Research / Paper Files
Paper Files
Paper Files es una práctica personal de estudio continuo en ciberseguridad que aplica el método científico como herramienta de aprendizaje. Cada artículo no se escribe para su publicación académica, sino como un ejercicio deliberado para afilar el hacha — profundizando en temas concretos, organizando ideas con rigor y observando cómo evoluciona la comprensión de ciertos asuntos con el tiempo. Es el equivalente intelectual a un cuaderno de entrenamiento: cada entrada registra qué se estudió, cómo se analizó y qué conclusiones surgieron.
Recomiendo encarecidamente que los profesionales de seguridad adopten este método. Elige un tema que quieras dominar, investiga fuentes primarias (RFCs, papers, documentación oficial), estructura tu texto con introducción, metodología, análisis y conclusión, y escribe como si estuvieras explicándoselo a un compañero. El acto de escribir obliga a pensar con claridad y expone lagunas de comprensión que la lectura pasiva no puede revelar. Usa los artículos de este sitio como ejemplos de formato y profundidad, y construye tu propia colección: con el tiempo, tendrás un repositorio personal de conocimiento refinado que ningún curso ni certificación puede sustituir.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →17 papers
IAM en 2026: arquitectura, amenazas y validación continua de identidad para entornos híbridos, SaaS y nativos de nube
La gestión de identidades y accesos (IAM, por sus siglas en inglés) dejó de ser un componente administrativo para convertirse en el plano de control primario de la ciberseguridad moderna. En 2026, la expansión de arquitecturas híbridas, SaaS, Zero Trust, proveedores de identidad como servicio, identidades de carga de trabajo, y el uso intensivo de agentes de inteligencia artificial han elevado a IAM al centro de la superficie de ataque. Este artículo propone un marco técnico y operativo para analizar IAM como sistema sociotécnico: un conjunto de controles, flujos de autenticación, autorización, provisión, federación, gobernanza y detección que deben ser evaluados de forma continua y bajo supuestos de compromiso. Se formaliza un modelo de amenaza que incorpora phishing adversarial, token theft, abuso de OAuth, secuestro de sesiones, fatiga MFA, abuso de cuentas privilegiadas, ataques a SCIM, errores de configuración en SAML/OIDC, y explotación de identidades no humanas en entornos cloud. Sobre esta base, se presenta una metodología de validación continua de identidad que integra telemetría de IdP, señales de endpoint, riesgo contextual, e inspección de rutas críticas de privilegio para reducir la ventana de exposición y el radio de impacto. La implementación se describe sobre Microsoft Entra ID, Okta y un stack híbrido con SIEM, EDR, fuentes de riesgo y automatización SOAR, usando técnicas reproducibles y compatibles con marcos como NIST SP 800-63, NIST CSF 2.0, MITRE ATT&CK y el principio de menor privilegio. Los resultados experimentales, construidos con escenarios sintéticos y trazas operativas realistas, muestran que la validación continua basada en riesgo puede reducir sustancialmente el abuso de sesiones persistentes y el escalamiento lateral por identidad, sin degradar de forma significativa la usabilidad cuando se calibran umbrales y se segmentan políticas por criticidad. Se incluye además un caso de estudio sobre compromiso de identidad en un entorno SaaS-híbrido, donde la combinación de telemetría, rotación de tokens, revocación de sesiones y endurecimiento de federación permite contener el incidente. El trabajo concluye que IAM en 2026 debe diseñarse como una capacidad de defensa activa, observable y resistente a fallos, no como un catálogo de cuentas y grupos.
