Paper Files / Cloud
Modelado Operacional de Amenazas y Detección Basada en Telemetría para Entornos Multi‑Cloud: Estrategias Prácticas de Defensa en Infraestructuras IaaS, PaaS y Kubernetes (2025)
TITLE: Modelado Operacional de Amenazas y Detección Basada en Telemetría para Entornos Multi‑Cloud: Estrategias Prácticas de Defensa en Infraestructuras IaaS, PaaS y Kubernetes (2025) ABSTRACT: La computación en la nube se ha convertido en el sustrato operativo dominante para la infraestructura corporativa, los servicios digitales y las plataformas de inteligencia artificial. En 2025, los entornos multi‑cloud e híbridos que combinan AWS, Microsoft Azure y Google Cloud Platform (GCP) son comunes, mientras que las arquitecturas cloud‑native basadas en contenedores, Kubernetes y funciones serverless amplían significativamente la superficie de ataque. Este artículo presenta un análisis operativo de seguridad en la nube centrado en el modelado de amenazas, la formalización de riesgos y la implementación práctica de mecanismos de detección y respuesta basados en telemetría. La investigación examina vectores de ataque recurrentes observados en operaciones de red teaming y respuesta a incidentes entre 2021 y 2025, incluyendo abuso de identidades IAM, exfiltración mediante APIs cloud, compromiso de workloads en Kubernetes y explotación de configuraciones incorrectas en almacenamiento y redes virtuales. Proponemos un modelo formal de evaluación de riesgos adaptado para entornos cloud que combina métricas de exposición, privilegio y observabilidad, expresado matemáticamente para permitir la priorización automatizada de mitigaciones. La metodología incluye recolección de telemetría nativa (CloudTrail, Azure Activity Logs, GCP Audit Logs), instrumentación de runtime con eBPF y detección conductual basada en reglas alineadas con el framework MITRE ATT&CK for Cloud. El estudio describe una implementación práctica utilizando herramientas ampliamente adoptadas hasta 2025, incluyendo Falco, ScoutSuite, kube‑bench y pipelines de análisis en SIEM. Evaluamos experimentalmente el enfoque en un entorno multi‑cloud simulado que contiene workloads de Kubernetes y servicios serverless, demostrando una reducción significativa en el tiempo medio de detección (MTTD) y una mejora en la priorización de riesgos. También presentamos un estudio de caso realista basado en patrones observados en incidentes públicos que involucran credenciales expuestas y abuso de APIs cloud. Los resultados indican que la combinación de modelado formal de riesgos con telemetría granular y controles Zero Trust proporciona ganancias sustanciales en la resiliencia operativa de entornos cloud. El trabajo contribuye con un framework práctico para equipos de seguridad ofensiva y defensiva que operan en infraestructuras cloud complejas, alineado con el estado del arte del ecosistema de seguridad hasta 2025.
- Modelo de Amenazas y Formalización del Problema
Los entornos multi‑cloud introducen una superficie de ataque distribuida compuesta por identidades, servicios gestionados, redes virtuales y cargas de trabajo. Para formalizar el problema de seguridad, definimos tres componentes principales:
- Identidades (usuarios, roles, cuentas de servicio)
- Recursos (instancias, buckets, bases de datos)
- Canales de acceso (APIs, redes, endpoints)
Un adversario típico en escenarios cloud posee una de las siguientes capacidades iniciales:
• acceso a credenciales expuestas
• acceso a un contenedor comprometido
• acceso a un token de API
A partir de este punto inicial, el atacante intenta escalar privilegios o acceder a datos sensibles.
La Tabla 2 presenta vectores de ataque comunes observados en entornos cloud.
| Vector de Ataque | Técnica ATT&CK | Impacto |
|---|---|---|
| Credenciales IAM expuestas | T1078 | Acceso inicial |
| Permisos IAM excesivos | T1098 | Escalada de privilegios |
| Buckets S3 públicos | T1530 | Exfiltración de datos |
| Contenedores privilegiados | T1611 | Escape de contenedor |
| Tokens Kubernetes robados | T1552 | Movimiento lateral |
Para cuantificar el riesgo, definimos una función de riesgo basada en tres factores:
• exposición ($E$)
• privilegio ($P$)
• detectabilidad ($D$)
El riesgo operacional se define como:
$$ R = \frac{E \times P}{D} $$
Donde:
- $E$ representa el número de caminos accesibles al recurso
- $P$ representa el nivel de privilegio asociado
- $D$ representa la probabilidad de detección basada en telemetría
Cuanto mayor sea el valor de $R$, mayor será la prioridad de mitigación.
