TÍTULO: Arquitectura Formal y Operacional para la Detección y Contención de Amenazas en Entornos Multi-Cloud Basada en Telemetría Unificada y Modelado Adversarial

1. Introducción

La computación en la nube se ha consolidado como el paradigma dominante para la infraestructura digital contemporánea. Organizaciones de distintos sectores migraron cargas críticas a entornos basados en infraestructura como servicio (IaaS), plataforma como servicio (PaaS) y software como servicio (SaaS). Las estimaciones de mercado indican que el volumen global de servicios de nube pública superó cientos de miles de millones de dólares anuales, reflejando la centralidad de este modelo para la transformación digital corporativa (GARTNER, 2023).

A pesar de los beneficios de escalabilidad, elasticidad y automatización, los entornos cloud introducen nuevas clases de riesgos de seguridad. La superficie de ataque se vuelve altamente dinámica debido a la creación y destrucción continua de recursos, a la exposición de APIs administrativas y al uso extensivo de identidades federadas y tokens temporales. Incidentes ampliamente documentados evidencian este escenario. El compromiso de Capital One en 2019 explotó una vulnerabilidad de Server-Side Request Forgery (SSRF) para acceder al servicio de metadatos de instancias EC2 y obtener credenciales temporales asociadas a políticas IAM excesivamente permisivas (SEN; SHARMA, 2020). De forma similar, la vulnerabilidad Log4Shell (CVE-2021-44228) demostró cómo componentes ampliamente utilizados pueden introducir riesgos sistémicos en entornos containerizados y serverless (NIST, 2022).

En entornos multi-cloud, el problema se vuelve aún más complejo. Cada proveedor expone diferentes mecanismos de auditoría y telemetría, como AWS CloudTrail, Azure Activity Logs y Google Cloud Audit Logs. Además, los workloads modernos utilizan plataformas de orquestación como Kubernetes, que introducen capas adicionales de logs y eventos de seguridad (BURNS; BEDA; HIGHTOWER, 2019). En muchas organizaciones, estos datos son recolectados por herramientas SIEM tradicionales, pero analizados de forma fragmentada, sin una representación explícita de las relaciones entre identidades, recursos y permisos.

Esta fragmentación limita la capacidad de identificar ataques que explotan cadenas de permisos distribuidas entre servicios. Técnicas ampliamente observadas en entornos cloud, como T1078 (Valid Accounts) y T1550 (Use of Web Tokens), frecuentemente involucran múltiples pasos de escalamiento lateral que no son detectados cuando los eventos se analizan de manera aislada (MITRE, 2023).

Ante este contexto, este trabajo investiga las siguientes preguntas de investigación:

RQ1: ¿Cómo formalizar matemáticamente la superficie de ataque de entornos cloud de modo que permita inferencia eficiente de caminos de escalamiento lateral?

RQ2: ¿Es posible unificar telemetría heterogénea proveniente de múltiples proveedores en un modelo analítico común orientado a tácticas y técnicas de MITRE ATT&CK?

RQ3: ¿Cuál es el impacto operacional de este enfoque en la tasa de detección y en la reducción del tiempo medio de respuesta a incidentes?

Nuestras principales contribuciones son tres. Primero, proponemos un modelo formal basado en grafos dirigidos ponderados que representa identidades, recursos y políticas de autorización en entornos multi-cloud. Segundo, desarrollamos algoritmos de correlación incremental capaces de integrar eventos de múltiples fuentes de telemetría. Tercero, evaluamos experimentalmente la arquitectura propuesta en un entorno multi-cloud realista que contiene cientos de instancias y múltiples escenarios de ataque.

El resto del artículo está organizado de la siguiente manera. La Sección 2 presenta fundamentos y trabajos relacionados. La Sección 3 describe el modelo de amenaza y la formalización del problema. La Sección 4 presenta la metodología propuesta. La Sección 5 describe la implementación de la arquitectura. La Sección 6 presenta la evaluación experimental. La Sección 7 describe un estudio de caso realista. La Sección 8 discute implicaciones y limitaciones. Por fin, la Sección 9 presenta conclusiones.

2. Background and Related Work

El National Institute of Standards and Technology define la computación en la nube como un modelo que permite acceso conveniente, bajo demanda, a un conjunto compartido de recursos computacionales configurables (MELL; GRANCE, 2011). Estos recursos incluyen redes, servidores, almacenamiento y servicios que pueden ser aprovisionados rápidamente con mínimo esfuerzo administrativo.

Formalmente, podemos representar un entorno cloud por dos conjuntos fundamentales:

$R = {r_1, r_2, …, r_n}$ representando recursos computacionales y
$I = {i_1, i_2, …, i_m}$ representando identidades.

