Investigación reproducible en ciberseguridad en 2026: metodología híbrida para validación empírica de controles, telemetría y adversarios adaptativos

1. Introducción

La investigación en ciberseguridad llegó en 2026 a un punto de madurez en el que ya no basta con describir vulnerabilidades, proponer controles de manera abstracta o medir el éxito de una defensa con indicadores aislados y poco comparables. El ecosistema contemporáneo está dominado por infraestructuras híbridas, identidades distribuidas, cadenas de suministro complejas, telemetría masiva y adversarios que combinan automatización, inteligencia artificial generativa, ingeniería social hiperpersonalizada y explotación oportunista de fallas conocidas. En este contexto, la investigación útil es aquella que produce evidencia reproducible, operacionalmente válida y directamente accionable para equipos de defensa, respuesta a incidentes y gobierno de riesgos. Dicho de otro modo, el valor científico ya no reside solo en “descubrir” una técnica, sino en demostrar cómo, cuándo y con qué costo puede detectarse, bloquearse o contenerse en condiciones realistas.

La necesidad de una metodología robusta se ve reforzada por la evolución de la superficie de ataque. En 2026, las organizaciones operan con arquitecturas Zero Trust maduras, entornos CNAPP para nube y contenedores, sistemas de seguridad apoyados en eBPF y observabilidad, además de plataformas de identidad como Microsoft Entra ID, Okta y servicios federados basados en OAuth 2.0, OpenID Connect y SAML. Paralelamente, la ofensiva se ha sofisticado: el phishing generado por modelos de lenguaje, el abuso de tokens de sesión, el secuestro de OAuth consent, la explotación de APIs y la automatización de reconocimiento y post-explotación han desplazado parcialmente a las campañas de malware clásicas. Las defensas, por su parte, han avanzado con EDR/XDR, detección por comportamiento, análisis de identidad, hardening de cloud posture y mejores marcos de gobernanza, pero siguen padeciendo problemas estructurales: ruido excesivo, cobertura incompleta, escasa reproducibilidad experimental y una desconexión entre laboratorio y producción.

Este artículo se centra en el concepto de “investigación” dentro de la ciberseguridad no como actividad genérica, sino como disciplina aplicada que traduce preguntas científicas en experimentos medibles. La contribución principal es una metodología híbrida que integra cinco capas: (1) formalización del problema y del adversario; (2) instrumentación de telemetría multi-plataforma; (3) generación controlada de comportamientos ofensivos alineados con MITRE ATT&CK; (4) evaluación cuantitativa de controles; y (5) análisis de resultados con criterios de reproducibilidad, costo y generalización. El objetivo no es producir un framework teórico aislado, sino un esquema de trabajo que pueda utilizarse para investigaciones académicas, validación de herramientas defensivas y ejercicios de purple teaming en entornos empresariales.

La relevancia de esta propuesta también responde a un cambio epistemológico. La investigación en ciberseguridad de 2026 convive con datasets ruidosos, desbalances severos entre eventos benignos y maliciosos, y entornos donde las etiquetas perfectas son prácticamente imposibles de obtener. En lugar de asumir una verdad absoluta sobre “malicioso” y “benigno”, proponemos modelar el problema en términos probabilísticos y operacionales. Esto implica medir falsos positivos, falsos negativos y pérdidas esperadas, pero también aspectos cualitativos como explicabilidad, tiempo de triage, carga cognitiva del analista y capacidad de contención temprana. Como se ha observado en estudios recientes sobre detección basada en comportamiento y telemetría de identidad, una tasa aparentemente buena de recall puede ser irrelevante si el tiempo medio de detección supera la ventana útil de explotación o si el costo de revisión destruye la capacidad operativa del SOC (NIST, 2024; MITRE, 2024).

La tesis central del trabajo es que la investigación moderna en ciberseguridad debe diseñarse como un sistema experimental de doble uso pero controlado, capaz de estudiar tanto técnicas ofensivas como contramedidas, sin caer en dos extremos igualmente problemáticos: el exceso de abstracción académica y la reproducción acrítica de escenarios de laboratorio artificiales. Para ello, se propone un protocolo que puede ejecutarse en Windows, Linux, Kubernetes y SaaS, apoyado en herramientas reales y ampliamente utilizadas en 2026, incluyendo Sysmon, osquery, Velociraptor, Zeek, Suricata, YARA, Sigma, Caldera, Atomic Red Team, OpenCTI y plataformas CNAPP como Wiz, Prisma Cloud o Microsoft Defender for Cloud. El enfoque es deliberadamente pragmático: las hipótesis se redactan para ser falsables, las mediciones se definen antes de la ejecución y la interpretación reconoce que la seguridad es un problema socio-técnico, no solo técnico.

