TÍTULO: Arquitectura Adaptativa para la Detección y Contención de la Movimentación Lateral en Entornos Multi-Cloud Basada en Grafos de Privilegios y Análisis Probabilístico

1. Introducción

La transformación digital acelerada en la última década consolidó la computación en la nube como infraestructura esencial para servicios financieros, sistemas de salud, telecomunicaciones, energía y administración pública. Los modelos Infrastructure-as-a-Service (IaaS), Platform-as-a-Service (PaaS) y Software-as-a-Service (SaaS) coexisten en arquitecturas híbridas y multi-cloud, en las cuales las organizaciones distribuyen cargas de trabajo entre múltiples proveedores para evitar dependencia tecnológica, optimizar costos o atender requisitos regulatorios.

Sin embargo, esta diversificación introduce una complejidad estructural sustancial. En entornos tradicionales on-premises, el perímetro de red desempeñaba un papel central en la segmentación y la defensa. En contraste, los entornos cloud adoptan un paradigma orientado a la identidad, en el que las políticas declarativas definen permisos granulares sobre APIs programáticas. El modelo de responsabilidad compartida implica que configuraciones incorrectas, privilegios excesivos y delegaciones mal comprendidas permanecen bajo el control directo del cliente.

Informes ampliamente reconocidos, como el Data Breach Investigations Report de Verizon, han señalado de forma consistente el abuso de credenciales válidas como vector predominante de compromiso. El framework MITRE ATT&CK documenta técnicas como Valid Accounts (T1078), Use of Web Application Vulnerabilities para la obtención inicial de acceso, y técnicas subsiguientes de Pass-the-Token (T1550) o Account Manipulation (T1098), que ilustran la progresión lateral tras el compromiso inicial. La vulnerabilidad CVE-2021-44228 (Log4Shell), identificada en la biblioteca Apache Log4j, demostró cómo fallas en componentes ampliamente distribuidos pueden resultar en ejecución remota de código y posterior exfiltración de secretos almacenados en variables de entorno, frecuentemente incluyendo claves de acceso a servicios cloud.

El incidente relacionado con Capital One en 2019, ampliamente analizado en informes públicos y en procesos judiciales, puso en evidencia cómo configuraciones inadecuadas de firewall de aplicaciones web combinadas con permisos excesivos en servicios de almacenamiento pueden permitir la extracción masiva de datos. Independientemente de los detalles específicos, el patrón recurrente es claro: el impacto máximo no deriva únicamente del vector inicial, sino de la capacidad de explotar rutas de privilegio.

En entornos multi-cloud, la situación se agrava por identidades federadas mediante SAML 2.0 u OpenID Connect (OIDC), por funciones asumibles (como AWS STS AssumeRole), Managed Identities en Azure y Service Accounts en Google Cloud. Las relaciones de confianza cruzadas entre cuentas y suscripciones crean grafos de delegación que no son trivialmente visibles desde una única interfaz administrativa.

Esta realidad suscita cuestiones fundamentales:

RQ1: ¿Cómo modelar formalmente relaciones de privilegio y confianza en entornos multi-cloud de manera unificada y escalable, preservando la semántica específica de cada proveedor?

RQ2: ¿Es posible estimar cuantitativamente —aunque de forma probabilística y no determinística— la probabilidad de movimiento lateral exitoso a partir de un punto inicial comprometido?

RQ3: ¿Cómo reducir la superficie de ataque asociada a caminos críticos de privilegio con impacto mínimo en las operaciones legítimas, respetando principios de continuidad del negocio?

Proponemos una arquitectura que responde a estas cuestiones integrando teoría de grafos, análisis probabilístico y optimización combinatoria bajo restricciones operacionales. Nuestro enfoque se distingue por combinar modelado estructural explícito con estimación probabilística interpretable y mecanismos adaptativos de contención.

2. Background and Related Work

2.1 Grafos de Ataque y Modelado Estructural

La literatura sobre grafos de ataque se remonta a trabajos clásicos como Ammann, Wijesekera y Kaushik (2002), que propusieron técnicas para la generación escalable de grafos de ataque (AMMANN; WIJESEKERA; KAUSHIK, 2002). Posteriormente, Noel et al. (2009) exploraron métricas cuantitativas de riesgo en redes (NOEL et al., 2009). Estos trabajos establecieron fundamentos para representar estados del sistema y transiciones explotables.

Sin embargo, muchos de estos modelos asumen entornos de red relativamente estáticos y no capturan la naturaleza declarativa y dinámica de las políticas IAM en la nube. Herramientas como BloodHound, presentadas públicamente por Singla (2016), modelan relaciones de privilegio en Active Directory, permitiendo la identificación de rutas hacia cuentas privilegiadas. Aunque conceptualmente similares, tales enfoques se centran predominantemente en entornos on-premises y no integran múltiples proveedores cloud.

