Research / Paper Files
Paper Files
Paper Files es una práctica personal de estudio continuo en ciberseguridad que aplica el método científico como herramienta de aprendizaje. Cada artículo no se escribe para su publicación académica, sino como un ejercicio deliberado para afilar el hacha — profundizando en temas concretos, organizando ideas con rigor y observando cómo evoluciona la comprensión de ciertos asuntos con el tiempo. Es el equivalente intelectual a un cuaderno de entrenamiento: cada entrada registra qué se estudió, cómo se analizó y qué conclusiones surgieron.
Recomiendo encarecidamente que los profesionales de seguridad adopten este método. Elige un tema que quieras dominar, investiga fuentes primarias (RFCs, papers, documentación oficial), estructura tu texto con introducción, metodología, análisis y conclusión, y escribe como si estuvieras explicándoselo a un compañero. El acto de escribir obliga a pensar con claridad y expone lagunas de comprensión que la lectura pasiva no puede revelar. Usa los artículos de este sitio como ejemplos de formato y profundidad, y construye tu propia colección: con el tiempo, tendrás un repositorio personal de conocimiento refinado que ningún curso ni certificación puede sustituir.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →18 papers
Seguridad de contenedores en Kubernetes y entornos cloud-native en 2026: modelo de amenazas, técnicas de ataque y defensa con eBPF, supply chain y hardening multi-capa
La adopción masiva de contenedores y Kubernetes consolidó en 2026 una superficie de ataque distinta a la de las plataformas virtualizadas tradicionales. Este trabajo analiza la seguridad de contenedores desde una perspectiva integral, combinando aislamiento del kernel, configuración del runtime, seguridad del plano de control, integridad de la cadena de suministro, observabilidad basada en eBPF y controles de gobernanza para entornos cloud-native. Se propone una formalización del problema que modela al contenedor como un proceso aislado cuya seguridad depende de la composición entre kernel, runtime, orquestador, registro de imágenes, CI/CD y políticas de admisión. A partir de esa formalización, se desarrolla una metodología defensiva de cuatro capas: prevención, detección, respuesta y verificación continua. La propuesta incorpora controles concretos como seccomp, AppArmor/SELinux, rootless containers, user namespaces, políticas de Kubernetes, firmas con Sigstore, SBOM, escaneo de dependencias e instrumentación con eBPF para detectar comportamientos anómalos, abuso de capacidades, montaje de sockets sensibles, acceso a namespaces y evasión de restricciones. Se presentan resultados experimentales comparando configuraciones inseguras versus endurecidas en escenarios realistas de escape lógico, ejecución de procesos privilegiados, abuso de API y exfiltración lateral. También se analiza un caso de estudio inspirado en incidentes reales de supply chain y exposición de planos de control mal configurados, mostrando cómo una cadena de compromisos puede iniciarse en la fase de build y materializarse en el runtime. El artículo concluye que la seguridad de contenedores en 2026 no puede reducirse al aislamiento del runtime; requiere una arquitectura de defensa en profundidad gobernada por políticas, validada continuamente y alineada con principios de Zero Trust, CNAPP y seguridad de la IA aplicada a entornos de desarrollo y operaciones.
Read paper →ContainersSeguridad de contenedores en 2026: modelo de amenaza, superficies de ataque y una arquitectura defensiva integral para Kubernetes y entornos cloud-native
La adopción masiva de contenedores en arquitecturas cloud-native ha consolidado una superficie de ataque singular: combina la elasticidad operativa de la virtualización ligera con dependencias complejas en el kernel, el plano de control, la cadena de suministro de software y los mecanismos de orquestación. En 2026, la seguridad de contenedores ya no puede limitarse a escaneo de imágenes o políticas de admisión; requiere una visión sistémica que integre hardening del host, minimización de privilegios, prevención de escalada en runtime, control de identidad, observabilidad con telemetría de kernel, protección del registry y gobernanza de artefactos. Este trabajo presenta un análisis técnico y actualizado del riesgo de contenedores en escenarios Kubernetes y Kubernetes-adjacent, formaliza un modelo de amenaza centrado en adversarios con acceso inicial limitado, y propone una metodología defensiva basada en defensa en profundidad, verificación de integridad, políticas declarativas y detección conductual. Se examinan vectores de ataque vigentes hasta 2026, incluyendo escape por mala configuración, abuso de capacidades Linux, exposición del socket del daemon, envenenamiento de imágenes, secuestro de pipelines CI/CD, y explotación de debilidades históricas en el ecosistema de containerd, runc y kernel Linux. Además, se evalúa la eficacia de controles modernos como seccomp, AppArmor/SELinux, Rootless containers, firmas con Sigstore/cosign, políticas con OPA Gatekeeper y Kyverno, e instrumentación eBPF para detección en tiempo de ejecución. La evaluación experimental compara escenarios configurados de forma insegura frente a una postura endurecida, utilizando métricas de reducción de superficie, latencia operacional y resiliencia ante técnicas representativas. El resultado es un marco práctico para equipos de seguridad y plataformas que buscan elevar el costo operativo del adversario sin comprometer de manera excesiva la agilidad de despliegue. El artículo también discute implicaciones de AI/ML en detección y de gobernanza de software, proponiendo líneas de investigación para 2026 y más allá.