2. Antecedentes y trabajo relacionado

La evolución de la investigación en ciberseguridad puede entenderse como una transición desde el análisis de vulnerabilidades individuales hacia la evaluación de sistemas completos de defensa. A principios de la década de 2010, buena parte del trabajo académico se concentraba en exploits, análisis estático, firmas y taxonomías de malware. Aunque estas líneas siguen siendo relevantes, la práctica defensiva contemporánea exige abarcar identidad, nube, endpoint, cadena de suministro, automatización y telemetría de alto volumen. Este cambio se consolidó con la generalización de la nube pública, el trabajo remoto y la adopción de arquitecturas basadas en microservicios y APIs. En 2026, la investigación útil debe considerar que la mayoría de los incidentes relevantes ya no dependen exclusivamente de malware ejecutable, sino de abuso de credenciales, tokens, permisos excesivos y configuraciones débiles.

MITRE ATT&CK se convirtió en el eje de referencia para describir tácticas y técnicas del adversario, permitiendo una taxonomía compartida entre academia, industria y gobierno (MITRE, 2024). ATT&CK ha resultado especialmente útil para mapear hipótesis experimentales, diseñar simulaciones controladas y comparar cobertura defensiva. Sin embargo, su utilidad depende de una correcta operacionalización: no basta con indicar una técnica; es necesario especificar la implementación concreta, la plataforma afectada, la telemetría esperada y el umbral de éxito. En esta línea, Caldera y Atomic Red Team se han usado para automatizar emulación de adversarios y validar detecciones en laboratorios controlados, aunque su valor depende de adaptar las pruebas a la infraestructura real de la organización (Red Canary, 2024; MITRE, 2024).

La investigación en detección también evolucionó con la adopción de Sigma para reglas agnósticas al SIEM y de YARA para patrones sobre archivos y memoria. Sigma permitió normalizar la expresión de hipótesis de detección en múltiples backend, mientras que YARA mantuvo relevancia para clasificación de malware, hunting de artefactos y correlación con emulación. Sin embargo, la literatura ha mostrado límites claros: las firmas estáticas son fáciles de evadir, la sobredependencia de patrones concretos reduce cobertura y la calidad de la telemetría determina el valor real de una regla (Aycock, 2023; Bakker, 2024). Por ello, la investigación de 2026 tiende a combinar firmas, heurística y comportamiento.

En paralelo, la capa de red sigue siendo fundamental. Zeek y Suricata continúan aportando visibilidad sobre flujos, TLS, DNS, HTTP y eventos de capa de aplicación. Zeek destaca por su flexibilidad para producir metadatos útiles en análisis forense y correlación, mientras que Suricata aporta detección de firmas y análisis profundo de paquetes. En entornos con cifrado predominante, la investigación se desplaza a metadatos, patrones temporales, anomalías de DNS, JA3/JA4 y análisis de flujo. Esto es particularmente relevante para campañas de C2, exfiltración y movimiento lateral, donde la visibilidad a nivel de red sigue siendo decisiva aun cuando el contenido esté cifrado (Barnett et al., 2024).

La telemetría de endpoint cambió de forma sustantiva con la adopción de EDR y técnicas de observabilidad basadas en kernel y eBPF. Sysmon continúa siendo una fuente esencial en Windows, mientras que osquery, auditd y eBPF permiten observación en Linux y contenedores. En 2026, las soluciones defensivas modernas integran sensores de kernel, tracing y enriquecimiento contextual para detectar comportamiento anómalo, manipulación de credenciales, persistencia y abuso de binarios legítimos. La literatura y la práctica coinciden en que la telemetría es tan valiosa como su capacidad de correlación; eventos aislados producen ruido, mientras que secuencias de eventos permiten inferencias mucho más fiables (Ligh, 2024; Google, 2024).

El auge de la nube y de los contenedores introdujo el dominio CNAPP, que combina CSPM, CWPP, CIEM y análisis de postura en una única capa de seguridad. Para la investigación, esto habilita nuevas preguntas: ¿qué tan bien detecta un control el abuso de permisos en IAM?, ¿cuál es la cobertura frente a imágenes maliciosas, secretos expuestos o escalada en Kubernetes?, ¿cómo se mide la exposición real de un workload? La literatura contemporánea insiste en que el error más frecuente es evaluar configuraciones aisladas sin considerar la cadena completa de identidad, despliegue y runtime (NIST, 2024; CNCF, 2025). Por eso, una metodología seria debe instrumentar tanto el plano de control como el plano de ejecución.

También merece atención la dimensión de IA y LLM. En 2026, los modelos generativos son utilizados para personalización de phishing, traducción, reescritura y automatización de reconocimiento, pero también para asistencia defensiva en triage, correlación y redacción de detecciones. Esto crea una dualidad metodológica: los investigadores deben estudiar no solo ataques “con IA”, sino la forma en que la IA altera la distribución de riesgos, los volúmenes de mensajes, la calidad del señuelo y la velocidad de iteración del atacante. La gobernanza de IA, además, introduce nuevas hipótesis de investigación sobre fuga de datos, prompt injection, data poisoning y abuso de asistentes empresariales (OWASP, 2024; ENISA, 2024).

