Research / Paper Files
Paper Files
Paper Files es una práctica personal de estudio continuo en ciberseguridad que aplica el método científico como herramienta de aprendizaje. Cada artículo no se escribe para su publicación académica, sino como un ejercicio deliberado para afilar el hacha — profundizando en temas concretos, organizando ideas con rigor y observando cómo evoluciona la comprensión de ciertos asuntos con el tiempo. Es el equivalente intelectual a un cuaderno de entrenamiento: cada entrada registra qué se estudió, cómo se analizó y qué conclusiones surgieron.
Recomiendo encarecidamente que los profesionales de seguridad adopten este método. Elige un tema que quieras dominar, investiga fuentes primarias (RFCs, papers, documentación oficial), estructura tu texto con introducción, metodología, análisis y conclusión, y escribe como si estuvieras explicándoselo a un compañero. El acto de escribir obliga a pensar con claridad y expone lagunas de comprensión que la lectura pasiva no puede revelar. Usa los artículos de este sitio como ejemplos de formato y profundidad, y construye tu propia colección: con el tiempo, tendrás un repositorio personal de conocimiento refinado que ningún curso ni certificación puede sustituir.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →29 papers
Ingeniería de Application Security en 2026: una metodología integral para prevenir, detectar y contener fallas en cadenas de suministro, APIs, contenedores y sistemas con IA
La seguridad de aplicaciones (AppSec) ha dejado de ser un conjunto de controles periféricos para convertirse en una disciplina operacional que determina la resiliencia de productos digitales, plataformas cloud-native y servicios impulsados por inteligencia artificial. En 2026, el panorama de riesgo está dominado por vulnerabilidades de lógica de negocio, exposición de APIs, fallas en identidad y autorización, dependencia de componentes de terceros, errores en IaC y contenedores, y nuevas superficies asociadas a LLMs, agentes y flujos de automatización. Este trabajo propone una metodología integral de AppSec orientada a equipos de ingeniería y seguridad que combina modelado de amenazas, análisis híbrido de código, pruebas dinámicas, seguridad de supply chain, políticas de despliegue y telemetría en producción. La propuesta formaliza el problema como la minimización del riesgo esperado bajo restricciones de costo, tiempo y fricción para desarrollo, y define una función de priorización basada en explotabilidad, alcance y criticidad del activo. Además, se presenta una arquitectura práctica para integrar SAST, SCA, SBOM, DAST, fuzzing, secrets scanning, IaC scanning, análisis de contenedores y validación de controles de autorización en pipelines CI/CD y plataformas de orquestación. La evaluación experimental se modela sobre escenarios realistas de microservicios, con resultados comparativos entre enfoques convencionales y el enfoque propuesto, mostrando mejoras sustanciales en cobertura de defectos, reducción de falsos positivos y tiempo de remediación. Se incluye un estudio de caso sobre una API multiusuario con errores de autenticación, autorización y validación de entradas, donde la metodología permite detectar cadenas de ataque que herramientas aisladas no priorizan correctamente. El aporte principal es una visión unificada de AppSec para 2026, alineada con entornos cloud-native, zero trust maduro, CNAPP, seguridad basada en eBPF y gobernanza de IA, con énfasis en accionabilidad, escalabilidad y trazabilidad operacional.
Read paper →AppSecDefensa de Application Security en 2026: un marco integral para SDLC, SCA, SAST, DAST, IAST, SBOM y seguridad de APIs en entornos cloud-native y asistidos por IA
La seguridad de aplicaciones (AppSec) en 2026 ya no puede abordarse como una colección de controles aislados al final del ciclo de desarrollo. La combinación de arquitecturas cloud-native, microservicios, APIs expuestas, pipelines CI/CD altamente automatizados, contenedores, funciones serverless y el uso extendido de asistencia basada en IA ha elevado la superficie de ataque y acelerado tanto la explotación como la remediación. Este artículo presenta un marco integral de AppSec orientado a organizaciones que operan software crítico en 2026, con énfasis en la formalización del problema, la modelización de amenazas, la integración de controles preventivos y detectivos, y la medición cuantitativa del riesgo. Se propone una metodología operacional que integra análisis de composición de software (SCA), análisis estático (SAST), análisis dinámico (DAST), análisis interactivo (IAST), fuzzing dirigido, seguridad de APIs, validación de infraestructura como código, SBOM, secret scanning, hardening de pipelines y observabilidad basada en eBPF. Además, se incorpora el contexto de 2026: amenazas impulsadas por modelos de lenguaje, ingeniería social generada por IA, abuso de dependencias de terceros, ataques a supply chain, y tensiones de cumplimiento relacionadas con NIST, OWASP, SLSA, OpenSSF y marcos regulatorios emergentes. El trabajo incluye una evaluación experimental con métricas operativas, tablas comparativas de cobertura y costo, y un estudio de caso realista sobre una plataforma SaaS multitenant. Los resultados muestran que un enfoque por capas, instrumentado con políticas, automatización y telemetría accionable, reduce significativamente la ventana de exposición y mejora la tasa de detección de defectos críticos antes del despliegue. Se concluye que AppSec en 2026 debe ser concebida como una disciplina de ingeniería de sistemas, no como una fase de auditoría, y que su éxito depende de la gobernanza, la observabilidad y la capacidad de respuesta continua frente a un ecosistema de amenazas cada vez más automatizado y adversarial.
Read paper →AppSecIngeniería de AppSec en 2026: un marco integral para prevención, detección y verificación continua de vulnerabilidades en aplicaciones modernas
La seguridad de aplicaciones (AppSec) en 2026 se ha convertido en un problema sistémico que trasciende el ciclo clásico de desarrollo seguro. La adopción masiva de microservicios, contenedores, CI/CD, infraestructura como código, componentes de terceros, APIs expuestas, y flujos de trabajo asistidos por modelos generativos ha ampliado la superficie de ataque de forma sustancial. Este trabajo propone un marco integral de AppSec orientado a 2026 que combina modelado de amenazas, análisis estático y dinámico, composición de software (SCA), pruebas de seguridad de APIs, observabilidad en tiempo de ejecución, controles de supply chain y gobernanza de riesgo basada en evidencia. El enfoque se diseña para operar en entornos cloud-native, híbridos y con uso empresarial de IA generativa, donde la validación tradicional de perímetros resulta insuficiente. Formalizamos el problema como una función de minimización de riesgo bajo restricciones de costo, latencia y productividad, y derivamos una metodología híbrida que prioriza hallazgos por explotabilidad, alcance y criticidad del activo. Además, presentamos una arquitectura de implementación basada en integración con pipelines de desarrollo, reglas semánticas, fuzzing guiado, escaneo de secretos, SBOM, firmas de artefactos y telemetría con eBPF. La evaluación experimental, construida sobre un conjunto representativo de aplicaciones web y servicios API con bibliotecas vulnerables y configuraciones inseguras, muestra mejoras medibles en cobertura de hallazgos, reducción de falsos positivos y tiempo medio de remediación frente a un flujo convencional de herramientas aisladas. Se incluye un estudio de caso de una plataforma SaaS con dependencia intensiva de terceros y exposición a ataques de inyección, abuso de autenticación, SSRF, deserialización insegura y fallos de autorización. Los resultados indican que AppSec eficaz en 2026 no depende de una única técnica, sino de una disciplina de ingeniería continua que integra prevención, verificación y respuesta. El trabajo concluye con implicaciones prácticas para equipos de producto, DevSecOps, ingeniería de plataforma y seguridad, y señala direcciones futuras en gobernanza de modelos, verificación automática y resiliencia de la cadena de suministro de software.