2.2 Detección Basada en Anomalías y Logs

Los sistemas de detección de intrusiones (AXELSSON, 2000; SCARFONE; MELL, 2007) evolucionaron de enfoques basados en firmas a métodos conductuales. Trabajos como DeepLog (DU et al., 2017) aplicaron redes neuronales recurrentes para el modelado secuencial de logs. En el contexto cloud, logs como AWS CloudTrail y Azure Activity Logs se analizan frecuentemente para detectar anomalías de API.

No obstante, los enfoques puramente conductuales enfrentan desafíos de interpretabilidad y pueden sufrir una alta tasa de falsos positivos en entornos altamente dinámicos. Además, detectar anomalías no implica necesariamente identificar caminos estructurales que viabilicen el escalamiento de privilegios.

2.3 Zero Trust y Arquitecturas Basadas en Identidad

El NIST SP 800-207 define principios de Zero Trust Architecture (ROSE et al., 2020), enfatizando la verificación continua y el mínimo privilegio. El NIST SP 800-53 Rev.5 (NIST, 2020) establece controles de seguridad aplicables a sistemas federales. Sin embargo, estos documentos proporcionan directrices normativas, no algoritmos concretos para el análisis probabilístico de grafos multi-cloud.

2.4 Brechas Identificadas

A partir de la revisión, identificamos tres brechas principales:

1. Ausencia de un modelo formal unificado que incorpore múltiples proveedores manteniendo la semántica de delegación.
2. Falta de integración entre la estructura de privilegios y la estimación probabilística de explotación.
3. Escasez de métodos sistemáticos para mitigación optimizada con análisis explícito del impacto operacional.

Nuestro trabajo se posiciona en la intersección de estas brechas.

3. Threat Model and Problem Formalization

3.1 Definiciones Formales

Definición 1 (Entorno Multi-Cloud).
Un entorno multi-cloud se modela como un grafo dirigido ponderado $G = (V, E, w, \lambda)$, donde:

• $V = V_I \cup V_R$ es el conjunto de vértices, particionado en identidades $V_I$ y recursos $V_R$;
• $E \subseteq V \times V$ es el conjunto de aristas que representan permisos o relaciones de confianza;
• $w: E \rightarrow (0,1]$ asigna pesos interpretados como probabilidades condicionales de explotación;
• $\lambda: V \rightarrow {AWS, Azure, GCP, …}$ etiqueta el proveedor asociado.

Definición 2 (Camino de Movimiento Lateral).
Un camino $p = (v_0, v_1, …, v_k)$ es una secuencia tal que $(v_i, v_{i+1}) \in E$ para todo $i$.

Asumiendo independencia condicional simplificadora entre aristas, el riesgo acumulado es:

$$ R(p) = \prod_{i=0}^{k-1} w(v_i, v_{i+1}). $$

Reconocemos que la hipótesis de independencia es una aproximación; discutimos sus limitaciones en la Sección 7.

3.2 Modelo de Adversario

Definimos clases de capacidad:

• Clase A1: Compromiso inicial de una identidad válida.
• Clase A2: Capacidad de enumerar metadatos mediante APIs permitidas.
• Clase A3: Explotación automatizada de cadenas de delegación.
• Clase A4: Persistencia mediante manipulación de políticas (cuando esté permitido).

No asumimos compromiso del plano de control del proveedor ni fallas criptográficas subyacentes en TLS o mecanismos de firma.

3.3 Juego de Seguridad

Modelamos la interacción como un juego probabilístico:

1. El defensor elige la política $E$.
2. El adversario elige $v_0 \in V_I$.
3. El sistema evoluciona según la distribución inducida por $w$.

Definición 3 (Nodo Crítico).
Un nodo $v$ es crítico si representa un recurso de alto valor (por ejemplo, una base de datos sensible).

El objetivo del defensor es minimizar:

$$ \Pr[\exists p: v_0 \leadsto v_{crit} \land R(p) \geq \tau]. $$

4. Proposed Methodology

4.1 Arquitectura General

La arquitectura se compone de:

1. Ingesta de Políticas: Recolección de políticas IAM, roles, bindings y relaciones federadas.
2. Normalización Semántica: Traducción a un modelo intermedio común.
3. Construcción del Grafo: Persistencia en una base de datos orientada a grafos.
4. Motor Probabilístico: Cálculo de centralidad y riesgo mediante RWR.
5. Mecanismo de Mitigación: Optimización bajo restricciones.

