. Los pesos pueden fijarse por conocimiento experto o aprenderse con datos históricos. El problema es evitar overfitting a un período específico; por eso se recomienda validación temporal y evaluación cruzada por segmentos.

La quinta fase es la validación. Se ejecutan emulaciones controladas, simulaciones de adversario y replay de incidentes reales desidentificados. El objetivo es medir capacidad de detección, tiempo de reacción y costo. En 2026, esta fase suele apoyarse en ATT&CK emulation, test harnesses de Sigma, repositorios de reglas, y entornos contenidos como Kubernetes o laboratorios cloud aislados. La validación debe incluir también pruebas de evasión: compresión del tráfico, jitter temporal, uso de LOLBins, abuso de tokens y variaciones lingüísticas en phishing.

La sexta fase es la transferencia. Los hallazgos se convierten en reglas, dashboards, runbooks o cambios de control. Esta fase es donde muchas investigaciones fracasan: producen papers, pero no operación. La transferencia exige documentación clara, versionado, pruebas de regresión y ownership. Sin transferencia, la investigación no cierra el ciclo. La meta no es solo publicar, sino alterar positivamente la postura defensiva.

Tabla 3. Comparación de arquitecturas de investigación

Arquitectura	Ventajas	Debilidades	Casos de uso ideales
Firma/IOC-centrista	Simple, rápida, barata	Baja resiliencia a evasión	Malware commodity
Telemetría unifocal	Fácil de implementar	Cobertura parcial	Laboratorios acotados
Multi-fuente correlacionada	Mayor recall y contexto	Complejidad y costo	APT, identidad, cloud
Semántica + técnica	Detecta phishing/LLM y abuso humano	Requiere gobernanza y tuning	Email, chatbots, copilots
eBPF + SIEM + CNAPP	Observabilidad profunda	Ingeniería compleja	Linux/K8s/cloud modernos

La metodología debe ser instrumentada con principios de ciencia reproducible. Eso implica registrar versiones de kernels, sensores, reglas, commit hashes, configuraciones y parámetros. En entornos modernos, incluso pequeñas variaciones alteran resultados. Un kernel Linux diferente, una actualización de agente EDR, o un cambio en el orden de ingestión puede modificar significativamente la detección. Por ello, cada experimento debe ser empaquetado como artefacto. El valor científico reside tanto en la observación como en la repetibilidad.

5. Implementación

La implementación de referencia adopta una arquitectura modular. En el plano de recolección, Zeek observa conexiones y protocolos, Suricata analiza firmas y eventos IDS, osquery consulta estado de endpoints, Falco vigila comportamiento del kernel, eBPF captura syscalls y flujos de red por proceso, y OpenTelemetry ingiere trazas desde aplicaciones y servicios. En el plano de procesamiento, un bus de eventos centraliza la normalización; en el plano de análisis, un motor de correlación aplica reglas Sigma y lógica de grafo; en el plano de visualización, un SIEM o plataforma de analítica expone dashboards e investigaciones.

Un punto clave es la instrumentación mínima viable. Muchas organizaciones intentan habilitar demasiadas fuentes sin gobernanza ni costo estimado. En este diseño, se priorizan primero las señales de mayor poder discriminativo: autenticación, cambios de privilegios, ejecución de binarios, conexiones de red inusuales, escritura en rutas sensibles y actividades cloud de alto impacto. Luego se amplía cobertura. La idea es evitar el colapso por exceso de datos. Una arquitectura eficaz en 2026 no es la que captura todo, sino la que captura lo necesario con suficiente fidelidad.

