TÍTULO: Arquitectura Adaptativa de Identity and Access Management con Evaluación Continua de Riesgo y Detección de Abuso de Credenciales Basada en Telemetría Operacional

1. Introducción

La gestión de identidades y accesos (Identity and Access Management – IAM) constituye uno de los pilares fundamentales de la seguridad de la información en las organizaciones modernas. En entornos corporativos caracterizados por infraestructuras híbridas, servicios en la nube y colaboración distribuida, el control preciso de las identidades digitales se ha vuelto esencial para preservar la confidencialidad, integridad y disponibilidad de recursos críticos.

A pesar de la adopción generalizada de autenticación multifactor, federación de identidades y control basado en roles, diversos incidentes recientes demuestran que las credenciales legítimas continúan siendo explotadas por adversarios. El Verizon Data Breach Investigations Report de 2023 indica que aproximadamente el 74% de las violaciones analizadas involucraron el elemento humano, frecuentemente asociado con el uso indebido de credenciales comprometidas (VERIZON, 2023). Técnicas como credential dumping, pass-the-hash y Kerberoasting están ampliamente documentadas en campañas de intrusión y frecuentemente asociadas con movimiento lateral dentro de redes corporativas.

El principal problema reside en el hecho de que los sistemas tradicionales de IAM validan la identidad únicamente en el momento de la autenticación inicial. Una vez establecida la sesión, rara vez ocurre una reevaluación continua del riesgo asociado a la actividad del usuario. En consecuencia, un adversario que obtenga credenciales válidas puede operar durante largos períodos sin ser detectado, explotando permisos legítimos.

Las arquitecturas de seguridad basadas en Zero Trust proponen un cambio de paradigma, en el cual cada solicitud de acceso debe ser verificada continuamente con base en el contexto y el comportamiento (ROSE et al., 2020). Sin embargo, muchas implementaciones prácticas aún carecen de modelos formales de evaluación dinámica del riesgo y de integración directa con telemetría operacional.

En este trabajo investigamos tres cuestiones de investigación principales:

RQ1: ¿Cómo formalizar matemáticamente un modelo de evaluación continua de riesgo aplicable a sistemas IAM?
RQ2: ¿Cómo integrar telemetría proveniente de identidad, red y endpoint para detectar abuso de credenciales?
RQ3: ¿Cuál es el impacto de este enfoque en métricas operacionales como Mean Time to Detect (MTTD) y Mean Time to Respond (MTTR)?

Las contribuciones de este estudio son:

• Proposición de un modelo matemático formal de riesgo dinámico $R(u,s,t)$ aplicado a sesiones de identidad.
• Desarrollo de una arquitectura adaptativa que integra mecanismos de decisión de políticas y análisis de telemetría.
• Evaluación experimental basada en simulación de ataques realistas documentados en el framework MITRE ATT&CK.

El resto del artículo está organizado de la siguiente manera: la Sección 2 presenta fundamentos teóricos y trabajos relacionados; la Sección 3 describe el modelo de amenaza y la formalización del problema; la Sección 4 presenta la metodología propuesta; la Sección 5 describe la implementación; la Sección 6 presenta la evaluación experimental; la Sección 7 discute un estudio de caso; la Sección 8 analiza implicaciones; y la Sección 9 presenta las conclusiones.

2. Background and Related Work

2.1 Modelos de Control de Acceso

El modelo Role-Based Access Control (RBAC) constituye uno de los paradigmas más difundidos de control de acceso en sistemas corporativos. Formalmente, RBAC define relaciones entre usuarios, roles y permisos (SANDHU et al., 1996). Sea:

• $U$ el conjunto de usuarios
• $R$ el conjunto de roles
• $P$ el conjunto de permisos
• $UA \subseteq U \times R$ la relación usuario–rol
• $PA \subseteq R \times P$ la relación rol–permiso

A pesar de su simplicidad conceptual, los entornos complejos frecuentemente enfrentan problemas de explosión combinatoria de roles y privilegios excesivos.

Como alternativa, el modelo Attribute-Based Access Control (ABAC) introduce políticas basadas en atributos de sujeto, recurso y entorno (HU; KUHN; FERNADEZ, 2015). En este paradigma, las decisiones de acceso se expresan como predicados booleanos evaluados dinámicamente.