En síntesis, el trabajo relacionado muestra tres conclusiones: primero, que no existe una sola técnica de medición suficiente; segundo, que la cobertura depende críticamente de la telemetría disponible; y tercero, que la investigación útil debe correlacionar múltiples capas —identidad, endpoint, red, nube y usuario— para producir conclusiones accionables. Esta propuesta se sitúa precisamente en esa intersección, proponiendo un marco integrador orientado a evidencia empírica y reproducible.

Tabla 1. Comparación de fuentes de telemetría para investigación defensiva

Capa	Herramienta/Fuente	Fortalezas	Limitaciones	Uso típico en 2026
Endpoint Windows	Sysmon	Alta granularidad, comunidad amplia, integración con SIEM	Ruido elevado si no se filtra	Detección de persistencia, inyección, acceso a credenciales
Endpoint Linux	auditd / eBPF / osquery	Visibilidad de syscall, bajo nivel, correlación contextual	Complejidad de despliegue y tuning	Hunting, contenedores, abuso de binarios
Red	Zeek	Metadatos ricos, scripts flexibles	No inspecciona payload cifrado	DNS, TLS, HTTP, forense de flujos
Red	Suricata	Firmas y reglas de IDS/IPS	Mayor dependencia de contenido/firmas	Detección de exploits conocidos, C2
Identidad	Entra ID / Okta logs	Visibilidad de autenticación y consentimiento	Dependencia del plan/licenciamiento	Phishing, token abuse, impossible travel
Nube	CNAPP/CSPM/CWPP	Cobertura de postura y runtime	Fragmentación entre proveedores	IAM, secretos, contenedores, Kubernetes

3. Modelo de amenaza y formalización del problema

El modelo de amenaza adoptado en este trabajo considera un adversario adaptativo con capacidad de reconocimiento, acceso inicial por phishing o explotación de servicios expuestos, escalada basada en abuso de privilegios, desplazamiento lateral, persistencia y exfiltración de datos. En 2026, este perfil es consistente con campañas de ransomware, intrusión con fines de espionaje, fraude BEC y compromiso de identidades en SaaS. El adversario puede utilizar automatización, herramientas públicas de emulación, LLMs para generación de señuelos, y marcos de post-explotación estándar. La defensa, por su parte, dispone de telemetría parcial, reglas de detección, modelos de comportamiento y respuesta orquestada, pero opera bajo restricciones de costo, tiempo y cobertura.

Formalizamos el problema como una tarea de decisión bajo incertidumbre. Sea $X$ el conjunto de observaciones de telemetría, $Y \in {0,1}$ la etiqueta de actividad maliciosa, y $f_\theta(X)$ una función de clasificación o priorización parametrizada. El objetivo clásico es minimizar el error esperado: $$ \mathcal{L}(\theta)=\mathbb{E}{(X,Y)}[\ell(f\theta(X),Y)] $$ donde $\ell$ puede representar pérdida binaria, costo ponderado o una función de utilidad operacional. No obstante, en ciberseguridad el error no es simétrico. Un falso negativo puede implicar compromiso persistente, mientras que un falso positivo consume tiempo de analista y puede erosionar la confianza en el sistema. Por ello, definimos una función de costo asimétrica: $$ C = c_{FN}\cdot FN + c_{FP}\cdot FP + c_{D}\cdot D + c_{R}\cdot R $$ donde $D$ representa demora en detección, y $R$ el costo de respuesta/contención. Esta formulación captura el hecho de que una detección tardía, aun correcta, puede ser operacionalmente inútil.

Desde la perspectiva del adversario, cada técnica $t_i$ de ATT&CK tiene una probabilidad de éxito $p_i$ y una probabilidad de detección $q_i$ dada la instrumentación disponible. El valor esperado de una cadena de ataque puede expresarse como: $$ V = \sum_{i=1}^{n} p_i(1-q_i)\cdot w_i $$ donde $w_i$ pondera el impacto de cada etapa. Maximizar la seguridad equivale a minimizar $V$ bajo restricciones presupuestarias. Esto permite comparar controles heterogéneos: un sensor de identidad que reduce $q_i$ para phishing puede ser más valioso que otro EDR caro que apenas mejora la detección en la etapa inicial.

El problema también debe considerar cobertura. Sea $T$ el conjunto de técnicas ATT&CK relevantes para el entorno y $D$ el conjunto de detecciones implementadas. Definimos la cobertura técnica efectiva como: $$ \text{Cobertura} = \frac{|T \cap D|}{|T|} $$ pero esta métrica es insuficiente si no se valida la calidad de cada detección. Por ello, proponemos una cobertura ajustada por eficacia: $$ \text{Cobertura efectiva} = \frac{1}{|T|}\sum_{t\in T} \alpha_t \cdot \text{Recall}(t) $$ donde $\alpha_t$ refleja la criticidad de la técnica y la exposición real del entorno. Esta definición evita la ilusión de seguridad asociada a listas de control sin validación empírica.

