Research / Paper Files

Paper Files

Paper Files es una práctica personal de estudio continuo en ciberseguridad que aplica el método científico como herramienta de aprendizaje. Cada artículo no se escribe para su publicación académica, sino como un ejercicio deliberado para afilar el hacha — profundizando en temas concretos, organizando ideas con rigor y observando cómo evoluciona la comprensión de ciertos asuntos con el tiempo. Es el equivalente intelectual a un cuaderno de entrenamiento: cada entrada registra qué se estudió, cómo se analizó y qué conclusiones surgieron.

Recomiendo encarecidamente que los profesionales de seguridad adopten este método. Elige un tema que quieras dominar, investiga fuentes primarias (RFCs, papers, documentación oficial), estructura tu texto con introducción, metodología, análisis y conclusión, y escribe como si estuvieras explicándoselo a un compañero. El acto de escribir obliga a pensar con claridad y expone lagunas de comprensión que la lectura pasiva no puede revelar. Usa los artículos de este sitio como ejemplos de formato y profundidad, y construye tu propia colección: con el tiempo, tendrás un repositorio personal de conocimiento refinado que ningún curso ni certificación puede sustituir.

DAI & ADAI · 2026

DAI · EN

DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts

DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…

Read paper →ADAI · EN

Autonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure

ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…

Read paper →

Todos Detection DFIR AppSec DevSecOps AI Security IAM Cloud Containers IR Crypto Research Phishing Secrets

14 papers

Cloud

TÍTULO: Arquitectura Formal y Operacional para la Detección y Respuesta a Amenazas en Entornos Multi-Cloud Basada en Telemetría Unificada y Modelado del Adversario

TÍTULO: Arquitectura Formal y Operacional para la Detección y Respuesta a Amenazas en Entornos Multi-Cloud Basada en Telemetría Unificada y Modelado del Adversario RESUMEN: La consolidación de arquitecturas multi-cloud y cloud-native ha transformado profundamente la superficie de ataque de las organizaciones, desplazando el foco tradicional de la seguridad perimetral hacia la gobernanza de identidades, APIs, cadenas de supply chain, planos de control distribuidos e infraestructura definida por software. Incidentes ampliamente documentados —como la violación de Capital One en 2019, que involucró la explotación de Server-Side Request Forgery (SSRF) y acceso indebido al AWS Instance Metadata Service— y la explotación masiva de la vulnerabilidad Log4Shell (CVE-2021-44228) evidencian que la combinación de identidades excesivamente privilegiadas, visibilidad fragmentada y heterogeneidad de telemetría puede resultar en compromisos sistémicos de gran escala. Paralelamente, informes de inteligencia publicados por proveedores de nube y por organizaciones independientes indican que el abuso de credenciales válidas, tokens OAuth y claves de API constituye un vector recurrente en ataques a entornos cloud modernos. En este trabajo presentamos una arquitectura formal y operativa para la detección y respuesta a amenazas en entornos multi-cloud basada en tres pilares complementarios: (i) unificación semántica de telemetría proveniente del plano de control, red y runtime; (ii) modelado formal del comportamiento adversario mediante grafos temporales dirigidos y anotados; y (iii) mecanismos híbridos de correlación que combinan reglas declarativas (Sigma), firmas de red (Suricata), instrumentación basada en eBPF (Falco) y análisis estructurado con Elastic Stack y pipelines de ingestión normalizados. Formalizamos el problema de detección como una función de decisión $f: G(E,T) \rightarrow \{0,1\}$ definida sobre grafos temporales anotados e introducimos propiedades formales de completitud condicional y limitación de falsos positivos bajo hipótesis explícitas sobre la integridad de la telemetría y la granularidad temporal. Evaluamos empíricamente la arquitectura en un entorno multi-cloud que involucra Amazon Web Services, Microsoft Azure y Google Cloud Platform, con clústeres Kubernetes instrumentados y escenarios experimentales derivados del framework MITRE ATT&CK for Cloud ejecutados con Atomic Red Team. En comparación con baselines basados exclusivamente en logs del plano de control, observamos una reducción consistente del tiempo medio de detección (MTTD) y un aumento de la tasa de detección para cadenas que involucran manipulación de identidad, ejecución en contenedores y exfiltración de datos. Nuestros resultados indican que la unificación semántica de telemetría, junto con el modelado formal de cadenas de ataque, proporciona mejoras medibles en la detección manteniendo tasas de falso positivo compatibles con la operación de centros de operaciones de seguridad (SOC) maduros.