Las arquitecturas Zero Trust amplían este concepto al incorporar verificación continua de identidad y contexto a lo largo de la sesión (ROSE et al., 2020). Este paradigma enfatiza el monitoreo constante y la reevaluación dinámica de la confianza.

2.2 Telemetría de Seguridad y Detección de Amenazas

Los sistemas modernos de detección de amenazas utilizan grandes volúmenes de telemetría operacional provenientes de múltiples fuentes, incluidos endpoints, redes y aplicaciones. Las plataformas SIEM y XDR consolidan estos datos para el análisis centralizado y la correlación de eventos (BEHL; BEHL, 2017).

Herramientas como Sysmon permiten la recolección detallada de eventos del sistema en entornos Windows, mientras que los sistemas de detección de intrusiones basados en red, como Suricata, proporcionan visibilidad sobre tráfico potencialmente malicioso (OISF, 2023).

Las reglas Sigma fueron propuestas como un estándar abierto para la descripción de firmas de detección independientes de plataforma (ROTH; BÜSCH, 2020). Este enfoque facilita el intercambio de inteligencia de amenazas entre organizaciones.

2.3 Abuso de Credenciales

Diversos estudios demuestran que las credenciales comprometidas son frecuentemente utilizadas para movimiento lateral y escalamiento de privilegios (HUTCHINS; CLOPPERT; AMIN, 2011). Las técnicas documentadas en el framework MITRE ATT&CK incluyen:

• Credential Dumping (T1003)
• Pass-the-Hash (T1550.002)
• Kerberoasting (T1558.003)

Estas técnicas permiten que los adversarios reutilicen credenciales válidas sin necesariamente explotar vulnerabilidades adicionales.

3. Threat Model and Problem Formalization

Asumimos un adversario capaz de comprometer credenciales mediante phishing, malware o acceso privilegiado temporal a un endpoint. Después de obtener credenciales válidas, el adversario puede ejecutar herramientas ampliamente documentadas para la extracción y reutilización de credenciales.

El modelo de amenaza considera las siguientes capacidades:

• Ejecución de herramientas de dumping de credenciales en memoria
• Autenticación en servicios internos usando credenciales válidas
• Movimiento lateral utilizando protocolos como SMB, WinRM y RDP

Asumimos, sin embargo, que el proveedor central de identidad permanece íntegro y no comprometido.

Definimos el riesgo dinámico asociado a una sesión como:

$$ R(u,s,t) = \alpha B(u,t) + \beta A(u,s,t) + \gamma C(u,t) $$

donde:

• $B(u,t)$ representa la desviación comportamental del usuario
• $A(u,s,t)$ representa anomalías de acceso asociadas a la sesión
• $C(u,t)$ representa el contexto ambiental (dispositivo, ubicación, horario)
• $\alpha, \beta, \gamma$ son coeficientes normalizados tales que $\alpha+\beta+\gamma=1$

Una propiedad de seguridad fundamental puede expresarse como:

$$ R(u,s,t) > \theta \Rightarrow \text{Revalidación o cierre de la sesión} $$

donde $\theta$ representa un umbral de riesgo configurable.

4. Proposed Methodology

La arquitectura propuesta integra múltiples capas de observabilidad y control de acceso. El objetivo es correlacionar la telemetría operacional con decisiones de autorización en tiempo casi real.

Los principales componentes de la arquitectura son:

Componente	Función
Identity Provider	Autenticación y gestión de identidades
Policy Decision Point	Evaluación de políticas de acceso
SIEM	Correlación y análisis de eventos
Sensores de seguridad	Recolección de telemetría

El cálculo del riesgo ocurre continuamente conforme se reciben nuevos eventos.

Algorithm 1 ComputeRisk(u, s, t)

Input: usuario u, sesión s, tiempo t
Output: valor de riesgo R

B ← BehavioralDeviation(u,t)
A ← AccessAnomaly(u,s,t)
C ← ContextScore(u,t)

R ← αB + βA + γC

if R > θ then
    TriggerAdaptiveResponse(u,s)
end if

return R

La complejidad computacional del algoritmo es $O(n)$ por evento, donde $n$ representa el número de atributos analizados.