4. Metodología propuesta

La metodología propuesta se articula en cinco fases: definición, instrumentación, emulación, evaluación y análisis. Cada fase tiene artefactos concretos y criterios de salida. El diseño busca reproducibilidad, trazabilidad y relevancia operacional, evitando laboratorios demasiado simplificados que producen resultados engañosos. El principio rector es que una hipótesis de investigación debe traducirse en un experimento con variables controladas, telemetría definida y métricas previas a la ejecución.

En la fase de definición, se selecciona el caso de uso y se delimita el alcance. Por ejemplo, “detectar phishing con abuso de OAuth consent en Microsoft 365” o “medir la cobertura de detección frente a persistencia en Linux mediante systemd y cron abuse”. Cada hipótesis se formula como una proposición falsable: “la combinación de logs de identidad y eventos de correo reduce el tiempo medio de detección por debajo de 15 minutos en un entorno con 500 usuarios”. La formulación debe incluir el entorno, la fuente de datos, la métrica principal y el umbral de éxito.

En la fase de instrumentación, se despliegan sensores y colectores. En Windows, Sysmon se configura con perfiles ajustados para investigación; en Linux, auditd, osquery y eBPF complementan el análisis de syscalls y procesos; en red, Zeek y Suricata generan metadatos y alertas; en identidad y nube, los logs de autenticación y actividad administrativa se incorporan a un SIEM o data lake. La investigación moderna no puede depender de un solo sensor, porque los atacantes explotan precisamente las zonas ciegas entre capas. Esta etapa debe incluir normalización temporal, enriquecimiento con contexto y mecanismos de deduplicación.

En la fase de emulación, se reproducen técnicas realistas con herramientas como Atomic Red Team, Caldera, Invoke-Atomic, Stratus Red Team para nube y scripts propios cuando sea necesario. El objetivo no es “atacar” la infraestructura, sino generar eventos comparables a los de un adversario real. Para evitar sesgos, la emulación debe respetar el principio de mínima intrusión y registrar todos los pasos. Si el experimento estudia phishing, se utilizan dominios y buzones controlados, plantillas generadas con cuidado ético y entornos aislados. Si se estudia movimiento lateral, se usa infraestructura autorizada con credenciales de laboratorio y se documenta la cadena completa.

En la fase de evaluación, se calculan métricas de clasificación y métricas operacionales. Además de precisión, recall y $F_1$, medimos TTD (Time to Detect), TTR (Time to Respond), tasa de cobertura por técnica, costo de triage y costo por incidente prevenido. La métrica $F_1$ sigue siendo útil: $$ F_1 = 2\cdot \frac{Precision \cdot Recall}{Precision + Recall} $$ pero no debe interpretarse sin contexto. En ciberseguridad, una mejora de $F_1$ puede ocultar un aumento inaceptable en la latencia de detección. Por eso, incluimos una función de utilidad operacional: $$ U = \beta_1 \cdot Recall - \beta_2 \cdot FPR - \beta_3 \cdot TTD - \beta_4 \cdot Cost $$ donde los coeficientes se ajustan según el rol del control y la criticidad del activo.

La fase de análisis compara resultados entre entornos, versiones de herramientas y perfiles de configuración. Un aspecto crucial es la reproducibilidad: toda ejecución debe quedar asociada a hashes de configuración, versión de reglas, versión del sensor y reloj sincronizado. Esto permite replicar el experimento en otro laboratorio o a posteriori. En 2026, la investigación sin trazabilidad de configuración es, en la práctica, irreproducible.

Tabla 2. Relación entre técnica ofensiva, telemetría y detección esperada

Técnica ATT&CK	Superficie	Telemetría principal	Ejemplos de detección	Riesgo de evasión
Phishing con enlace	Identidad/correo	Logs M365, Entra ID, proxy, DNS	Impossible travel, nuevas apps OAuth, dominios lookalike	Alto si hay MFA fatigue o token theft
Ejecución de binarios firmados	Endpoint	Sysmon, EDR, AMSI	LOLBins, parent-child anómalo	Alto
Persistencia con scheduled tasks	Windows	Sysmon EID 1/5/11, registro	Creación de tareas, cambios de autorun	Medio
Descubrimiento de red	Endpoint/red	Zeek, Sysmon, EDR	Barridos internos, netstat, nslookup	Medio
Exfiltración por HTTPS	Red/nube	Zeek TLS, proxy, DLP	Volumen anómalo, JA3/JA4, beaconing	Alto
Abuse de OAuth consent	Identidad	Entra ID/Okta logs	Consent grant sospechoso, apps nuevas	Alto

5. Implementación

La implementación de la metodología se basa en una arquitectura modular compuesta por cuatro planos: colección, normalización, detección y evaluación. Cada plano puede desplegarse en laboratorio o en un entorno corporativo con separación adecuada de funciones. La premisa es que la arquitectura debe ser realista, pero controlable. En la práctica, esto significa usar contenedores para los servicios de telemetría, máquinas virtuales para endpoints, y un repositorio de configuración versionado para todas las reglas.

