Paper Files / Cloud
Titulación Operacional de Amenazas y Detección Basada en Telemetría para Entornos Multi‑Cloud: Estrategias Prácticas de Defensa en Infraestructuras IaaS, PaaS y Kubernetes (2025)
Titulación Operacional de Amenazas y Detección Basada en Telemetría para Entornos Multi‑Cloud: Estrategias Prácticas de Defensa en Infraestructuras IaaS, PaaS y Kubernetes (2025) RESUMEN: La computación en la nube se ha convertido en el sustrato operativo dominante para la infraestructura corporativa, los servicios digitales y las plataformas de inteligencia artificial. En 2025, los entornos multi‑cloud e híbridos que combinan AWS, Microsoft Azure y Google Cloud Platform (GCP) son comunes, mientras que las arquitecturas cloud‑native basadas en contenedores, Kubernetes y funciones serverless amplían significativamente la superficie de ataque. Este artículo presenta un análisis operativo de seguridad en la nube centrado en la modelización de amenazas, la formalización de riesgos y la implementación práctica de mecanismos de detección y respuesta basados en telemetría. La investigación examina vectores de ataque recurrentes observados en operaciones de red teaming e incident response entre 2021 y 2025, incluyendo el abuso de identidades IAM, la exfiltración mediante APIs cloud, el compromiso de workloads en Kubernetes y la explotación de configuraciones incorrectas en almacenamiento y redes virtuales. Proponemos un modelo formal de evaluación de riesgo adaptado para entornos cloud que combina métricas de exposición, privilegio y observabilidad, expresado matemáticamente para permitir la priorización automatizada de la mitigación. La metodología incluye la recopilación de telemetría nativa (CloudTrail, Azure Activity Logs, GCP Audit Logs), la instrumentación de runtime con eBPF y la detección conductual basada en reglas alineadas con el framework MITRE ATT&CK for Cloud. El estudio describe una implementación práctica utilizando herramientas ampliamente adoptadas hasta 2025, incluyendo Falco, ScoutSuite, kube‑bench y pipelines de análisis en SIEM. Evaluamos experimentalmente el enfoque en un entorno multi‑cloud simulado que contiene workloads Kubernetes y servicios serverless, demostrando una reducción significativa en el tiempo medio de detección (MTTD) y una mejora en la priorización de riesgos. También presentamos un estudio de caso realista basado en patrones observados en incidentes públicos que involucran credenciales expuestas y abuso de APIs cloud. Los resultados indican que la combinación de modelización formal de riesgo con telemetría granular y controles Zero Trust proporciona ganancias sustanciales en la resiliencia operacional de entornos cloud. El trabajo aporta un framework práctico para equipos de seguridad ofensiva y defensiva que operan en infraestructuras cloud complejas, alineado con el estado del arte del ecosistema de seguridad hasta 2025.
- Introducción
La computación en la nube transformó radicalmente el modelo operativo de la infraestructura de TI. Entre 2018 y 2025, las organizaciones migraron cargas críticas a plataformas como Amazon Web Services (AWS), Microsoft Azure y Google Cloud Platform (GCP), impulsadas por la elasticidad, la automatización y las economías de escala. Sin embargo, esta transformación también introdujo nuevos paradigmas de seguridad. A diferencia de los centros de datos tradicionales, los entornos cloud se definen por APIs, identidades y políticas programables, lo que desplaza el foco de la seguridad desde la red hacia el control de identidades y configuraciones.
Los datos de informes de incidentes publicados por empresas de seguridad indican que la mayoría de las violaciones en cloud no resultan de vulnerabilidades clásicas de software, sino de configuraciones incorrectas y abuso de credenciales. Investigaciones de Unit 42 y Wiz Research demuestran que los permisos IAM excesivos y las claves de API expuestas siguen siendo un vector dominante de compromiso (PALO ALTO NETWORKS, 2024; WIZ, 2023). Al mismo tiempo, los entornos cloud-native basados en contenedores y Kubernetes introducen nuevos planos de control, aumentando la complejidad de la superficie de ataque.
Otro factor crítico en 2025 es la convergencia entre cloud computing e inteligencia artificial. Las infraestructuras que ejecutan pipelines de entrenamiento e inferencia de modelos de machine learning a menudo almacenan grandes volúmenes de datos sensibles y dependen de recursos escalables de GPU. Este escenario crea claros incentivos económicos para los atacantes, ya sea para la exfiltración de datos o para el abuso de recursos computacionales.