Read paper →AppSecSeguridad de Aplicaciones en 2026: marco integral para AppSec adaptativo frente a cadenas de suministro, IA generativa y superficies cloud-native
Este artículo presenta un marco integral de seguridad de aplicaciones (AppSec) contextualizado para 2026, en un entorno dominado por arquitecturas cloud-native, desarrollo asistido por IA, cadenas de suministro de software complejas y un aumento sostenido de ataques contra dependencias, APIs y flujos CI/CD. Se propone una metodología operativa para diseñar, implementar y evaluar controles preventivos y detectivos a lo largo del ciclo de vida del software, combinando modelado de amenazas, análisis de composición de software, SAST, DAST, fuzzing, hardening de pipelines, protección en tiempo de ejecución y telemetría basada en eBPF. El trabajo formaliza el problema de AppSec como una optimización multiobjetivo entre reducción de riesgo, fricción para desarrolladores y costo operacional, y presenta un modelo cuantitativo para priorización de hallazgos según explotabilidad, impacto y exposición. La propuesta se alinea con prácticas maduras de Zero Trust, CNAPP, SBOM, SLSA, OpenSSF, políticas de secretos, revisión asistida por IA con controles de gobernanza y observabilidad continua. Se incluyen criterios de implementación con herramientas reales ampliamente adoptadas hasta 2026, como Semgrep, CodeQL, SonarQube, Trivy, Grype, OWASP ZAP, kube-bench, kube-hunter, Falco y Sigstore, así como ejemplos de configuración de pipelines en GitHub Actions y GitLab CI. La evaluación experimental se diseña sobre un conjunto representativo de aplicaciones web, APIs y microservicios, comparando cobertura, falsos positivos, tiempo de detección y costo de integración. Los resultados ilustran que una estrategia por capas reduce de forma significativa la exposición efectiva frente a fallos comunes de inyección, control de acceso roto, SSRF, deserialización insegura, exposición de secretos y vulnerabilidades en dependencias. Finalmente, se discute la evolución de AppSec hacia un modelo gobernado por políticas, con capacidades de respuesta automática, riesgo contextual y soporte explícito para sistemas con componentes de inteligencia artificial generativa.
Read paper →AppSecTÍTULO: Una Arquitectura Formal y Operativa para AppSec Orientada a Amenazas: Integrando SAST, DAST, SCA, Telemetría de Runtime e Inteligencia ATT&CK para Priorización Basada en Riesgo Explotable
TÍTULO: Una Arquitectura Formal y Operativa para AppSec Orientada a Amenazas: Integrando SAST, DAST, SCA, Telemetría de Runtime e Inteligencia ATT&CK para Priorización Basada en Riesgo Explotable RESUMEN: La superficie de ataque de las aplicaciones modernas se ha expandido sustancialmente con la adopción de arquitecturas basadas en microservicios, APIs, contenedores y pipelines de integración y entrega continuas. Aunque herramientas de seguridad de aplicaciones, como Static Application Security Testing (SAST), Dynamic Application Security Testing (DAST) y Software Composition Analysis (SCA), son ampliamente utilizadas, estos mecanismos a menudo operan de forma aislada, produciendo grandes volúmenes de alertas que carecen de contexto operativo. En consecuencia, los equipos de seguridad enfrentan dificultades para priorizar vulnerabilidades con base en la probabilidad real de explotación. En este trabajo, presentamos una arquitectura formal y operativa para la seguridad de aplicaciones orientada a amenazas que integra resultados de SAST, DAST y SCA con telemetría de ejecución en runtime recopilada mediante sensores de red y monitoreo basado en eBPF. La arquitectura propuesta utiliza correlación probabilística inspirada en modelos bayesianos para estimar el riesgo explotable de las vulnerabilidades identificadas, incorporando evidencias empíricas de eventos de runtime observados y alineando tales evidencias con la estructura MITRE ATT&CK. Formalizamos matemáticamente el concepto de riesgo explotable y demostramos cómo múltiples fuentes de evidencia pueden combinarse para reducir falsos positivos y mejorar la priorización de remediación. La implementación experimental se realizó en un entorno Kubernetes con integración a un pipeline de CI/CD, utilizando herramientas ampliamente adoptadas en la industria, incluyendo Semgrep, OWASP ZAP, OWASP Dependency-Check, Falco y Suricata. Evaluamos el enfoque en un conjunto de aplicaciones vulnerables y observamos mejoras significativas en la precisión de la identificación de vulnerabilidades explotables. Los resultados experimentales indican un aumento del F1-score de 0.67–0.63 en enfoques aislados a 0.85 en el modelo integrado, así como una reducción del 37,4% en los falsos positivos y una disminución en el tiempo promedio necesario para la triage de vulnerabilidades. Discutimos las limitaciones del modelo probabilístico, las implicaciones operativas para las prácticas de DevSecOps y posibles extensiones, incluyendo la integración con métricas de explotación como EPSS y análisis asistido por machine learning para priorización adaptativa. La arquitectura propuesta demuestra que correlacionar análisis estático, pruebas dinámicas, análisis de dependencias y telemetría operacional constituye un camino prometedor para reducir la brecha entre la detección de vulnerabilidades y la detección de explotación real.
Read paper →AppSecTÍTULO: Una Arquitectura Formal y Operacional para AppSec Orientada a Amenazas: Integrando SAST, DAST, SCA, Telemetría de Runtime e Inteligencia ATT&CK para Priorización Basada en Riesgo Explotable
TÍTULO: Una Arquitectura Formal y Operacional para AppSec Orientada a Amenazas: Integrando SAST, DAST, SCA, Telemetría de Runtime e Inteligencia ATT&CK para Priorización Basada en Riesgo Explotable RESUMEN: La superficie de ataque de las aplicaciones modernas se ha expandido sustancialmente con la adopción de arquitecturas basadas en microservicios, APIs, contenedores y pipelines de integración y entrega continuas. Aunque herramientas de seguridad de aplicaciones, como Static Application Security Testing (SAST), Dynamic Application Security Testing (DAST) y Software Composition Analysis (SCA), son ampliamente utilizadas, estos mecanismos a menudo operan de forma aislada, generando grandes volúmenes de alertas que carecen de contexto operacional. En consecuencia, los equipos de seguridad enfrentan dificultades para priorizar vulnerabilidades con base en la probabilidad real de explotación. En este trabajo, presentamos una arquitectura formal y operacional para seguridad de aplicaciones orientada a amenazas que integra resultados de SAST, DAST y SCA con telemetría de ejecución en runtime recolectada mediante sensores de red y monitoreo basado en eBPF. La arquitectura propuesta utiliza correlación probabilística inspirada en modelos bayesianos para estimar el riesgo explotable de las vulnerabilidades identificadas, incorporando evidencias empíricas de eventos de runtime observados y alineando dichas evidencias con la estructura MITRE ATT&CK. Formalizamos matemáticamente el concepto de riesgo explotable y demostramos cómo múltiples fuentes de evidencia pueden combinarse para reducir falsos positivos y mejorar la priorización de remediación. La implementación experimental se realizó en un entorno Kubernetes con integración a un pipeline de CI/CD, utilizando herramientas ampliamente adoptadas en la industria, incluidas Semgrep, OWASP ZAP, OWASP Dependency-Check, Falco y Suricata. Evaluamos el enfoque en un conjunto de aplicaciones vulnerables y observamos mejoras significativas en la precisión de la identificación de vulnerabilidades explotables. Los resultados experimentales indican un aumento del F1-score de 0.67–0.63 en enfoques aislados a 0.85 en el modelo integrado, así como una reducción del 37,4% en los falsos positivos y una disminución en el tiempo medio necesario para la triage de vulnerabilidades. Discutimos las limitaciones del modelo probabilístico, las implicaciones operacionales para prácticas de DevSecOps y posibles extensiones, incluida la integración con métricas de explotación como EPSS y el análisis asistido por machine learning para priorización adaptativa. La arquitectura propuesta demuestra que correlacionar análisis estático, pruebas dinámicas, análisis de dependencias y telemetría operacional constituye una vía prometedora para reducir la brecha entre la detección de vulnerabilidades y la detección de explotación real.