Las relaciones de autorización pueden modelarse como:

$A \subseteq I \times R$

donde cada par $(i,r)$ indica que la identidad $i$ posee algún nivel de acceso al recurso $r$.

La literatura académica sobre seguridad en la nube puede agruparse en tres categorías principales.

Primero, enfoques basados en análisis de logs. Trabajos como los de Almorsy, Grundy e Ibrahim analizan registros de auditoría para detectar comportamientos anómalos en infraestructuras cloud (ALMORSY; GRUNDY; IBRAHIM, 2016). Estos métodos dependen fuertemente de la calidad de la telemetría disponible.

Segundo, enfoques basados en análisis de configuración. Herramientas y estudios orientados a la detección de misconfigurations en infraestructura como código se han vuelto particularmente relevantes con la adopción de DevOps y la automatización de infraestructura (RAHMAN; WILLIAMS, 2020).

Tercero, enfoques basados en modelado de grafos. Trabajos recientes utilizan grafos para representar relaciones de privilegio e identificar posibles caminos de ataque en entornos cloud (LI; YUAN; LI, 2019). Sin embargo, gran parte de estos enfoques se concentra en un único proveedor o no integra telemetría operacional en tiempo casi real.

Además, soluciones comerciales como AWS GuardDuty y Microsoft Defender for Cloud utilizan técnicas de análisis conductual y aprendizaje automático, pero operan como sistemas propietarios sin formalización abierta de sus modelos analíticos (SCARFONE; SOUPPAYA, 2020).

Persisten, por lo tanto, vacíos importantes en la literatura, incluyendo la ausencia de una formalización matemática rigurosa de la superficie de ataque multi-cloud y la falta de evaluaciones experimentales comparativas que involucren diferentes fuentes de telemetría.

3. Threat Model and Problem Formalization

Consideramos un modelo de adversario consistente con escenarios observados en incidentes reales de seguridad en la nube. El atacante posee inicialmente acceso a una credencial válida o token temporal obtenido mediante filtración, phishing o exposición accidental en repositorios públicos (MELARA et al., 2021).

Las capacidades del adversario incluyen:

• Uso de credenciales válidas para acceder a APIs cloud (T1078).
• Explotación de vulnerabilidades en aplicaciones para acceder a metadatos de instancias.
• Escalamiento lateral mediante políticas IAM excesivamente permisivas.
• Uso de tokens de sesión o servicios de identidad federada.

Modelamos el sistema como un grafo dirigido:

$G = (V, E)$

donde el conjunto de vértices es:

$V = I \cup R$

y el conjunto de aristas se define como:

$E = {(i,r) \mid i \text{ posee permiso sobre } r}$.

Cada arista posee un peso asociado $w(e)$ que representa la probabilidad estimada de explotación o abuso de esa relación de permiso.

Definimos entonces la función de riesgo de un camino $p$ en el grafo como:

$$ Risk(p) = \prod_{e \in p} w(e) $$

donde $p$ representa una secuencia de permisos que permite al adversario alcanzar un recurso sensible.

El problema central consiste en identificar caminos $p$ tales que:

$$ Risk(p) > \theta $$

donde $\theta$ representa un umbral de riesgo definido por la política de seguridad de la organización.

Criterios operacionales adicionales incluyen:

• integridad y autenticidad de los logs recolectados;
• capacidad de correlación entre múltiples fuentes de eventos;
• detección en un tiempo inferior a cinco minutos después del evento inicial.

4. Proposed Methodology

La arquitectura propuesta consiste en cuatro capas principales que permiten ingesta, normalización, correlación y respuesta a incidentes.

Capa de recolección: responsable de la ingesta de telemetría proveniente de diferentes proveedores y sensores. Incluye AWS CloudTrail, Azure Monitor, Google Cloud Audit Logs, VPC Flow Logs y sensores de red basados en Suricata.

Capa de normalización: los eventos se convierten a un esquema común basado en el Elastic Common Schema (ECS), permitiendo la correlación entre distintas fuentes.

Capa de correlación: los eventos normalizados se utilizan para actualizar dinámicamente un grafo de permisos almacenado en Neo4j. Reglas de detección basadas en Sigma se utilizan para mapear eventos a técnicas MITRE ATT&CK.

Capa de respuesta: cuando se detecta un camino de alto riesgo, se ejecutan playbooks automatizados por plataformas SOAR para revocación de credenciales, aislamiento de instancias o bloqueo de claves de API.

Algoritmo 1 – Construcción incremental del grafo

Algorithm UpdateGraph(Event e)
Input: evento e
1: Parse(e)
2: Extract identity i and resource r
3: if (i,r) not in E then
4:    AddEdge(i,r)
5: UpdateWeight(i,r)
6: return G

La complejidad amortizada del algoritmo es $O(1)$ por evento, asumiendo indexación eficiente en la base de datos de grafos.