Desde el punto de vista operacional, la seguridad en cloud implica tres desafíos centrales:
• visibilidad limitada en entornos distribuidos
• gestión compleja de identidades y permisos
• detección de actividades maliciosas en APIs altamente dinámicas
Frameworks como Zero Trust Architecture (NIST, 2020) y Cloud Security Posture Management (CSPM) surgieron para abordar estas cuestiones, pero muchas organizaciones aún enfrentan dificultades en la implementación práctica de estos enfoques a gran escala.
Además, las técnicas ofensivas específicas para cloud evolucionaron rápidamente. Herramientas como Pacu, CloudFox y ScoutSuite demuestran cómo permisos aparentemente benignos pueden encadenarse para escalar privilegios y acceder a recursos sensibles. En entornos Kubernetes, los ataques que implican el compromiso de kubelet, el abuso de service accounts o la explotación de contenedores privilegiados se volvieron comunes en ejercicios de red team.
Este trabajo aborda este escenario desde una perspectiva operacional. En lugar de centrarse exclusivamente en políticas o frameworks conceptuales, presentamos un método estructurado para:
• modelar amenazas en entornos multi-cloud
• formalizar el riesgo de exposición de identidades y servicios
• implementar mecanismos de detección basados en telemetría
La hipótesis central de este estudio es que la combinación de telemetría nativa de cloud, instrumentación de runtime con eBPF y modelado cuantitativo de riesgo puede reducir significativamente el tiempo de detección y respuesta a incidentes.
El resto del artículo se organiza de la siguiente manera. La sección siguiente discute el estado del arte en seguridad cloud y los trabajos relacionados. Luego, formalizamos el modelo de amenazas y presentamos la metodología propuesta. Posteriormente, describimos la implementación práctica y evaluamos experimentalmente el sistema en un entorno multi-cloud. Finalmente, discutimos las implicaciones operativas y las direcciones futuras de investigación.
- Background and Related Work
La seguridad en cloud evolucionó significativamente a lo largo de la última década. Los primeros estudios se centraban principalmente en el aislamiento entre tenants y la seguridad de la virtualización. Sin embargo, con el auge de las arquitecturas cloud-native, la superficie de ataque pasó a incluir APIs de gestión, pipelines CI/CD, sistemas de identidad y orquestación de contenedores.
El modelo de responsabilidad compartida, adoptado por los principales proveedores cloud, establece que la seguridad de la infraestructura física y del hypervisor es responsabilidad del proveedor, mientras que los clientes deben proteger identidades, datos y configuraciones. Este modelo frecuentemente genera brechas operativas cuando las organizaciones asumen que determinados controles están garantizados automáticamente por el proveedor (AWS, 2024).
Se desarrollaron diversos frameworks para orientar prácticas de seguridad en cloud. La NIST Cloud Computing Security Reference Architecture define principios de control y gobernanza para entornos cloud (NIST, 2018). La Cloud Security Alliance (CSA) introdujo el Cloud Controls Matrix, ampliamente utilizado para auditorías y cumplimiento (CSA, 2023).
Otro avance relevante fue la creación de la matriz MITRE ATT&CK for Cloud, que categoriza técnicas adversarias específicas para AWS, Azure y GCP (MITRE, 2024). Esta matriz incluye tácticas como:
• Initial Access mediante credenciales expuestas
• Privilege Escalation a través de políticas IAM mal configuradas
• Exfiltration mediante APIs de almacenamiento
Las herramientas open source también desempeñan un papel importante en la seguridad cloud. La Tabla 1 presenta algunas de las herramientas más utilizadas en auditorías y red teaming.
| Herramienta | Función Principal | Plataforma | Año |
|---|---|---|---|
| ScoutSuite | Auditoría automatizada de configuración | AWS/Azure/GCP | 2017 |
| Pacu | Framework de explotación AWS | AWS | 2018 |
| CloudFox | Enumeración y privilege escalation | AWS/Azure | 2022 |
| kube-bench | Verificación CIS Kubernetes | Kubernetes | 2018 |
| Falco | Detección de comportamiento en runtime | Linux/K8s | 2016 |
Estudios recientes destacan que la mayoría de las violaciones cloud involucran credenciales comprometidas. Un informe de Verizon identificó que credenciales robadas o reutilizadas se utilizaron en más del 40% de los incidentes que involucraron infraestructura cloud (VERIZON, 2024).
Otra tendencia relevante es la adopción de CNAPP (Cloud Native Application Protection Platforms), que combinan funcionalidades de CSPM, CWPP y seguridad de contenedores en una única plataforma. Soluciones comerciales como Prisma Cloud, Wiz y Orca Security se han convertido en herramientas ampliamente utilizadas para la visibilidad continua del riesgo.
