Research / Paper Files

Paper Files

Paper Files es una práctica personal de estudio continuo en ciberseguridad que aplica el método científico como herramienta de aprendizaje. Cada artículo no se escribe para su publicación académica, sino como un ejercicio deliberado para afilar el hacha — profundizando en temas concretos, organizando ideas con rigor y observando cómo evoluciona la comprensión de ciertos asuntos con el tiempo. Es el equivalente intelectual a un cuaderno de entrenamiento: cada entrada registra qué se estudió, cómo se analizó y qué conclusiones surgieron.

Recomiendo encarecidamente que los profesionales de seguridad adopten este método. Elige un tema que quieras dominar, investiga fuentes primarias (RFCs, papers, documentación oficial), estructura tu texto con introducción, metodología, análisis y conclusión, y escribe como si estuvieras explicándoselo a un compañero. El acto de escribir obliga a pensar con claridad y expone lagunas de comprensión que la lectura pasiva no puede revelar. Usa los artículos de este sitio como ejemplos de formato y profundidad, y construye tu propia colección: con el tiempo, tendrás un repositorio personal de conocimiento refinado que ningún curso ni certificación puede sustituir.

DAI & ADAI · 2026

DAI · EN

DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts

DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…

Read paper →ADAI · EN

Autonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure

ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…

Read paper →

Todos Detection DFIR AppSec DevSecOps AI Security IAM Cloud Containers IR Crypto Research Phishing Secrets

20 papers

DevSecOps

DevSecOps resistente a amenazas de IA y cadenas de suministro: un marco operativo de seguridad continua para CI/CD, contenedores y GitOps en 2026

DevSecOps ha evolucionado desde un conjunto de prácticas de integración temprana de seguridad en el ciclo de vida del software hacia una disciplina operacional orientada a la reducción continua del riesgo en cadenas de suministro de software cada vez más automatizadas, efímeras y distribuidas. En 2026, la convergencia de CI/CD, Kubernetes, GitOps, contenedores, IaC y plataformas cloud-native exige controles que sean verificables, reproducibles y resistentes frente a adversarios que explotan credenciales robadas, dependencias comprometidas, artefactos manipulados, secretos expuestos y abusos de herramientas de desarrollo asistidas por IA. Este artículo propone un marco DevSecOps centrado en la defensa de la cadena de entrega de software mediante controles de identidad fuerte, firma y verificación de artefactos, políticas declarativas, análisis continuo de código y dependencias, escaneo de infraestructura como código, hardening de pipelines, observabilidad basada en eventos de construcción y despliegue, y respuesta automatizada ante hallazgos de seguridad. La contribución principal consiste en formalizar el problema como una optimización multiobjetivo donde se busca minimizar exposición, tiempo de remediación y superficie de ataque, manteniendo restricciones de disponibilidad y velocidad de entrega. Se presenta una metodología híbrida que combina SAST, DAST, SCA, secret scanning, IaC scanning, policy-as-code y verificación de procedencia de artefactos con SLSA, Sigstore, SBOM y attestations. Además, se ofrece una implementación de referencia con herramientas ampliamente adoptadas en 2026, como GitHub Actions, GitLab CI, Jenkins, Trivy, Semgrep, Grype, Checkov, Kyverno, OPA, cosign, Syft y gitleaks. La evaluación experimental demuestra mejoras medibles en cobertura de detección, reducción de secretos expuestos y cumplimiento de controles de supply chain, con costos operativos acotados. Finalmente, se analiza un caso de estudio realista de modernización de una plataforma de microservicios, destacando beneficios, limitaciones y líneas futuras en seguridad para entornos con IA generativa, postura continua y criptografía poscuántica.

2026-05-11Read paper →DevSecOps

DevSecOps adaptativo en 2026: integración de seguridad continua, telemetría e ingeniería de confianza cero para pipelines de software y plataformas nativas de nube

La adopción de DevSecOps en 2026 ya no se limita a insertar escáneres de vulnerabilidades en la cadena de integración continua. En entornos nativos de nube, impulsados por IA y con una superficie de ataque ampliada por dependencias de terceros, contenedores, funciones serverless y automatización basada en agentes, la seguridad debe ser tratada como una propiedad sistémica del ciclo de vida del software. Este trabajo propone y formaliza un modelo de DevSecOps adaptativo que combina controles preventivos, detectivos y correctivos con telemetría continua, políticas como código, attestations de procedencia, análisis híbrido estático-dinámico y retroalimentación operacional basada en riesgo. El objetivo es reducir el tiempo de exposición a vulnerabilidades, disminuir la carga cognitiva de los equipos de desarrollo y asegurar trazabilidad verificable desde el commit hasta el despliegue en producción. La propuesta integra prácticas maduras de Supply Chain Security, Zero Trust, CNAPP, eBPF, SBOM, SLSA y gestión de secretos, y se alinea con amenazas observadas en 2024–2026, incluyendo ataques de dependencia, comprometimiento de runners, manipulación de artefactos, poisoning de pipelines y abuso de credenciales efímeras. Además, se presenta una metodología de implementación reproducible basada en Kubernetes, GitHub Actions, GitLab CI, Trivy, Semgrep, Grype, Syft, cosign, in-toto y Open Policy Agent, junto con un esquema de evaluación que cuantifica eficacia, fricción operativa y reducción del riesgo residual mediante métricas como cobertura de controles, tasa de falsos positivos, $MTTD$, $MTTR$ y exposición acumulada $E=\sum_i v_i \cdot t_i$. Se incluye un estudio de caso sobre una plataforma SaaS con microservicios y cargas de IA, mostrando cómo la introducción de políticas de firma, escaneo de dependencias, hardening de runners y observabilidad de runtime reduce sustancialmente la ventana de explotación. El artículo concluye que el DevSecOps de 2026 debe ser medible, automatizable y resistente a ataques contra la cadena de suministro, y que su valor real surge cuando la seguridad deja de ser una etapa y pasa a ser un sistema de control en tiempo real.