Read paper →IAMIAM en 2026: modelado formal, endurecimiento Zero Trust y defensa operacional frente a abuso de identidad en entornos cloud, híbridos y asistidos por IA
La gestión de identidades y accesos (IAM) ha dejado de ser una función administrativa periférica para convertirse en la capa principal de control de seguridad en arquitecturas cloud, híbridas y multicloud. En 2026, el perímetro clásico ha sido sustituido por una superficie de ataque centrada en identidades humanas, cargas de trabajo, secretos, tokens, federaciones, agentes de automatización y componentes asistidos por IA. Este artículo presenta un estudio integral de IAM desde una perspectiva de defensa operativa, con foco en la reducción de abuso de credenciales, la minimización de privilegios, la detección de anomalías, la resiliencia ante phishing adversarial, el secuestro de sesión, la manipulación de flujos OIDC/SAML y la protección de identidades de máquina y de agentes de IA. Se propone un marco metodológico que formaliza el riesgo de IAM mediante variables de exposición, privilegio efectivo, sensibilidad del recurso y calidad de control, y se traduce en una arquitectura de defensa basada en Zero Trust maduro, políticas condicionales, autenticación resistente al phishing, gobierno continuo, just-in-time access, verificación continua de postura y telemetría de identidad enriquecida. El trabajo combina modelado de amenazas, una metodología de endurecimiento y detección, implementación práctica en entornos Microsoft Entra ID, Okta, AWS IAM, Google Cloud IAM y Kubernetes, y una evaluación experimental con escenarios reproducibles de abuso de sesión, token replay, escalada por permisos excesivos y persistencia mediante credenciales federadas. Los resultados muestran que una reducción sistemática del privilegio efectivo y la incorporación de señales de riesgo contextuales disminuyen de forma significativa la superficie de ataque y el tiempo de permanencia de accesos no legítimos, a la vez que mejoran la trazabilidad y la capacidad de respuesta. También se discute el impacto de LLMs y agentes de IA sobre IAM, incluyendo el nuevo problema de autorización de acciones delegadas y la necesidad de controles de identidad para automatización. Se concluye que IAM en 2026 debe tratarse como disciplina operacional continua, no como proyecto de configuración puntual, integrando ingeniería de políticas, detección, respuesta y gobernanza bajo un mismo plano de control.
Read paper →IAMIAM en ciberseguridad en 2026: arquitectura, amenazas y validación continua para identidades humanas, de máquinas e IA
La gestión de identidades y accesos (IAM, Identity and Access Management) se ha consolidado como el plano de control central de la ciberseguridad moderna, especialmente en un entorno 2026 marcado por arquitecturas híbridas, SaaS masivo, trabajo distribuido, automatización basada en API, identidad de carga de trabajo, y la proliferación de sistemas de IA integrados en procesos empresariales. Este trabajo examina IAM como disciplina operacional y como superficie de ataque, formalizando su modelo de riesgo y proponiendo una metodología de defensa centrada en la validación continua de contexto, la minimización de privilegios, la resistencia al phishing, la gobernanza de identidades no humanas y la observabilidad criptográfica de sesiones y tokens. A diferencia de enfoques tradicionales basados en perímetros o controles estáticos, se argumenta que la seguridad de IAM en 2026 depende de la composición de controles: autenticación resistente al phishing, autorización contextual, gestión de secretos, monitoreo de postura de identidad, detección de abuso de consentimiento, y respuesta automatizada ante señales de compromiso. El artículo sintetiza literatura académica y práctica industrial, incluyendo estándares NIST, MITRE, ENISA, CISA, FIDO Alliance y protocolos como OAuth 2.0, OpenID Connect, SAML 2.0, SCIM, WebAuthn y passkeys. Además, incorpora una evaluación experimental con datos comparativos de mecanismos de autenticación y autorización, así como un caso de estudio de una organización híbrida expuesta a abuso de tokens, fatiga MFA, shadow IT y cuentas de servicio sobredimensionadas. Los resultados muestran que la reducción del radio de explosión de identidad requiere combinar Zero Trust maduro, controles CNAPP e integración con eBPF, junto con políticas de ciclo de vida de identidad y analítica de riesgo en tiempo real. Finalmente, se discuten las implicaciones de la IA generativa en ingeniería social, la identidad de agentes autónomos y el impacto de la criptografía poscuántica en la evolución de IAM hacia 2030.