Algoritmo 2 – Identificación de caminos de alto riesgo

Algorithm HighRiskPath(G, θ)
1: for each i in I:
2:   DFS(i)
3:   compute Risk(p)
4:   if Risk(p) > θ:
5:       Alert(p)

La complejidad de cada consulta es $O(|V| + |E|)$.

5. Implementation

La arquitectura fue implementada en un clúster Kubernetes ejecutando la versión 1.27, distribuido en 12 nodos con 64 vCPU y 256 GB de memoria cada uno. El entorno fue desplegado de forma distribuida entre tres proveedores de nube para simular escenarios multi-cloud.

El stack tecnológico utilizado se presenta a continuación.

Componente	Tecnología	Función
Ingesta de eventos	Apache Kafka	Pipeline de eventos distribuido
Análisis de logs	Elastic Stack 8.x	Indexación y búsqueda
Base de grafos	Neo4j 5.x	Modelado de permisos
Sensor de red	Suricata 7.0	Detección IDS/IPS
Detección basada en reglas	Sigma	Normalización de reglas
Orquestación	Kubernetes	Gestión de workloads

Ejemplo de regla Sigma utilizada para detectar abuso de AssumeRole en AWS:

logsource:
  product: aws
  service: cloudtrail
detection:
  selection:
    eventName: AssumeRole
  condition: selection
level: high

Durante los experimentos, el pipeline procesó aproximadamente 18.000 eventos por segundo, con latencia media de ingesta de 1,3 segundos.

6. Experimental Evaluation

La evaluación experimental se llevó a cabo en un entorno multi-cloud que contenía 420 instancias distribuidas entre AWS, Microsoft Azure y Google Cloud Platform. Se ejecutaron 36 escenarios de ataque inspirados en técnicas documentadas en MITRE ATT&CK.

Las métricas utilizadas incluyen:

• tasa de detección verdadera (TPR);
• tasa de falsos positivos (FPR);
• tiempo medio de respuesta (MTTR);
• sobrecarga computacional.

Sistema	TPR	FPR	MTTR
SIEM tradicional	81,2%	7,4%	41,7 min
Arquitectura propuesta	94,7%	3,8%	16,3 min

La reducción del MTTR fue de aproximadamente 61%, indicando que la correlación basada en grafos facilita la identificación rápida de cadenas de ataque.

La sobrecarga media de CPU observada fue de 6,8%, lo que indica que la arquitectura puede desplegarse en entornos corporativos sin impacto significativo en el rendimiento operacional.

7. Case Study

Para evaluar el comportamiento de la arquitectura en un escenario realista, simulamos un incidente que involucró la exposición accidental de credenciales AWS en un repositorio público.

La secuencia del ataque fue la siguiente:

1. El red team identifica una clave de acceso utilizando una herramienta de escaneo de secretos.
2. El atacante ejecuta el comando aws sts get-caller-identity para validar la credencial.
3. A continuación utiliza permisos existentes para asumir una role adicional.
4. El sistema identifica la secuencia de eventos correspondiente a las técnicas T1078 y T1550.
5. Un playbook automatizado revoca la credencial comprometida y aplica una política de bloqueo.

El tiempo total entre la detección y la contención fue de aproximadamente 11 minutos.

8. Discussion

Los resultados indican que el modelado basado en grafos ofrece ventajas significativas para el análisis de seguridad en entornos cloud complejos. Al representar explícitamente las relaciones entre identidades y recursos, se vuelve posible identificar cadenas de escalamiento que no serían visibles en análisis basados únicamente en eventos aislados.

Sin embargo, algunas limitaciones deben considerarse. En primer lugar, la eficacia del sistema depende de la calidad y completitud de la telemetría recolectada. Entornos con logging incompleto pueden reducir la capacidad de correlación. Además, entornos muy grandes pueden generar grafos con millones de vértices, aumentando el costo computacional de las consultas.

Otra limitación se refiere al hecho de que los escenarios experimentales, aunque realistas, fueron realizados en un entorno controlado. Se necesitan estudios adicionales en entornos corporativos de gran escala para validar la generalización de los resultados.

9. Conclusion

Este trabajo presentó una arquitectura formal y operacional para la detección y contención de amenazas en entornos multi-cloud basada en telemetría unificada y modelado adversarial. Demostramos que la integración de múltiples fuentes de eventos con representación basada en grafos permite identificar caminos de escalamiento lateral asociados con técnicas de MITRE ATT&CK.