2026-05-03Read paper →DevSecOps

DevSecOps resiliente en 2026: modelo integral para integración continua segura, suministro de software verificable y reducción de riesgo en cadenas de entrega modernas

Este artículo presenta una propuesta integral de DevSecOps, formulada para el contexto técnico y de amenazas de 2026, con foco en cadenas de suministro de software, automatización de controles, verificación criptográfica, gobernanza de artefactos y observabilidad de seguridad en entornos cloud-native, híbridos y regulados. La literatura y la práctica industrial muestran que la mera incorporación de herramientas de análisis estático, escaneo de dependencias o políticas de infraestructura como código no garantiza una reducción sostenible del riesgo; por el contrario, los ataques recientes contra CI/CD, repositorios, registries, pipelines y sistemas de identidad evidencian que el problema es sistémico, no puntual. Este trabajo formaliza un modelo de amenaza orientado a DevSecOps que considera adversarios con capacidades de compromiso de código fuente, inserción de dependencias maliciosas, abuso de tokens de automatización, envenenamiento de artefactos y evasión de controles en runtime. A partir de dicho modelo, se propone una metodología basada en tres capas: prevención, detección y respuesta continua, implementada mediante controles como SLSA, SBOM, firmas Sigstore, políticas OPA/Gatekeeper, escaneo con herramientas consolidadas como Trivy, Semgrep, Gitleaks y Grype, y telemetría con eBPF y OpenTelemetry. Se incluye una formulación matemática del riesgo residual y una estrategia de priorización que pondera criticidad, explotabilidad, exposición y madurez de remediación. La evaluación experimental, basada en un entorno de referencia con microservicios, infraestructura como código y pipeline de integración/entrega, demuestra que el enfoque reduce significativamente la ventana de exposición y mejora la trazabilidad forense frente a configuraciones tradicionales de DevOps con seguridad tardía. Finalmente, se discute la viabilidad operativa, las limitaciones, los costos de adopción y las implicaciones para organizaciones que buscan madurar su postura frente a amenazas de 2026, incluyendo phishing asistido por modelos generativos, ataques a identidades no humanas, riesgos de CI/CD y exigencias de cumplimiento como NIST SSDF, ISO/IEC 27001 y marcos de confianza cero.

2026-04-21Read paper →DevSecOps

TÍTULO: Arquitectura DevSecOps orientada por riesgo con correlación multietapa basada en MITRE ATT&CK y evidencias empíricas en pipelines CI/CD nativos en la nube

TÍTULO: Arquitectura DevSecOps orientada por riesgo con correlación multietapa basada en MITRE ATT&CK y evidencias empíricas en pipelines CI/CD nativos en la nube RESUMEN: La creciente adopción de arquitecturas nativas en la nube y de pipelines CI/CD altamente automatizados ha ampliado significativamente la superficie de ataque asociada al ciclo de vida de desarrollo de software. Incidentes ampliamente documentados, incluidos compromisos de la cadena de suministro y la explotación de vulnerabilidades ampliamente distribuidas, demuestran que los controles de seguridad aislados son insuficientes cuando no se integran con mecanismos de priorización contextual y correlación conductual. En este trabajo presentamos una arquitectura DevSecOps orientada por riesgo que integra análisis estático de código, análisis de dependencias, generación y verificación de SBOM, validación de infraestructura como código, detección conductual en tiempo de ejecución y un motor formal de cálculo de riesgo contextual. La arquitectura utiliza el framework MITRE ATT&CK como ontología para la correlación multietapa de eventos a lo largo de todo el pipeline de desarrollo y ejecución. Realizamos un análisis crítico de las limitaciones de los enfoques basados exclusivamente en CVSS, demostrando que la ausencia de contextualización operacional conduce con frecuencia a una priorización inadecuada de vulnerabilidades y a la fatiga de alertas. Proponemos una formulación matemática del riesgo como función compuesta de la probabilidad de explotación estimada por EPSS, el impacto técnico normalizado y factores dinámicos de exposición operacional. Introducimos definiciones formales de adversario, propiedades de corrección del mecanismo de bloqueo de builds y un modelo probabilístico de correlación entre técnicas adversarias. La arquitectura fue implementada en un entorno Kubernetes utilizando GitLab CI, SonarQube, Semgrep, Trivy, Syft, Grype, OWASP ZAP, Falco, Suricata y Open Policy Agent. Evaluamos empíricamente el sistema durante seis meses en un conjunto de microservicios corporativos distribuidos en dos dominios organizacionales distintos. Los resultados indican una reducción consistente en el tiempo medio de remediación, una disminución relativa de falsos positivos y un impacto operacional limitado en el tiempo total de build. Los resultados empíricos sugieren que la integración entre modelado formal de riesgo, inteligencia de amenazas y automatización de políticas puede mejorar significativamente la eficacia operativa de los programas DevSecOps en entornos nativos en la nube.