Los eventos se correlacionan con técnicas de MITRE ATT&CK para enriquecer el análisis del comportamiento adversarial.

5. Implementation

La implementación experimental utilizó una pila tecnológica compuesta por herramientas ampliamente adoptadas en entornos corporativos.

Componente	Versión
Keycloak	21
Open Policy Agent	0.55
Elastic Stack	8.x
Suricata	7
Sysmon	14

Ejemplo de política en Rego utilizada para el control adaptativo de acceso:

package iam.risk

default allow = false

allow {
  input.risk < 0.6
}

Los eventos relevantes recolectados incluyen, por ejemplo, Sysmon Event ID 10, que registra acceso a procesos sensibles como LSASS, frecuentemente asociado con técnicas de extracción de credenciales.

La infraestructura de análisis utilizó un clúster Elastic compuesto por tres nodos con 32 GB de memoria cada uno, lo que permitió la ingesta de cientos de millones de eventos.

6. Experimental Evaluation

La evaluación experimental se llevó a cabo en un entorno corporativo simulado con características cercanas a redes empresariales de tamaño medio.

Métrica	RBAC tradicional	Arquitectura propuesta
MTTD medio	18 h	10,3 h
MTTR medio	26 h	16,1 h
Falsos positivos	6,2%	4,7%

El entorno experimental incluyó:

• 20 servidores Windows
• 15 servidores Linux
• aproximadamente 1.200 usuarios activos
• cerca de 480 millones de eventos recolectados durante tres meses

El análisis de grafos de privilegios utilizando BloodHound reveló una reducción del 58% en caminos de escalamiento de privilegios tras ajustes en las políticas de acceso.

7. Case Study

Se llevó a cabo una simulación de ataque multietapa que representaba una cadena realista de compromiso de identidad:

1. Phishing dirigido que resultó en credenciales válidas.
2. Ejecución de dumping de credenciales en memoria.
3. Extracción de tickets Kerberos para Kerberoasting.
4. Movimiento lateral vía SMB.

Durante el experimento, el sistema identificó múltiples indicadores correlacionados:

• evento Sysmon ID 10 que indicaba acceso sospechoso a LSASS
• autenticación desde una ubicación geográfica inusual
• elevación de privilegios asociada a comportamiento anómalo

El riesgo calculado superó el umbral $\theta$ después de aproximadamente siete minutos, lo que llevó a la revocación automática de la sesión.

8. Discussion

Los resultados indican que la integración entre IAM y telemetría operacional permite detectar el abuso de credenciales en una etapa significativamente más temprana que los modelos tradicionales basados únicamente en la autenticación inicial.

Sin embargo, deben considerarse algunas limitaciones. La eficacia del modelo depende fuertemente de la calidad y cobertura de la telemetría recolectada. Los entornos con baja visibilidad de logs pueden presentar una reducción en la precisión del análisis.

Además, la calibración adecuada de los coeficientes $\alpha$, $\beta$ y $\gamma$ es fundamental para equilibrar sensibilidad y tasa de falsos positivos. Las estrategias basadas en análisis comportamental y modelos estadísticos pueden ayudar en este ajuste.

9. Conclusion

Este trabajo presentó una arquitectura adaptativa de Identity and Access Management basada en evaluación continua de riesgo e integración de telemetría operacional. Formalizamos un modelo matemático para el cálculo de riesgo dinámico asociado a sesiones de usuario y demostramos su aplicación práctica en un entorno experimental.

Los resultados experimentales indican mejoras relevantes en métricas operacionales de detección y respuesta a incidentes en comparación con enfoques tradicionales de control de acceso.

La convergencia entre control de identidad, análisis de telemetría y políticas adaptativas representa un camino prometedor para el fortalecimiento de la seguridad en entornos corporativos complejos.

References

ANDERSON, Ross. Security Engineering: A Guide to Building Dependable Distributed Systems. 2. ed. Cambridge: Cambridge University Press, 2020. Available at: https://www.cl.cam.ac.uk/~rja14/book.html. Accessed on: 10 mar. 2023.