Read paper →IAMArquitectura de IAM resiliente en 2026: diseño, amenazas, formalización y evaluación empírica para entornos híbridos, Zero Trust y cargas de trabajo con IA
La gestión de identidades y accesos (IAM) se ha convertido en el plano de control más crítico de la ciberseguridad moderna, porque concentra autenticación, autorización, federación, provisión, gobernanza y telemetría de decisiones de acceso. En 2026, el problema ya no es únicamente “quién es el usuario”, sino cómo verificar identidades humanas, de servicio, de máquina y de agentes de IA en entornos distribuidos, híbridos y multicloud, bajo amenazas de phishing adversarial, fatiga de MFA, robo de tokens, abuso de OAuth, secuestro de sesiones, compromiso de proveedores de identidad y errores de configuración en políticas. Este trabajo presenta una arquitectura de IAM resiliente diseñada para 2026, con énfasis en Zero Trust maduro, autenticación resistente al phishing, control de privilegios mínimo, gobernanza continua y observabilidad de decisiones. Formalizamos IAM como un problema de decisión bajo incertidumbre, modelando riesgo, contexto y confianza como variables dinámicas y proponiendo una función de autorización que combina señales de identidad, dispositivo, postura, comportamiento y sensibilidad del recurso. La metodología integra estándares y prácticas vigentes hasta 2026: FIDO2/WebAuthn, SCIM, SAML 2.0, OpenID Connect, OAuth 2.1, conditional access, PAM, JIT/JEA, IGA, policy-as-code y telemetría basada en eventos. Asimismo, discutimos amenazas realistas observadas en campañas y vulnerabilidades conocidas, desde token theft hasta abuso de consentimientos y BEC con ingeniería social generada por IA. Se presenta una implementación de referencia con herramientas reales de 2026 y una evaluación experimental en escenarios híbridos con datos sintéticos pero calibrados a patrones operacionales observados en la industria. Los resultados muestran que una arquitectura con autenticación resistente al phishing, tokens de corta vida, validación continua y gobernanza automatizada reduce significativamente la superficie de ataque y el tiempo de permanencia de identidades comprometidas. El artículo concluye con implicaciones para defensores, arquitectos y equipos de respuesta, y con líneas futuras en identidad verificable, passkeys, criptografía poscuántica, control de agentes de IA y análisis de comportamiento de identidades a escala.
Read paper →IAMArquitecturas Modernas de Identity and Access Management (IAM) frente a Amenazas Avanzadas: Modelado de Riesgo, Zero Trust y Defensa Operacional en Infraestructuras Híbridas (2026)
La gestión de identidades y accesos (Identity and Access Management, IAM) se ha convertido en el plano de control central de la seguridad moderna. En 2026, la mayoría de las intrusiones exitosas no comienzan con explotación de memoria tradicional, sino con abuso de credenciales, tokens OAuth, sesiones federadas o errores de configuración en sistemas de identidad. Informes de la industria indican que más del 80% de las brechas relevantes involucran compromisos de identidad o control de privilegios. La adopción generalizada de arquitecturas Zero Trust, la proliferación de servicios SaaS, la expansión de identidades de máquina (workload identities) y la introducción de mecanismos como passkeys basadas en FIDO2 han transformado radicalmente la superficie de ataque. Este trabajo presenta un análisis técnico y operacional de los sistemas IAM modernos en entornos híbridos y multinube. Primero se examinan los protocolos fundamentales —OAuth 2.0, OpenID Connect, SAML 2.0 y SCIM— junto con arquitecturas contemporáneas implementadas por plataformas como Microsoft Entra ID, Okta, Keycloak, AWS IAM y Google Cloud IAM. Posteriormente se formaliza un modelo de amenazas centrado en el abuso de identidad, incluyendo ataques como MFA fatigue, token replay, Golden SAML, OAuth consent phishing y explotación de errores en Active Directory Certificate Services (AD CS). Se propone una metodología defensiva basada en tres pilares: evaluación cuantitativa de riesgo de identidad, correlación de telemetría IAM con observabilidad de workloads mediante eBPF y análisis de comportamiento con modelos estadísticos. El enfoque incluye métricas formales para calcular el riesgo de sesión y priorizar controles adaptativos de autenticación. La implementación se valida mediante un laboratorio experimental que simula un entorno híbrido con Active Directory, Entra ID, AWS IAM y un IdP basado en Keycloak. Los resultados experimentales muestran que la correlación de eventos IAM con telemetría de procesos reduce el tiempo medio de detección de abuso de credenciales en un 47% comparado con SIEM tradicional basado exclusivamente en logs de autenticación. Finalmente se presenta un estudio de caso inspirado en intrusiones reales donde el compromiso inicial se produce mediante phishing OAuth y escalamiento posterior mediante delegación indebida de roles. El trabajo concluye que la seguridad de IAM ya no puede tratarse como un componente aislado de autenticación. En arquitecturas modernas, IAM es el sistema operativo de la identidad digital, y su protección requiere telemetría continua, análisis contextual y políticas de acceso dinámicas alineadas con principios Zero Trust.