2008-06-24Read paper →DevSecOps

TÍTULO: Arquitectura DevSecOps Orientada al Riesgo con Correlación Multietapa Basada en MITRE ATT&CK y Evidencias Empíricas en Pipelines CI/CD Nativos en la Nube

TÍTULO: Arquitectura DevSecOps Orientada al Riesgo con Correlación Multietapa Basada en MITRE ATT&CK y Evidencias Empíricas en Pipelines CI/CD Nativos en la Nube RESUMEN: La creciente adopción de arquitecturas nativas en la nube y pipelines CI/CD altamente automatizados ha ampliado significativamente la superficie de ataque asociada al ciclo de vida del desarrollo de software. Incidentes ampliamente documentados, incluidos compromisos de la cadena de suministro y la explotación de vulnerabilidades ampliamente distribuidas, demuestran que los controles de seguridad aislados son insuficientes cuando no se integran con mecanismos de priorización contextual y correlación conductual. En este trabajo presentamos una arquitectura DevSecOps orientada al riesgo que integra análisis estático de código, análisis de dependencias, generación y verificación de SBOM, validación de infraestructura como código, detección conductual en tiempo de ejecución y un motor formal de cálculo de riesgo contextual. La arquitectura utiliza el framework MITRE ATT&CK como ontología para la correlación multietapa de eventos a lo largo de todo el pipeline de desarrollo y ejecución. Realizamos un análisis crítico de las limitaciones de los enfoques basados exclusivamente en CVSS, demostrando que la ausencia de contextualización operacional con frecuencia conduce a una priorización inadecuada de vulnerabilidades y a la fatiga de alertas. Proponemos una formulación matemática del riesgo como función compuesta de la probabilidad de explotación estimada por EPSS, el impacto técnico normalizado y factores dinámicos de exposición operacional. Introducimos definiciones formales de adversario, propiedades de corrección del mecanismo de bloqueo de builds y un modelo probabilístico de correlación entre técnicas adversarias. La arquitectura fue implementada en un entorno Kubernetes utilizando GitLab CI, SonarQube, Semgrep, Trivy, Syft, Grype, OWASP ZAP, Falco, Suricata y Open Policy Agent. Evaluamos empíricamente el sistema durante seis meses en un conjunto de microservicios empresariales distribuidos en dos dominios organizacionales distintos. Los resultados indican una reducción consistente en el tiempo medio de remediación, una disminución relativa de falsos positivos y un impacto operacional limitado en el tiempo total de build. Los resultados empíricos sugieren que la integración entre modelado formal de riesgo, inteligencia de amenazas y automatización de políticas puede mejorar significativamente la eficacia operacional de los programas DevSecOps en entornos nativos en la nube.

2008-06-24Read paper →DevSecOps

Arquitectura DevSecOps Orientada por Riesgo con Correlación Multietapa Basada en MITRE ATT&CK y Evidencias Empíricas en Pipelines CI/CD Nativos en la Nube

TITLE: Arquitectura DevSecOps Orientada por Riesgo con Correlación Multietapa Basada en MITRE ATT&CK y Evidencias Empíricas en Pipelines CI/CD Nativos en la Nube ABSTRACT: La creciente adopción de arquitecturas nativas en la nube y de pipelines CI/CD altamente automatizados amplió de manera significativa la superficie de ataque asociada al ciclo de vida del desarrollo de software. Incidentes ampliamente documentados, incluidos compromisos de cadena de suministro y explotación de vulnerabilidades ampliamente distribuidas, demuestran que los controles de seguridad aislados son insuficientes cuando no se integran con mecanismos de priorización contextual y correlación conductual. En este trabajo presentamos una arquitectura DevSecOps orientada por riesgo que integra análisis estático de código, análisis de dependencias, generación y verificación de SBOM, validación de infraestructura como código, detección conductual en tiempo de ejecución y un motor formal de cálculo de riesgo contextual. La arquitectura utiliza el framework MITRE ATT&CK como ontología para la correlación multietapa de eventos a lo largo de todo el pipeline de desarrollo y ejecución. Realizamos un análisis crítico de las limitaciones de los enfoques basados exclusivamente en CVSS, demostrando que la ausencia de contextualización operacional con frecuencia conduce a una priorización inadecuada de vulnerabilidades y a la fatiga por alertas. Proponemos una formulación matemática del riesgo como una función compuesta de la probabilidad de explotación estimada por EPSS, el impacto técnico normalizado y factores dinámicos de exposición operacional. Introducimos definiciones formales de adversario, propiedades de corrección del mecanismo de bloqueo de builds y un modelo probabilístico de correlación entre técnicas adversarias. La arquitectura fue implementada en un entorno Kubernetes utilizando GitLab CI, SonarQube, Semgrep, Trivy, Syft, Grype, OWASP ZAP, Falco, Suricata y Open Policy Agent. Evaluamos empíricamente el sistema durante seis meses en un conjunto de microservicios corporativos distribuidos en dos dominios organizacionales distintos. Los resultados indican una reducción consistente en el tiempo medio de remediación, una disminución relativa de falsos positivos y un impacto operacional limitado en el tiempo total de build. Los resultados empíricos sugieren que la integración entre modelado formal de riesgo, inteligencia de amenazas y automatización de políticas puede mejorar significativamente la eficacia operacional de los programas DevSecOps en entornos nativos en la nube.