Un despliegue típico incluye Windows 11 o Windows Server con Sysmon, una o más distribuciones Linux con auditd y osquery, un segmento de red monitorizado por Zeek y Suricata, y una cuenta de identidad de laboratorio integrada en Microsoft 365 o un tenant de prueba de Okta. Para nube, se puede incorporar un entorno AWS, Azure o GCP con roles mínimos, buckets de prueba, una imagen de contenedor vulnerable o una aplicación de microservicios deliberadamente instrumentada. En 2026, la integración con plataformas CNAPP resulta especialmente valiosa porque unifica postura, configuración y runtime en un mismo flujo de trabajo.

La configuración de Sysmon debe ser cuidadosa. Un perfil demasiado permisivo genera una avalancha de ruido; uno demasiado restrictivo deja ciegas etapas clave. Para investigación, se recomienda partir de perfiles reconocidos y adaptarlos al caso de uso. A continuación se muestra un ejemplo de despliegue básico y validación de integridad:

# Instalación y carga de Sysmon con una configuración de investigación
Sysmon64.exe -accepteula -i .\sysmonconfig.xml

# Verificación de eventos generados
Get-WinEvent -LogName "Microsoft-Windows-Sysmon/Operational" -MaxEvents 20 |
  Select-Object TimeCreated, Id, ProviderName, Message

En Linux, una combinación de auditd y osquery permite cubrir procesos, archivos, sockets y eventos de autenticación. Cuando se necesita mayor granularidad, eBPF aporta observabilidad de bajo nivel sin instrumentación invasiva de usuario. Un ejemplo de consulta osquery para detectar procesos sospechosos y persistencia básica es el siguiente:

SELECT p.pid, p.name, p.path, p.cmdline, p.parent, u.username
FROM processes p
LEFT JOIN users u ON p.uid = u.uid
WHERE p.name IN ('bash','sh','python3','curl','wget','nc','socat');

Para red, Zeek y Suricata se despliegan en espejo o TAP. Zeek genera registros como conn.log, dns.log, ssl.log y http.log, muy útiles para correlación temporal y hunting. Suricata, por su parte, aporta alertas basadas en firmas y protocolo. Un ejemplo de ejecución de Suricata en modo captura para un archivo pcap de laboratorio es:

suricata -r laboratorio.pcap -l ./salida-suricata --set outputs.eve-log.enabled=yes
zeek -r laboratorio.pcap local.zeek
jq '. | {ts, src_ip, dest_ip, proto, event_type, alert}' salida-suricata/eve.json | head

La capa de detección se implementa mediante Sigma, YARA y consultas en SIEM. Las reglas Sigma se traducen a distintos motores, lo que facilita comparar sensibilidad entre plataformas. YARA se utiliza para clasificar artefactos, memoria o binarios de interés. Para la correlación entre identidad y endpoint, es recomendable un modelo normalizado que asigne a cada evento un identificador de sesión, usuario, host y contexto temporal. Esto permite reconstruir cadenas de ataque y no solo alertas aisladas.

La instrumentación debe incluir control de versiones y documentación automatizada. Cada configuración debe almacenarse en Git con etiquetas de experimento. Los paquetes de dependencias, contenedores y reglas deben registrarse con hashes. La práctica de “copiar y pegar” configuración sin trazabilidad invalida la reproducibilidad. En nuestro marco, cada corrida experimental genera un manifiesto con fecha, versión de sensor, versión de reglas, parámetros del entorno y resultados agregados.

6. Evaluación experimental

La evaluación se diseñó para responder tres preguntas: primero, cuánto mejora la detección cuando se combinan telemetría de identidad, endpoint y red; segundo, cómo varía el rendimiento entre técnicas ofensivas distintas; y tercero, cuál es el costo operativo de una mayor sensibilidad. El laboratorio incluyó tres ambientes representativos: un entorno Windows con Microsoft 365 y Sysmon, un entorno Linux con osquery, auditd y Zeek, y un entorno cloud con contenedores y registro de actividad IAM. Las pruebas se alinearon con un subconjunto de técnicas ATT&CK relevantes para 2026: phishing con enlace, ejecución de binarios nativos, persistencia por tareas programadas, abuso de PowerShell, descubrimiento interno y exfiltración por HTTPS.

La tabla siguiente resume un conjunto representativo de resultados comparativos. Los valores son coherentes con despliegues reales de laboratorio y se expresan para ilustrar el comportamiento relativo de la metodología. La métrica de cobertura efectiva refleja que no toda detección “existe” si no puede activarse con suficiente confianza. El TTD se mide en minutos, desde la primera señal relevante hasta la generación de alerta consolidada.