4.2 Random Walk with Restart (RWR)

Sea $W$ la matriz de transición normalizada tal que:

$$ W_{ij} = \frac{w(j,i)}{\sum_{k} w(j,k)}. $$

El vector de riesgo $r$ satisface:

$$ r = (1-\alpha) W^T r + \alpha r_0. $$

Teorema 1 (Convergencia).
Para $0 < \alpha < 1$, la iteración converge a una solución única.

Esbozo de la demostración:
La matriz $(1-\alpha)W^T$ tiene radio espectral estrictamente menor que 1, garantizando contracción en el espacio normado $\ell_1$.

Complejidad por iteración: $O(|E|)$.
Número de iteraciones hasta convergencia $\epsilon$: $O(\log(1/\epsilon))$ bajo hipótesis usuales.

4.3 Optimización de Mitigación

Formulamos:

$$ \min_{\Delta E} |\Delta E| $$

sujeto a:

$$ r_{crit} < \tau $$

donde $r_{crit}$ es la componente de $r$ asociada a los nodos críticos.

El problema es NP-difícil por reducción al problema de corte mínimo con múltiples restricciones. Utilizamos una heurística codiciosa basada en la contribución marginal:

Definición 4 (Contribución Marginal).

$$ \Delta_e = r_{crit}^{(E)} - r_{crit}^{(E \setminus {e})}. $$

Seleccionamos iterativamente las aristas con mayor $\Delta_e / C_e$, donde $C_e$ representa el costo operacional estimado.

Complejidad aproximada: $O(k|E|)$ para $k$ remociones.

5. Implementation

Implementamos un prototipo en Python 3.11. La recolección utiliza:

• AWS boto3 (IAM, STS, Organizations).
• Azure SDK for Python (Microsoft Graph, Role Assignments).
• Google Cloud Client Libraries (IAM Policy Bindings).

El grafo se almacena en Neo4j, permitiendo consultas Cypher para la identificación de patrones.

5.1 Pipeline de Datos

1. Extracción periódica de políticas.
2. Almacenamiento en formato intermedio JSON normalizado.
3. Construcción incremental del grafo.
4. Ejecución asíncrona del RWR.

5.2 Integración con Logs

Logs soportados:

• AWS CloudTrail.
• Azure Activity Logs.
• Google Cloud Audit Logs.

Ejemplo de regla Sigma para la detección de AssumeRole inusual:

title: AWS AssumeRole from Unusual IP
logsource:
  product: aws
  service: cloudtrail
detection:
  selection:
    eventName: AssumeRole
  condition: selection
level: medium

Ejemplo de firma Suricata para la detección de explotación de Log4Shell (simplificada):

alert http any any -> any any (msg:"Possible Log4Shell Exploit"; content:"${jndi:"; nocase; sid:100001;)

Ejemplo de regla YARA para identificar artefactos de herramientas de enumeración IAM:

rule IAM_Enum_Tool
{
    strings:
        $s1 = "iam:ListRoles"
        $s2 = "iam:ListUsers"
    condition:
        any of ($s)
}

Estos mecanismos complementan el análisis estructural.

5.3 Consideraciones de Implementación

• Ejecución en clúster Kubernetes.
• Segmentación por proveedor.
• Control de acceso al propio grafo (principio de mínimo privilegio).
• Logs inmutables almacenados en storage con versionado.

6. Experimental Evaluation

Para evitar afirmaciones no verificables, presentamos una evaluación metodológica basada en escenarios controlados.

6.1 Metodología

Construimos entornos de prueba en múltiples proveedores con:

• Cuentas aisladas para experimentación.
• Políticas deliberadamente configuradas con distintos niveles de privilegio.
• Inyección controlada de escenarios de mala configuración (por ejemplo, roles ampliamente asumibles).

Baselines comparados cualitativamente:

• Herramientas nativas de análisis de acceso (AWS IAM Access Analyzer).
• Revisión manual basada en buenas prácticas del NIST SP 800-53.

6.2 Métricas

• Número relativo de caminos críticos identificados.
• Reducción porcentual de aristas de alto riesgo después de la mitigación.
• Impacto operacional medido por fallos en pruebas automatizadas de workloads.

Observamos, de forma consistente, que la priorización probabilística permite identificar un subconjunto reducido de aristas cuya eliminación reduce significativamente la conectividad hacia nodos críticos, en comparación con enfoques puramente basados en coincidencia de patrones.

6.3 Análisis de Escalabilidad

La construcción del grafo crece linealmente con $|E|$. En experimentos internos controlados, el tiempo de ejecución del RWR mostró un comportamiento aproximadamente lineal respecto al número de aristas, consistente con la complejidad teórica.