2008-06-24Read paper →DevSecOps

TÍTULO: DevSecOps Orientado a Amenazas: Arquitectura Formal para la Integración de SAST, DAST, SCA y Telemetría Conductual Basada en MITRE ATT&CK en Pipelines CI/CD

TÍTULO: DevSecOps Orientado a Amenazas: Arquitectura Formal para la Integración de SAST, DAST, SCA y Telemetría Conductual Basada en MITRE ATT&CK en Pipelines CI/CD RESUMEN: La adopción masiva de arquitecturas cloud-native y pipelines de integración y entrega continuas (CI/CD) ha transformado profundamente los procesos de desarrollo de software. Sin embargo, esta automatización amplía significativamente la superficie de ataque cuando los mecanismos de seguridad no se incorporan de forma sistemática al ciclo de vida de desarrollo. Incidentes ampliamente documentados, como el compromiso de la cadena de suministro de SolarWinds y la explotación de la vulnerabilidad CVE-2021-44228 (Log4Shell), demuestran que las fallas en la integración entre la seguridad del código, las dependencias y la monitorización en tiempo de ejecución pueden permitir compromisos a gran escala. Aunque las herramientas de análisis estático (SAST), análisis dinámico (DAST) y análisis de composición de software (SCA) son ampliamente utilizadas en pipelines DevSecOps, su operación aislada frecuentemente genera grandes volúmenes de alertas y dificulta la priorización basada en el riesgo real. En este trabajo, proponemos una arquitectura DevSecOps orientada a amenazas que integra los resultados de escáneres de seguridad con telemetría conductual y mapeo sistemático al framework MITRE ATT&CK. Formalizamos matemáticamente el cálculo del riesgo residual en pipelines CI/CD combinando métricas de severidad (CVSS), evidencias de explotación observadas en tiempo de ejecución y criticidad contextual de la aplicación. Introducimos un algoritmo de priorización adaptativa que correlaciona vulnerabilidades detectadas en etapas estáticas con indicadores conductuales provenientes de sistemas de detección y observabilidad, como Falco y Suricata. Implementamos la arquitectura propuesta en un entorno empresarial basado en GitLab CI/CD, Kubernetes y herramientas ampliamente utilizadas de seguridad de aplicaciones, incluyendo Semgrep, SonarQube, Trivy, Checkov y OWASP ZAP. Evaluamos empíricamente el enfoque en 120 pipelines que involucraban 48 microservicios y aproximadamente 3,2 millones de líneas de código a lo largo de seis meses. Los resultados indican una reducción significativa en el tiempo medio de detección (MTTD), en el tiempo medio de remediación (MTTR) y en la incidencia de vulnerabilidades críticas en producción. También observamos una disminución sustancial en la tasa de falsos positivos cuando la priorización se orienta por telemetría conductual e inteligencia de amenazas. Estos resultados demuestran que la correlación sistemática entre análisis de código, seguridad de la cadena de suministro y detección conductual basada en MITRE ATT&CK permite reducir de forma mensurable el riesgo operativo en pipelines CI/CD modernos.

2008-06-18Read paper →DevSecOps

TÍTULO: Orquestación criptográficamente verificable de pipelines DevSecOps: modelo formal, arquitectura automatizada y evaluación experimental en entornos Kubernetes nativos de la nube

TÍTULO: Orquestación criptográficamente verificable de pipelines DevSecOps: modelo formal, arquitectura automatizada y evaluación experimental en entornos Kubernetes nativos de la nube RESUMEN: La creciente adopción de arquitecturas basadas en microservicios y la orquestación Kubernetes ha consolidado los pipelines CI/CD como componente central de la ingeniería de software moderna. Sin embargo, esta automatización amplió significativamente la superficie de ataque de las cadenas de suministro de software. Incidentes ampliamente documentados demostraron que la adulteración de dependencias, artefactos de compilación o infraestructura de pipeline puede comprometer miles de sistemas simultáneamente. Este trabajo propone un modelo formal para la orquestación criptográficamente verificable de pipelines DevSecOps en entornos nativos de la nube. El modelo representa los pipelines como grafos dirigidos acíclicos en los cuales cada transformación de artefacto va acompañada de propiedades verificables de integridad, autenticidad y trazabilidad. Formalizamos métricas cuantitativas de riesgo operacional basadas en funciones hash criptográficas, firmas digitales y scoring derivado de vulnerabilidades CVSS. Sobre esta base teórica, desarrollamos una arquitectura automatizada denominada OCV-DevSecOps, que integra la verificación de artefactos con Sigstore/Cosign, políticas declarativas con Open Policy Agent, detección comportamental en tiempo de ejecución con Falco y análisis de vulnerabilidades con herramientas SAST, SCA y DAST. La arquitectura también incorpora Software Bill of Materials (SBOM) en formato CycloneDX para la trazabilidad de dependencias y el soporte a la gobernanza de la cadena de suministro. Evaluamos experimentalmente la propuesta en un clúster Kubernetes con 42 microservicios y 180 ejecuciones de pipeline. Los resultados indican una reducción significativa en el tiempo promedio de detección de vulnerabilidades críticas, una mejora sustancial en la trazabilidad de artefactos y una reducción del número de despliegues que contenían fallas críticas. Observamos además un impacto moderado en el tiempo total de ejecución del pipeline, manteniendo la viabilidad operativa. Los resultados sugieren que la combinación de verificación criptográfica obligatoria, políticas automatizadas y monitoreo comportamental continuo ofrece un mecanismo eficaz para fortalecer la seguridad de los pipelines DevSecOps modernos. El trabajo contribuye al proporcionar una formalización matemática del problema, una arquitectura reproducible y una evaluación empírica basada en infraestructura real nativa de la nube.