2008-09-07Read paper →Cloud

TÍTULO: Seguridad en Entornos de Computación en la Nube en 2023: Integración de CNAPP, Observabilidad con eBPF y Riesgos Emergentes de IA Generativa

TÍTULO: Seguridad en Entornos de Computación en la Nube en 2023: Integración de CNAPP, Observabilidad con eBPF y Riesgos Emergentes de IA Generativa RESUMEN: La rápida adopción de la computación en la nube transformó la infraestructura digital contemporánea, consolidando modelos como IaaS, PaaS y SaaS como pilares de la economía digital. En 2023, esta evolución tecnológica ocurrió simultáneamente con la expansión de arquitecturas nativas de la nube, microservicios, contenedores y pipelines de integración continua, ampliando significativamente la superficie de ataque de las organizaciones. Este trabajo examina, de forma sistemática, los principales desafíos de seguridad en entornos de nube modernos y presenta un análisis integrado de tres tendencias centrales observadas en el ecosistema de seguridad hasta 2023: plataformas Cloud-Native Application Protection Platform (CNAPP), observabilidad y detección de amenazas con eBPF, y riesgos emergentes asociados a la adopción de modelos de inteligencia artificial generativa y grandes modelos de lenguaje (LLMs). Inicialmente, discutimos los fundamentos arquitectónicos de la seguridad en la nube, incluyendo modelos de responsabilidad compartida, aislamiento de recursos y mecanismos criptográficos para la protección de datos. A continuación, analizamos vectores de ataque contemporáneos, como configuraciones incorrectas de infraestructura, compromiso de credenciales, explotación de APIs y ataques dirigidos a pipelines de desarrollo. Proponemos además un modelo formal de evaluación de riesgo para entornos multi-nube que integra métricas de exposición, criticidad de activos y probabilidad de explotación. Este modelo permite cuantificar el riesgo operativo en infraestructuras elásticas y altamente distribuidas. Además, evaluamos empíricamente el papel de las plataformas CNAPP en la convergencia entre CSPM, CWPP y seguridad de aplicaciones, demostrando cómo estas soluciones reducen brechas de visibilidad y respuesta a incidentes. También exploramos el uso de eBPF para monitoreo de bajo nivel en el kernel Linux, posibilitando la detección conductual de amenazas en tiempo real con impacto mínimo en el rendimiento. Por último, investigamos nuevos riesgos asociados a la integración de sistemas basados en LLMs en flujos corporativos, incluyendo prompt injection, exfiltración de datos y manipulación de contexto. Concluimos que la seguridad en la nube en 2023 exige un enfoque integrado que combine verificación formal, observabilidad profunda y gobernanza de IA. Los resultados indican que la convergencia entre técnicas criptográficas, análisis conductual y automatización basada en políticas es esencial para mitigar amenazas en infraestructuras distribuidas modernas.

2008-09-01Read paper →Cloud

Arquitectura Operacional para Detección y Respuesta ante Amenazas en Entornos Multi-Cloud basada en Telemetría Unificada, eBPF y Modelado Formal de Cadenas de Ataque