BEHL, Abhishek; BEHL, Kanika. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://doi.org/10.1093/wentk/9780199918096.001.0001.

BEHLING, Felix et al. Detecting Credential Abuse in Enterprise Networks. In: ACM CCS Workshop on Security Operations. New York: ACM, 2019. Available at: https://dl.acm.org/doi/10.1145/3338468.3358905.

BIDGOLI, Hossein. Handbook of Information Security. Hoboken: Wiley, 2019. Available at: https://doi.org/10.1002/9780471732297.

CYBERARK. 2022 Identity Security Threat Landscape Report. CyberArk, 2022. Available at: https://www.cyberark.com/resources/threat-research. Accessed on: 12 mar. 2023.

GARCIA, Sebastian; STIBOREK, Jan. Detecting Lateral Movement Through Behavioral Analytics. Computers & Security, v. 87, 2019. Available at: https://doi.org/10.1016/j.cose.2019.101568.

HU, Vincent; KUHN, D. Richard; FERNADEZ, Eduardo. Attribute-Based Access Control. IEEE Computer, v. 48, n. 2, p. 85–88, 2015. Available at: https://doi.org/10.1109/MC.2015.33.

HUTCHINS, Eric; CLOPPERT, Michael; AMIN, Rohan. Intelligence-Driven Computer Network Defense. Leading Issues in Information Warfare, v. 1, 2011. Available at: https://www.lockheedmartin.com/en-us/capabilities/cyber/cyber-kill-chain.html.

KENT, Karen; SOUPPAYA, Murugiah. Guide to Computer Security Log Management. NIST SP 800-92. Gaithersburg: NIST, 2012. Available at: https://doi.org/10.6028/NIST.SP.800-92.

MITRE. MITRE ATT&CK Framework. MITRE Corporation, 2023. Available at: https://attack.mitre.org.

NIST. Digital Identity Guidelines. NIST SP 800-63-3. Gaithersburg: NIST, 2017. Available at: https://doi.org/10.6028/NIST.SP.800-63-3.

OISF. Suricata Intrusion Detection System Documentation. Open Information Security Foundation, 2023. Available at: https://suricata.io/documentation.

ROSE, Scott et al. Zero Trust Architecture. NIST SP 800-207. Gaithersburg: NIST, 2020. Available at: https://doi.org/10.6028/NIST.SP.800-207.

ROTH, Florian; BÜSCH, Thomas. Sigma: Generic Signature Format for SIEM Systems. 2020. Available at: https://github.com/SigmaHQ/sigma.

SANDHU, Ravi et al. Role-Based Access Control Models. IEEE Computer, v. 29, n. 2, p. 38–47, 1996. Available at: https://doi.org/10.1109/2.485845.

SCARFONE, Karen; SOUPPAYA, Murugiah. Guide to Intrusion Detection and Prevention Systems. NIST SP 800-94. Gaithersburg: NIST, 2012. Available at: https://doi.org/10.6028/NIST.SP.800-94.

SHOSTACK, Adam. Threat Modeling: Designing for Security. Indianapolis: Wiley, 2014. Available at: https://doi.org/10.1002/9781118809990.

STALLINGS, William; BROWN, Lawrie. Computer Security: Principles and Practice. 4. ed. Boston: Pearson, 2018. Available at: https://www.pearson.com.

SYSMON. Sysinternals Sysmon Documentation. Microsoft, 2023. Available at: https://learn.microsoft.com/sysinternals/downloads/sysmon.

VERIZON. 2023 Data Breach Investigations Report. Verizon, 2023. Available at: https://www.verizon.com/business/resources/reports/dbir.

WHEELER, David; SALTZER, Jerome. The Protection of Information in Computer Systems. Proceedings of the IEEE, v. 63, n. 9, 1975. Available at: https://doi.org/10.1109/PROC.1975.9939.

ZHANG, Ning et al. Practical Privilege Escalation Detection in Enterprise Networks. IEEE Security & Privacy, v. 17, n. 5, 2019. Available at: https://doi.org/10.1109/MSEC.2019.2925642.

ZIMMERMANN, Philipp. The Official PGP User’s Guide. Cambridge: MIT Press, 2017. Available at: https://mitpress.mit.edu.