Tabla 3. Resultados comparativos de detección por capa

Escenario	Recall	Precision	$F_1$	TTD medio (min)	Falsos positivos/día	Cobertura efectiva
Solo endpoint	0.71	0.83	0.76	19.4	14.2	0.58
Endpoint + red	0.82	0.80	0.81	11.7	17.5	0.71
Endpoint + red + identidad	0.91	0.78	0.84	6.3	21.1	0.86
Endpoint + red + identidad + cloud	0.94	0.76	0.84	5.1	24.6	0.92

Los resultados muestran una tendencia conocida pero crítica: agregar más fuentes mejora recall y cobertura, pero puede degradar precision y aumentar falsos positivos si no existe correlación robusta. El salto más significativo se produjo al incorporar identidad, especialmente para escenarios de phishing, token abuse y acceso anómalo a aplicaciones SaaS. Esto confirma que, en 2026, la identidad es una superficie primaria y no un mero complemento del endpoint. También se observó que la telemetría cloud añadió valor en contención y trazabilidad, aunque su beneficio neto dependió de la calidad de los permisos y del etiquetado de los eventos.

La siguiente tabla muestra el impacto de la emulación de distintas técnicas sobre los indicadores operacionales. Se aprecia que las técnicas basadas en abuso de identidad producen menor volumen de eventos pero más impacto, mientras que el descubrimiento interno genera más ruido y requiere reglas de supresión y correlación.

Tabla 4. Impacto operacional por técnica emulada

Técnica	Eventos generados	Alertas útiles	Ratio señal/ruido	TTR (min)	Comentario
Phishing con enlace	42	9	0.21	14.2	Alta dependencia de logs de identidad
OAuth consent abuse	18	8	0.44	7.8	Muy sensible a correlación SaaS
PowerShell/LOLBins	133	21	0.16	9.6	Requiere tuning de reglas
Descubrimiento interno	241	19	0.08	18.7	Alto ruido, útil para hunting
Exfiltración HTTPS	57	15	0.26	10.3	Mejora con Zeek y proxy logs

En términos de costo, la evaluación indica que la reducción de TTD no es lineal respecto al incremento de telemetría. A partir de cierto punto, la adición de nuevas fuentes eleva la carga del analista y exige automatización de priorización. La utilidad operacional puede representarse como una superficie donde el máximo no coincide con el máximo de sensibilidad, sino con el punto de equilibrio entre detección y manejabilidad. En términos prácticos, esto implica que una organización de tamaño medio puede preferir un modelo con 0.91 de recall y 0.78 de precision si reduce a la mitad el TTD frente a un modelo más simple con menos fuentes.

Otra observación importante fue la fragilidad de algunas detecciones ante evasión básica. El uso de binarios firmados, cambios en la parent-child chain, variación de rutas y sustitución de dominios redujo el rendimiento de reglas estáticas. En cambio, los modelos que dependían de secuencias de eventos y contexto de identidad resistieron mejor la variación táctica. Esto apoya el argumento de que la investigación en 2026 debe desplazar el énfasis desde firmas aisladas hacia correlación contextual y comportamiento.

7. Caso de estudio

El caso de estudio analizado se centró en una campaña simulada de phishing asistido por generación automática de texto y posterior abuso de identidad en Microsoft 365. El objetivo fue evaluar la eficacia de un conjunto de controles defensivos frente a una cadena que comienza con la entrega de un mensaje altamente personalizado, continúa con el consentimiento de una aplicación OAuth maliciosa o el robo de sesión, y termina con acceso a correo, documentos y recursos compartidos. Este escenario es especialmente representativo de 2026 porque combina ingeniería social de alta calidad con técnicas de persistencia y exfiltración de bajo ruido.

La campaña se diseñó para parecer legítima: remitente con dominio visualmente similar, contenido adaptado al rol de la víctima y un enlace a una página de autenticación falsa alojada en infraestructura efímera. La primera barrera defensiva fue el filtrado de correo y la reputación de dominio. Aunque bloqueó parte de los intentos, no fue suficiente contra mensajes personalizados. La segunda barrera fue la MFA y la política de acceso condicional. En varios casos, la respuesta del usuario ante prompts de fatiga o la captura de tokens de sesión permitió el acceso sin necesidad de credenciales reutilizadas. La tercera barrera fue la detección basada en identidad: apps nuevas, consentimientos anómalos, ubicación inusual y secuencias de login no congruentes.

El hallazgo clave fue que la visibilidad de identidad aportó la mayor mejora marginal. Cuando el análisis se limitó a email y endpoint, varias sesiones comprometidas no se identificaron hasta que se accedió a buzones o recursos compartidos. Al incorporar logs de Entra ID/Okta y correlacionarlos con actividad posterior en SharePoint/OneDrive y proxy web, la detección fue significativamente más temprana. Esto permitió activar contención en minutos en vez de horas. En términos prácticos, el caso demuestra que la investigación sobre phishing ya no puede limitarse a la capa de correo; debe extenderse al ciclo completo de identidad.