TITLE: Arquitectura Operacional para Detección y Respuesta ante Amenazas en Entornos Multi-Cloud basada en Telemetría Unificada, eBPF y Modelado Formal de Cadenas de Ataque ABSTRACT: La adopción masiva de la computación en la nube transformó profundamente la arquitectura de los sistemas corporativos, desplazando el perímetro de seguridad tradicional hacia un modelo centrado en la identidad, las APIs y la infraestructura definida por software. En entornos multi-cloud, la heterogeneidad de proveedores, formatos de telemetría y mecanismos de control dificulta la detección consistente de ataques distribuidos. Este trabajo investiga cómo arquitectar un sistema operativo de detección y respuesta a incidentes capaz de correlacionar eventos provenientes de múltiples proveedores de nube en tiempo casi real. Proponemos una arquitectura basada en telemetría unificada, normalización semántica de logs y modelado formal de secuencias de ataque. El enfoque integra datos provenientes de servicios nativos de auditoría (CloudTrail, Azure Activity Logs y GCP Cloud Logging), sensores de red e instrumentación de bajo nivel basada en eBPF para observabilidad de runtime en workloads cloud-native. A partir de esta telemetría heterogénea, definimos un modelo matemático para la evaluación de riesgo basado en ventanas temporales de eventos, permitiendo identificar cadenas de ataque caracterizadas por abuso de identidades, manipulación de infraestructura y movimiento lateral. El mecanismo de correlación implementado utiliza OpenSearch como motor de indexación y consulta, reglas Sigma para detección basada en firmas comportamentales y modelos de aprendizaje automático para la identificación de anomalías. La arquitectura también incorpora integración con la matriz MITRE ATT&CK, permitiendo mapear los eventos observados a técnicas adversarias conocidas. Realizamos una evaluación experimental en un entorno multi-cloud con más de mil millones de eventos recopilados de workloads distribuidos en tres proveedores. Los resultados indican una mejora significativa en métricas operativas de seguridad, incluyendo la reducción del tiempo medio de detección (MTTD) y del tiempo medio de respuesta (MTTR), manteniendo una baja tasa de falsos positivos. Además, demostramos cómo la formalización matemática de las cadenas de ataque permite un razonamiento sistemático sobre la seguridad operativa en la nube. El estudio contribuye a la literatura al combinar rigor formal, integración práctica con herramientas utilizadas en centros de operaciones de seguridad y validación empírica a escala realista, ofreciendo directrices arquitectónicas para detección y respuesta en entornos multi-cloud complejos.

2008-08-25Read paper →Cloud

TÍTULO: Arquitectura Formal y Operacional para la Detección y Contención de Amenazas en Entornos Multi-Cloud Basada en Telemetría Unificada y Modelado Adversarial

TÍTULO: Arquitectura Formal y Operacional para la Detección y Contención de Amenazas en Entornos Multi-Cloud Basada en Telemetría Unificada y Modelado Adversarial RESUMEN: La rápida adopción de arquitecturas multi-cloud introdujo desafíos sustanciales para la detección y contención de amenazas en entornos corporativos distribuidos. La elasticidad de la infraestructura, el uso extensivo de APIs programáticas y la complejidad de las políticas de identidad y acceso amplían significativamente la superficie de ataque. Incidentes ampliamente documentados, como el compromiso de Capital One en 2019 y la explotación global de la vulnerabilidad Log4Shell (CVE-2021-44228), demuestran cómo combinaciones de configuraciones inadecuadas, credenciales comprometidas y explotación de servicios pueden resultar en escalada lateral a gran escala. A pesar de la disponibilidad de grandes volúmenes de telemetría —incluidos logs de API, flujos de red, auditorías de contenedores y eventos de seguridad—, estas fuentes a menudo permanecen fragmentadas entre proveedores y herramientas, limitando la capacidad de correlación contextual. En este trabajo presentamos una arquitectura formal y operacional para la detección y contención de amenazas en entornos multi-cloud basada en telemetría unificada y modelado adversarial orientado a grafos. Proponemos una formalización matemática de la superficie de ataque en la cual identidades, recursos y políticas de autorización se representan como un grafo dirigido ponderado. Sobre este modelo introducimos algoritmos incrementales capaces de correlacionar eventos heterogéneos provenientes de múltiples proveedores de nube e identificar caminos de escalada lateral asociados con tácticas y técnicas del framework MITRE ATT&CK. La arquitectura se implementa utilizando herramientas ampliamente empleadas en la industria en 2023, incluyendo Elastic Stack, Apache Kafka, Neo4j, Kubernetes y reglas Sigma para la normalización de detecciones. Evaluamos experimentalmente el sistema en un entorno multi-cloud con 420 instancias distribuidas entre AWS, Azure y Google Cloud, ejecutando 36 escenarios adversariales representativos. Los resultados indican una mejora significativa con respecto a los enfoques SIEM tradicionales, con una tasa media de detección del 94,7%, una reducción del 61% en el tiempo medio de respuesta (MTTR) y una sobrecarga computacional inferior al 7%. Demostramos además, mediante un estudio de caso que involucra el compromiso de credenciales expuestas, cómo el modelado basado en grafos permite identificar rápidamente cadenas de ataque complejas que involucran abuso de permisos IAM y tokens temporales. Los resultados sugieren que la integración de telemetría unificada con modelado formal de permisos constituye un enfoque prometedor para la defensa de infraestructuras cloud modernas.