Read paper →ContainersSeguridad de contenedores en entornos nativos de nube: modelado de amenazas, endurecimiento, detección y respuesta en plataformas Docker, containerd, Kubernetes y eBPF en 2026
La adopción de contenedores se consolidó como uno de los pilares operativos de la computación en nube, la ingeniería de plataformas y la entrega continua. Sin embargo, su aparente ligereza no implica aislamiento fuerte por defecto. En 2026, los entornos de contenedores siguen exponiendo superficies de ataque complejas: escape de contenedores, abuso de privilegios, escalada a nivel de nodo, envenenamiento de supply chain, abuso de imágenes, exposición de secretos, pivoteo lateral en clústeres Kubernetes y persistencia mediante workloads legítimos. Este trabajo presenta un análisis integral de la seguridad de contenedores desde una perspectiva defensiva y operativa. Primero, formaliza el problema considerando la separación entre espacio de usuario, kernel compartido, runtime, orquestador y cadena de suministro. Luego propone una metodología de defensa en profundidad que combina políticas de admisión, control de acceso mínimo, firma y verificación de artefactos, análisis de imágenes, restricciones de kernel, observabilidad con eBPF, y respuesta automatizada en el plano de orquestación. La metodología se traduce en patrones de implementación concretos para Docker, containerd y Kubernetes con herramientas históricamente disponibles hasta 2026, incluyendo seccomp, AppArmor, SELinux, Pod Security Admission, OPA Gatekeeper, Kyverno, Falco, Tetragon, Trivy, Grype, Cosign, SBOM y mecanismos de attestation. También se presenta una evaluación experimental con métricas de reducción de superficie de ataque, costo operativo y latencia de despliegue bajo distintos perfiles de endurecimiento. A través de un caso de estudio sobre un entorno microservicios expuesto a abuso de secretos y privilegios excesivos, se demuestra que la combinación de controles de construcción, despliegue y runtime reduce significativamente la probabilidad de compromiso y acelera la contención. El artículo concluye que la seguridad de contenedores en 2026 debe entenderse como un problema de ciclo de vida completo, no como una propiedad inherente de la tecnología, y que la convergencia entre seguridad de software, seguridad de plataforma y telemetría en tiempo de ejecución es indispensable para operar a escala.
Read paper →ContainersSeguridad de Containers en Entornos Cloud-Native: Modelado de Amenazas, Técnicas de Explotación y Estrategias de Defensa en Ecosistemas Docker y Kubernetes (2023)
TITLE: Seguridad de Containers en Entornos Cloud-Native: Modelado de Amenazas, Técnicas de Explotación y Estrategias de Defensa en Ecosistemas Docker y Kubernetes (2023) ABSTRACT: La adopción de containers ha transformado profundamente la ingeniería de software y la seguridad operacional en entornos cloud-native. Tecnologías como Docker y Kubernetes se han convertido en la base de la infraestructura moderna, permitiendo portabilidad, escalabilidad y automatización a gran escala. Sin embargo, esta nueva arquitectura también introduce una superficie de ataque distinta, caracterizada por un aislamiento basado en un kernel compartido, dependencias complejas de imágenes y cadenas de suministro de software potencialmente vulnerables. Este trabajo presenta un análisis profundo de la seguridad de containers desde una perspectiva ofensiva y defensiva, considerando el estado del arte hasta 2023. Inicialmente, examinamos los fundamentos técnicos del modelo de containers Linux, incluyendo namespaces, cgroups y el runtime OCI. A continuación, analizamos vectores de ataque recurrentes observados en incidentes reales, como escape de containers, explotación de runtimes, compromiso de la cadena de build y ataques a clústeres Kubernetes. Proponemos un modelo formal de amenaza que captura las relaciones entre workload, runtime, host y plano de control, permitiendo la cuantificación del riesgo basada en la probabilidad de explotación y el impacto operacional. La metodología presentada combina análisis estático de imágenes, monitoreo comportamental basado en eBPF y políticas de aislamiento reforzadas por seccomp, AppArmor y Pod Security Standards. La implementación experimental se llevó a cabo en un clúster Kubernetes con instrumentación utilizando herramientas ampliamente empleadas en 2023, incluyendo Falco, Trivy y kube-bench. Los resultados demuestran una reducción significativa en la exposición a vulnerabilidades conocidas y una mejora en la detección de comportamiento anómalo en tiempo casi real. También presentamos un estudio de caso basado en campañas de cryptomining observadas en clústeres Kubernetes comprometidos. La discusión explora limitaciones prácticas, desafíos de gobernanza e implicaciones de la seguridad de la cadena de suministro de containers. Concluimos destacando direcciones futuras, incluyendo la integración con modelos Zero Trust, la observabilidad basada en eBPF y la automatización de la respuesta a incidentes en entornos cloud-native. Este estudio proporciona una visión operacional y técnica para profesionales de seguridad, arquitectos de infraestructura e investigadores interesados en la defensa de ecosistemas de containers.