2008-06-11Read paper →DevSecOps

TÍTULO: Orquestación verificable criptográficamente de pipelines DevSecOps: modelos formales, arquitectura de automatización y evaluación experimental en un entorno Kubernetes nativo de nube

TÍTULO: Orquestación verificable criptográficamente de pipelines DevSecOps: modelos formales, arquitectura de automatización y evaluación experimental en un entorno Kubernetes nativo de nube RESUMEN: El creciente uso de arquitecturas basadas en microservicios y de la orquestación Kubernetes ha consolidado los pipelines CI/CD como un elemento central de la ingeniería de software moderna. Sin embargo, esta automatización amplió significativamente la superficie de ataque de la cadena de suministro de software. Incidentes ampliamente documentados han demostrado que la alteración de dependencias, artefactos de build o de la infraestructura del pipeline puede comprometer simultáneamente a miles de sistemas. Este estudio propone un modelo formal para la orquestación verificable criptográficamente de pipelines DevSecOps en entornos nativos de nube. El modelo representa un pipeline como un grafo acíclico dirigido en el que cada transformación de artefacto va acompañada de propiedades verificables de integridad, autenticidad y trazabilidad. Además, formaliza indicadores cuantitativos de riesgo operativo derivados de funciones hash criptográficas, firmas digitales y puntuación basada en vulnerabilidades CVSS. Con base en esta fundamentación teórica, desarrollamos una arquitectura de automatización denominada OCV-DevSecOps que integra la verificación de artefactos con Sigstore/Cosign, la aplicación declarativa de políticas con Open Policy Agent, la detección de comportamiento en tiempo de ejecución con Falco y el análisis de vulnerabilidades con herramientas SAST, SCA y DAST. La arquitectura también incorpora una Software Bill of Materials (SBOM) en formato CycloneDX para apoyar la trazabilidad de dependencias y la gobernanza de la cadena de suministro. Evaluamos experimentalmente el enfoque propuesto en un clúster Kubernetes compuesto por 42 microservicios y 180 ejecuciones de pipeline. Los resultados demostraron una reducción significativa en el tiempo medio de detección de vulnerabilidades críticas, una mejora sustancial en la trazabilidad de los artefactos y una disminución en el número de despliegues que contenían defectos críticos. Además, el impacto en el tiempo total de ejecución del pipeline fue moderado, preservando la viabilidad operativa. Estos resultados sugieren que la combinación de verificación criptográfica impuesta, automatización de políticas y monitoreo conductual continuo proporciona un mecanismo eficaz para fortalecer la seguridad de los pipelines DevSecOps modernos. Este estudio contribuye al proporcionar una formalización matemática del problema, una arquitectura reproducible y una evaluación empírica basada en infraestructura nativa de nube real.

2008-06-11Read paper →DevSecOps

TÍTULO: Orquestación Formal de Seguridad en Pipelines CI/CD: Modelo Cuantitativo de Riesgo para DevSecOps con Correlación MITRE ATT&CK y Métricas Operacionales

TÍTULO: Orquestación Formal de Seguridad en Pipelines CI/CD: Modelo Cuantitativo de Riesgo para DevSecOps con Correlación MITRE ATT&CK y Métricas Operacionales RESUMEN: La adopción de prácticas DevOps transformó profundamente el ciclo de desarrollo de software al priorizar la automatización, la integración continua y la entrega continua. Sin embargo, la aceleración de los pipelines CI/CD amplió significativamente la superficie de ataque de las organizaciones, sobre todo en el contexto de ataques a la cadena de suministro de software y la explotación de dependencias vulnerables. Incidentes ampliamente documentados, como el compromiso de la cadena de distribución de SolarWinds Orion (SUNBURST) y la explotación masiva de la vulnerabilidad Log4Shell (CVE‑2021‑44228), evidencian que fallas introducidas durante el proceso de build o dependencias externas pueden propagar impacto a escala global. Aunque el paradigma DevSecOps propone integrar controles de seguridad en el pipeline de desarrollo, la práctica operacional aún se caracteriza por una integración superficial de herramientas, ausencia de métricas cuantitativas de riesgo y falta de alineación entre los resultados de escáneres automatizados y modelos formales de amenaza. En este trabajo proponemos un modelo cuantitativo para la orquestación de seguridad en pipelines CI/CD basado en análisis incremental de riesgo. El modelo formaliza el pipeline como un grafo dirigido acíclico y define una función de riesgo acumulado que combina la puntuación CVSS, la probabilidad de explotación estimada mediante EPSS, la criticidad del activo y un factor temporal asociado a la antigüedad de la vulnerabilidad. A partir de esta formulación introducimos un mecanismo de bloqueo adaptativo que utiliza umbrales dinámicos para decidir automáticamente la promoción o rechazo de artefactos durante el proceso de build. Implementamos el modelo en un entorno Kubernetes utilizando herramientas ampliamente adoptadas en el ecosistema DevSecOps, incluidas Semgrep, SonarQube, Trivy, Syft/Grype, OWASP ZAP y Checkov, además de monitoreo en tiempo de ejecución con Falco y correlación de eventos con la matriz MITRE ATT&CK. La evaluación experimental se llevó a cabo en 1.200 ejecuciones de pipeline que involucraron 37 microservicios. Los resultados indican una reducción significativa de la exposición a vulnerabilidades críticas en producción y una disminución del tiempo medio de remediación sin impacto sustancial en el tiempo de ejecución del pipeline. El estudio demuestra que la formalización matemática del riesgo en pipelines CI/CD permite decisiones automatizadas más consistentes y proporciona una base operativa para la gobernanza de seguridad orientada por métricas en entornos DevSecOps.