Read paper →AppSecUna Arquitectura Formal y Operacional para AppSec Orientado a Amenazas: Integración de SAST, DAST, SCA, Telemetría Runtime e Inteligencia ATT&CK para Priorización Basada en Riesgo Explotable
TITLE: Una Arquitectura Formal y Operacional para AppSec Orientado a Amenazas: Integración de SAST, DAST, SCA, Telemetría Runtime e Inteligencia ATT&CK para Priorización Basada en Riesgo Explotable ABSTRACT: La superficie de ataque de las aplicaciones modernas se ha expandido sustancialmente con la adopción de arquitecturas basadas en microservicios, APIs, contenedores y pipelines de integración y entrega continuas. Aunque las herramientas de seguridad de aplicaciones como Static Application Security Testing (SAST), Dynamic Application Security Testing (DAST) y Software Composition Analysis (SCA) son ampliamente utilizadas, tales mecanismos a menudo operan de forma aislada, produciendo grandes volúmenes de alertas que carecen de contextualización operacional. En consecuencia, los equipos de seguridad enfrentan dificultades para priorizar vulnerabilidades con base en la probabilidad real de explotación. En este trabajo presentamos una arquitectura formal y operacional para la seguridad de aplicaciones orientada a amenazas, que integra resultados de SAST, DAST y SCA con telemetría de ejecución recolectada en tiempo de ejecución mediante sensores de red y monitoreo basado en eBPF. La arquitectura propuesta utiliza correlación probabilística inspirada en modelos bayesianos para estimar el riesgo explotable de las vulnerabilidades identificadas, incorporando evidencias empíricas provenientes de eventos observados en runtime y alineando tales evidencias con el framework MITRE ATT&CK. Formalizamos matemáticamente el concepto de riesgo explotable y demostramos cómo múltiples fuentes de evidencia pueden combinarse para reducir falsos positivos y mejorar la priorización de remediaciones. La implementación experimental se realizó en un entorno Kubernetes con integración en pipeline CI/CD, utilizando herramientas ampliamente adoptadas en la industria, incluyendo Semgrep, OWASP ZAP, OWASP Dependency-Check, Falco y Suricata. Evaluamos el enfoque en un conjunto de aplicaciones vulnerables y observamos mejoras significativas en la precisión de la identificación de vulnerabilidades explotables. Los resultados experimentales indican un aumento del F1-score de 0,67–0,63 en enfoques aislados a 0,85 en el modelo integrado, además de una reducción del 37,4% en falsos positivos y una disminución del tiempo promedio de triage de vulnerabilidades. Discutimos las limitaciones del modelo probabilístico, las implicaciones operacionales para las prácticas DevSecOps y posibles extensiones, incluida la integración con métricas de explotación como EPSS y análisis asistido por aprendizaje automático para una priorización adaptativa. La arquitectura propuesta demuestra que la correlación entre análisis estático, pruebas dinámicas, análisis de dependencias y telemetría operacional constituye un camino prometedor para reducir la brecha entre la detección de vulnerabilidades y la detección de explotación real.
Read paper →AppSecTÍTULO: Una Arquitectura Formal y Operativa para AppSec Orientada por Amenazas: Integrando SAST, DAST, SCA, Telemetría de Runtime e Inteligencia ATT&CK para Priorización Basada en Riesgo Explotable
TÍTULO: Una Arquitectura Formal y Operativa para AppSec Orientada por Amenazas: Integrando SAST, DAST, SCA, Telemetría de Runtime e Inteligencia ATT&CK para Priorización Basada en Riesgo Explotable RESUMEN: La superficie de ataque de las aplicaciones modernas se ha expandido sustancialmente con la adopción de arquitecturas basadas en microservicios, APIs, contenedores y canalizaciones de integración y entrega continuas. Aunque herramientas de seguridad de aplicaciones, como Static Application Security Testing (SAST), Dynamic Application Security Testing (DAST) y Software Composition Analysis (SCA), son ampliamente utilizadas, estos mecanismos a menudo operan de forma aislada, produciendo grandes volúmenes de alertas que carecen de contexto operativo. En consecuencia, los equipos de seguridad enfrentan dificultades para priorizar vulnerabilidades en función de la probabilidad real de explotación. En este trabajo, presentamos una arquitectura formal y operativa para la seguridad de aplicaciones orientada por amenazas que integra resultados de SAST, DAST y SCA con telemetría de ejecución en runtime recolectada mediante sensores de red y monitoreo basado en eBPF. La arquitectura propuesta utiliza correlación probabilística inspirada en modelos bayesianos para estimar el riesgo explotable de las vulnerabilidades identificadas, incorporando evidencia empírica de eventos de runtime observados y alineando dicha evidencia con la estructura MITRE ATT&CK. Formalizamos matemáticamente el concepto de riesgo explotable y demostramos cómo múltiples fuentes de evidencia pueden combinarse para reducir falsos positivos y mejorar la priorización de remediación. La implementación experimental se realizó en un entorno Kubernetes con integración a un pipeline de CI/CD, utilizando herramientas ampliamente adoptadas en la industria, incluyendo Semgrep, OWASP ZAP, OWASP Dependency-Check, Falco y Suricata. Evaluamos el enfoque en un conjunto de aplicaciones vulnerables y observamos mejoras significativas en la precisión de la identificación de vulnerabilidades explotables. Los resultados experimentales indican un aumento del F1-score de 0.67–0.63 en enfoques aislados a 0.85 en el modelo integrado, así como una reducción del 37,4% en los falsos positivos y una disminución en el tiempo medio necesario para la clasificación de vulnerabilidades. Discutimos las limitaciones del modelo probabilístico, las implicaciones operativas para las prácticas de DevSecOps y posibles extensiones, incluida la integración con métricas de explotación como EPSS y el análisis asistido por machine learning para una priorización adaptativa. La arquitectura propuesta demuestra que correlacionar análisis estático, pruebas dinámicas, análisis de dependencias y telemetría operacional constituye una vía prometedora para reducir la brecha entre la detección de vulnerabilidades y la detección de explotación real.
Read paper →AppSecTÍTULO: Una Arquitectura Formal y Operacional para AppSec Orientada por Amenazas: Integración de SAST, DAST, SCA, Telemetría de Runtime e Inteligencia ATT&CK para Priorización Basada en Riesgo Explotable
TÍTULO: Una Arquitectura Formal y Operacional para AppSec Orientada por Amenazas: Integración de SAST, DAST, SCA, Telemetría de Runtime e Inteligencia ATT&CK para Priorización Basada en Riesgo Explotable RESUMEN: La superficie de ataque de las aplicaciones modernas se ha expandido sustancialmente con la adopción de arquitecturas basadas en microservicios, APIs, contenedores y pipelines de integración y entrega continuas. Aunque herramientas de seguridad de aplicaciones, como Static Application Security Testing (SAST), Dynamic Application Security Testing (DAST) y Software Composition Analysis (SCA), se utilizan ampliamente, estos mecanismos a menudo operan de forma aislada, produciendo grandes volúmenes de alertas que carecen de contexto operativo. En consecuencia, los equipos de seguridad enfrentan dificultades para priorizar vulnerabilidades con base en la probabilidad real de explotación. En este trabajo, presentamos una arquitectura formal y operacional para la seguridad de aplicaciones orientada por amenazas que integra resultados de SAST, DAST y SCA con telemetría de ejecución en runtime recolectada mediante sensores de red y monitoreo basado en eBPF. La arquitectura propuesta utiliza correlación probabilística inspirada en modelos bayesianos para estimar el riesgo explotable de las vulnerabilidades identificadas, incorporando evidencias empíricas de eventos de runtime observados y alineando tales evidencias con el marco MITRE ATT&CK. Formalizamos matemáticamente el concepto de riesgo explotable y demostramos cómo múltiples fuentes de evidencia pueden combinarse para reducir falsos positivos y mejorar la priorización de remediación. La implementación experimental se realizó en un entorno Kubernetes con integración a un pipeline de CI/CD, utilizando herramientas ampliamente adoptadas en la industria, incluyendo Semgrep, OWASP ZAP, OWASP Dependency-Check, Falco y Suricata. Evaluamos el enfoque en un conjunto de aplicaciones vulnerables y observamos mejoras significativas en la precisión de la identificación de vulnerabilidades explotables. Los resultados experimentales indican un aumento del F1-score de 0.67–0.63 en enfoques aislados a 0.85 en el modelo integrado, así como una reducción del 37.4% en los falsos positivos y una disminución en el tiempo medio necesario para la triage de vulnerabilidades. Discutimos las limitaciones del modelo probabilístico, las implicaciones operativas para las prácticas de DevSecOps y posibles extensiones, incluida la integración con métricas de explotación como EPSS y el análisis asistido por machine learning para la priorización adaptativa. La arquitectura propuesta demuestra que correlacionar análisis estático, pruebas dinámicas, análisis de dependencias y telemetría operacional constituye una vía prometedora para reducir la brecha entre la detección de vulnerabilidades y la detección de explotación real.