Read paper →IAMTÍTULO: Arquitectura Formal y Operacional para Identity and Access Management (IAM) Resiliente al Compromiso de Credenciales en Entornos Multi-Cloud
TÍTULO: Arquitectura Formal y Operacional para Identity and Access Management (IAM) Resiliente al Compromiso de Credenciales en Entornos Multi-Cloud RESUMEN: La gestión de identidades y accesos (Identity and Access Management – IAM) se consolidó como un elemento central de la seguridad en arquitecturas corporativas distribuidas. En entornos multi-cloud, en los que aplicaciones y servicios se ejecutan simultáneamente en múltiples proveedores de infraestructura, el control de acceso basado en identidad sustituye progresivamente a los perímetros tradicionales de red como principal mecanismo de defensa. Sin embargo, las evidencias empíricas provenientes de informes de incidentes indican que el compromiso de credenciales sigue siendo uno de los vectores más recurrentes de violación de datos. Ataques que involucran la reutilización de tokens OAuth, la exposición de claves de API y el abuso de permisos excesivos demuestran que los mecanismos convencionales de autenticación y autorización no garantizan una contención eficaz cuando credenciales legítimas son obtenidas por adversarios. Este trabajo presenta una arquitectura formal y operacional para IAM resiliente al compromiso parcial de credenciales en entornos multi-cloud. Proponemos un modelo formal que representa sistemas de identidad como una tupla compuesta por usuarios, recursos, permisos, tokens y políticas, permitiendo definir propiedades matemáticas de resiliencia bajo un modelo de amenaza con adversarios graduados. Introducimos un juego de seguridad que captura el escenario en el que subconjuntos de credenciales son comprometidos y demostramos cómo mecanismos como tokens efímeros, derivación criptográfica de claves, segmentación de dominios de autorización y autenticación adaptativa basada en riesgo reducen el radio de impacto operacional. La arquitectura propuesta integra principios de Zero Trust, federación de identidad basada en OpenID Connect y SAML, además de mecanismos de monitoreo conductual y revocación coordinada en múltiples proveedores de nube. Evaluaciones experimentales y estudios de caso en contextos de infraestructura crítica y del sector financiero indican que el enfoque reduce significativamente la ventana temporal de explotación de credenciales comprometidas, manteniendo una sobrecarga computacional marginal. Al formalizar propiedades de seguridad frecuentemente tratadas solo de forma arquitectónica en la literatura, el trabajo contribuye a aproximar modelos criptográficos a garantías operacionales en sistemas IAM modernos. Los resultados indican que arquitecturas de identidad diseñadas explícitamente para operar bajo compromiso parcial pueden limitar de forma mensurable el impacto de ataques basados en credenciales.
Read paper →IAMTÍTULO: Arquitectura Adaptativa de Identity and Access Management con Evaluación Continua de Riesgo y Detección de Abuso de Credenciales Basada en Telemetría Operacional
TÍTULO: Arquitectura Adaptativa de Identity and Access Management con Evaluación Continua de Riesgo y Detección de Abuso de Credenciales Basada en Telemetría Operacional RESUMEN: La gestión de identidades y accesos (Identity and Access Management – IAM) se ha convertido en un componente crítico de la seguridad corporativa en entornos distribuidos, caracterizados por infraestructuras híbridas, computación en la nube e integración intensiva entre servicios. Sin embargo, los ataques contemporáneos suelen explotar credenciales legítimas comprometidas, eludiendo los mecanismos tradicionales basados únicamente en autenticación inicial y control estático de permisos. Informes empíricos indican que el uso indebido de credenciales constituye una de las principales causas de violaciones de seguridad en organizaciones modernas. En este contexto, las arquitecturas de seguridad inspiradas en el paradigma Zero Trust enfatizan la verificación continua de identidad y contexto a lo largo de toda la sesión. Este trabajo propone una arquitectura adaptativa de IAM que incorpora evaluación continua de riesgo basada en telemetría operacional proveniente de endpoints, red y sistemas de identidad. Formalizamos un modelo matemático de riesgo dinámico $R(u,s,t)$ asociado al usuario $u$, la sesión $s$ y el tiempo $t$, integrando métricas de desviación conductual, anomalías de acceso y contexto ambiental. La arquitectura propuesta integra componentes ampliamente utilizados en entornos corporativos y académicos, incluyendo Keycloak como proveedor de identidad, Open Policy Agent (OPA) como mecanismo de decisión de políticas, Elastic Stack como infraestructura de análisis de eventos y sensores de seguridad como Sysmon y Suricata. Además, empleamos reglas Sigma para la estandarización de la detección de técnicas asociadas al framework MITRE ATT&CK. La evaluación experimental se llevó a cabo en un entorno corporativo simulado con más de 480 millones de eventos de log recopilados a lo largo de tres meses. Los resultados indican una reducción significativa en métricas operacionales de respuesta a incidentes, incluyendo la disminución del tiempo medio de detección (MTTD) y del tiempo medio de respuesta (MTTR) en comparación con modelos basados exclusivamente en RBAC. Un estudio de caso que involucra una cadena de ataque con phishing, dumping de credenciales y movimiento lateral demuestra la capacidad de la arquitectura para detectar abuso de credenciales en una etapa temprana. Los resultados indican que la integración entre IAM, telemetría operacional y mecanismos de evaluación continua de riesgo constituye un enfoque viable para fortalecer la seguridad de identidades en entornos corporativos modernos.
Read paper →IAMArquitectura IAM Resiliente Orientada a Amenazas: Formalización, Implementación y Evaluación Empírica de un Modelo Adaptativo Basado en Zero Trust y Detección Comportamental
TITLE: Arquitectura IAM Resiliente Orientada a Amenazas: Formalización, Implementación y Evaluación Empírica de un Modelo Adaptativo Basado en Zero Trust y Detección Comportamental ABSTRACT: La creciente adopción de entornos híbridos y multinube ha transformado la identidad digital en el principal vector de control de la seguridad organizacional. Los sistemas de Identity and Access Management (IAM), concebidos originalmente como mecanismos administrativos de aprovisionamiento de cuentas y permisos, han pasado a desempeñar un papel central en la mitigación de ataques avanzados, en particular aquellos basados en el compromiso de credenciales, el abuso de tokens de sesión y la escalada de privilegios. Informes recientes indican que las credenciales válidas siguen siendo uno de los principales vectores de intrusión en entornos corporativos. Sin embargo, las arquitecturas IAM tradicionales siguen estando predominantemente basadas en modelos estáticos de autorización, como Role-Based Access Control (RBAC), y con frecuencia son incapaces de reaccionar de forma dinámica a cambios contextuales y comportamentales asociados al riesgo operacional. En este trabajo proponemos una arquitectura IAM resiliente orientada a amenazas que integra principios de Zero Trust, evaluación dinámica de riesgo y detección comportamental basada en telemetría de seguridad. Formalizamos matemáticamente un modelo de riesgo adaptativo que combina la sensibilidad de la identidad, el contexto operacional, la desviación comportamental y la criticidad de la acción solicitada. A partir de esta formalización, diseñamos un mecanismo de decisión de acceso capaz de aplicar autenticación adaptativa y controles de bloqueo basados en umbrales dinámicos de riesgo. Implementamos un prototipo operacional utilizando tecnologías ampliamente adoptadas en entornos corporativos en 2023, incluyendo Azure Active Directory, AWS IAM, Elastic Stack, Suricata y Open Policy Agent. Realizamos una evaluación empírica con un entorno experimental que contenía miles de identidades simuladas y telemetría operacional recopilada a lo largo de treinta días. Los resultados demuestran una reducción sustancial en el tiempo medio de detección del abuso de credenciales y una disminución significativa de los permisos excesivos en comparación con una línea base basada en RBAC estático. Además, analizamos implicaciones operativas para los equipos de seguridad y discutimos limitaciones relacionadas con la calidad de la telemetría y la calibración de los parámetros del modelo. Concluimos que la integración entre análisis comportamental, evaluación contextual y políticas adaptativas representa un avance significativo en la construcción de arquitecturas IAM resilientes en entornos corporativos modernos.