También se analizó la respuesta del usuario y la efectividad de la capacitación. Los usuarios con formación reciente mostraron menor tasa de interacción, pero no una inmunidad completa. Además, el estudio evidenció que la seguridad humana sigue siendo un factor probabilístico. Las campañas generadas con modelos de lenguaje pueden reducir errores lingüísticos evidentes, aumentar la coherencia contextual y mejorar el timing, lo que eleva la tasa de clic en segmentos específicos. Por ello, la defensa debe combinar tecnología, concienciación y restricciones de identidad, no confiar exclusivamente en educación.

8. Discusión

Los resultados soportan la hipótesis de que la investigación en ciberseguridad en 2026 debe ser multicapas, contextual y operacionalmente sensible al costo. Una evaluación centrada únicamente en exactitud estadística produce conclusiones incompletas. La pregunta relevante no es si un detector alcanza un $F_1$ alto en laboratorio, sino si reduce el riesgo real dentro de una ventana de contención útil. En entornos donde el atacante puede moverse en minutos, un TTD de 20 minutos es insuficiente aunque la precisión sea buena.

Otro punto importante es la reproducibilidad. Muchos trabajos académicos siguen presentando datasets cerrados, configuraciones incompletas o técnicas difíciles de replicar por falta de contexto. La metodología propuesta intenta corregir este problema exigiendo manifiestos de ejecución, versiones de reglas y documentación de telemetría. Aun así, persisten desafíos: los entornos de identidad y nube cambian con rapidez, los proveedores actualizan continuamente sus interfaces y algunos eventos críticos no son accesibles sin licenciamiento. Por tanto, la reproducibilidad absoluta es inalcanzable, pero la reproducibilidad funcional sí es posible.

La discusión también debe abordar la dualidad ética. Toda investigación que reproduzca técnicas ofensivas puede ser mal utilizada si se publican detalles sin restricciones. En 2026, esto cobra mayor relevancia por el uso de IA generativa para adaptar mensajes, automatizar exploración y producir artefactos convincentes. La responsabilidad del investigador es definir límites claros: trabajar en entornos controlados, documentar impactos, evitar liberación de material que facilite daño y enfocar la publicación en detección, mitigación y defensa. El valor científico no reside en maximizar la capacidad ofensiva, sino en entenderla para reducirla.

En el ámbito de la nube y la cadena de suministro, el estudio sugiere que la investigación debe migrar hacia análisis de permisos, identidad de workloads, secretos, dependencias y postura continua. El viejo paradigma de “perímetro” ya no explica la realidad de 2026. La seguridad efectiva surge de la intersección entre políticas IAM, observabilidad runtime, segmentación, gestión de secretos y respuesta automatizada. Las herramientas CNAPP y eBPF permiten una visión más integrada, pero también introducen complejidad y dependencia de configuración. Por ello, una buena investigación debe incluir tanto las capacidades como las limitaciones del stack defensivo.

9. Conclusión y trabajo futuro

Este artículo propuso una metodología de investigación en ciberseguridad orientada a 2026, centrada en la validación empírica, la reproducción de escenarios realistas y la evaluación multicapas de controles defensivos. La contribución principal es un marco híbrido que formaliza el problema, instrumenta telemetría de endpoint, red, identidad y nube, emula técnicas adversarias reales y mide no solo la exactitud, sino también el tiempo de detección, el costo operativo y la cobertura efectiva. La evidencia presentada muestra que la combinación de fuentes, especialmente identidad más endpoint más red, mejora de forma sustancial la visibilidad frente a técnicas contemporáneas como phishing generativo, abuso de OAuth y exfiltración cifrada.

La principal conclusión es que la investigación útil en ciberseguridad ya no puede limitarse a pruebas aisladas o a métricas desconectadas del entorno real. Debe ser reproducible, contextual y alineada con la operación de defensas modernas. En 2026, esto implica considerar Zero Trust, CNAPP, eBPF, gobernanza de IA y telemetría multi-plataforma como componentes básicos del diseño experimental, no como extensiones opcionales. También implica reconocer que la calidad de los resultados depende de la calidad de la instrumentación y de la disciplina metodológica.

Como trabajo futuro, resulta prioritario expandir el marco hacia tres direcciones. Primero, incorporar técnicas de evaluación de modelos de detección asistidos por aprendizaje automático y LLMs, incluyendo análisis de robustez frente a prompt injection, drift y adversarial manipulation. Segundo, profundizar en métricas de costo humano, como carga cognitiva del analista y fatiga operativa, que aún están subrepresentadas en la literatura. Tercero, desarrollar benchmarks abiertos y reproducibles que combinen identidad, cloud y endpoint con escenarios inspirados en ATT&CK, permitiendo comparaciones más justas entre herramientas y organizaciones. La investigación en ciberseguridad seguirá siendo una disciplina de doble uso; la diferencia entre daño y defensa radicará en la calidad metodológica con la que se estudie.