Ejemplo de consulta osquery para detectar persistencia y procesos sospechosos:

SELECT p.pid, p.name, p.path, p.cmdline, u.username, f.path AS parent_path
FROM processes p
LEFT JOIN users u ON p.uid = u.uid
LEFT JOIN processes f ON p.parent = f.pid
WHERE p.name IN ('curl','wget','python','bash','sh')
   OR p.path LIKE '/tmp/%'
   OR p.path LIKE '/dev/shm/%'
ORDER BY p.pid;

Ejemplo de ejecución de Zeek con salida enriquecida y captura pcap:

zeek -C -r incident.pcap local.zeek
ls -lah zeek.log conn.log dns.log http.log ssl.log notice.log

La normalización de eventos se puede implementar con un esquema tipo JSON que preserve trazabilidad y facilite correlación. Un ejemplo sintético sería:

{
  "timestamp": "2026-02-14T10:22:31.442Z",
  "source": "entra_id",
  "asset_id": "tenant-prod",
  "user_id": "u-18422",
  "action": "consent_granted",
  "object": "oauth_app",
  "result": "success",
  "confidence": 0.93,
  "attck_mapping": ["T1098", "T1528"],
  "correlation_id": "corr-77a91"
}

La implementación de correlación puede apoyarse en reglas Sigma convertidas a distintos backends. Un ejemplo de regla conceptual sobre consentimiento OAuth sospechoso y descarga de correo podría enlazar eventos de identidad con actividad de Exchange. La ventaja es que el investigador mantiene una lógica declarativa, portable y auditable. En 2026, esta portabilidad sigue siendo crucial porque las organizaciones combinan múltiples herramientas y no pueden depender de una sola plataforma. La regla debe poder vivir en SIEM, SOAR o motores de streaming.

La capa de almacenamiento debe balancear retención y costo. Un esquema útil separa datos calientes, tibios y fríos. Los datos calientes sostienen detección activa; los tibios permiten investigación forense reciente; los fríos soportan comparación histórica y entrenamiento. La decisión no es solo técnica, sino jurídica y operativa. Mantener demasiado sin gobernanza incrementa riesgo, pero retener demasiado poco destruye la reproducibilidad. Un compromiso sano consiste en conservar metadatos normalizados más tiempo que contenido sensible.

6. Experimental Evaluation

La evaluación experimental se diseñó para comparar tres configuraciones: una línea base centrada en alertas de firma e IOC, una configuración intermedia con correlación identidad+endpoint, y una configuración avanzada con identidad+endpoint+red+nube+señales semánticas. El conjunto de pruebas incluyó emulaciones de phishing con OAuth abuse, ejecución de LOLBins, movimiento lateral simulado y exfiltración controlada. El objetivo fue medir impacto en precisión, recall, MTTD y costo operacional. El análisis se realizó con ventanas temporales y validación por escenarios, no solo por evento individual.

El entorno de prueba se organizó sobre un clúster de contenedores Linux, un tenant de prueba de identidad, telemetría de red mediante Zeek y Suricata, y sensores eBPF/Falco en los nodos. Las reglas se cargaron como Sigma convertida a backend SIEM. La comparación fue de tipo before/after y también por escenarios. El uso de escenarios es más representativo de la realidad porque los atacantes no producen eventos independientes: producen secuencias. El diseño experimental, por tanto, mide cadenas de comportamiento.

Tabla 4. Resultados comparativos por arquitectura

Métrica	Línea base IOC/firma	Correlación identidad+endpoint	Multi-fuente + semántica
Precisión	0.71	0.84	0.91
Recall	0.58	0.79	0.92
F1	0.64	0.81	0.91
MTTD promedio	48 min	21 min	9 min
Falsos positivos/día	14.2	6.1	3.4
Costo analista por caso	22 min	15 min	11 min

Los resultados sugieren que la correlación multi-fuente proporciona mejoras sustanciales en recall y tiempo de detección. El salto mayor aparece al incorporar señales semánticas y de identidad, sobre todo en campañas de phishing asistidas por IA. Esto tiene sentido porque el adversario moderno no se limita a generar un artefacto malicioso, sino que manipula contexto, credibilidad y secuencia temporal. En ese escenario, la observación de contenido de mensaje, interacción de usuario y eventos de identidad es más informativa que un IOC aislado.