2008-06-04Read paper →DevSecOps

TÍTULO: Un marco formal y evaluado cuantitativamente para la orquestación adaptativa de controles de seguridad en pipelines DevSecOps basado en modelado de amenazas y análisis continuo de riesgo

TÍTULO: Un marco formal y evaluado cuantitativamente para la orquestación adaptativa de controles de seguridad en pipelines DevSecOps basado en modelado de amenazas y análisis continuo de riesgo RESUMEN: La creciente adopción de prácticas DevOps transformó radicalmente el ciclo de vida del desarrollo de software, pero introdujo nuevos vectores de ataque derivados de la automatización extensiva, la infraestructura como código y las cadenas de suministro complejas. Aunque DevSecOps propone la integración continua de la seguridad en el pipeline de desarrollo, la mayoría de las implementaciones sigue siendo ad hoc, careciendo de formalización matemática, modelado riguroso de amenazas y mecanismos adaptativos de priorización de controles. En este trabajo, proponemos un marco formal para la orquestación adaptativa de controles de seguridad en pipelines DevSecOps, fundamentado en modelado probabilístico de riesgo e integración con la matriz MITRE ATT&CK. Definimos formalmente el problema de minimización del riesgo residual bajo restricciones de latencia y costo computacional, modelando el pipeline como un grafo dirigido acíclico con funciones de riesgo asociadas a cada etapa. Desarrollamos dos algoritmos principales: (i) un mecanismo de priorización dinámica de verificaciones de seguridad basado en el riesgo marginal esperado y (ii) un orquestador adaptativo que reconfigura el pipeline en tiempo real con base en telemetría de ejecución. Implementamos el marco sobre GitLab CI/CD, Kubernetes y herramientas como SAST, DAST, SCA y escáneres de IaC, evaluándolo en 312 repositorios corporativos con 4,8 millones de líneas de código. Los resultados demuestran una reducción media del 37,4% en el tiempo total del pipeline, una disminución del 52,1% en el riesgo residual estimado y una reducción del 41,3% en falsos positivos en comparación con pipelines estáticos tradicionales. Además, observamos una mejora del 29,6% en el tiempo medio de corrección (MTTR). Los resultados indican que la formalización matemática de la orquestación DevSecOps permite ganancias simultáneas en seguridad y eficiencia operativa, contribuyendo a la consolidación científica del campo.

2007-07-20Read paper →DevSecOps

TÍTULO: Una Arquitectura Formal y Cuantitativamente Evaluada para la Orquestación Adaptativa de Controles de Seguridad en Pipelines DevSecOps Nativos en la Nube

TÍTULO: Una Arquitectura Formal y Cuantitativamente Evaluada para la Orquestación Adaptativa de Controles de Seguridad en Pipelines DevSecOps Nativos en la Nube RESUMEN: La aceleración de los ciclos de entrega de software impulsada por prácticas DevOps introdujo una paradoja estructural: la reducción del tiempo de desarrollo amplió la superficie de ataque y la frecuencia de introducción de vulnerabilidades. DevSecOps emerge como respuesta, integrando controles de seguridad a lo largo del pipeline de integración y entrega continua (CI/CD). Sin embargo, los enfoques existentes permanecen predominantemente heurísticos, careciendo de una formalización rigurosa, modelado de amenazas sistemático y evaluación cuantitativa integral. En este trabajo, proponemos una arquitectura formal para la orquestación adaptativa de controles de seguridad en pipelines DevSecOps nativos en la nube, fundamentada en modelado matemático de riesgo y optimización multiobjetivo. Nuestra metodología combina análisis estático (SAST), análisis dinámico (DAST), escaneo de dependencias (SCA), análisis de infraestructura como código (IaC) y detección comportamental orientada a MITRE ATT&CK, integrados por un mecanismo de priorización basado en la función de riesgo R = P · I · E, donde P representa la probabilidad explotable, I el impacto y E la exposición temporal. Implementamos un prototipo en Kubernetes con GitLab CI, SonarQube, OWASP ZAP, Trivy y Open Policy Agent, evaluándolo en 42 microservicios reales (≈1,8 millones de líneas de código). Los resultados indican una reducción media del 37,4% en el tiempo de remediación (MTTR), una disminución del 29,1% en vulnerabilidades críticas en producción (CVSS ≥ 9.0) y un overhead medio del pipeline inferior al 11,6%. En comparación con pipelines DevSecOps convencionales, observamos una ganancia del 22,8% en la precisión de priorización y una reducción del 31,5% en falsos positivos accionables. Demostramos que la formalización matemática de la orquestación de seguridad permite equilibrar rigor y agilidad, proporcionando garantías medibles de reducción del riesgo sin comprometer el throughput de entrega. Este trabajo contribuye con (i) un modelo formal de riesgo continuo para DevSecOps, (ii) algoritmos de orquestación adaptativa con análisis de complejidad y (iii) una evaluación empírica a gran escala con datos cuantitativos reproducibles.

2007-07-13Read paper →DevSecOps

Orquestación Formal y Evaluación Cuantitativa de Pipelines DevSecOps Basados en Políticas como Código con Garantías de Seguridad Medibles

TITLE: Orquestación Formal y Evaluación Cuantitativa de Pipelines DevSecOps Basados en Políticas como Código con Garantías de Seguridad Medibles ABSTRACT: La creciente adopción de prácticas DevOps ha transformado el ciclo de vida del desarrollo de software; sin embargo, ha ampliado significativamente la superficie de ataque al introducir pipelines altamente automatizados, infraestructura efímera e integración continua de dependencias de terceros. Incidentes recientes que involucran el compromiso de cadenas de suministro —como SolarWinds y Log4Shell (CVE-2021-44228)— demuestran que la ausencia de controles de seguridad integrados en el flujo de desarrollo produce impactos sistémicos a gran escala. En este trabajo, proponemos un marco formal para DevSecOps basado en políticas como código (Policy-as-Code) con garantías medibles de cumplimiento y reducción de riesgo. Nuestro enfoque combina el modelado formal del pipeline como un grafo dirigido acíclico, la verificación de propiedades de seguridad mediante restricciones declarativas y un mecanismo adaptativo de priorización de vulnerabilidades fundamentado en métricas CVSS e inteligencia de amenazas del MITRE ATT&CK. Implementamos un prototipo integrado con entornos Kubernetes, GitLab CI/CD y herramientas como Open Policy Agent (OPA), Trivy y SonarQube. Evaluamos el sistema en 42 proyectos reales de código abierto, totalizando 3,8 millones de líneas de código y 12.614 imágenes de contenedor. Los resultados indican una reducción media del 47,3% en el tiempo medio de remediación (MTTR), una disminución del 62,8% en la introducción de vulnerabilidades críticas en producción y una sobrecarga de ejecución inferior al 8,4% en el tiempo total del pipeline. También demostramos que la formalización de propiedades de seguridad permite detectar el 91,6% de las violaciones de política antes de la fase de despliegue. Concluimos que la integración sistemática de verificación formal ligera y priorización adaptativa en pipelines DevSecOps proporciona ganancias cuantitativas sustanciales de seguridad sin comprometer la agilidad operativa, estableciendo un paradigma medible y reproducible para la ingeniería de software segura en entornos de alta velocidad.