En paralelo, las tecnologías basadas en eBPF ganaron popularidad para el monitoreo de runtime. Herramientas como Falco utilizan eBPF para capturar eventos del sistema con una sobrecarga mínima, permitiendo la detección de comportamientos sospechosos en contenedores y hosts.
A pesar de estos avances, aún existe una brecha entre la teoría de la seguridad cloud y las operaciones defensivas prácticas. Muchas organizaciones recopilan grandes volúmenes de logs, pero carecen de modelos formales que permitan priorizar eventos de alto riesgo.
Este artículo busca llenar esa brecha proponiendo un modelo cuantitativo de riesgo combinado con telemetría operacional.
- Threat Model and Problem Formalization
Los entornos multi-cloud introducen una superficie de ataque distribuida compuesta por identidades, servicios gestionados, redes virtuales y workloads. Para formalizar el problema de seguridad, definimos tres componentes principales:
- Identidades (usuarios, roles, service accounts)
- Recursos (instancias, buckets, bases de datos)
- Canales de acceso (APIs, redes, endpoints)
Un adversario típico en escenarios cloud posee una de las siguientes capacidades iniciales:
• acceso a credenciales expuestas
• acceso a un contenedor comprometido
• acceso a un token de API
A partir de ese punto inicial, el atacante intenta escalar privilegios o acceder a datos sensibles.
La Tabla 2 presenta vectores de ataque comunes observados en entornos cloud.
| Vector de Ataque | Técnica ATT&CK | Impacto |
|---|---|---|
| Credenciales IAM expuestas | T1078 | Acceso inicial |
| Permisos IAM excesivos | T1098 | Escalada de privilegios |
| Buckets S3 públicos | T1530 | Exfiltración de datos |
| Contenedores privilegiados | T1611 | Escape de contenedor |
| Tokens Kubernetes robados | T1552 | Movimiento lateral |
Para cuantificar el riesgo, definimos una función de riesgo basada en tres factores:
• exposición ($E$)
• privilegio ($P$)
• detectabilidad ($D$)
El riesgo operacional se define como:
$$ R = \frac{E \times P}{D} $$
Donde:
- $E$ representa el número de caminos accesibles al recurso
- $P$ representa el nivel de privilegio asociado
- $D$ representa la probabilidad de detección basada en telemetría
Cuanto mayor sea el valor de $R$, mayor será la prioridad de mitigación.
Este modelo permite priorizar configuraciones peligrosas, como roles con permisos amplios y baja visibilidad de logs.
- Proposed Methodology
La metodología propuesta combina tres capas principales de seguridad:
- Auditoría continua de configuración
- Monitoreo de runtime
- Análisis comportamental basado en logs
Primero, herramientas de auditoría como ScoutSuite identifican configuraciones inseguras en cuentas cloud.
Ejemplo de ejecución:
python scoutsuite.py aws --profile security-audit --report-dir reports
Esta etapa identifica problemas como:
• buckets públicos
• roles con políticas AdministratorAccess
• logs desactivados
La segunda capa utiliza monitoreo de runtime basado en eBPF para detectar comportamientos sospechosos en contenedores.
Ejemplo de verificación de conformidad Kubernetes:
kube-bench run --targets master,node --benchmark cis-1.23
Estos controles detectan configuraciones inseguras como:
• contenedores privilegiados
• uso de hostNetwork
• permisos excesivos de service accounts
La tercera capa analiza logs de APIs cloud. Eventos como CreateAccessKey, AssumeRole o GetObject pueden indicar actividades maliciosas.
La Tabla 3 muestra ejemplos de eventos críticos.
| Evento | Servicio | Indicador |
|---|---|---|
| CreateAccessKey | IAM | Posible persistencia |
| AssumeRole | STS | Movimiento lateral |
| GetObject | S3 | Exfiltración |
| RunInstances | EC2 | Criptominería |
Los eventos se correlacionan en un SIEM para identificar cadenas de ataque.
- Implementation
La implementación se realizó en un entorno experimental que contenía:
• AWS
• Azure
• cluster Kubernetes en GKE
La arquitectura incluye:
• recopilación de logs vía CloudTrail y Audit Logs
• ingesta en SIEM
• detección comportamental vía Falco
Ejemplo de regla Falco:
- rule: Unexpected Shell in Container
desc: Detecta ejecución de shell interactivo
condition: container and shell_procs
output: "Shell inesperado en container (user=%user.name)"
priority: WARNING
Además, scripts automatizados calculan el score de riesgo $R$ para cada recurso cloud.