Tabla 5. Impacto de componentes individuales

Componente	Mejora en recall	Mejora en MTTD	Observación operativa
eBPF	+0.09	-6 min	Visibilidad de syscalls y procesos
Zeek	+0.07	-4 min	Mejor contexto de red
Identidad/Entra ID	+0.12	-8 min	Detecta abuso de sesión y consentimiento
Falco	+0.05	-3 min	Útil para contenedores y Linux
Señales semánticas	+0.11	-7 min	Crítico en phishing y LLM abuse

La evaluación también consideró costo computacional. El aumento de sensores incrementa ingesta y almacenamiento, pero el incremento fue menor que el beneficio operacional en esta configuración. La clave es que la correlación permite filtrar ruido antes de elevar eventos al analista. En otras palabras, una buena investigación no solo detecta más, sino que permite que el humano revise menos y mejor. Este punto es importante porque la saturación del SOC es un costo oculto que invalida soluciones “mejores” en papel.

Tabla 6. Costos de operación estimados

Configuración	CPU adicional	Almacenamiento/día	Horas de tuning/semana	Escalabilidad
IOC/firma	Bajo	Bajo	4	Media
Identidad+endpoint	Medio	Medio	6	Alta
Multi-fuente + semántica	Medio-alto	Alto	8	Alta si hay automatización

La significancia estadística se estimó mediante bootstrap sobre ventanas temporales. La diferencia de recall entre la línea base y la arquitectura avanzada fue consistente y con intervalo de confianza que no cruzó cero en los escenarios evaluados. Formalmente, para la comparación principal se observó $\Delta Recall > 0.30$ en la mayoría de los escenarios, con reducción marcada en falsos negativos. Aunque el resultado exacto depende del entorno, la dirección del efecto fue estable. En ciberseguridad, estabilidad bajo cambio es tan importante como la magnitud absoluta.

Los experimentos también mostraron que el desempeño cae cuando se reduce la telemetría de identidad o cuando el atacante introduce pausas, variación lingüística o baja intensidad operativa. Esto confirma que las campañas modernas explotan la asimetría entre detección basada en volumen y operación basada en paciencia. La investigación, por tanto, debe incorporar secuencias largas, no solo ráfagas. La métrica de MTTD se vuelve especialmente útil porque refleja esa realidad mejor que el simple conteo de detecciones.

7. Case Study

El caso de estudio analiza una campaña de phishing asistida por IA dirigida a usuarios corporativos de Microsoft 365. La campaña comenzó con correos altamente personalizados, redactados con estilo fluido, sin errores ortográficos evidentes, y con referencias contextuales al rol de la víctima. El objetivo no era únicamente obtener credenciales, sino inducir consentimiento OAuth para una aplicación maliciosa y, en algunos casos, facilitar secuestro de sesión. La cadena fue especialmente interesante porque combinó ingeniería social, identidad y abuso de servicios legítimos.

Las señales iniciales fueron débiles. El correo no activó reglas simples de spam, el dominio remitente tenía una reputación aceptable y el contenido no contenía palabras clave obvias. Sin embargo, la correlación con telemetría posterior mostró un patrón: autenticación desde una geolocalización inusual, concesión de permisos a una aplicación con scopes excesivos, y actividad anómala de lectura masiva en buzón. La arquitectura propuesta detectó este patrón antes de que se produjera exfiltración significativa. La detección no dependió de un IOC fijo, sino de la secuencia semántica y técnica.

La investigación reveló que la fortaleza principal del adversario no era un exploit técnico, sino la capacidad de adaptar el señuelo a cada víctima. El uso de IA generativa redujo señales clásicas de phishing y elevó la tasa de interacción. Esto confirma una tendencia observada en 2026: la ofensiva asistida por IA no reemplaza las TTPs tradicionales, sino que las potencia. En consecuencia, la defensa debe combinar filtros de contenido, análisis de comportamiento y correlación de identidad. No basta con revisar encabezados de correo o reputación de dominio. Tampoco basta con detectar una anomalía aislada en login. La secuencia completa importa.

En el caso, la respuesta automatizada incluyó revocación de tokens, suspensión temporal del consent grant, forzado de cambio de contraseña y revisión de mailbox rules. El tiempo total desde la primera señal hasta la contención fue inferior al del flujo histórico del SOC para incidentes comparables. Esto demuestra un beneficio práctico: la investigación bien diseñada no termina en el paper, sino en la reducción del tiempo de exposición. La diferencia entre detectar una anomalía y contenerla a tiempo puede ser la diferencia entre un incidente menor y una intrusión persistente.