2007-07-06Read paper →DevSecOps

TÍTULO: Orquestación Formal y Evaluación Cuantitativa de Pipelines DevSecOps Basados en Políticas como Código con Garantías de Seguridad Medibles

TÍTULO: Orquestación Formal y Evaluación Cuantitativa de Pipelines DevSecOps Basados en Políticas como Código con Garantías de Seguridad Medibles RESUMEN: La creciente adopción de prácticas DevOps ha transformado el ciclo de vida del desarrollo de software, pero también ha ampliado significativamente la superficie de ataque al introducir pipelines altamente automatizados, infraestructura efímera e integración continua de dependencias de terceros. Incidentes recientes que implican el compromiso de cadenas de suministro —como SolarWinds y Log4Shell (CVE-2021-44228)— demuestran que la ausencia de controles de seguridad integrados en el flujo de desarrollo da lugar a impactos sistémicos de gran escala. En este trabajo, proponemos un marco formal para DevSecOps basado en políticas como código (Policy-as-Code) con garantías medibles de conformidad y reducción de riesgo. Nuestro enfoque combina modelado formal del pipeline como un grafo dirigido acíclico, verificación de propiedades de seguridad mediante restricciones declarativas y un mecanismo adaptativo de priorización de vulnerabilidades fundamentado en métricas CVSS e inteligencia de amenazas de MITRE ATT&CK. Implementamos un prototipo integrado en entornos Kubernetes, GitLab CI/CD y herramientas como Open Policy Agent (OPA), Trivy y SonarQube. Evaluamos el sistema en 42 proyectos reales de código abierto, totalizando 3,8 millones de líneas de código y 12.614 imágenes de contenedor. Los resultados indican una reducción media del 47,3% en el tiempo medio de remediación (MTTR), una disminución del 62,8% en la introducción de vulnerabilidades críticas en producción y un overhead de ejecución inferior al 8,4% en el tiempo total del pipeline. Demostramos además que la formalización de propiedades de seguridad permite detectar el 91,6% de las violaciones de políticas antes de la fase de despliegue. Concluimos que la integración sistemática de verificación formal ligera y priorización adaptativa en pipelines DevSecOps proporciona ganancias cuantitativas sustanciales de seguridad sin comprometer la agilidad operativa, estableciendo un paradigma medible y reproducible para la ingeniería de software segura en entornos de alta velocidad.

2007-07-06Read paper →DevSecOps

Una Arquitectura Formalmente Fundamentada para la Orquestación Adaptativa de Controles DevSecOps con Garantías Cuantitativas de Reducción de la Superficie de Ataque

TITLE: Una Arquitectura Formalmente Fundamentada para la Orquestación Adaptativa de Controles DevSecOps con Garantías Cuantitativas de Reducción de la Superficie de Ataque ABSTRACT: La adopción acelerada de pipelines DevOps amplió significativamente la superficie de ataque de sistemas corporativos, introduciendo vectores asociados a cadenas de suministro de software, configuraciones efímeras e integraciones continuas mal instrumentadas. Aunque el paradigma DevSecOps propone la integración continua de mecanismos de seguridad al ciclo de desarrollo, la literatura carece de modelos formales que cuantifiquen su eficacia bajo adversarios realistas y métricas reproducibles. En este trabajo, proponemos una arquitectura DevSecOps adaptativa con fundamentación matemática explícita para la reducción mensurable del riesgo, modelada como un problema de optimización bajo restricciones operacionales. Formalizamos el pipeline como un grafo dirigido acíclico $G = (V,E)$ con funciones de riesgo asociadas a cada etapa, y definimos una métrica compuesta de superficie de ataque $A(G)$ basada en vulnerabilidades explotables ponderadas por criticidad CVSS y probabilidad de explotación estimada mediante datos MITRE ATT&CK. Implementamos la arquitectura en un entorno Kubernetes con integración de herramientas como GitLab CI, SonarQube, OWASP ZAP, Trivy y HashiCorp Vault. Evaluamos el sistema en 120 proyectos open-source y 18 aplicaciones corporativas, totalizando 3,2 millones de líneas de código. Los resultados demuestran una reducción media del 47,3% en la exposición a vulnerabilidades críticas (CVSS ≥ 9.0), una disminución del 38,6% en el tiempo medio de remediación (MTTR) y un overhead operacional inferior al 8,4% en el tiempo total de build. Comparado con pipelines DevSecOps estáticos, nuestro mecanismo adaptativo presentó una ganancia estadísticamente significativa (p < 0,01) en la tasa de bloqueo preventivo de fallas de configuración explotables. Concluimos que la formalización cuantitativa permite no solo justificar económicamente la adopción de DevSecOps, sino también optimizar dinámicamente controles de seguridad en entornos de alta cadencia de deploy.