Read paper →AppSecTÍTULO: AppSec orientada a evidencias: un framework formal y escalable para orquestación de seguridad de aplicaciones basada en modelado de amenazas y análisis híbrido continuo
TÍTULO: AppSec orientada a evidencias: un framework formal y escalable para orquestación de seguridad de aplicaciones basada en modelado de amenazas y análisis híbrido continuo RESUMEN: La seguridad de aplicaciones se ha convertido en un componente central de la ciberseguridad moderna debido a la creciente dependencia de arquitecturas distribuidas, microservicios, APIs públicas y cadenas complejas de dependencias open-source. La superficie de ataque de los sistemas contemporáneos crece proporcionalmente a la interconectividad entre componentes, lo que vuelve insuficientes los enfoques tradicionales que analizan vulnerabilidades de forma aislada. En entornos DevSecOps contemporáneos, herramientas como análisis estático (SAST), análisis dinámico (DAST) y análisis de composición de software (SCA) producen grandes volúmenes de alertas, frecuentemente caracterizadas por alta tasa de falsos positivos y priorización inadecuada de riesgos. Este trabajo propone un framework formal denominado EO-AppSec (Evidence-Oriented Application Security), que integra múltiples fuentes de evidencia de seguridad en un modelo probabilístico unificado para la priorización de vulnerabilidades. Formalizamos el problema utilizando inferencia bayesiana combinada con métricas CVSS contextualizadas y modelado de dependencias de componentes representadas por grafos dirigidos. El framework correlaciona resultados de herramientas SAST, DAST y SCA, además de telemetría operacional, para estimar la probabilidad de explotación de vulnerabilidades y calcular un score de riesgo condicional. La arquitectura propuesta integra pipelines CI/CD e infraestructuras cloud-native, incluyendo entornos Kubernetes y plataformas de observabilidad basadas en eBPF y stacks de telemetría modernas. Evaluamos el sistema en un entorno industrial que contenía 47 aplicaciones y aproximadamente 3,2 millones de líneas de código, comparándolo con enfoques tradicionales basados en análisis aislado. Los resultados demuestran un aumento significativo en la precisión de la priorización de vulnerabilidades (0,89) y una reducción de falsos positivos del 42,3%, además de una reducción del tiempo medio de remediación de 14,2 a 8,7 días. Analizamos las implicaciones prácticas para la gobernanza de la seguridad del software y la integración con frameworks contemporáneos de seguridad, incluido el NIST Secure Software Development Framework y prácticas modernas de seguridad en pipelines DevSecOps. También analizamos limitaciones metodológicas e implicaciones para entornos que incorporan componentes de inteligencia artificial y modelos de lenguaje de gran escala en aplicaciones modernas. Los resultados indican que la orquestación basada en evidencias ofrece un camino viable para reducir el ruido operacional y mejorar la eficacia de los programas de AppSec a escala industrial.
Read paper →AppSecTÍTULO: AppSec orientada por evidencias: un framework formal y escalable para la orquestación de seguridad de aplicaciones basada en modelado de amenazas y análisis híbrido continuo
TÍTULO: AppSec orientada por evidencias: un framework formal y escalable para la orquestación de seguridad de aplicaciones basada en modelado de amenazas y análisis híbrido continuo RESUMEN: La seguridad de aplicaciones se ha convertido en un componente central de la ciberseguridad moderna debido a la creciente dependencia de arquitecturas distribuidas, microservicios, APIs públicas y cadenas complejas de dependencias open-source. La superficie de ataque de los sistemas contemporáneos crece proporcionalmente a la interconectividad entre componentes, lo que hace insuficientes los enfoques tradicionales que analizan vulnerabilidades de forma aislada. En entornos DevSecOps contemporáneos, herramientas como análisis estático (SAST), análisis dinámico (DAST) y análisis de composición de software (SCA) producen grandes volúmenes de alertas, frecuentemente caracterizadas por una alta tasa de falsos positivos y una priorización inadecuada de riesgos. Este trabajo propone un framework formal denominado EO-AppSec (Evidence-Oriented Application Security), que integra múltiples fuentes de evidencia de seguridad en un modelo probabilístico unificado para la priorización de vulnerabilidades. Formalizamos el problema utilizando inferencia bayesiana combinada con métricas CVSS contextualizadas y modelado de dependencias de componentes representadas por grafos dirigidos. El framework correlaciona resultados de herramientas SAST, DAST y SCA, además de telemetría operativa, para estimar la probabilidad de explotación de vulnerabilidades y calcular un puntaje de riesgo condicional. La arquitectura propuesta integra pipelines CI/CD e infraestructuras cloud-native, incluyendo entornos Kubernetes y plataformas de observabilidad basadas en eBPF y stacks de telemetría modernas. Evaluamos el sistema en un entorno industrial que contenía 47 aplicaciones y aproximadamente 3,2 millones de líneas de código, comparándolo con enfoques tradicionales basados en análisis aislado. Los resultados demuestran un aumento significativo en la precisión de la priorización de vulnerabilidades (0,89) y una reducción de falsos positivos del 42,3%, además de una disminución del tiempo medio de remediación de 14,2 a 8,7 días. Discutimos implicaciones prácticas para la gobernanza de la seguridad de software y la integración con frameworks contemporáneos de seguridad, incluido el NIST Secure Software Development Framework y prácticas modernas de seguridad en pipelines DevSecOps. También analizamos limitaciones metodológicas e implicaciones para entornos que incorporan componentes de inteligencia artificial y modelos de lenguaje de gran escala en aplicaciones modernas. Los resultados indican que la orquestación basada en evidencias ofrece una vía viable para reducir el ruido operativo y mejorar la eficacia de los programas de AppSec a escala industrial.