Read paper →ContainersTÍTULO: Arquitectura Formal y Operacional para la Detección y Contención de Amenazas en Entornos Containerizados Basados en Kubernetes
TÍTULO: Arquitectura Formal y Operacional para la Detección y Contención de Amenazas en Entornos Containerizados Basados en Kubernetes RESUMEN: La adopción de arquitecturas cloud-native basadas en contenedores transformó profundamente la forma en que las aplicaciones distribuidas se diseñan, implementan y escalan. Kubernetes se consolidó como el principal sistema de orquestación para la gestión de workloads containerizados, ofreciendo abstracciones declarativas para el escalado, la tolerancia a fallos y la automatización operativa. Sin embargo, esta capa adicional de abstracción introduce nuevos vectores de ataque y amplía la superficie de exposición, particularmente en entornos con alta densidad de contenedores efímeros y cadenas de suministro complejas de imágenes. Explotaciones de vulnerabilidades en runtimes de contenedores, configuraciones inseguras de APIs de orquestación y campañas automatizadas de criptominería en clústeres mal configurados demuestran que los mecanismos tradicionales de seguridad son insuficientes para lidiar con la naturaleza dinámica de estos entornos. En este trabajo, proponemos una arquitectura formal y operacional para la detección y contención de amenazas en clústeres Kubernetes, combinando modelado matemático de estados del sistema con mecanismos prácticos de observabilidad y respuesta automatizada. Formalizamos el entorno containerizado como un sistema de transiciones etiquetadas LTS = (S, A, →), permitiendo expresar propiedades de integridad y no interferencia relacionadas con la interacción entre contenedores, nodos del clúster y plano de control. Sobre esta base teórica, implementamos un pipeline de seguridad en múltiples capas compuesto por análisis estático de imágenes (Trivy y YARA), políticas declarativas de admisión utilizando Open Policy Agent/Gatekeeper, monitoreo conductual a nivel de kernel con eBPF vía Falco y mecanismos automatizados de aislamiento utilizando NetworkPolicies y controles administrativos de Kubernetes. La arquitectura fue evaluada experimentalmente en un clúster con 120 nodos y 2.400 pods activos, donde se simularon diferentes escenarios de ataque, incluida una tentativa de escape de contenedor, la ejecución de mineros de criptomonedas y el movimiento lateral mediante credenciales comprometidas. Los resultados indican una tasa media de detección de 96,3% con una tasa de falso positivo de 3,8%, además de reducciones significativas en los indicadores operativos MTTD y MTTR. Estos resultados demuestran que la integración entre formalización teórica y telemetría de bajo nivel basada en eBPF constituye un enfoque eficaz para reforzar la seguridad operacional de plataformas cloud-native a escala.
Read paper →ContainersTÍTULO: Arquitectura Formal y Evaluación Empírica de un Modelo de Defensa en Profundidad para Entornos de Contenedores Basados en Kubernetes bajo Amenazas Persistentes Avanzadas
TÍTULO: Arquitectura Formal y Evaluación Empírica de un Modelo de Defensa en Profundidad para Entornos de Contenedores Basados en Kubernetes bajo Amenazas Persistentes Avanzadas RESUMEN: La adopción de arquitecturas basadas en contenedores orquestados por Kubernetes se ha vuelto predominante en infraestructuras de nube nativa debido a su elasticidad, portabilidad y capacidad de automatización operativa. Sin embargo, la creciente complejidad de estos entornos introduce una superficie de ataque ampliada que puede ser explotada por adversarios sofisticados, incluidas campañas de Amenazas Persistentes Avanzadas (Advanced Persistent Threats – APTs). En particular, vectores como el compromiso de la cadena de suministro de imágenes, la explotación de vulnerabilidades del kernel compartido, el abuso de permisos del plano de control y el movimiento lateral entre pods representan desafíos críticos para los equipos de seguridad. En este trabajo, presentamos una arquitectura formal de defensa en profundidad para clústeres Kubernetes, integrando mecanismos de control preventivo, detección conductual y respuesta automatizada. Modelamos el sistema de defensa como un grafo de estados de seguridad $G=(V,E)$, en el cual los vértices representan configuraciones de seguridad del clúster y las aristas representan transiciones inducidas por acciones adversarias o mecanismos de mitigación. La arquitectura propuesta combina políticas declarativas de seguridad (Open Policy Agent/Gatekeeper y Kyverno), inspección de llamadas al sistema basada en eBPF (Falco), segmentación de red con políticas de capa 7 (Cilium), análisis de vulnerabilidades en imágenes (Trivy) y telemetría observable integrada al ecosistema de seguridad de la nube nativa. Realizamos una evaluación empírica en un entorno experimental que contenía múltiples nodos Kubernetes y cargas de trabajo representativas de aplicaciones distribuidas. El escenario experimental reprodujo técnicas documentadas en el framework MITRE ATT&CK para containers, incluyendo escalamiento de privilegios, fuga de contenedores y exfiltración de datos. Los resultados indican que el enfoque de defensa en profundidad reduce significativamente el espacio de ataque observable y mejora el tiempo medio de detección (Mean Time To Detect – MTTD). Observamos que la integración de políticas de admisión, análisis estático de imágenes y monitoreo en tiempo real basado en eBPF permite detectar patrones de comportamiento malicioso con mayor precisión, reduciendo falsos positivos en comparación con enfoques aislados. Concluimos que la formalización de políticas de seguridad combinada con instrumentación observable del kernel constituye un camino prometedor para fortalecer la resiliencia de plataformas Kubernetes frente a adversarios persistentes. El trabajo aporta un modelo analítico, una arquitectura de referencia y resultados experimentales que pueden orientar el desarrollo de estrategias de seguridad para entornos de nube nativa a escala.