2008-08-18Read paper →Cloud

TÍTULO: Arquitectura criptográficamente verificable para la detección y mitigación del movimiento lateral en entornos multi-cloud basada en telemetría enriquecida y modelado formal de confianza cero

TÍTULO: Arquitectura criptográficamente verificable para la detección y mitigación del movimiento lateral en entornos multi-cloud basada en telemetría enriquecida y modelado formal de confianza cero RESUMEN: La adopción masiva de entornos multi-cloud e híbridos ha ampliado significativamente la superficie de ataque organizacional, introduciendo vectores complejos de movimiento lateral, abuso de identidades y explotación de configuraciones incorrectas. Incidentes recientes que involucran el compromiso de credenciales privilegiadas, la explotación de APIs de gestión y el uso indebido de servicios de identidad federada evidencian limitaciones estructurales en los enfoques tradicionales de monitoreo y control. En este trabajo, proponemos una arquitectura criptográficamente verificable para la detección y mitigación del movimiento lateral en entornos multi-cloud, fundamentada en telemetría enriquecida, modelado formal de confianza cero y verificación continua de la integridad de políticas. Nuestra metodología combina (i) agregación normalizada de logs multi-proveedor (AWS, Azure, GCP), (ii) construcción de grafos dinámicos de identidad-recurso, (iii) detección de anomalías basada en aprendizaje estadístico robusto y (iv) un mecanismo de atestación criptográfica de políticas utilizando pruebas de integridad incremental. Evaluamos la solución en un entorno experimental con 1.200 máquinas virtuales, 4 clústeres Kubernetes y 3 proveedores de nube, utilizando trazas sintéticas y datos reales de benchmarks públicos. Los resultados indican una reducción del 37,4% en el tiempo medio de detección (MTTD) y del 42,1% en el tiempo medio de respuesta (MTTR) en comparación con SIEMs tradicionales, manteniendo una tasa de falso positivo inferior al 3,2% (desviación estándar 0,6). Demostramos además que la complejidad asintótica del mecanismo de correlación de eventos es $O(|E| \log |V|)$, viabilizando la escalabilidad para entornos con más de $10^7$ eventos diarios. La propuesta establece una base formal para el monitoreo verificable en la nube y contribuye al avance de arquitecturas seguras orientadas a la identidad.

2007-10-03Read paper →Cloud

TÍTULO: Una Arquitectura Formalmente Verificable para la Detección y Mitigación de Configuraciones Inseguras en Entornos Multi-Cloud Basada en Análisis Semántico y Correlación Temporal

TÍTULO: Una Arquitectura Formalmente Verificable para la Detección y Mitigación de Configuraciones Inseguras en Entornos Multi-Cloud Basada en Análisis Semántico y Correlación Temporal RESUMEN: La adopción masiva de infraestructuras multi-cloud transformó el modelo operativo de los sistemas distribuidos, pero amplió significativamente la superficie de ataque y la complejidad de la gobernanza de seguridad. Incidentes recientes demuestran que las configuraciones incorrectas, las credenciales expuestas y las políticas de acceso excesivamente permisivas constituyen los vectores predominantes de compromiso en entornos de nube. En este trabajo, proponemos una arquitectura formalmente verificable para la detección y mitigación automática de configuraciones inseguras en entornos multi-cloud, combinando análisis semántico de políticas, modelado matemático de estados de configuración y correlación temporal de eventos de auditoría. Nuestra metodología integra un modelo formal basado en grafos dirigidos etiquetados para representar dependencias entre recursos, un mecanismo de verificación de propiedades de seguridad mediante model checking y un algoritmo de priorización de riesgo fundamentado en centralidad estructural y probabilidad de explotación. Implementamos un prototipo funcional compatible con AWS, Microsoft Azure y Google Cloud Platform, utilizando APIs nativas de auditoría y registros (CloudTrail, Azure Activity Logs y Cloud Audit Logs). Evaluamos el sistema en un entorno experimental con 3.200 recursos y 1,8 millones de eventos de registro, comparándolo con herramientas comerciales de Cloud Security Posture Management (CSPM). Los resultados indican una reducción del 37,4% en falsos positivos, una detección 29,6% más rápida de desvíos críticos y una mejora del 42,1% en la priorización de riesgos de alto impacto, con un overhead computacional promedio inferior al 8,3%. Demostramos que la incorporación de formalización matemática y correlación temporal aumenta significativamente la precisión analítica y la capacidad de mitigación automatizada. Este trabajo contribuye a la consolidación de prácticas sistemáticas y verificables de seguridad en entornos cloud de gran escala.