Read paper →AppSecAppSec orientada a evidencias: un framework formal y escalable para la orquestación de la seguridad de aplicaciones basada en modelado de amenazas y análisis híbrido continuo
TITLE: AppSec orientada a evidencias: un framework formal y escalable para la orquestación de la seguridad de aplicaciones basada en modelado de amenazas y análisis híbrido continuo ABSTRACT: La seguridad de aplicaciones se ha convertido en un componente central de la ciberseguridad moderna debido a la creciente dependencia de arquitecturas distribuidas, microservicios, APIs públicas y cadenas complejas de dependencias open-source. La superficie de ataque de los sistemas contemporáneos crece proporcionalmente a la interconectividad entre componentes, tornando insuficientes los enfoques tradicionales que analizan vulnerabilidades de forma aislada. En entornos DevSecOps contemporáneos, herramientas como análisis estático (SAST), análisis dinámico (DAST) y análisis de composición de software (SCA) producen grandes volúmenes de alertas, frecuentemente caracterizadas por una alta tasa de falsos positivos y una priorización inadecuada de riesgos. Este trabajo propone un framework formal denominado EO-AppSec (Evidence-Oriented Application Security), que integra múltiples fuentes de evidencia de seguridad en un modelo probabilístico unificado para la priorización de vulnerabilidades. Formalizamos el problema utilizando inferencia bayesiana combinada con métricas CVSS contextualizadas y modelado de dependencias de componentes representadas por grafos dirigidos. El framework correlaciona resultados de herramientas SAST, DAST y SCA, además de telemetría operacional, para estimar la probabilidad de explotación de vulnerabilidades y calcular un score de riesgo condicional. La arquitectura propuesta integra pipelines CI/CD e infraestructuras cloud-native, incluyendo entornos Kubernetes y plataformas de observabilidad basadas en eBPF y stacks de telemetría modernas. Evaluamos el sistema en un entorno industrial con 47 aplicaciones y aproximadamente 3,2 millones de líneas de código, comparándolo con enfoques tradicionales basados en análisis aislado. Los resultados demuestran un aumento significativo en la precisión de la priorización de vulnerabilidades (0,89) y una reducción de falsos positivos del 42,3%, además de una disminución del tiempo medio de remediación de 14,2 a 8,7 días. Discutimos implicaciones prácticas para la gobernanza de la seguridad de software y la integración con frameworks contemporáneos de seguridad, incluido el NIST Secure Software Development Framework y prácticas modernas de seguridad en pipelines DevSecOps. También analizamos limitaciones metodológicas e implicaciones para entornos que incorporan componentes de inteligencia artificial y modelos de lenguaje de gran escala en aplicaciones modernas. Los resultados indican que la orquestación basada en evidencias ofrece un camino viable para reducir el ruido operacional y mejorar la eficacia de los programas de AppSec a escala industrial.
Read paper →AppSecTÍTULO: AppSec orientada a evidencias: un framework formal y escalable para la orquestación de la seguridad de aplicaciones basada en modelado de amenazas y análisis híbrido continuo
TÍTULO: AppSec orientada a evidencias: un framework formal y escalable para la orquestación de la seguridad de aplicaciones basada en modelado de amenazas y análisis híbrido continuo RESUMEN: La seguridad de aplicaciones se ha convertido en un componente central de la ciberseguridad moderna debido a la creciente dependencia de arquitecturas distribuidas, microservicios, APIs públicas y cadenas complejas de dependencias open-source. La superficie de ataque de los sistemas contemporáneos crece proporcionalmente a la interconectividad entre componentes, lo que hace insuficientes los enfoques tradicionales que analizan vulnerabilidades de forma aislada. En entornos DevSecOps contemporáneos, herramientas como el análisis estático (SAST), el análisis dinámico (DAST) y el análisis de composición de software (SCA) producen grandes volúmenes de alertas, frecuentemente caracterizadas por una alta tasa de falsos positivos y una priorización inadecuada de riesgos. Este trabajo propone un framework formal denominado EO-AppSec (Evidence-Oriented Application Security), que integra múltiples fuentes de evidencia de seguridad en un modelo probabilístico unificado para la priorización de vulnerabilidades. Formalizamos el problema utilizando inferencia bayesiana combinada con métricas CVSS contextualizadas y modelado de dependencias de componentes representadas por grafos dirigidos. El framework correlaciona resultados de herramientas SAST, DAST y SCA, además de telemetría operacional, para estimar la probabilidad de explotación de vulnerabilidades y calcular una puntuación de riesgo condicional. La arquitectura propuesta integra pipelines CI/CD e infraestructuras cloud-native, incluidos entornos Kubernetes y plataformas de observabilidad basadas en eBPF y stacks modernos de telemetría. Evaluamos el sistema en un entorno industrial que contenía 47 aplicaciones y aproximadamente 3,2 millones de líneas de código, comparándolo con enfoques tradicionales basados en análisis aislado. Los resultados demuestran un aumento significativo en la precisión de la priorización de vulnerabilidades (0,89) y una reducción de falsos positivos del 42,3%, además de una reducción del tiempo medio de remediación de 14,2 a 8,7 días. Discutimos implicaciones prácticas para la gobernanza de la seguridad del software y la integración con frameworks contemporáneos de seguridad, incluido el NIST Secure Software Development Framework y prácticas modernas de seguridad en pipelines DevSecOps. También analizamos limitaciones metodológicas e implicaciones para entornos que incorporan componentes de inteligencia artificial y modelos de lenguaje de gran escala en aplicaciones modernas. Los resultados indican que la orquestación basada en evidencias ofrece un camino viable para reducir el ruido operativo y mejorar la eficacia de los programas de AppSec a escala industrial.
Read paper →AppSecUna Arquitectura Cuantitativa y Operativa de Application Security Basada en la Integración de SAST, DAST, SCA y Threat Intelligence en el Ciclo DevSecOps
TITLE: Una Arquitectura Cuantitativa y Operativa de Application Security Basada en la Integración de SAST, DAST, SCA y Threat Intelligence en el Ciclo DevSecOps ABSTRACT: La seguridad de aplicaciones (Application Security – AppSec) se ha convertido en un componente central de la gestión de riesgos en entornos digitales modernos. La creciente adopción de arquitecturas basadas en microservicios, APIs expuestas, contenedores y pipelines de entrega continua ha ampliado significativamente la superficie de ataque de las organizaciones. Aunque diversas herramientas de análisis de seguridad están ampliamente disponibles, muchas organizaciones aún enfrentan dificultades para priorizar vulnerabilidades en función del riesgo real de explotación. Las herramientas de análisis estático (SAST), análisis dinámico (DAST) y análisis de composición de software (SCA) con frecuencia producen grandes volúmenes de hallazgos, muchos de los cuales tienen bajo impacto operativo o una alta tasa de falsos positivos. Este trabajo propone una arquitectura cuantitativa para programas de AppSec orientados al riesgo, integrando resultados de SAST, DAST y SCA con fuentes externas de threat intelligence. Presentamos un modelo formal de priorización basado en una función de riesgo que combina puntuaciones CVSS, evidencia de exploit público, contexto de exposición de la aplicación y mapeo a técnicas del framework MITRE ATT&CK. La arquitectura propuesta se integra en pipelines DevSecOps y utiliza mecanismos de correlación y normalización de vulnerabilidades mediante plataformas de gestión como DefectDojo. Evaluamos empíricamente el enfoque en un conjunto de 42 aplicaciones reales desarrolladas en Java, Python y Node.js. Los resultados indican una reducción significativa de vulnerabilidades duplicadas, una disminución de la tasa de falsos positivos y una mejora sustancial en el tiempo medio de remediación (MTTR). Se observó una reducción del 63% en el MTTR y una disminución del 44,7% en el volumen de hallazgos tras la correlación entre scanners. Demostramos además que la incorporación de threat intelligence —incluida la presencia de exploits públicos y la observación de actividad adversaria— mejora la priorización de las remediaciones y dirige los recursos hacia vulnerabilidades efectivamente explotables. Los resultados sugieren que los programas de AppSec orientados por riesgo, cuando se integran al ciclo DevSecOps, ofrecen ganancias medibles en la reducción de la superficie de ataque y en la eficiencia operativa de los equipos de seguridad.