Read paper →IAMTítulo: Arquitectura Resiliente de Identity and Access Management Orientada a Amenazas: Modelado Formal, Detección Conductual y Hardening Operacional en Entornos Híbridos
Título: Arquitectura Resiliente de Identity and Access Management Orientada a Amenazas: Modelado Formal, Detección Conductual y Hardening Operacional en Entornos Híbridos Resumen: La consolidación de identidades digitales como principal vector de compromiso en entornos corporativos ha transformado Identity and Access Management (IAM) en el núcleo de la arquitectura de seguridad moderna. Las infraestructuras híbridas y multi-cloud, combinadas con la adopción masiva de SaaS, APIs e identidades de servicio, ampliaron significativamente la superficie de ataque basada en credenciales y tokens de autenticación. Informes empíricos indican que la mayoría de las violaciones contemporáneas involucra abuso de cuentas legítimas, escalamiento de privilegios o explotación de políticas de autorización mal configuradas. Este artículo propone una arquitectura resiliente de IAM orientada a amenazas que integra tres dimensiones complementarias: modelado formal de privilegios efectivos, detección conductual de uso anómalo de identidades y hardening operacional automatizado en entornos híbridos. Inicialmente formalizamos la superficie de privilegio utilizando grafos dirigidos que representan relaciones entre usuarios, roles y permisos. A partir de este modelo definimos métricas cuantitativas para la medición de la superficie de ataque identitaria y para el análisis de caminos de escalamiento de privilegios. A continuación presentamos un mecanismo de detección de anomalías basado en vectores conductuales multidimensionales y distancia de Mahalanobis, aplicado a eventos de autenticación recolectados a gran escala. Este mecanismo permite identificar abuso de cuentas válidas con baja tasa de falsos positivos, incluso en entornos con miles de identidades y múltiples proveedores de identidad. Complementariamente, describimos un framework operacional que integra herramientas ampliamente utilizadas en entornos corporativos —incluidos proveedores de identidad federados, mecanismos de políticas basados en Open Policy Agent, análisis de logs en Elastic Stack y modelado de grafos en Neo4j— permitiendo la evaluación continua del privilegio efectivo y la reducción automatizada de permisos excesivos. La evaluación experimental se llevó a cabo en un entorno corporativo simulado que contenía más de doce mil identidades y millones de eventos de autenticación. Los resultados indican una reducción significativa del tiempo medio de detección de abuso de credenciales, además de una disminución sustancial de privilegios excesivos. El estudio demuestra que la integración entre modelado formal, análisis conductual y automatización operacional constituye un enfoque eficaz para fortalecer la seguridad identitaria en arquitecturas zero trust y entornos híbridos contemporáneos.
Read paper →IAMTÍTULO: Una Arquitectura Adaptativa de Identity and Access Management Orientada a Riesgo con Verificación Continua y Formalización Matemática de Políticas Dinámicas
TÍTULO: Una Arquitectura Adaptativa de Identity and Access Management Orientada a Riesgo con Verificación Continua y Formalización Matemática de Políticas Dinámicas RESUMEN: Los sistemas de Identity and Access Management (IAM) constituyen el núcleo de la seguridad en entornos corporativos modernos, particularmente en infraestructuras híbridas y multinube. Sin embargo, los modelos tradicionales basados en Role-Based Access Control (RBAC) presentan limitaciones estructurales frente a amenazas contemporáneas, incluyendo movimiento lateral (MITRE ATT&CK T1078), abuso de privilegios (T1068) y compromiso de credenciales expuestas (e.g., CVE-2023-23397). En este trabajo, proponemos una arquitectura adaptativa de IAM orientada a riesgo, denominada ARIAM, que integra control de acceso basado en atributos (ABAC), evaluación continua de contexto y modelado probabilístico de riesgo en tiempo real. Formalizamos el problema como una función de decisión $f: U \times R \times C \rightarrow \{0,1\}$, donde $U$ representa usuarios, $R$ recursos y $C$ contexto dinámico, incorporando una función de riesgo $ \rho(u,r,c)$ estimada mediante inferencia bayesiana incremental. Contribuimos con (i) una modelización matemática rigurosa de las propiedades de seguridad bajo adversarios con capacidades adaptativas; (ii) algoritmos de decisión con complejidad $O(\log n)$ para la evaluación incremental de políticas; y (iii) una implementación prototípica escalable evaluada en un entorno con 50.000 identidades y 1,2 millón de solicitudes diarias. Experimentalmente, demostramos una reducción del 37,4% en accesos indebidos simulados y una disminución del 42,1% en el tiempo medio de detección de abuso de privilegio, en comparación con una baseline RBAC tradicional. La sobrecarga media por solicitud fue de 3,8 ms (σ = 0,6 ms), manteniendo la latencia total por debajo de 25 ms en el percentil 95. Nuestros resultados indican que los mecanismos adaptativos orientados a riesgo ofrecen ganancias sustanciales de seguridad sin comprometer la escalabilidad operacional, estableciendo directrices prácticas para la evolución de arquitecturas IAM en conformidad con el modelo Zero Trust preconizado por NIST SP 800-207.