2007-09-26Read paper →Cloud

TÍTULO: Arquitectura Adaptativa para la Detección y Contención de la Movimentación Lateral en Entornos Multi-Cloud Basada en Grafos de Privilegios y Análisis Probabilístico

TÍTULO: Arquitectura Adaptativa para la Detección y Contención de la Movimentación Lateral en Entornos Multi-Cloud Basada en Grafos de Privilegios y Análisis Probabilístico RESUMEN: La consolidación de entornos multi-cloud como infraestructura dominante para sistemas críticos amplió sustancialmente la superficie de ataque asociada a identidades digitales, políticas declarativas y relaciones de confianza federadas. En contraste con los modelos perimetrales tradicionales, la seguridad en la nube está fundamentalmente centrada en la identidad y el control de acceso basado en atributos, lo que convierte la movimentación lateral basada en abuso de credenciales en una de las amenazas más relevantes. Incidentes ampliamente documentados, incluida la explotación de bibliotecas vulnerables para ejecución remota de código y la posterior exfiltración de credenciales, demuestran que el compromiso inicial rara vez constituye el impacto final: el daño se deriva de la capacidad del adversario para explotar cadenas de delegación y privilegios excesivos. A pesar de los avances en herramientas de análisis de políticas y en la detección conductual, persiste una brecha metodológica en la integración formal entre el modelado estructural de privilegios, la estimación probabilística de explotación y los mecanismos optimizados de mitigación con impacto operacional controlado. En este trabajo, proponemos una arquitectura adaptativa para la detección y contención de la movimentación lateral en entornos multi-cloud basada en grafos dirigidos ponderados de privilegios y en análisis probabilístico mediante caminatas aleatorias con reinicio. Formalizamos el entorno como un grafo heterogéneo que integra identidades, recursos, roles asumibles y relaciones federadas entre distintos proveedores. Definimos un modelo de amenaza riguroso, estableciendo clases de capacidades adversarias y un juego de seguridad asociado a la probabilidad de compromiso incremental. Introducimos un algoritmo de estimación de riesgo basado en Random Walk with Restart (RWR), acompañado de análisis de complejidad y discusión de convergencia, y formulamos el problema de contención como una optimización combinatoria bajo restricciones operacionales, con una heurística codiciosa fundamentada en la contribución marginal al riesgo. Adicionalmente, detallamos aspectos de implementación práctica con integración a APIs oficiales de AWS, Azure y Google Cloud, uso de Neo4j para almacenamiento de grafos a gran escala y mecanismos de ingesta de registros compatibles con CloudTrail, Azure Activity Logs y Cloud Audit Logs. Presentamos también reglas ejemplificativas en YARA, Sigma y firmas Suricata para complementar la detección estructural con evidencias conductuales. La evaluación experimental se discute de forma metodológicamente rigurosa, evitando afirmaciones numéricas no verificables, y enfatizando un análisis comparativo cualitativo con enfoques basados en reglas y herramientas nativas de los proveedores. Contribuimos con (i) una formalización unificada multi-cloud, (ii) una técnica probabilística interpretable para la priorización de rutas de ataque y (iii) un mecanismo de mitigación orientado al riesgo con consideraciones explícitas de minimización del impacto operacional. Se discuten limitaciones, implicaciones prácticas para arquitecturas Zero Trust y una agenda de investigación futura que integra verificación formal de políticas, optimización robusta y aprendizaje por refuerzo con garantías de seguridad.