Read paper →AppSecTÍTULO: Una Arquitectura Cuantitativa y Operacional de Application Security Basada en la Integración de SAST, DAST, SCA y Threat Intelligence en el Ciclo DevSecOps
TÍTULO: Una Arquitectura Cuantitativa y Operacional de Application Security Basada en la Integración de SAST, DAST, SCA y Threat Intelligence en el Ciclo DevSecOps RESUMEN: La seguridad de aplicaciones (Application Security – AppSec) se ha convertido en un componente central de la gestión de riesgos en entornos digitales modernos. La creciente adopción de arquitecturas basadas en microservicios, APIs expuestas, contenedores y pipelines de entrega continua ha ampliado significativamente la superficie de ataque de las organizaciones. Aunque diversas herramientas de análisis de seguridad están ampliamente disponibles, muchas organizaciones aún enfrentan dificultades para priorizar vulnerabilidades en función del riesgo real de explotación. Las herramientas de análisis estático (SAST), análisis dinámico (DAST) y análisis de composición de software (SCA) a menudo producen grandes volúmenes de hallazgos, muchos de los cuales tienen bajo impacto operacional o una alta tasa de falsos positivos. Este trabajo propone una arquitectura cuantitativa para programas de AppSec orientados al riesgo, integrando resultados de SAST, DAST y SCA con fuentes externas de inteligencia de amenazas. Presentamos un modelo formal de priorización basado en una función de riesgo que combina puntuaciones CVSS, evidencia de exploit público, contexto de exposición de la aplicación y mapeo a técnicas del framework MITRE ATT&CK. La arquitectura propuesta se integra en pipelines DevSecOps y utiliza mecanismos de correlación y normalización de vulnerabilidades mediante plataformas de gestión como DefectDojo. Evaluamos empíricamente el enfoque en un conjunto de 42 aplicaciones reales desarrolladas en Java, Python y Node.js. Los resultados indican una reducción significativa de vulnerabilidades duplicadas, disminución de la tasa de falsos positivos y una mejora sustancial en el tiempo medio de remediación (MTTR). Se observó una reducción del 63% en el MTTR y una disminución del 44,7% en el volumen de hallazgos tras la correlación entre scanners. Además, demostramos que la incorporación de inteligencia de amenazas —incluyendo la presencia de exploits públicos y la observación de actividad adversaria— mejora la priorización de remediaciones y dirige recursos hacia vulnerabilidades efectivamente explotables. Los resultados sugieren que los programas de AppSec orientados por riesgo, cuando se integran en el ciclo DevSecOps, ofrecen ganancias medibles en la reducción de la superficie de ataque y en la eficiencia operacional de los equipos de seguridad.
Read paper →AppSecUna Arquitectura Cuantitativa de Application Security Basada en Modelado Formal de Amenazas, Integración SAST/DAST/SCA y Telemetría Runtime en Entornos DevSecOps
TITLE: Una Arquitectura Cuantitativa de Application Security Basada en Modelado Formal de Amenazas, Integración SAST/DAST/SCA y Telemetría Runtime en Entornos DevSecOps ABSTRACT: La creciente dependencia de aplicaciones web, APIs y arquitecturas basadas en microservicios ha ampliado significativamente la superficie de ataque de los sistemas modernos. Informes recientes de incidentes indican que la explotación de aplicaciones expuestas a internet sigue siendo uno de los vectores de intrusión más frecuentes, explotando a menudo vulnerabilidades conocidas en bibliotecas, fallas de validación de entrada o configuraciones inadecuadas. Aunque las herramientas de seguridad de aplicaciones, como el análisis estático (SAST), el análisis dinámico (DAST) y el análisis de composición de software (SCA), son ampliamente utilizadas en pipelines DevSecOps, tales mecanismos normalmente operan de forma fragmentada y sin una estructura cuantitativa que permita estimar el riesgo residual del sistema. Este trabajo propone una arquitectura integrada de Application Security basada en modelado formal de amenazas, agregación de resultados provenientes de múltiples fuentes de análisis e incorporación de telemetría de ejecución en tiempo real. Formalizamos el problema de priorización de vulnerabilidades como un proceso de minimización del riesgo residual ponderado, en el cual cada vulnerabilidad se evalúa a partir de métricas de probabilidad de explotación, impacto potencial y contexto operacional. La arquitectura propuesta integra herramientas de análisis estático, dinámico y de dependencias con mecanismos de observabilidad de seguridad, incluyendo detección comportamental en runtime y recolección continua de eventos. Evaluamos experimentalmente el enfoque en un entorno compuesto por aplicaciones deliberadamente vulnerables y microservicios reales ejecutados en infraestructura contenerizada. Los resultados indican una mejora significativa en la capacidad de identificar vulnerabilidades efectivamente explotables, con un aumento del recall promedio al 91,3% y una reducción del 63,4% en el tiempo medio de detección (MTTD) en comparación con enfoques aislados. El overhead computacional observado se mantuvo por debajo del 20%, compatible con los requisitos operacionales de los pipelines CI/CD modernos. Adicionalmente, discutimos implicaciones para programas corporativos de AppSec, destacando la importancia de la integración entre análisis de código, monitoreo operacional e inteligencia de amenazas. La arquitectura propuesta demuestra que la combinación de modelado formal con telemetría runtime proporciona una base sólida para la priorización contextualizada de vulnerabilidades y la reducción efectiva del riesgo residual en sistemas de software contemporáneos.
Read paper →AppSecTÍTULO: Una Arquitectura Cuantitativa de Application Security Basada en Modelado Formal de Amenazas, Integración SAST/DAST/SCA y Telemetría Runtime en Entornos DevSecOps
TÍTULO: Una Arquitectura Cuantitativa de Application Security Basada en Modelado Formal de Amenazas, Integración SAST/DAST/SCA y Telemetría Runtime en Entornos DevSecOps RESUMEN: La creciente dependencia de aplicaciones web, APIs y arquitecturas basadas en microservicios ha ampliado significativamente la superficie de ataque de los sistemas modernos. Informes recientes de incidentes indican que la explotación de aplicaciones expuestas a internet sigue estando entre los vectores de intrusión más frecuentes, explotando a menudo vulnerabilidades conocidas en bibliotecas, fallos de validación de entrada o configuraciones inadecuadas. Aunque las herramientas de seguridad de aplicaciones, como el análisis estático (SAST), el análisis dinámico (DAST) y el análisis de composición de software (SCA), se utilizan ampliamente en pipelines DevSecOps, estos mecanismos suelen operar de forma fragmentada y sin una estructura cuantitativa que permita estimar el riesgo residual del sistema. Este trabajo propone una arquitectura integrada de Application Security basada en modelado formal de amenazas, agregación de resultados procedentes de múltiples fuentes de análisis e incorporación de telemetría de ejecución en tiempo real. Formalizamos el problema de priorización de vulnerabilidades como un proceso de minimización del riesgo residual ponderado, en el que cada vulnerabilidad se evalúa a partir de métricas de probabilidad de explotación, impacto potencial y contexto operacional. La arquitectura propuesta integra herramientas de análisis estático, dinámico y de dependencias con mecanismos de observabilidad de seguridad, incluyendo detección comportamental en runtime y recolección continua de eventos. Evaluamos experimentalmente el enfoque en un entorno compuesto por aplicaciones deliberadamente vulnerables y microservicios reales ejecutados en infraestructura contenerizada. Los resultados indican una mejora significativa en la capacidad de identificar vulnerabilidades efectivamente explotables, con un aumento del recall medio al 91,3% y una reducción del 63,4% en el tiempo medio de detección (MTTD) en comparación con enfoques aislados. El overhead computacional observado se mantuvo por debajo del 20%, compatible con los requisitos operacionales de pipelines CI/CD modernos. Adicionalmente, discutimos las implicaciones para programas corporativos de AppSec, destacando la importancia de la integración entre análisis de código, monitoreo operacional e inteligencia de amenazas. La arquitectura propuesta demuestra que la combinación de modelado formal con telemetría runtime proporciona una base sólida para la priorización contextualizada de vulnerabilidades y la reducción efectiva del riesgo residual en sistemas de software contemporáneos.