Read paper →ContainersCONTAINERSHIELD: Un Marco Formal y Empírico para la Detección y Mitigación de Amenazas en Entornos de Contenedores Basado en Telemetría Multicapa
TITLE: CONTAINERSHIELD: Un Marco Formal y Empírico para la Detección y Mitigación de Amenazas en Entornos de Contenedores Basado en Telemetría Multicapa ABSTRACT: La adopción masiva de contenedores, impulsada por plataformas como Docker y Kubernetes, ha transformado la arquitectura de los sistemas distribuidos, pero ha introducido una superficie de ataque compleja y altamente dinámica. Vulnerabilidades en imágenes, configuraciones inadecuadas de namespaces y capacidades del kernel, además de ataques de escape y movimiento lateral, han sido explotadas sistemáticamente, como lo evidencian CVEs recientes (p. ej., CVE-2019-5736, CVE-2022-0492). En este trabajo, proponemos CONTAINERSHIELD, un marco formal y empírico para la detección y mitigación de amenazas en entornos de contenedores, basado en la correlación de telemetría multicapa (kernel, runtime y orquestador). Modelamos formalmente el entorno como un sistema de transiciones etiquetadas y definimos propiedades de seguridad expresadas en términos de aislamiento, integridad y confinamiento de capacidades. Desarrollamos dos algoritmos centrales: (i) un mecanismo de detección basado en modelado probabilístico del comportamiento mediante cadenas de Markov de orden variable y (ii) un módulo de verificación de políticas que aplica restricciones dinámicas de capacidades de Linux y perfiles seccomp. Implementamos el sistema sobre Kubernetes 1.28 con eBPF y lo evaluamos en un clúster de 48 nodos (768 vCPUs). Utilizando cargas de trabajo reales y 27 escenarios de ataque mapeados a MITRE ATT&CK for Containers, alcanzamos una tasa de detección del 96,4% (±1,8%), con una tasa de falsos positivos del 2,1% y una sobrecarga media del 3,7% en CPU. En comparación con herramientas como Falco y Aqua Security en su configuración predeterminada, nuestro método redujo los falsos positivos en un 38% y mejoró el tiempo medio de detección en un 24%. Demostramos que la integración formal entre modelado de amenazas y telemetría en tiempo real proporciona garantías más robustas de seguridad operativa. CONTAINERSHIELD contribuye a la sistematización rigurosa de la seguridad de contenedores, ofreciendo una vía escalable y verificable para la protección en entornos nativos de la nube.
Read paper →ContainersTÍTULO: Arquitectura Formal y Metodología Operativa para la Detección y Respuesta ante Amenazas en Entornos de Contenedores Basados en Docker y Kubernetes
TÍTULO: Arquitectura Formal y Metodología Operativa para la Detección y Respuesta ante Amenazas en Entornos de Contenedores Basados en Docker y Kubernetes RESUMEN: La adopción masiva de contenedores ha transformado la superficie de ataque de las infraestructuras modernas, especialmente en entornos basados en Docker y Kubernetes. Aunque los contenedores ofrecen un aislamiento ligero mediante namespaces y cgroups del kernel Linux, múltiples incidentes recientes —incluidos escapes de contenedor asociados al CVE-2019-5736 (runc) y campañas de cryptojacking que explotan APIs expuestas de Kubernetes— demuestran que la seguridad de estos entornos sigue siendo insuficientemente comprendida y operacionalizada. En este trabajo, proponemos una arquitectura formal y una metodología operativa para la detección y respuesta ante amenazas en entornos de contenedores, integrando modelado formal de amenazas, instrumentación basada en eBPF, análisis comportamental orientado a MITRE ATT&CK y respuesta automatizada. Nuestra metodología combina tres capas: (i) modelado formal del sistema de contenedores como un grafo dirigido de entidades y flujos; (ii) detección híbrida basada en reglas (Sigma/YARA) y anomalías con aprendizaje estadístico; y (iii) orquestación de respuesta automatizada mediante Kubernetes Admission Controllers y políticas OPA/Gatekeeper. Evaluamos nuestro enfoque en un clúster Kubernetes con 48 nodos, ejecutando 1.200 pods bajo carga sintética y ataques reales reproducidos a partir de TTPs documentadas (T1610, T1611, T1525). Los resultados indican una tasa media de detección del 96,4% con un falso positivo del 3,1%, una latencia media de detección de 420 ms y una sobrecarga de CPU inferior al 4,8%. Contribuimos con: (C1) una formalización matemática del problema de seguridad en contenedores; (C2) un pipeline operativo replicable que integra herramientas ampliamente adoptadas (Falco, Suricata, Trivy, kube-bench, Volatility); y (C3) evidencias empíricas cuantitativas de eficacia y rendimiento a escala realista. Demostramos que la integración coherente entre la instrumentación del kernel, la telemetría del orquestador y la inteligencia de amenazas reduce sustancialmente el tiempo medio de detección (MTTD) y el tiempo medio de respuesta (MTTR), estableciendo directrices prácticas para equipos de seguridad ofensiva y defensiva.
Read paper →ContainersTÍTULO: Arquitectura Formal y Metodología Operacional para la Detección y Respuesta a Amenazas en Entornos de Contenedores Basados en Docker y Kubernetes
TÍTULO: Arquitectura Formal y Metodología Operacional para la Detección y Respuesta a Amenazas en Entornos de Contenedores Basados en Docker y Kubernetes RESUMEN: La adopción masiva de contenedores transformó la superficie de ataque de infraestructuras modernas, especialmente en entornos basados en Docker y Kubernetes. Aunque los contenedores ofrecen aislamiento ligero mediante namespaces y cgroups del kernel Linux, múltiples incidentes recientes —incluidos escapes de contenedor asociados al CVE-2019-5736 (runc) y campañas de cryptojacking que explotan APIs expuestas de Kubernetes— demuestran que la seguridad de estos entornos sigue siendo insuficientemente comprendida y operacionalizada. En este trabajo, proponemos una arquitectura formal y una metodología operacional para la detección y respuesta a amenazas en entornos de contenedores, integrando modelado formal de amenazas, instrumentación basada en eBPF, análisis conductual orientado a MITRE ATT&CK y respuesta automatizada. Nuestra metodología combina tres capas: (i) modelado formal del sistema de contenedores como un grafo dirigido de entidades y flujos; (ii) detección híbrida basada en reglas (Sigma/YARA) y anomalías con aprendizaje estadístico; y (iii) orquestación de respuesta automatizada mediante Kubernetes Admission Controllers y políticas OPA/Gatekeeper. Evaluamos nuestro enfoque en un clúster Kubernetes con 48 nodos, ejecutando 1.200 pods bajo carga sintética y ataques reales reproducidos a partir de TTPs documentadas (T1610, T1611, T1525). Los resultados indican una tasa media de detección de 96,4% con un falso positivo de 3,1%, una latencia media de detección de 420 ms y una sobrecarga de CPU inferior a 4,8%. Contribuimos con: (C1) una formalización matemática del problema de seguridad en contenedores; (C2) un pipeline operacional replicable que integra herramientas ampliamente adoptadas (Falco, Suricata, Trivy, kube-bench, Volatility); y (C3) evidencia empírica cuantitativa de eficacia y rendimiento a una escala realista. Demostramos que la integración coherente entre instrumentación del kernel, telemetría del orquestador e inteligencia de amenazas reduce sustancialmente el tiempo medio de detección (MTTD) y el tiempo medio de respuesta (MTTR), estableciendo directrices prácticas para equipos de seguridad ofensiva y defensiva.