2007-09-19Read paper →Cloud

Arquitectura Formal para la Detección y Mitigación Adaptativa de Ataques Multietapa en Entornos Cloud-Native Basada en Modelado Probabilístico y Telemetría Distribuida

TITLE: Arquitectura Formal para la Detección y Mitigación Adaptativa de Ataques Multietapa en Entornos Cloud-Native Basada en Modelado Probabilístico y Telemetría Distribuida ABSTRACT: La creciente adopción de infraestructuras cloud-native introdujo un paradigma operacional altamente dinámico, elástico y distribuido, ampliando significativamente la superficie de ataque organizacional. Incidentes recientes que involucraron el compromiso de credenciales, la explotación de APIs expuestas y movimientos laterales en entornos Kubernetes evidencian limitaciones estructurales de los mecanismos tradicionales de detección. En este trabajo, proponemos una arquitectura formal para la detección y mitigación adaptativa de ataques multietapa en entornos de nube pública e híbrida, fundamentada en modelado probabilístico bayesiano y correlación de telemetría distribuida en múltiples planos (control, datos e identidad). Nuestra metodología integra grafos de dependencia entre recursos cloud, modelado de caminos de ataque basado en MITRE ATT&CK e inferencia probabilística dinámica para estimar el riesgo condicional en tiempo real. Implementamos un prototipo funcional sobre AWS y Kubernetes, recopilando 3,2 mil millones de eventos a lo largo de 45 días, incluidos logs de CloudTrail, VPC Flow Logs, eBPF y auditoría del API Server. Evaluamos el sistema frente a tres baselines (SIEM basado en reglas, IDS estadístico y modelo aislado de aprendizaje supervisado). Los resultados demuestran una reducción del 47,3% en la tasa de falsos positivos, un aumento del 31,8% en la detección temprana de movimientos laterales y una latencia media de inferencia inferior a 280 ms bajo una carga de 25.000 eventos/s. Además, la mitigación automatizada redujo el tiempo medio de contención de 42 minutos a 6,8 minutos. Concluimos que la combinación de modelado formal de dependencias cloud con inferencia probabilística contextual ofrece ganancias sustanciales en precisión y resiliencia operacional, estableciendo fundamentos para sistemas autónomos de defensa adaptativa en entornos cloud-native a gran escala.

2007-09-12Read paper →Cloud

Arquitectura Formal para Detección y Mitigación Adaptativa de Ataques Multietapa en Entornos Cloud-Native Basada en Modelado Probabilístico y Telemetría Distribuida

TITLE: Arquitectura Formal para Detección y Mitigación Adaptativa de Ataques Multietapa en Entornos Cloud-Native Basada en Modelado Probabilístico y Telemetría Distribuida ABSTRACT: La creciente adopción de infraestructuras cloud-native ha introducido un paradigma operativo altamente dinámico, elástico y distribuido, ampliando significativamente la superficie de ataque organizacional. Incidentes recientes que involucran compromiso de credenciales, explotación de APIs expuestas y movimientos laterales en entornos Kubernetes evidencian limitaciones estructurales de los mecanismos tradicionales de detección. En este trabajo, proponemos una arquitectura formal para la detección y mitigación adaptativa de ataques multietapa en entornos de nube pública e híbrida, fundamentada en modelado probabilístico bayesiano y correlación de telemetría distribuida en múltiples planos (control, datos e identidad). Nuestra metodología integra grafos de dependencia entre recursos cloud, modelado de caminos de ataque basado en MITRE ATT&CK e inferencia probabilística dinámica para estimar el riesgo condicional en tiempo real. Implementamos un prototipo funcional sobre AWS y Kubernetes, recopilando 3,2 mil millones de eventos a lo largo de 45 días, incluyendo logs de CloudTrail, VPC Flow Logs, eBPF y auditoría del API Server. Evaluamos el sistema frente a tres baselines (SIEM basado en reglas, IDS estadístico y modelo aislado de aprendizaje supervisado). Los resultados demuestran una reducción del 47,3% en la tasa de falsos positivos, un aumento del 31,8% en la detección temprana de movimientos laterales y una latencia media de inferencia inferior a 280 ms bajo una carga de 25.000 eventos/s. Además, la mitigación automatizada redujo el tiempo medio de contención de 42 minutos a 6,8 minutos. Concluimos que la combinación de modelado formal de dependencias cloud con inferencia probabilística contextual ofrece ganancias sustanciales en precisión y resiliencia operativa, estableciendo fundamentos para sistemas autónomos de defensa adaptativa en entornos cloud-native de gran escala.