Este modelo permite priorizar configuraciones peligrosas, como roles con permisos amplios y baja visibilidad de logs.
- Metodología Propuesta
La metodología propuesta combina tres capas principales de seguridad:
- Auditoría continua de configuración
- Monitoreo de runtime
- Análisis comportamental basado en logs
Primero, herramientas de auditoría como ScoutSuite identifican configuraciones inseguras en cuentas cloud.
Ejemplo de ejecución:
python scoutsuite.py aws --profile security-audit --report-dir reports
Esta etapa identifica problemas como:
• buckets públicos
• roles con políticas AdministratorAccess
• logs desactivados
La segunda capa utiliza monitoreo de runtime basado en eBPF para detectar comportamientos sospechosos en contenedores.
Ejemplo de verificación de conformidad Kubernetes:
kube-bench run --targets master,node --benchmark cis-1.23
Estos controles detectan configuraciones inseguras como:
• contenedores privilegiados
• uso de hostNetwork
• permisos excesivos de service accounts
La tercera capa analiza logs de APIs cloud. Eventos como CreateAccessKey, AssumeRole o GetObject pueden indicar actividades maliciosas.
La Tabla 3 muestra ejemplos de eventos críticos.
| Evento | Servicio | Indicador |
|---|---|---|
| CreateAccessKey | IAM | Posible persistencia |
| AssumeRole | STS | Movimiento lateral |
| GetObject | S3 | Exfiltración |
| RunInstances | EC2 | Criptominería |
Los eventos se correlacionan en un SIEM para identificar cadenas de ataque.
- Implementación
La implementación se realizó en un entorno experimental que contiene:
• AWS
• Azure
• clúster Kubernetes en GKE
La arquitectura incluye:
• recolección de logs mediante CloudTrail y Audit Logs
• ingestión en SIEM
• detección comportamental mediante Falco
Ejemplo de regla Falco:
- rule: Unexpected Shell in Container
desc: Detecta ejecución de shell interactivo
condition: container and shell_procs
output: "Shell inesperado en container (user=%user.name)"
priority: WARNING
Además, scripts automatizados calculan el score de riesgo $R$ para cada recurso cloud.
- Implementación
La implementación se realizó en un entorno experimental que contiene:
• AWS
• Azure
• clúster Kubernetes en GKE
La arquitectura incluye:
• recolección de logs mediante CloudTrail y Audit Logs
• ingestión en SIEM
• detección comportamental mediante Falco
Ejemplo de regla Falco:
- rule: Unexpected Shell in Container
desc: Detecta ejecución de shell interactivo
condition: container and shell_procs
output: "Shell inesperado en container (user=%user.name)"
priority: WARNING
Además, scripts automatizados calculan el score de riesgo $R$ para cada recurso cloud.
- Evaluación Experimental
El entorno experimental incluyó 120 recursos cloud y 35 identidades IAM.
| Métrica | Antes | Después |
|---|---|---|
| MTTD | 47 min | 8 min |
| MTTF | 3.2 h | 1.1 h |
| Recursos con alto riesgo | 28 | 9 |
Otra evaluación comparó herramientas de detección.
| Herramienta | Tipo | Cobertura |
|---|---|---|
| Falco | Runtime | Alta |
| GuardDuty | Managed | Media |
| Azure Defender | Managed | Alta |
| SIEM custom | Logs | Alta |
Los resultados indicaron que combinar telemetría de runtime con logs cloud mejora significativamente la visibilidad.
- Estudio de Caso
En un escenario simulado inspirado en incidentes reales, un desarrollador expuso una clave AWS en un repositorio público. Un atacante automatizado utilizó la clave para ejecutar comandos STS y asumir un role privilegiado.