Read paper →ContainersTÍTULO: Una Arquitectura Formalmente Fundamentada para la Detección y Contención de Compromisos en Entornos de Containers Basada en Telemetría Multicapa
TÍTULO: Una Arquitectura Formalmente Fundamentada para la Detección y Contención de Compromisos en Entornos de Containers Basada en Telemetría Multicapa RESUMEN: La adopción masiva de containers como unidad primaria de empaquetado y despliegue en entornos cloud-native introdujo una superficie de ataque sustancialmente distinta de la observada en máquinas virtuales tradicionales. Vulnerabilidades en imágenes base, configuraciones inadecuadas de namespaces, fallas en el aislamiento de cgroups y la explotación de runtimes como runc (p. ej., CVE-2019-5736) han sido explotadas activamente por adversarios. En este trabajo, proponemos una arquitectura formalmente fundamentada para la detección y contención de compromisos en entornos de containers, basada en la correlación de telemetría multicapa (kernel, runtime y orquestador). Nuestra metodología integra modelado comportamental probabilístico, análisis de grafos de dependencia de procesos y políticas adaptativas de aislamiento. Desarrollamos un modelo formal del sistema contenerizado como un grafo dirigido etiquetado $G = (V, E, \lambda)$, en el cual los vértices representan entidades de ejecución y las aristas codifican interacciones observables. Definimos propiedades de seguridad basadas en invariantes de aislamiento y flujo de información, y proponemos dos algoritmos principales: (i) detección basada en desviación estadística multivariable con umbral adaptativo; y (ii) mecanismo de contención automática mediante reconfiguración dinámica de políticas de control de acceso y red. Implementamos un prototipo funcional sobre Kubernetes 1.29, utilizando eBPF para instrumentación de kernel y Open Policy Agent (OPA) para enforcement. Evaluamos el sistema en un clúster de 48 nodos (Intel Xeon Gold, 256 GB RAM), con 1.200 containers y 17 escenarios de ataque representativos (MITRE ATT&CK for Containers). Obtuvimos una tasa media de detección de 96,8% (±1,7%), con una tasa de falsos positivos de 2,3%, y una sobrecarga de CPU inferior a 4,9%. En comparación con soluciones basadas exclusivamente en firmas o en políticas estáticas, nuestro método redujo el tiempo medio de contención en 63%. Los resultados demuestran que la integración de telemetría multicapa con modelado formal y contención automatizada constituye un avance significativo para la seguridad de entornos contenerizados a gran escala.
Read paper →ContainersTÍTULO: Modelado Formal y Arquitectura de Monitoreo Adaptativo para la Seguridad de Containers en Entornos Nativos de la Nube
TÍTULO: Modelado Formal y Arquitectura de Monitoreo Adaptativo para la Seguridad de Containers en Entornos Nativos de la Nube RESUMEN: La adopción masiva de containers y orquestadores como Docker y Kubernetes transformó la ingeniería de software y la operación de infraestructuras críticas, pero introdujo una superficie de ataque ampliada y dinámica. Vulnerabilidades como CVE-2019-5736 (runc) y CVE-2022-0492 (cgroups) evidencian la fragilidad del aislamiento basado en namespaces y mecanismos del kernel Linux cuando están mal configurados o son explotados por adversarios con acceso inicial al container. En este trabajo, proponemos una arquitectura formalmente fundamentada para el monitoreo adaptativo y la contención de amenazas en entornos de containers, combinando modelado matemático de superficies de ataque, detección comportamental basada en grafos de llamadas al sistema y aplicación dinámica de políticas de mitigación. Definimos un modelo de amenaza alineado con MITRE ATT&CK for Containers y formalizamos propiedades de seguridad como aislamiento fuerte, integridad de runtime y no interferencia entre workloads. Desarrollamos dos algoritmos principales: (i) un mecanismo de inferencia incremental de perfiles de comportamiento legítimo con complejidad $O(n \log n)$, y (ii) un módulo de contención adaptativa con análisis de riesgo basado en puntuación bayesiana. Implementamos un prototipo integrado a Kubernetes utilizando eBPF, Falco y admission controllers personalizados. Evaluamos la solución en un cluster con 120 nodos y 3.500 pods, utilizando workloads reales e inyección controlada de ataques mapeados a las técnicas T1610, T1611 y T1525 de MITRE ATT&CK. Los resultados demuestran una tasa de detección de 96,4% con un falso positivo promedio de 2,1%, sobrecarga inferior al 4,8% de CPU y latencia adicional promedio de 3,7 ms por evento monitoreado. Concluimos que el enfoque propuesto eleva significativamente el nivel de seguridad operacional en entornos nativos de la nube, manteniendo viabilidad práctica y escalabilidad.