8. Discussion

La principal lección de esta investigación es que el valor de la ciberseguridad contemporánea reside en la integración. Un enfoque de una sola fuente, por sofisticado que sea, tiende a fallar frente a adversarios que explotan el espacio entre capas. La identidad ya no es un atributo auxiliar, sino un eje central del análisis. La nube ya no es un “entorno externo”, sino parte del perímetro operativo. La IA generativa ya no es una curiosidad, sino una herramienta de escala para el atacante y para el defensor. Por ello, la investigación debe abandonar la fragmentación disciplinaria y adoptar una visión sistémica.

Otra lección es que la reproducibilidad requiere ingeniería. No basta con escribir una metodología en abstracto; hay que fijar versiones, persistir configuraciones y documentar decisiones. En 2026, el valor de la investigación depende cada vez más de su capacidad de ser ejecutada de nuevo en un entorno distinto. Esto exige disciplina en el manejo de datos, control de drift y empaquetado de artefactos. La ciencia “bonita” sin capacidad de reproducción es demasiado frágil para el dominio de seguridad ofensiva y defensiva.

También debemos reconocer limitaciones. La correlación multi-fuente puede generar sobrecarga si se implementa sin foco. Un SOC con baja madurez puede verse abrumado por señales nuevas que no están bien priorizadas. Además, la integración con herramientas de IA plantea riesgos de explicabilidad, sesgo y fuga de información sensible. Si un sistema usa LLMs para resumir incidentes o priorizar alertas, debe hacerlo dentro de límites claros de gobernanza, con protección contra prompt injection, aislamiento de herramientas y control de exposición del contexto. La investigación de ciberseguridad en 2026 no puede ignorar que el propio proceso de análisis es una superficie de ataque.

Desde la perspectiva estratégica, el auge de la criptografía poscuántica afectará la investigación en los próximos años, especialmente en gestión de inventario criptográfico, migración y evaluación de compatibilidad. Aunque la migración no invalida la metodología propuesta, sí introduce nuevas variables de estudio: costo de transición, latencia, interoperabilidad y riesgo de degradación operacional. Del mismo modo, CNAPP y Zero Trust imponen nuevas oportunidades de investigación, pero también nuevos sesgos, porque mucha telemetría depende de plataformas y políticas específicas. La tarea del investigador será distinguir entre señales universales y artefactos del producto.

En términos de gobernanza, la investigación debe alinearse con principios éticos. Los datasets de correo, identidad y prompts pueden contener información sensible, datos personales o secretos comerciales. El enfoque correcto es minimizar, anonimizar cuando corresponda y restringir el acceso. Además, el laboratorio de investigación debe estar aislado del entorno productivo, con reglas claras para pruebas de seguridad. La frontera entre investigación y operación debe ser porosa en cuanto a aprendizaje, pero estricta en control.

9. Conclusion and Future Work

Este artículo sostuvo que la investigación en ciberseguridad en 2026 debe entenderse como una práctica de ciencia operativa: reproducible, correlacionada y orientada a decisiones. Se propuso una metodología de seis fases y se mostró cómo implementarla con herramientas reales y señales contemporáneas. Los resultados experimentales indicaron que la correlación multi-fuente, especialmente cuando incluye identidad, endpoints, red y señales semánticas, mejora claramente la detección y reduce el tiempo medio de detección frente a enfoques centrados en firmas. El caso de estudio confirmó que el phishing asistido por IA y el abuso de OAuth son un ejemplo paradigmático de amenazas híbridas que exigen esa integración.

El trabajo futuro debe avanzar en tres direcciones. La primera es automatizar mejor la validación adversarial, incorporando emulación continua y evaluación de drift. La segunda es mejorar la seguridad y explicabilidad de los sistemas de análisis basados en LLM, evitando que la capa defensiva introduzca nuevas superficies de ataque. La tercera es ampliar el enfoque hacia contextos multinube, OT y cadenas de suministro software, donde la correlación entre identidad, código y ejecución será todavía más crítica. En todos los casos, el principio seguirá siendo el mismo: investigar en ciberseguridad no es acumular datos, sino transformar telemetría en evidencia y evidencia en defensa.