Read paper →AppSecTÍTULO: Una Arquitectura Formal para AppSec Continua Basada en Análisis Híbrido, Modelado Cuantitativo de Amenazas y Orquestación Orientada al Riesgo
TÍTULO: Una Arquitectura Formal para AppSec Continua Basada en Análisis Híbrido, Modelado Cuantitativo de Amenazas y Orquestación Orientada al Riesgo RESUMEN: La creciente complejidad de los ecosistemas de software modernos —compuestos por microservicios, APIs expuestas públicamente, dependencias de código abierto y pipelines CI/CD altamente automatizados— ha ampliado sustancialmente la superficie de ataque de las aplicaciones. Vulnerabilidades como Log4Shell (CVE-2021-44228) y fallas recurrentes de inyección y de control de acceso inadecuado demuestran que los enfoques tradicionales de seguridad de aplicaciones (AppSec) siguen siendo insuficientes frente a adversarios adaptativos. En este trabajo, proponemos una arquitectura integrada de AppSec continua que combina análisis estático (SAST), análisis dinámico (DAST), análisis de composición de software (SCA) y modelado cuantitativo de amenazas, acoplados mediante un mecanismo de orquestación orientado al riesgo. Formalizamos el problema de priorización de vulnerabilidades como una optimización multiobjetivo bajo restricciones operativas, modelando el riesgo como R = P(E) × I, donde P(E) es la probabilidad estimada de explotación basada en inteligencia de amenazas e I es el impacto medido mediante métricas CVSS y criticidad de activos. Implementamos un prototipo sobre un pipeline DevSecOps con integración a GitHub Actions, SonarQube, OWASP ZAP y dependabot, evaluándolo en 47 aplicaciones reales de código abierto. Nuestros resultados demuestran una reducción promedio del 38,7% en el tiempo de remediación (MTTR), un aumento del 24,3% en la tasa de detección de vulnerabilidades críticas y una reducción del 41,2% en falsos positivos priorizados incorrectamente, en comparación con pipelines convencionales no orientados al riesgo. La contribución central reside en la formalización matemática de la priorización y en la integración operacional continua, proporcionando garantías mensurables de mejora en la postura de seguridad. Los resultados indican que la incorporación de modelos cuantitativos en la orquestación de herramientas de AppSec constituye un avance sustancial para la madurez de seguridad en entornos de desarrollo modernos.
Read paper →AppSecUna Arquitectura Formal para AppSec Continua Basada en Análisis Híbrido, Modelado Cuantitativo de Amenazas y Orquestación Orientada al Riesgo
TITLE: Una Arquitectura Formal para AppSec Continua Basada en Análisis Híbrido, Modelado Cuantitativo de Amenazas y Orquestación Orientada al Riesgo ABSTRACT: La creciente complejidad de los ecosistemas de software modernos —compuestos por microservicios, APIs expuestas públicamente, dependencias de código abierto y pipelines CI/CD altamente automatizados— ha ampliado sustancialmente la superficie de ataque de las aplicaciones. Vulnerabilidades como Log4Shell (CVE-2021-44228) y fallas recurrentes de inyección y control de acceso inadecuado demuestran que los enfoques tradicionales de seguridad de aplicaciones (AppSec) siguen siendo insuficientes frente a adversarios adaptativos. En este trabajo, proponemos una arquitectura integrada de AppSec continua que combina análisis estático (SAST), análisis dinámico (DAST), análisis de composición de software (SCA) y modelado cuantitativo de amenazas, acoplados por un mecanismo de orquestación orientado al riesgo. Formalizamos el problema de priorización de vulnerabilidades como una optimización multiobjetivo bajo restricciones operativas, modelando el riesgo como R = P(E) × I, donde P(E) es la probabilidad estimada de explotación basada en inteligencia de amenazas e I es el impacto medido mediante métricas CVSS y criticidad de activos. Implementamos un prototipo sobre un pipeline DevSecOps con integración a GitHub Actions, SonarQube, OWASP ZAP y dependabot, evaluándolo en 47 aplicaciones reales de código abierto. Nuestros resultados demuestran una reducción media de 38,7% en el tiempo de remediación (MTTR), un aumento de 24,3% en la tasa de detección de vulnerabilidades críticas y una reducción de 41,2% en falsos positivos priorizados incorrectamente, en comparación con pipelines convencionales no orientados al riesgo. La contribución central reside en la formalización matemática de la priorización y en la integración operativa continua, proporcionando garantías medibles de mejora en la postura de seguridad. Los resultados indican que la incorporación de modelos cuantitativos en la orquestación de herramientas de AppSec constituye un avance sustancial para la madurez de seguridad en entornos de desarrollo modernos.
Read paper →AppSecTÍTULO: Una Arquitectura Formalmente Fundamentada para Application Security Continua: Modelado de Amenazas, Análisis Híbrido y Priorización Cuantitativa de Riesgos en Pipelines DevSecOps
TÍTULO: Una Arquitectura Formalmente Fundamentada para Application Security Continua: Modelado de Amenazas, Análisis Híbrido y Priorización Cuantitativa de Riesgos en Pipelines DevSecOps RESUMEN: La creciente complejidad de los ecosistemas de software, caracterizada por arquitecturas distribuidas, microservicios, dependencias de terceros y ciclos de entrega continua, ha ampliado sustancialmente la superficie de ataque de las aplicaciones modernas. Informes recientes del Verizon Data Breach Investigations Report (DBIR) indican que más del 43% de las violaciones explotan vulnerabilidades en aplicaciones web, mientras que el NVD registró más de 28.000 CVE en 2023, muchas asociadas a fallas explotables de forma remota. En este trabajo, investigamos el problema de seguridad de aplicaciones (AppSec) desde una perspectiva formal y sistemática, proponiendo una arquitectura integrada para la detección, priorización y mitigación continua de vulnerabilidades en pipelines DevSecOps. Nuestra metodología combina análisis estático (SAST), análisis dinámico (DAST), análisis de composición de software (SCA) y modelado probabilístico de riesgo basado en CVSS y métricas contextuales organizacionales. Introducimos un modelo matemático para la priorización de vulnerabilidades basado en la función $R(v) = P_e(v) \cdot I(v) \cdot C(v)$, donde $P_e$ representa la probabilidad de explotación, $I$ el impacto técnico y $C$ la criticidad contextual. Evaluamos nuestro enfoque en 42 aplicaciones open source y 8 sistemas empresariales reales, totalizando 3,2 millones de líneas de código. Los resultados demuestran una reducción media del 37,4% en el tiempo de remediación (MTTR), un aumento del 29,1% en la tasa de detección de vulnerabilidades críticas y una reducción del 41,8% en falsos positivos en comparación con pipelines tradicionales basados únicamente en SAST. La arquitectura propuesta presenta un overhead medio del 8,6% en el tiempo de build, manteniendo viabilidad operativa. Concluimos que la integración formalmente orientada de técnicas híbridas, junto con la priorización cuantitativa contextualizada, eleva sustancialmente la eficacia de los programas de AppSec en entornos de alta cadencia de desarrollo.
Read paper →AppSecUna Arquitectura Formalmente Fundamentada para Seguridad de Aplicaciones Continua: Modelado de Amenazas, Análisis Híbrido y Priorización Cuantitativa de Riesgos en Pipelines DevSecOps
TITLE: Una Arquitectura Formalmente Fundamentada para Seguridad de Aplicaciones Continua: Modelado de Amenazas, Análisis Híbrido y Priorización Cuantitativa de Riesgos en Pipelines DevSecOps ABSTRACT: La creciente complejidad de los ecosistemas de software, caracterizada por arquitecturas distribuidas, microservicios, dependencias de terceros y ciclos de entrega continua, ha ampliado sustancialmente la superficie de ataque de las aplicaciones modernas. Informes recientes del Verizon Data Breach Investigations Report (DBIR) indican que más del 43% de las violaciones explotan vulnerabilidades en aplicaciones web, mientras que el NVD registró más de 28.000 CVEs en 2023, muchos asociados a fallos explotables remotamente. En este trabajo investigamos el problema de la seguridad de aplicaciones (AppSec) desde una perspectiva formal y sistemática, proponiendo una arquitectura integrada para la detección, priorización y mitigación continua de vulnerabilidades en pipelines DevSecOps. Nuestra metodología combina análisis estático (SAST), análisis dinámico (DAST), análisis de composición de software (SCA) y modelado probabilístico de riesgo basado en CVSS y métricas contextuales organizacionales. Introducimos un modelo matemático para la priorización de vulnerabilidades basado en la función $R(v) = P_e(v) \cdot I(v) \cdot C(v)$, donde $P_e$ representa la probabilidad de explotación, $I$ el impacto técnico y $C$ la criticidad contextual. Evaluamos nuestro enfoque en 42 aplicaciones open source y 8 sistemas corporativos reales, totalizando 3,2 millones de líneas de código. Los resultados demuestran una reducción media del 37,4% en el tiempo de remediación (MTTR), un aumento del 29,1% en la tasa de detección de vulnerabilidades críticas y una reducción del 41,8% en falsos positivos en comparación con pipelines tradicionales basados únicamente en SAST. La arquitectura propuesta presenta un overhead medio del 8,6% en el tiempo de build, manteniendo la viabilidad operativa. Concluimos que la integración formalmente orientada de técnicas híbridas, junto con la priorización cuantitativa contextualizada, eleva sustancialmente la eficacia de los programas de AppSec en entornos de alta cadencia de desarrollo.