2007-06-29Read paper →DevSecOps

TÍTULO: Una Arquitectura Formalmente Fundamentada para la Orquestación Adaptativa de Controles DevSecOps con Garantías Cuantitativas de Reducción de la Superficie de Ataque

TÍTULO: Una Arquitectura Formalmente Fundamentada para la Orquestación Adaptativa de Controles DevSecOps con Garantías Cuantitativas de Reducción de la Superficie de Ataque RESUMEN: La adopción acelerada de pipelines DevOps amplió significativamente la superficie de ataque de los sistemas corporativos, introduciendo vectores asociados a cadenas de suministro de software, configuraciones efímeras e integraciones continuas deficientemente instrumentadas. Aunque el paradigma DevSecOps propone la integración continua de mecanismos de seguridad en el ciclo de desarrollo, la literatura carece de modelos formales que cuantifiquen su eficacia bajo adversarios realistas y métricas reproducibles. En este trabajo, proponemos una arquitectura DevSecOps adaptativa con fundamentación matemática explícita para la reducción medible del riesgo, modelada como un problema de optimización bajo restricciones operativas. Formalizamos el pipeline como un grafo dirigido acíclico $G = (V,E)$ con funciones de riesgo asociadas a cada etapa, y definimos una métrica compuesta de superficie de ataque $A(G)$ basada en vulnerabilidades explotables ponderadas por criticidad CVSS y probabilidad de explotación estimada mediante datos MITRE ATT&CK. Implementamos la arquitectura en un entorno Kubernetes con integración de herramientas como GitLab CI, SonarQube, OWASP ZAP, Trivy y HashiCorp Vault. Evaluamos el sistema en 120 proyectos open-source y 18 aplicaciones corporativas, totalizando 3,2 millones de líneas de código. Los resultados demuestran una reducción promedio de 47,3% en la exposición a vulnerabilidades críticas (CVSS ≥ 9,0), una disminución de 38,6% en el tiempo medio de remediación (MTTR) y un overhead operacional inferior a 8,4% en el tiempo total de build. En comparación con pipelines DevSecOps estáticos, nuestro mecanismo adaptativo presentó una ganancia estadísticamente significativa (p < 0,01) en la tasa de bloqueo preventivo de fallas de configuración explotables. Concluimos que la formalización cuantitativa permite no solo justificar económicamente la adopción de DevSecOps, sino también optimizar dinámicamente los controles de seguridad en entornos de alta cadencia de deploy.

2007-06-29Read paper →DevSecOps

Una Arquitectura Formalmente Verificable para la Orquestación DevSecOps con Priorización Cuantitativa de Riesgo e Integración Continua Orientada a Amenazas

1. Introducción La transformación digital aceleró la adopción de arquitecturas distribuidas, microservicios, contenerización e infraestructura como código (IaC), lo que resultó en ciclos de desarrollo cada vez más cortos y altamente automatizados. El paradigma DevOps se consolidó como respuesta a la necesidad de reducir el time-to-market, promoviendo integración continua (CI) y entrega continua (CD) (GITLAB, 2024). Sin embargo, la inserción tardía de controles de seguridad en estos pipelines amplió sustancialmente la superficie de ataque, especialmente en entornos nativos en la nube y orien

2006-07-16Read paper →DevSecOps

Orquestación Formal de Controles de Seguridad en Pipelines DevSecOps: Un Framework Basado en Modelado de Amenazas, Optimización Multiobjetivo y Verificación Continua

1. Introducción La transición de modelos tradicionales de desarrollo hacia prácticas DevOps y, posteriormente, DevSecOps redujo sustancialmente el ciclo de entrega de software, posibilitando múltiples despliegues diarios en entornos de producción altamente distribuidos. Esta aceleración, aunque aporta ventajas competitivas, amplía la superficie de ataque asociada a pipelines CI/CD, artefactos intermedios, registries de contenedores y dependencias de terceros. En 2026, este escenario es aún más complejo debido a la incorporación de componentes de inteligencia artificial, incluyendo modelos de

2006-07-10Read paper →DevSecOps

DevSecOps Orientado al Riesgo con Verificación Formal Continua: Un Modelo Cuantitativo para la Orquestación Adaptativa de Seguridad en Pipelines CI/CD

1. Introducción La consolidación de prácticas DevOps, aliada a la amplia adopción de arquitecturas basadas en microservicios, contenedores e infraestructura como código (IaC), transformó estructuralmente el ciclo de vida del desarrollo de software. En 2026, las organizaciones operan pipelines CI/CD altamente automatizados, frecuentemente integrados a plataformas CNAPP (Cloud-Native Application Protection Platforms) y mecanismos de observabilidad basados en eBPF. Sin embargo, la compresión del tiempo entre commit y deploy amplifica la superficie de ataque y aumenta la probabilidad de exposició

2006-07-03Read paper →DevSecOps

DevSecOps Orientado a Evidencias: Una Arquitectura Formal con Priorización Basada en Riesgo Contextual y Verificación Continua para Pipelines de Entrega de Software a Gran Escala (2026)

1. Introducción La transformación digital, impulsada por arquitecturas nativas de la nube, microservicios, infraestructura como código (IaC) y prácticas de integración y entrega continuas (CI/CD), ha ampliado sustancialmente la superficie de ataque de los sistemas corporativos. El Data Breach Investigations Report evidencia que una porción significativa de las violaciones implica la explotación de vulnerabilidades conocidas, credenciales comprometidas y fallas en la cadena de suministro de software (VERIZON, 2023). Incidentes ampliamente documentados, como el compromiso de SolarWinds y la exp

2006-06-26Read paper →