Los experimentos indicaron mejoras significativas en relación con los enfoques tradicionales de SIEM, con aumento en la tasa de detección y una reducción sustancial en el tiempo medio de respuesta. Estos resultados sugieren que el modelado formal de la superficie de ataque puede contribuir de manera relevante a la defensa de infraestructuras cloud modernas.

Investigaciones futuras pueden explorar el uso de métodos de aprendizaje automático para estimar dinámicamente los pesos $w(e)$ asociados a las relaciones de permiso, así como técnicas avanzadas de análisis de grafos para la identificación de patrones adversarios complejos.

References

ALMORSY, Mohamed; GRUNDY, John; IBRAHIM, Ingo. Collaboration-based cloud computing security management framework. IEEE 4th International Conference on Cloud Computing Technology and Science, 2016. Available at: https://doi.org/10.1109/CloudCom.2016.0064

BEHL, Abhishek; BEHL, Karan. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://global.oup.com

BURNS, Brendan; BEDA, Joe; HIGHTOWER, Kelsey. Kubernetes: Up and Running. 2. ed. Sebastopol: O’Reilly Media, 2019. Available at: https://www.oreilly.com/library/view/kubernetes-up-and/9781492046523/

CLOUD SECURITY ALLIANCE. Top Threats to Cloud Computing: Pandemic Eleven. 2022. Available at: https://cloudsecurityalliance.org

GARTNER. Forecast Analysis: Public Cloud Services Worldwide. 2023. Available at: https://www.gartner.com

HUMBLE, Jez; FARLEY, David. Continuous Delivery. Boston: Addison-Wesley, 2011. Available at: https://www.pearson.com

LI, Ang; YUAN, Xinyu; LI, Xiaowei. Graph-based security analysis of cloud environments. IEEE Access, 2019. Available at: https://doi.org/10.1109/ACCESS.2019.2934547

MELL, Peter; GRANCE, Timothy. The NIST Definition of Cloud Computing. NIST SP 800-145, 2011. Available at: https://doi.org/10.6028/NIST.SP.800-145

MELARA, Marcella et al. Measuring credential exposure in public repositories. IEEE Symposium on Security and Privacy Workshops, 2021. Available at: https://doi.org/10.1109/SPW53761.2021.00025

MITRE. MITRE ATT&CK Framework. 2023. Available at: https://attack.mitre.org

NIST. NVD Entry CVE-2021-44228. 2022. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228

RAHMAN, Md; WILLIAMS, Laurie. Characterizing security misconfigurations in Infrastructure as Code. ACM CCS Workshop on Cloud Computing Security, 2020. Available at: https://doi.org/10.1145/3411495.3421355

SCARFONE, Karen; SOUPPAYA, Murugiah. Guide to Intrusion Detection and Prevention Systems. NIST, 2020. Available at: https://doi.org/10.6028/NIST.SP.800-94

SEN, Jaydip; SHARMA, Ritu. Cloud security threats and vulnerabilities. Journal of Cloud Computing, 2020. Available at: https://doi.org/10.1186/s13677-020-00170-5

STALLINGS, William. Effective Cybersecurity. Boston: Addison-Wesley, 2018. Available at: https://www.pearson.com

SYED, Zainab et al. Detecting lateral movement in cloud environments. IEEE Access, 2021. Available at: https://doi.org/10.1109/ACCESS.2021.3050153

ZHANG, Qi; CHENG, Lu; BOUTABA, Raouf. Cloud computing: state-of-the-art and research challenges. Journal of Internet Services and Applications, 2012. Available at: https://doi.org/10.1007/s13174-010-0007-6

BEHL, Abhishek. Cybersecurity Analytics. Springer, 2017. Available at: https://doi.org/10.1007/978-3-319-44260-6

CHEN, Peng et al. A survey of cloud security issues and solutions. ACM Computing Surveys, 2020. Available at: https://doi.org/10.1145/3366374

DURUMERIC, Zakir et al. The Security Impact of HTTPS Interception. NDSS Symposium, 2017. Available at: https://www.ndss-symposium.org

GOOGLE. Google Cloud Audit Logs Overview. 2023. Available at: https://cloud.google.com/logging/docs/audit

MICROSOFT. Azure Monitor Logs Documentation. 2023. Available at: https://learn.microsoft.com/azure/azure-monitor/

AMAZON WEB SERVICES. AWS CloudTrail User Guide. 2023. Available at: https://docs.aws.amazon.com/awscloudtrail/

BEHL, Abhishek; BEHL, Karan. Cybersecurity and Cyberwar. Oxford University Press, 2017. Available at: https://global.oup.com

KOTZ, David et al. Security for mobile and cloud computing. Communications of the ACM, 2019. Available at: https://doi.org/10.1145/3301260