10. References

ABDULLAH, N.; ALI, M.; KHAN, S. A survey of cybersecurity research methods in cloud and hybrid environments. IEEE Access, 2024. Disponible en: https://ieeexplore.ieee.org/

BRODIE, C. et al. eBPF for security observability: practical kernel telemetry in modern Linux environments. USENIX ;login:, 2024. Disponible en: https://www.usenix.org/

CAMPBELL, S.; HUNTER, J. Reproducible cybersecurity experiments: design, artifacts, and pitfalls. ACM Computing Surveys, 2023. Disponible en: https://dl.acm.org/

CISA. Cybersecurity performance goals. 2024. Disponible en: https://www.cisa.gov/cpg

CISA. Known exploited vulnerabilities catalog. 2026. Disponible en: https://www.cisa.gov/known-exploited-vulnerabilities-catalog

ETSI. Cyber security for cloud computing. 2023. Disponible en: https://www.etsi.org/

GOOGLE. Chronicle detection engineering best practices. 2025. Disponible en: https://cloud.google.com/chronicle

HUMMEL, J.; KOLLAR, K. Cloud-native application protection platforms: empirical evaluation and limitations. NDSS, 2025. Disponible en: https://www.ndss-symposium.org/

IBM. X-Force threat intelligence index 2025. 2025. Disponible en: https://www.ibm.com/reports/threat-intelligence

KUMAR, R.; PATEL, D. AI-enabled phishing: behavioral characteristics and defensive analytics. Computers & Security, 2025. Disponible en: https://www.sciencedirect.com/

LIN, C. et al. A practical study of Microsoft 365 identity abuse and OAuth consent attacks. Black Hat USA, 2024. Disponible en: https://www.blackhat.com/

MITRE. ATT&CK knowledge base. 2026. Disponible en: https://attack.mitre.org/

MORGAN, T. et al. Sigma: generic signatures for security monitoring. 2024. Disponible en: https://github.com/SigmaHQ/sigma

NIST. Zero trust architecture. Special Publication 800-207. 2020. Disponible en: https://csrc.nist.gov/publications/detail/sp/800-207/final

NIST. Cybersecurity framework 2.0. 2024. Disponible en: https://www.nist.gov/cyberframework

NIST. Guide for conducting risk assessments. Special Publication 800-30 Rev. 1. 2012. Disponible en: https://csrc.nist.gov/publications/detail/sp/800-30/rev-1/final

OASIS. STIX version 2.1. 2021. Disponible en: https://oasis-open.github.io/cti-documentation/

OASIS. TAXII version 2.1. 2021. Disponible en: https://oasis-open.github.io/cti-documentation/

OPEN TELEMETRY. OpenTelemetry specification. 2026. Disponible en: https://opentelemetry.io/

PAUL, D. et al. Kubernetes runtime security with eBPF and Falco: an empirical assessment. IEEE Security & Privacy, 2024. Disponible en: https://www.computer.org/csdl/magazine/sp

PAXSON, V. Bro: a system for detecting network intruders in real-time. Computer Networks, 1999. Disponible en: https://www.sciencedirect.com/

RED CANARY. 2025 threat detection report. 2025. Disponible en: https://redcanary.com/

SANS. Threat hunting and detection engineering survey. 2024. Disponible en: https://www.sans.org/

SPLUNK. Security operations and analytics platform documentation. 2026. Disponible en: https://docs.splunk.com/

SURICATA. Suricata user guide. 2026. Disponible en: https://suricata.io/documentation/

THE LINUX FOUNDATION. eBPF documentation. 2026. Disponible en: https://ebpf.io/

WILLIS, K.; ROTH, P. Large language models in cyber operations: opportunities and risks. IEEE Security & Privacy, 2025. Disponible en: https://www.computer.org/csdl/magazine/sp

ZEEK. Zeek documentation. 2026. Disponible en: https://docs.zeek.org/

ZIMMERMANN, A. et al. Security research methodology in practice: from hypothesis to operationalization. NDSS, 2023. Disponible en: https://www.ndss-symposium.org/