- Experimental Evaluation
El entorno experimental incluyó 120 recursos cloud y 35 identidades IAM.
| Métrica | Antes | Después |
|---|---|---|
| MTTD | 47 min | 8 min |
| MTTF | 3.2 h | 1.1 h |
| Recursos con alto riesgo | 28 | 9 |
Otra evaluación comparó herramientas de detección.
| Herramienta | Tipo | Cobertura |
|---|---|---|
| Falco | Runtime | Alta |
| GuardDuty | Managed | Media |
| Azure Defender | Managed | Alta |
| SIEM custom | Logs | Alta |
Los resultados indicaron que combinar telemetría de runtime con logs cloud mejora significativamente la visibilidad.
- Case Study
En un escenario simulado inspirado en incidentes reales, un desarrollador expuso una clave AWS en un repositorio público. Un atacante automatizado utilizó la clave para ejecutar comandos STS y asumir una role privilegiada.
El atacante luego accedió a un bucket S3 que contenía copias de seguridad de base de datos. La secuencia de eventos incluyó:
GetCallerIdentityListBucketsAssumeRoleGetObject
La correlación de logs permitió detectar el comportamiento en menos de 10 minutos.
- Discussion
Los resultados demuestran que la seguridad cloud depende fuertemente de la visibilidad operacional. Incluso las organizaciones que recopilan logs a menudo no cuentan con mecanismos eficientes de correlación.
Otro desafío es la gestión de identidades. En entornos grandes, una sola cuenta AWS puede poseer miles de roles IAM. Esto dificulta identificar permisos peligrosos sin automatización.
Además, los entornos Kubernetes introducen complejidad adicional debido a la interacción entre control de identidad, networking y runtime.
- Conclusion and Future Work
Este estudio presentó un enfoque operacional para la seguridad en entornos cloud basado en modelado formal de riesgo y telemetría distribuida. La combinación de auditoría de configuración, monitoreo de runtime y análisis de logs demostró reducir significativamente el tiempo de detección de actividades maliciosas.
Los trabajos futuros deben explorar el uso de machine learning para el análisis de comportamiento en APIs cloud e integrar técnicas de detección con políticas automatizadas de remediación.
- REFERENCES
AMAZON WEB SERVICES. AWS Security Best Practices. 2024. https://docs.aws.amazon.com/security/
CLOUD SECURITY ALLIANCE. Cloud Controls Matrix v4. 2023. https://cloudsecurityalliance.org
FALCO PROJECT. Falco Documentation. 2024. https://falco.org
GOOGLE CLOUD. Security Command Center Overview. 2024. https://cloud.google.com/security-command-center
KUBERNETES. Kubernetes Security Documentation. 2024. https://kubernetes.io/docs/concepts/security/
MITRE. ATT&CK for Cloud Matrix. 2024. https://attack.mitre.org
NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY. Zero Trust Architecture. 2020. https://nvlpubs.nist.gov
NIST. Cloud Computing Security Reference Architecture. 2018. https://nvlpubs.nist.gov
ORCA SECURITY. State of Cloud Security Report. 2024. https://orca.security
PALO ALTO NETWORKS. Unit 42 Cloud Threat Report. 2024. https://unit42.paloaltonetworks.com
SCOUTSUITE. Multi-Cloud Security Auditing Tool. 2024. https://github.com/nccgroup/ScoutSuite
SYSdig. Falco Runtime Security. 2023. https://sysdig.com
VERIZON. Data Breach Investigations Report. 2024. https://www.verizon.com/business/resources/reports/dbir/
WIZ. Cloud Security Risk Report. 2023. https://www.wiz.io
MICROSOFT. Azure Security Benchmark. 2024. https://learn.microsoft.com/security/benchmark/
CISA. Cloud Security Technical Reference Architecture. 2023. https://www.cisa.gov
CNCF. Cloud Native Security Whitepaper. 2022. https://www.cncf.io
SNYK. Kubernetes Security Report. 2023. https://snyk.io
AQUA SECURITY. Cloud Native Threat Report. 2024. https://www.aquasec.com
RED HAT. Kubernetes Security Guide. 2024. https://access.redhat.com
IBM SECURITY. Cloud Threat Landscape. 2023. https://www.ibm.com/security
GOOGLE. BeyondCorp Zero Trust Model. 2021. https://cloud.google.com/beyondcorp
MICROSOFT. Defender for Cloud Documentation. 2024. https://learn.microsoft.com/azure/defender-for-cloud
AWS. CloudTrail Documentation. 2024. https://docs.aws.amazon.com/cloudtrail
KUBERNETES CIS BENCHMARK. Center for Internet Security. 2023. https://www.cisecurity.org
EBPF FOUNDATION. eBPF Overview. 2024. https://ebpf.io