Read paper →ContainersTÍTULO: ContainerShield++: Un Marco Formal y un Sistema Escalable para la Detección y Mitigación de Amenazas en Entornos de Contenedores Basados en Linux
TÍTULO: ContainerShield++: Un Marco Formal y un Sistema Escalable para la Detección y Mitigación de Amenazas en Entornos de Contenedores Basados en Linux RESUMEN: La virtualización ligera basada en contenedores se ha consolidado como la infraestructura dominante para aplicaciones nativas de la nube, especialmente en entornos orquestados por Kubernetes. Sin embargo, el uso compartido del kernel del sistema operativo entre múltiples cargas de trabajo amplía la superficie de ataque, exigiendo mecanismos rigurosos de aislamiento, verificación de integridad y detección conductual. En este trabajo, presentamos ContainerShield++, un marco formal y un sistema escalable para la detección y mitigación de amenazas en entornos de contenedores Linux, integrando modelado matemático de propiedades de confinamiento, verificación estática de imágenes, aplicación declarativa mediante admission controllers y monitoreo dinámico con eBPF. Formalizamos el aislamiento como propiedades de no interferencia sobre un grafo de capacidades y namespaces, definiendo criterios verificables de confinamiento fuerte bajo un modelo de amenaza en el cual el adversario ejecuta código arbitrario dentro de un contenedor comprometido. Proponemos algoritmos para la evaluación estática de riesgo y la detección dinámica basada en divergencia de distribuciones de llamadas al sistema, utilizando D_KL como métrica de desvío conductual. Implementamos el sistema en un clúster Kubernetes v1.29 con CRI-O, integrando políticas OPA/Gatekeeper y perfiles eBPF validados por el verificador del kernel. Evaluamos experimentalmente el sistema en 120 nodos y 3.600 contenedores, considerando técnicas del MITRE ATT&CK for Containers y escenarios realistas de explotación, incluyendo CVE-2019-5736 y CVE-2022-0492. Obtuvimos una tasa media de detección del 98,7% con una sobrecarga inferior al 4% de CPU y una latencia adicional media de 4,3 μs por syscall. Demostramos superioridad frente a enfoques basados exclusivamente en firmas, como Falco, y discutimos extensiones para la seguridad de cadenas de suministro, firmas Sigstore, criptografía poscuántica para la protección de artefactos e integración con plataformas CNAPP. El trabajo aporta fundamentos formales, validación empírica a gran escala y directrices prácticas para la seguridad de contenedores en el estado del arte de 2025.
Read paper →ContainersContainerShield++: Un Marco Formal y Sistema Escalable para la Detección y Mitigación de Amenazas en Entornos de Contenedores Basados en Linux
TITLE: ContainerShield++: Un Marco Formal y Sistema Escalable para la Detección y Mitigación de Amenazas en Entornos de Contenedores Basados en Linux ABSTRACT: La virtualización ligera basada en contenedores se ha consolidado como la infraestructura dominante para aplicaciones nativas en la nube, especialmente en entornos orquestados por Kubernetes. Sin embargo, el compartido del kernel del sistema operativo entre múltiples workloads amplía la superficie de ataque, exigiendo mecanismos rigurosos de aislamiento, verificación de integridad y detección comportamental. En este trabajo, presentamos ContainerShield++, un marco formal y sistema escalable para la detección y mitigación de amenazas en entornos de contenedores Linux, integrando modelado matemático de propiedades de confinamiento, verificación estática de imágenes, enforcement declarativo mediante admission controllers y monitoreo dinámico con eBPF. Formalizamos el aislamiento como propiedades de no interferencia sobre un grafo de capacidades y namespaces, definiendo criterios verificables de confinamiento fuerte bajo un modelo de amenaza en el cual el adversario ejecuta código arbitrario dentro de un contenedor comprometido. Proponemos algoritmos para la evaluación estática de riesgo y la detección dinámica basada en divergencia de distribuciones de llamadas al sistema, utilizando $D_{KL}$ como métrica de desviación comportamental. Implementamos el sistema en un clúster Kubernetes v1.29 con CRI-O, integrando políticas OPA/Gatekeeper y perfiles eBPF validados por el verificador del kernel. Evaluamos experimentalmente el sistema en 120 nodos y 3.600 contenedores, considerando técnicas de MITRE ATT&CK for Containers y escenarios realistas de explotación, incluyendo CVE-2019-5736 y CVE-2022-0492. Obtuvimos una tasa media de detección de 98,7% con una sobrecarga inferior al 4% de CPU y una latencia adicional media de 4,3 μs por syscall. Demostramos superioridad frente a enfoques basados exclusivamente en firmas, como Falco, y discutimos extensiones para la seguridad de cadenas de suministro, firmas Sigstore, criptografía poscuántica para la protección de artefactos e integración con plataformas CNAPP. El trabajo contribuye con fundamentos formales, validación empírica a gran escala y directrices prácticas para la seguridad de contenedores en el estado del arte de 2025.