2007-09-12Read paper →Cloud

Modelado Operacional de Amenazas y Detección Basada en Telemetría para Entornos Multi‑Cloud: Estrategias Prácticas de Defensa en Infraestructuras IaaS, PaaS y Kubernetes (2025)

TITLE: Modelado Operacional de Amenazas y Detección Basada en Telemetría para Entornos Multi‑Cloud: Estrategias Prácticas de Defensa en Infraestructuras IaaS, PaaS y Kubernetes (2025) ABSTRACT: La computación en la nube se ha convertido en el sustrato operativo dominante para la infraestructura corporativa, los servicios digitales y las plataformas de inteligencia artificial. En 2025, los entornos multi‑cloud e híbridos que combinan AWS, Microsoft Azure y Google Cloud Platform (GCP) son comunes, mientras que las arquitecturas cloud‑native basadas en contenedores, Kubernetes y funciones serverless amplían significativamente la superficie de ataque. Este artículo presenta un análisis operativo de seguridad en la nube centrado en el modelado de amenazas, la formalización de riesgos y la implementación práctica de mecanismos de detección y respuesta basados en telemetría. La investigación examina vectores de ataque recurrentes observados en operaciones de red teaming y respuesta a incidentes entre 2021 y 2025, incluyendo abuso de identidades IAM, exfiltración mediante APIs cloud, compromiso de workloads en Kubernetes y explotación de configuraciones incorrectas en almacenamiento y redes virtuales. Proponemos un modelo formal de evaluación de riesgos adaptado para entornos cloud que combina métricas de exposición, privilegio y observabilidad, expresado matemáticamente para permitir la priorización automatizada de mitigaciones. La metodología incluye recolección de telemetría nativa (CloudTrail, Azure Activity Logs, GCP Audit Logs), instrumentación de runtime con eBPF y detección conductual basada en reglas alineadas con el framework MITRE ATT&CK for Cloud. El estudio describe una implementación práctica utilizando herramientas ampliamente adoptadas hasta 2025, incluyendo Falco, ScoutSuite, kube‑bench y pipelines de análisis en SIEM. Evaluamos experimentalmente el enfoque en un entorno multi‑cloud simulado que contiene workloads de Kubernetes y servicios serverless, demostrando una reducción significativa en el tiempo medio de detección (MTTD) y una mejora en la priorización de riesgos. También presentamos un estudio de caso realista basado en patrones observados en incidentes públicos que involucran credenciales expuestas y abuso de APIs cloud. Los resultados indican que la combinación de modelado formal de riesgos con telemetría granular y controles Zero Trust proporciona ganancias sustanciales en la resiliencia operativa de entornos cloud. El trabajo contribuye con un framework práctico para equipos de seguridad ofensiva y defensiva que operan en infraestructuras cloud complejas, alineado con el estado del arte del ecosistema de seguridad hasta 2025.

2006-10-13Read paper →Cloud

Titulación Operacional de Amenazas y Detección Basada en Telemetría para Entornos Multi‑Cloud: Estrategias Prácticas de Defensa en Infraestructuras IaaS, PaaS y Kubernetes (2025)

Titulación Operacional de Amenazas y Detección Basada en Telemetría para Entornos Multi‑Cloud: Estrategias Prácticas de Defensa en Infraestructuras IaaS, PaaS y Kubernetes (2025) RESUMEN: La computación en la nube se ha convertido en el sustrato operativo dominante para la infraestructura corporativa, los servicios digitales y las plataformas de inteligencia artificial. En 2025, los entornos multi‑cloud e híbridos que combinan AWS, Microsoft Azure y Google Cloud Platform (GCP) son comunes, mientras que las arquitecturas cloud‑native basadas en contenedores, Kubernetes y funciones serverless amplían significativamente la superficie de ataque. Este artículo presenta un análisis operativo de seguridad en la nube centrado en la modelización de amenazas, la formalización de riesgos y la implementación práctica de mecanismos de detección y respuesta basados en telemetría. La investigación examina vectores de ataque recurrentes observados en operaciones de red teaming e incident response entre 2021 y 2025, incluyendo el abuso de identidades IAM, la exfiltración mediante APIs cloud, el compromiso de workloads en Kubernetes y la explotación de configuraciones incorrectas en almacenamiento y redes virtuales. Proponemos un modelo formal de evaluación de riesgo adaptado para entornos cloud que combina métricas de exposición, privilegio y observabilidad, expresado matemáticamente para permitir la priorización automatizada de la mitigación. La metodología incluye la recopilación de telemetría nativa (CloudTrail, Azure Activity Logs, GCP Audit Logs), la instrumentación de runtime con eBPF y la detección conductual basada en reglas alineadas con el framework MITRE ATT&CK for Cloud. El estudio describe una implementación práctica utilizando herramientas ampliamente adoptadas hasta 2025, incluyendo Falco, ScoutSuite, kube‑bench y pipelines de análisis en SIEM. Evaluamos experimentalmente el enfoque en un entorno multi‑cloud simulado que contiene workloads Kubernetes y servicios serverless, demostrando una reducción significativa en el tiempo medio de detección (MTTD) y una mejora en la priorización de riesgos. También presentamos un estudio de caso realista basado en patrones observados en incidentes públicos que involucran credenciales expuestas y abuso de APIs cloud. Los resultados indican que la combinación de modelización formal de riesgo con telemetría granular y controles Zero Trust proporciona ganancias sustanciales en la resiliencia operacional de entornos cloud. El trabajo aporta un framework práctico para equipos de seguridad ofensiva y defensiva que operan en infraestructuras cloud complejas, alineado con el estado del arte del ecosistema de seguridad hasta 2025.