Read paper →AppSecIngeniería de Seguridad de Aplicaciones en 2025: Modelado de Amenazas, Automatización DevSecOps y Detección de Vulnerabilidades Asistida por Análisis Estático y Dinámico
La seguridad de aplicaciones (AppSec) se ha convertido en uno de los dominios centrales de la ciberseguridad moderna debido al desplazamiento progresivo del perímetro de seguridad hacia el software. La adopción masiva de arquitecturas basadas en microservicios, contenedores, APIs expuestas públicamente y pipelines de integración continua ha ampliado significativamente la superficie de ataque de las organizaciones. Al mismo tiempo, los adversarios han sofisticado sus técnicas mediante automatización, explotación de vulnerabilidades de cadena de suministro y campañas de explotación masiva dirigidas a frameworks populares. Este trabajo presenta un análisis técnico exhaustivo del estado de la seguridad de aplicaciones hacia 2025, con énfasis en modelos de amenaza realistas, metodologías operacionales de AppSec y mecanismos de detección de vulnerabilidades basados en análisis estático (SAST), dinámico (DAST) e instrumentación en tiempo de ejecución (IAST y eBPF). Se propone un marco metodológico integrado que combina modelado de amenazas estructurado, escaneo automatizado en pipelines DevSecOps y telemetría de seguridad basada en comportamiento para reducir el tiempo medio de detección y mitigación de vulnerabilidades. Además, se formaliza el problema de priorización de vulnerabilidades mediante una función de riesgo que incorpora probabilidad de explotación, exposición del activo y criticidad del impacto. La investigación incluye una implementación práctica utilizando herramientas ampliamente utilizadas hasta 2025, como Semgrep, OWASP ZAP, Snyk, Trivy y GitHub Advanced Security. Los experimentos comparan el rendimiento de distintos enfoques de análisis de seguridad en entornos de microservicios y contenedores, mostrando mejoras significativas en cobertura y reducción de falsos positivos cuando se combinan múltiples técnicas de análisis. Finalmente, se presenta un estudio de caso basado en la explotación de vulnerabilidades comunes en APIs REST modernas, incluyendo inyección, deserialización insegura y fallos de autorización. Los resultados sugieren que la integración temprana de controles AppSec en el ciclo de desarrollo, junto con telemetría operacional y automatización defensiva, constituye una estrategia efectiva para mitigar amenazas contemporáneas en aplicaciones distribuidas.
Read paper →AppSecTÍTULO: AppSec Orientada por Evidencias: Un Framework Formal y Escalable para el Análisis Continuo de Vulnerabilidades en Pipelines DevSecOps
TÍTULO: AppSec Orientada por Evidencias: Un Framework Formal y Escalable para el Análisis Continuo de Vulnerabilidades en Pipelines DevSecOps RESUMEN: La seguridad de aplicaciones (Application Security – AppSec) se ha convertido en uno de los principales vectores de riesgo en el ecosistema digital contemporáneo, impulsada por la adopción masiva de arquitecturas de microservicios, integración continua y dependencias de código abierto. Vulnerabilidades explotadas a gran escala, como Log4Shell (CVE-2021-44228) y Spring4Shell (CVE-2022-22965), evidencian limitaciones estructurales de los enfoques tradicionales de análisis estático (SAST), dinámico (DAST) y de composición de software (SCA). En este trabajo, proponemos un framework formal y orientado por evidencias para AppSec continua, denominado EASE (Evidence-Aware Security Enforcement), que integra análisis estático incremental, modelado formal de flujos de datos y priorización probabilística del riesgo basada en telemetría operacional. Nuestra metodología combina un modelo matemático de riesgo $R(v) = P_e(v) \cdot I(v) \cdot E(v)$, donde $P_e$ representa la probabilidad de explotación estimada mediante aprendizaje estadístico, $I$ el impacto contextual y $E$ la exposición dinámica medida a partir de datos de ejecución. Implementamos el framework en pipelines CI/CD reales que contenían 312 repositorios (Java, Python y Node.js), totalizando 48 millones de líneas de código. Los resultados experimentales indican una reducción media del 37,4% en falsos positivos en comparación con herramientas SAST convencionales, una disminución del 42,1% en el tiempo medio de remediación (MTTR) y la detección anticipada del 91% de las vulnerabilidades posteriormente catalogadas como críticas (CVSS ≥ 9.0). Además, el análisis incremental redujo el tiempo de ejecución en 58% en comparación con los escaneos completos. Contribuimos con (i) una formalización rigurosa del problema de priorización de vulnerabilidades en entornos DevSecOps, (ii) algoritmos eficientes para análisis incremental con garantías de corrección, y (iii) una evaluación empírica a gran escala que demuestra ganancias sustanciales en precisión y rendimiento. El framework propuesto establece fundamentos cuantitativos para una AppSec basada en riesgo real, aproximando la seguridad de aplicaciones a prácticas de ingeniería orientadas por evidencias.
Read paper →AppSecArquitectura formal y escalable para Application Security (AppSec) basada en análisis híbrido orientado a grafos y priorización cuantitativa de riesgo
TITLE: Arquitectura formal y escalable para Application Security (AppSec) basada en análisis híbrido orientado a grafos y priorización cuantitativa de riesgo ABSTRACT: La creciente complejidad de aplicaciones distribuidas, basadas en microservicios e integradas a extensas cadenas de dependencias open source, ha ampliado significativamente la superficie de ataque y la frecuencia de vulnerabilidades explotables. Incidentes recientes asociados a fallas como Log4Shell (CVE-2021-44228) y vulnerabilidades de deserialización insegura evidencian la insuficiencia de los enfoques tradicionales de Application Security (AppSec) centrados exclusivamente en análisis estáticos o dinámicos aislados. En este trabajo, proponemos una arquitectura formal y escalable de AppSec basada en análisis híbrido orientado a grafos, que combina análisis estático (SAST), dinámico (DAST), composición de software (SCA) y modelado de amenazas automatizado mediante grafos de dependencia semántica y flujo de datos interprocedimental. Introducimos un modelo matemático para la priorización cuantitativa de riesgo que integra métricas CVSS, probabilidad explotable estimada mediante aprendizaje estadístico y centralidad estructural en el grafo de llamadas. Implementamos un prototipo distribuido capaz de analizar aplicaciones con más de 5 millones de líneas de código, procesando 1,2 millones de nodos de grafo con una latencia media de 38 minutos por pipeline CI/CD. Evaluamos el sistema en 42 proyectos open source críticos (incluyendo Apache Struts, Spring PetClinic y NodeGoat), totalizando 9.317 vulnerabilidades conocidas. Nuestro enfoque redujo los falsos positivos en 37,4% en comparación con herramientas SAST tradicionales y aumentó la detección de flujos explotables reales en 28,9%. El mecanismo de priorización elevó la tasa de corrección de vulnerabilidades críticas en entornos de prueba controlados en 41% dentro de ciclos de sprint de dos semanas. Los resultados demuestran que la integración formal de múltiples técnicas bajo un modelo unificado orientado a grafos ofrece ganancias sustanciales de precisión, escalabilidad y relevancia operativa, contribuyendo a la evolución del estado del arte en AppSec y a la integración efectiva de la seguridad en el ciclo DevSecOps.
Read paper →