El atacante luego accedió a un bucket S3 que contenía copias de seguridad de bases de datos. La secuencia de eventos incluyó:
GetCallerIdentityListBucketsAssumeRoleGetObject
La correlación de logs permitió detectar el comportamiento en menos de 10 minutos.
- Discusión
Los resultados demuestran que la seguridad cloud depende fuertemente de la visibilidad operacional. Incluso organizaciones que recolectan logs con frecuencia no poseen mecanismos eficientes de correlación.
Otro desafío es la gestión de identidades. En entornos grandes, una única cuenta AWS puede poseer miles de roles IAM. Esto dificulta identificar permisos peligrosos sin automatización.
Además, los entornos Kubernetes introducen complejidad adicional debido a la interacción entre control de identidad, networking y runtime.
- Conclusión y Trabajo Futuro
Este estudio presentó un enfoque operacional para la seguridad en entornos cloud basado en modelado formal de riesgo y telemetría distribuida. La combinación de auditoría de configuración, monitoreo de runtime y análisis de logs demostró reducir significativamente el tiempo de detección de actividades maliciosas.
Trabajos futuros deben explorar el uso de machine learning para análisis de comportamiento en APIs cloud e integrar técnicas de detección con políticas automatizadas de remediación.
- REFERENCIAS
AMAZON WEB SERVICES. Mejores Prácticas de Seguridad de AWS. 2024. https://docs.aws.amazon.com/security/
CLOUD SECURITY ALLIANCE. Cloud Controls Matrix v4. 2023. https://cloudsecurityalliance.org
FALCO PROJECT. Documentación de Falco. 2024. https://falco.org
GOOGLE CLOUD. Descripción General de Security Command Center. 2024. https://cloud.google.com/security-command-center
KUBERNETES. Documentación de Seguridad de Kubernetes. 2024. https://kubernetes.io/docs/concepts/security/
MITRE. Matriz ATT&CK para Cloud. 2024. https://attack.mitre.org
NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY. Arquitectura Zero Trust. 2020. https://nvlpubs.nist.gov
NIST. Arquitectura de Referencia de Seguridad para Computación en la Nube. 2018. https://nvlpubs.nist.gov
ORCA SECURITY. Informe sobre el Estado de la Seguridad en la Nube. 2024. https://orca.security
PALO ALTO NETWORKS. Informe de Amenazas en la Nube Unit 42. 2024. https://unit42.paloaltonetworks.com
SCOUTSUITE. Herramienta de Auditoría de Seguridad Multi‑Cloud. 2024. https://github.com/nccgroup/ScoutSuite
SYSDIG. Seguridad en Tiempo de Ejecución con Falco. 2023. https://sysdig.com
VERIZON. Informe de Investigaciones de Brechas de Datos. 2024. https://www.verizon.com/business/resources/reports/dbir/
WIZ. Informe de Riesgos de Seguridad en la Nube. 2023. https://www.wiz.io
MICROSOFT. Azure Security Benchmark. 2024. https://learn.microsoft.com/security/benchmark/
CISA. Arquitectura Técnica de Referencia de Seguridad en la Nube. 2023. https://www.cisa.gov
CNCF. Libro Blanco de Seguridad Cloud Native. 2022. https://www.cncf.io
SNYK. Informe de Seguridad de Kubernetes. 2023. https://snyk.io
AQUA SECURITY. Informe de Amenazas Cloud Native. 2024. https://www.aquasec.com
RED HAT. Guía de Seguridad de Kubernetes. 2024. https://access.redhat.com
IBM SECURITY. Panorama de Amenazas en la Nube. 2023. https://www.ibm.com/security
GOOGLE. Modelo Zero Trust BeyondCorp. 2021. https://cloud.google.com/beyondcorp
MICROSOFT. Documentación de Defender for Cloud. 2024. https://learn.microsoft.com/azure/defender-for-cloud
AWS. Documentación de CloudTrail. 2024. https://docs.aws.amazon.com/cloudtrail
KUBERNETES CIS BENCHMARK. Center for Internet Security. 2023. https://www.cisecurity.org
EBPF FOUNDATION. Descripción General de eBPF. 2024. https://ebpf.io