Read paper →ContainersUna Arquitectura Formalmente Fundamentada para el Monitoreo y Endurecimiento de Contenedores Basada en Modelado de Comportamiento y Verificación de Integridad en Tiempo de Ejecución
TITLE: Una Arquitectura Formalmente Fundamentada para el Monitoreo y Endurecimiento de Contenedores Basada en Modelado de Comportamiento y Verificación de Integridad en Tiempo de Ejecución ABSTRACT: La adopción masiva de contenedores como unidad primaria de empaquetado y ejecución en entornos cloud-native ha transformado profundamente la superficie de ataque de los sistemas distribuidos modernos. En 2025, infraestructuras basadas en Kubernetes, CNAPP (Cloud-Native Application Protection Platforms), eBPF y cadenas de suministro firmadas digitalmente constituyen el estado de la práctica. Sin embargo, la mayoría de los enfoques industriales permanece fragmentada entre la verificación estática de imágenes y el monitoreo reactivo basado en reglas, careciendo de una fundamentación formal unificada. En este trabajo, proponemos una arquitectura formalmente especificada que integra (i) verificación criptográfica de la integridad estructural mediante árboles de Merkle y firmas compatibles con cadenas de suministro seguras, y (ii) modelado probabilístico del comportamiento en tiempo de ejecución basado en cadenas de Markov discretas sobre secuencias de eventos del sistema recolectados vía eBPF. Formalizamos los contenedores como procesos confinados por namespaces y cgroups, modelando el estado global como un sistema dinámico $S(t)$ y definiendo propiedades de integridad, confinamiento y no interferencia. La detección de anomalías se formula como una prueba de hipótesis sobre la log-verosimilitud de trayectorias observadas, con un umbral $\theta$ calibrado estadísticamente. Demostramos que la composición ortogonal entre invariantes criptográficos y propiedades probabilísticas reduce evasiones y mejora la robustez frente a técnicas documentadas en MITRE ATT&CK para Containers. Implementamos un prototipo en Kubernetes 1.29 con agentes por nodo y evaluamos en un clúster de 40 nodos ejecutando 120 cargas de trabajo heterogéneas, incluyendo cargas con componentes de IA. Los resultados indican una tasa media de detección de 96,7% (IC 95%), falsos positivos de 2,3% y un overhead de CPU inferior al 5%, preservando la escalabilidad. Además, proporcionamos un análisis formal de complejidad, discusión sobre la convergencia del aprendizaje en línea e integración con atestación remota basada en TPM 2.0. La arquitectura propuesta establece una base teóricamente sólida y operativamente viable para el endurecimiento de contenedores en entornos cloud-native contemporáneos.
Read paper →ContainersTÍTULO: Una Arquitectura Formal para la Detección y Contención de Ataques en Entornos de Contenedores Basada en Modelado Composicional de la Superficie de Ataque
TÍTULO: Una Arquitectura Formal para la Detección y Contención de Ataques en Entornos de Contenedores Basada en Modelado Composicional de la Superficie de Ataque RESUMEN: La adopción masiva de contenedores y orquestadores como Kubernetes consolidó el paradigma cloud-native como infraestructura predominante en entornos corporativos hasta 2025. Aunque el modelo de virtualización ligera proporciona eficiencia operativa y elasticidad, el uso compartido del kernel y la naturaleza dinámica de los clústeres amplían significativamente la superficie de ataque. Incidentes recientes que involucran escape de contenedor, explotación de vulnerabilidades en el kernel Linux y movimiento lateral intra-clúster demuestran la necesidad de mecanismos de detección y contención con fundamentación formal y garantías explícitas. En este trabajo, proponemos una arquitectura formal para la detección y contención de ataques en entornos de contenedores basada en modelado composicional de la superficie de ataque. Formalizamos el entorno como un grafo dirigido anotado que integra contenedores, nodos de infraestructura y canales de interacción, definiendo la superficie de ataque como un operador composicional sobre vértices y aristas. Introducimos un método de detección basado en desviaciones estructurales de grafos de llamadas al sistema, utilizando divergencia espectral entre matrices de adyacencia observadas y modelos de referencia aprendidos en fase de baseline. Demostramos propiedades formales bajo hipótesis explícitas, incluyendo un teorema de completitud condicional. Implementamos un prototipo integrado a Kubernetes 1.29 con monitoreo vía eBPF/libbpf y evaluamos el sistema en un clúster de 64 nodos ejecutando 1.200 contenedores. Los resultados indican una tasa media de detección superior al 95% para escenarios alineados con MITRE ATT&CK for Containers, con una tasa de falso positivo inferior al 3% y un overhead medio de CPU del 3,8%. Discutimos implicaciones para la integración con plataformas CNAPP y mecanismos de gobernanza de seguridad, así como limitaciones y vectores de evasión. Concluimos que el modelado composicional formal, aliado al monitoreo eficiente a nivel de kernel, ofrece una base rigurosa y escalable para la protección de entornos contenerizados a gran escala.
Read paper →ContainersUna Arquitectura Formal para la Detección y Contención de Ataques en Entornos de Contenedores Basada en Modelado Composicional de la Superficie de Ataque
TITLE: Una Arquitectura Formal para la Detección y Contención de Ataques en Entornos de Contenedores Basada en Modelado Composicional de la Superficie de Ataque ABSTRACT: La adopción masiva de contenedores y orquestadores como Kubernetes consolidó el paradigma cloud-native como infraestructura predominante en entornos corporativos hasta 2025. Aunque el modelo de virtualización ligera proporciona eficiencia operativa y elasticidad, el uso compartido del kernel y la naturaleza dinámica de los clústeres amplían significativamente la superficie de ataque. Incidentes recientes que involucran escape de contenedores, explotación de vulnerabilidades en el kernel de Linux y movimiento lateral intra-clúster demuestran la necesidad de mecanismos de detección y contención con fundamentación formal y garantías explícitas. En este trabajo, proponemos una arquitectura formal para la detección y contención de ataques en entornos de contenedores basada en el modelado composicional de la superficie de ataque. Formalizamos el entorno como un grafo dirigido anotado que integra contenedores, nodos de infraestructura y canales de interacción, definiendo la superficie de ataque como un operador composicional sobre vértices y aristas. Introducimos un método de detección basado en desviaciones estructurales de grafos de llamadas al sistema, utilizando divergencia espectral entre matrices de adyacencia observadas y modelos de referencia aprendidos en una fase de línea base. Demostramos propiedades formales bajo hipótesis explícitas, incluyendo un teorema de completitud condicional. Implementamos un prototipo integrado con Kubernetes 1.29 con monitoreo mediante eBPF/libbpf y evaluamos el sistema en un clúster de 64 nodos ejecutando 1.200 contenedores. Los resultados indican una tasa media de detección superior al 95% para escenarios alineados con MITRE ATT&CK for Containers, con una tasa de falsos positivos inferior al 3% y una sobrecarga media de CPU del 3,8%. Discutimos implicaciones para la integración con plataformas CNAPP y mecanismos de gobernanza de seguridad, así como limitaciones y vectores de evasión. Concluimos que el modelado composicional formal, combinado con monitoreo eficiente a nivel de kernel, ofrece una base rigurosa y escalable para la protección de entornos contenedorizados a gran escala.