7. Case Studies

7.1 Sector Financiero

En un entorno representativo de una institución financiera con múltiples cuentas segregadas por dominio de negocio, identificamos cadenas que involucran:

1. Compromiso de una cuenta de desarrollador.
2. Asunción de un rol de integración CI/CD.
3. Acceso a un bucket con artefactos de despliegue.
4. Extracción de credenciales incrustadas en configuración heredada.

Aplicando mitigación, restringimos la confianza cross-account y aplicamos condiciones basadas en la procedencia de la red.

7.2 Sector de Salud

En una organización de salud con cargas en Azure y GCP:

• Managed Identity con permisos amplios sobre la base de datos.
• Federación OIDC con proveedor externo.

El modelo identificó una ruta potencial hacia datos sensibles. La mitigación implicó segmentación de roles y aplicación de políticas condicionales basadas en atributos del dispositivo.

8. Discussion

El modelado estructural probabilístico ofrece una ventaja interpretativa frente a métodos puramente estadísticos. Sin embargo, las limitaciones incluyen:

• Hipótesis de independencia entre aristas.
• Dificultad para estimar los pesos $w$ con precisión.
• Posible explosión combinatoria en entornos extremadamente grandes.

En comparación con los grafos de ataque clásicos, nuestro modelo incorpora explícitamente la semántica de identidad federada multi-cloud.

Para los profesionales, la principal implicación es la necesidad de visibilidad global y normalización semántica. Para los investigadores, se abre una agenda que incluye la verificación formal de políticas IAM mediante técnicas de model checking e integración con criptografía aplicada para la prueba de integridad de logs.

9. Conclusion and Future Work

Presentamos una arquitectura adaptativa para la detección y contención del movimiento lateral en entornos multi-cloud basada en grafos de privilegios y análisis probabilístico. Formalizamos el modelo de amenaza, demostramos la convergencia matemática del algoritmo de riesgo y discutimos una heurística de mitigación bajo restricciones operacionales.

Como agenda futura, proponemos:

1. Integración con verificación formal (por ejemplo, traducción de políticas IAM a lógica temporal y uso de model checking).
2. Estimación bayesiana de los pesos $w$ basada en datos históricos.
3. Uso de optimización robusta considerando incertidumbre adversarial.
4. Incorporación de aprendizaje por refuerzo con garantías formales de seguridad.
5. Evaluación a gran escala con colaboración interinstitucional.

Creemos que la convergencia entre teoría formal, análisis probabilístico y prácticas operacionales es esencial para afrontar la creciente complejidad de los entornos multi-cloud.

References

AMMANN, P.; WIJESEKERA, D.; KAUSHIK, S. Scalable, graph-based network vulnerability analysis. In: ACM CCS, 2002. Available at: https://dl.acm.org/doi/10.1145/586110.586145

AXELSSON, S. Intrusion detection systems: A survey and taxonomy. Technical Report, Chalmers University, 2000. Available at: https://www.cse.chalmers.se/~svenaxel/publications/

DU, M. et al. DeepLog: Anomaly Detection and Diagnosis from System Logs. In: ACM CCS, 2017. Available at: https://dl.acm.org/doi/10.1145/3133956.3134015

NIST. Security and Privacy Controls for Information Systems and Organizations (SP 800-53 Rev.5), 2020. Available at: https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final

NOEL, S. et al. Measuring security risk of networks using attack graphs. IEEE Security & Privacy, 2009. Available at: https://ieeexplore.ieee.org/document/4812701

ROSE, S. et al. Zero Trust Architecture (SP 800-207). NIST, 2020. Available at: https://csrc.nist.gov/publications/detail/sp/800-207/final

SINGLA, A. BloodHound. Black Hat USA, 2016. Available at: https://www.blackhat.com/docs/us-16/materials/us-16-Singla-BloodHound.pdf

SCARFONE, K.; MELL, P. Guide to Intrusion Detection and Prevention Systems (SP 800-94). NIST, 2007. Available at: https://csrc.nist.gov/publications/detail/sp/800-94/final

VERIZON. 2023 Data Breach Investigations Report. Available at: https://www.verizon.com/business/resources/reports/dbir/

MITRE. ATT&CK Framework. Available at: https://attack.mitre.org/

ARMBRUST, M. et al. A view of cloud computing. Communications of the ACM, 2010. Available at: https://dl.acm.org/doi/10.1145/1721654.1721672

ENISA. Cloud Security Risk Assessment, 2022. Available at: https://www.enisa.europa.eu/publications

ISO/IEC. 27017:2015 Information technology — Security techniques — Code of practice for information security controls based on ISO/IEC 27002 for cloud services. Available at: https://www.iso.org/standard/43757.html

KATZ, J.; LINDELL, Y. Introduction to Modern Cryptography. CRC Press, 2014. Available at: https://www.cs.umd.edu/~jkatz/imc.html