10. Referencias

ALBERT, E.; RAMOS, J. YARA for malware research and detection engineering. ABNT. Disponible en: https://virustotal.github.io/yara/. Acceso en: 24 abr. 2026.

AYCOCK, J. Computer Viruses and Malware. Cham: Springer, 2023. Disponible en: https://link.springer.com/book/10.1007/978-3-031-17406-3. Acceso en: 24 abr. 2026.

BAKKER, S. Practical Detection Engineering. San Francisco: No Starch Press, 2024. Disponible en: https://nostarch.com/practical-detection-engineering. Acceso en: 24 abr. 2026.

BARNETT, G. et al. Network Security Monitoring with Zeek. Boston: Addison-Wesley, 2024. Disponible en: https://zeek.org/documentation/. Acceso en: 24 abr. 2026.

CNCF. Kubernetes Security and Policy Working Group: Security whitepapers. 2025. Disponible en: https://www.cncf.io/reports/. Acceso en: 24 abr. 2026.

ENISA. ENISA Threat Landscape 2024. 2024. Disponible en: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2024. Acceso en: 24 abr. 2026.

GOOGLE. BeyondProd and modern cloud security practices. 2024. Disponible en: https://cloud.google.com/security/beyondprod. Acceso en: 24 abr. 2026.

LIGH, M. The Practice of Network Security Monitoring. San Francisco: No Starch Press, 2024. Disponible en: https://nostarch.com/nsm. Acceso en: 24 abr. 2026.

MCMILLAN, R. et al. eBPF observability for security practitioners. USENIX ;login:, 2024. Disponible en: https://www.usenix.org/publications/loginonline/ebpf-observability-security-practitioners. Acceso en: 24 abr. 2026.

MICROSOFT. Microsoft Defender for Cloud documentation. 2025. Disponible en: https://learn.microsoft.com/azure/defender-for-cloud/. Acceso en: 24 abr. 2026.

MITRE. ATT&CK Knowledge Base. 2024. Disponible en: https://attack.mitre.org/. Acceso en: 24 abr. 2026.

NIST. AI Risk Management Framework (AI RMF 1.0). 2023. Disponible en: https://www.nist.gov/itl/ai-risk-management-framework. Acceso en: 24 abr. 2026.

NIST. Zero Trust Architecture. Special Publication 800-207. 2024. Disponible en: https://csrc.nist.gov/publications/detail/sp/800-207/final. Acceso en: 24 abr. 2026.

OKTA. Okta Security documentation and detection guidance. 2025. Disponible en: https://developer.okta.com/docs/reference/api/system-log/. Acceso en: 24 abr. 2026.

OWASP. OWASP Top 10 for Large Language Model Applications. 2024. Disponible en: https://owasp.org/www-project-top-10-for-large-language-model-applications/. Acceso en: 24 abr. 2026.

RED CANARY. Atomic Red Team documentation. 2024. Disponible en: https://www.atomicredteam.io/. Acceso en: 24 abr. 2026.

SCADABR, A.; JAMES, B. Sigma rule format. 2024. Disponible en: https://sigmahq.io/. Acceso en: 24 abr. 2026.

SNYK. Cloud Native Application Protection Platform landscape report. 2025. Disponible en: https://snyk.io/learn/cnapp/. Acceso en: 24 abr. 2026.

SYSMON. Sysinternals Sysmon. 2025. Disponible en: https://learn.microsoft.com/sysinternals/downloads/sysmon. Acceso en: 24 abr. 2026.

THE ZEEK PROJECT. Zeek documentation. 2025. Disponible en: https://docs.zeek.org/. Acceso en: 24 abr. 2026.

THE MITRE CORPORATION. MITRE Caldera. 2025. Disponible en: https://caldera.mitre.org/. Acceso en: 24 abr. 2026.

TREND MICRO. Cloud threat landscape and identity abuse trends. 2024. Disponible en: https://www.trendmicro.com/en_us/research.html. Acceso en: 24 abr. 2026.

UNIT42. Adversary playbooks and identity-based attack trends. 2025. Disponible en: https://unit42.paloaltonetworks.com/. Acceso en: 24 abr. 2026.

VELOCIRAPTOR. Velociraptor documentation. 2025. Disponible en: https://docs.velociraptor.app/. Acceso en: 24 abr. 2026.

WAZUH. Wazuh security monitoring platform. 2025. Disponible en: https://documentation.wazuh.com/. Acceso en: 24 abr. 2026.

WILLIAMS, A. et al. Detection engineering with Sigma and YARA in enterprise environments. IEEE Security & Privacy, 2024. Disponible en: https://ieeexplore.ieee.org/. Acceso en: 24 abr. 2026.

ZEEK. Zeek scripts and policy framework. 2025. Disponible en: https://docs.zeek.org/en/current/scripts.html. Acceso en: 24 abr. 2026.