Read paper →ContainersTÍTULO: Una Arquitectura Formal para la Detección y Mitigación de Escapes de Contenedores Basada en Perfiles Comportamentales Probabilísticos y Verificación de Políticas en el Kernel
TÍTULO: Una Arquitectura Formal para la Detección y Mitigación de Escapes de Contenedores Basada en Perfiles Comportamentales Probabilísticos y Verificación de Políticas en el Kernel RESUMEN: La virtualización basada en contenedores se ha consolidado como fundamento de la infraestructura nativa de la nube, pero su dependencia de un kernel compartido impone desafíos estructurales de seguridad. Los escapes de contenedores siguen siendo vectores críticos de compromiso, especialmente en entornos Kubernetes de gran escala, en los cuales vulnerabilidades en el runtime, en el subsistema de cgroups o en el propio kernel pueden derivar en una violación del aislamiento. En este trabajo, proponemos una arquitectura formal para la detección y mitigación de escapes de contenedores basada en modelado probabilístico de secuencias de llamadas al sistema y en la síntesis automática de políticas de seguridad a nivel de kernel. Modelamos el comportamiento legítimo de las aplicaciones como un lenguaje probabilístico sobre el alfabeto de syscalls, instanciado por cadenas de Markov de orden variable con suavizado bayesiano. Derivamos límites formales de corrección y completitud bajo parámetros $(\epsilon, \delta)$ e introducimos un criterio de decisión basado en la log-verosimilitud acumulada. A partir del soporte empírico observado, sintetizamos automáticamente perfiles mínimos de seccomp y políticas compatibles con LSMs modernos (AppArmor o SELinux), reduciendo cuantificablemente la superficie de ataque. Implementamos la arquitectura con eBPF acoplado a tracepoints del kernel Linux 6.x, integrándola en un clúster Kubernetes 1.28 con containerd 1.7. En una evaluación experimental que involucró 120 nodos y 1.800 contenedores, obtuvimos una reducción media del 72,4% en el conjunto de syscalls permitidas, una tasa de detección del 96,1% y una sobrecarga media de CPU del 3,7%. Demostramos además que el enfoque supera mecanismos basados exclusivamente en reglas heurísticas, manteniendo escalabilidad y baja latencia. Concluimos que la combinación de modelado probabilístico formal, verificación eficiente en el kernel y síntesis automática de políticas constituye una estrategia robusta para el endurecimiento dinámico de entornos contenerizados en 2025.
Read paper →ContainersUna Arquitectura Formal para la Detección y Mitigación de Escapes de Contenedores Basada en Perfiles Comportamentales Probabilísticos y Verificación de Políticas en el Kernel
TITLE: Una Arquitectura Formal para la Detección y Mitigación de Escapes de Contenedores Basada en Perfiles Comportamentales Probabilísticos y Verificación de Políticas en el Kernel ABSTRACT: La virtualización basada en contenedores se ha consolidado como fundamento de la infraestructura nativa en la nube, pero su dependencia de un kernel compartido impone desafíos estructurales de seguridad. Los escapes de contenedores siguen siendo vectores críticos de compromiso, especialmente en entornos Kubernetes de gran escala, en los cuales vulnerabilidades en el runtime, en el subsistema de cgroups o en el propio kernel pueden resultar en violación del aislamiento. En este trabajo, proponemos una arquitectura formal para la detección y mitigación de escapes de contenedores basada en modelado probabilístico de secuencias de llamadas al sistema y síntesis automática de políticas de seguridad a nivel del kernel. Modelamos el comportamiento legítimo de aplicaciones como un lenguaje probabilístico sobre el alfabeto de syscalls, instanciado por cadenas de Markov de orden variable con suavizado bayesiano. Derivamos límites formales de corrección y completitud bajo parámetros $(\epsilon, \delta)$ e introducimos un criterio de decisión basado en log-verosimilitud acumulada. A partir del soporte empírico observado, sintetizamos automáticamente perfiles mínimos de seccomp y políticas compatibles con LSMs modernos (AppArmor o SELinux), reduciendo cuantificablemente la superficie de ataque. Implementamos la arquitectura con eBPF acoplado a tracepoints del kernel Linux 6.x, integrándola a un clúster Kubernetes 1.28 con containerd 1.7. En una evaluación experimental que involucró 120 nodos y 1.800 contenedores, obtuvimos una reducción media del 72,4% en el conjunto de syscalls permitidas, una tasa de detección del 96,1% y una sobrecarga media de CPU del 3,7%. Demostramos además que el enfoque supera mecanismos basados exclusivamente en reglas heurísticas, manteniendo escalabilidad y baja latencia. Concluimos que la combinación de modelado probabilístico formal, verificación eficiente en el kernel y síntesis automática de políticas constituye una estrategia robusta para el endurecimiento dinámico de entornos contenerizados en 2025.
Read paper →