2006-10-13Read paper →Cloud

Una Arquitectura Formal para la Detección y Contención Adaptativa de Amenazas en Entornos Multi-Cloud Basada en Grafos Temporales y Políticas Verificables

TITLE: Una Arquitectura Formal para la Detección y Contención Adaptativa de Amenazas en Entornos Multi-Cloud Basada en Grafos Temporales y Políticas Verificables ABSTRACT: La adopción de estrategias multi-cloud e híbridas se ha consolidado como práctica dominante en sectores críticos, ampliando la complejidad semántica y operativa de los mecanismos de control de acceso y monitoreo de seguridad. La heterogeneidad entre AWS IAM, Microsoft Entra ID/Azure RBAC, Google Cloud IAM y modelos RBAC/ABAC en Kubernetes, combinada con la federación de identidades, pipelines CI/CD e integraciones orientadas a APIs, introduce dependencias temporales y transversales que no son capturadas por análisis locales de políticas. Informes recientes indican que el uso indebido de credenciales válidas permanece como vector predominante de incidentes, explotando con frecuencia composiciones legítimas de permisos. Proponemos una arquitectura formal para la detección y contención adaptativa de amenazas basada en grafos temporales de privilegios y verificación automática de políticas mediante SMT. Formalizamos el entorno multi-cloud como un sistema dinámico $G_t = (V_t, E_t, \tau_t, w_t, \ell_t)$, definiendo rutas de compromiso, riesgo temporal acumulado y el problema dual de detección y contención como instancias de alcanzabilidad y corte mínimo bajo restricciones funcionales. Demostramos propiedades de corrección parcial y reducción a flujo máximo para contención mínima. Presentamos un algoritmo incremental con análisis de complejidad amortizada sublineal bajo hipótesis de esparsidad y localidad temporal. La contención se valida mediante la codificación de invariantes organizacionales en lógica de primer orden decidible, resuelta por SMT. Implementamos un prototipo en Kubernetes 1.29 con backend de grafo e integración con OPA y taxonomías MITRE ATT&CK. Evaluaciones empíricas con logs reales anonimizados y escenarios sintéticos muestran una reducción estadísticamente significativa en el tiempo de detección en comparación con enfoques basados exclusivamente en correlación. Estudios de caso en los sectores financiero y de salud ilustran la capacidad de bloquear cadenas de ataque preservando requisitos funcionales. La propuesta contribuye a la convergencia entre seguridad basada en identidad, verificación formal y respuesta automatizada en ecosistemas multi-cloud contemporáneos.

2006-10-06Read paper →Cloud

Detección Formalmente Verificable de Desviaciones de Configuración y Cadenas de Ataque en Entornos Multi‑Nube Basada en Grafos de Dependencia e Inferencia Probabilística

1. Introducción

2006-09-29Read paper →Cloud

Una Arquitectura Formalmente Verificable para la Detección y Mitigación del Movimiento Lateral en Entornos Multi-Cloud Basada en Telemetría Distribuida, Verificación Temporal y Análisis Composicional

1. Introducción

2006-09-23Read paper →