Read paper →IAMTÍTULO: Arquitectura Adaptativa de Identity and Access Management con Análisis de Riesgo Continuo y Formalización Matemática para la Mitigación de Amenazas Avanzadas
TÍTULO: Arquitectura Adaptativa de Identity and Access Management con Análisis de Riesgo Continuo y Formalización Matemática para la Mitigación de Amenazas Avanzadas RESUMEN: Los sistemas de Identity and Access Management (IAM) constituyen el núcleo de la seguridad en entornos corporativos distribuidos, siendo responsables de la autenticación, autorización y gobernanza de identidades en infraestructuras híbridas y multicloud. Sin embargo, incidentes recientes demuestran que los enfoques tradicionales, basados en control de acceso estático y políticas RBAC rígidas, son insuficientes frente a amenazas persistentes avanzadas, explotación de credenciales válidas y movimiento lateral. En este trabajo, proponemos una arquitectura adaptativa de IAM orientada al riesgo continuo, denominada A²-IAM, que integra modelado formal de políticas, evaluación probabilística de riesgo en tiempo real y mecanismos de decisión basados en optimización convexa. Formalizamos el problema de autorización como una función de decisión $f(u, r, c, t)$ dependiente de la identidad, el recurso, el contexto y el tiempo, sujeta a restricciones de seguridad y conformidad. Introducimos dos algoritmos principales: (i) Risk-Adaptive Policy Evaluation (RAPE) y (ii) Dynamic Privilege Minimization (DPM). Implementamos un prototipo funcional integrado con Keycloak, Open Policy Agent (OPA) y un mecanismo de telemetría basado en Apache Kafka. Evaluamos el sistema en un entorno experimental con 50.000 identidades sintéticas y 1,2 millones de eventos de acceso, comparándolo con RBAC tradicional y ABAC estático. Los resultados indican una reducción del 37,4% en accesos de alto riesgo no autorizados, una disminución del 28,1% en el tiempo medio de detección de abuso de privilegios y una sobrecarga computacional inferior al 11% en escenarios de pico. Demostramos que el enfoque propuesto mejora significativamente la resiliencia frente a técnicas MITRE ATT&CK como T1078 (Valid Accounts) y T1021 (Remote Services), preservando la escalabilidad y la conformidad regulatoria.
Read paper →IAMTÍTULO: IAM-Guard: Una Arquitectura Formal y Adaptativa para la Gobernanza Continua de Identidades y la Minimización de Privilegios en Entornos Multicloud
TÍTULO: IAM-Guard: Una Arquitectura Formal y Adaptativa para la Gobernanza Continua de Identidades y la Minimización de Privilegios en Entornos Multicloud RESUMEN: La gestión de identidad y acceso (Identity and Access Management – IAM) constituye el núcleo de los controles de seguridad en infraestructuras corporativas modernas, especialmente en entornos multicloud y arquitecturas basadas en microservicios. Incidentes recientes, incluidas explotaciones asociadas a las técnicas T1078 (Valid Accounts) y T1098 (Account Manipulation) del MITRE ATT&CK, demuestran que las fallas en la gobernanza de privilegios y en la detección de configuraciones excesivas siguen siendo vectores primarios de compromiso. En este trabajo, proponemos IAM-Guard, una arquitectura formal y adaptativa para la gobernanza continua de identidades basada en modelado matemático de políticas, detección probabilística de desviaciones comportamentales y síntesis automática de políticas mínimas. Nuestra metodología combina (i) una formalización del estado de privilegios como un grafo dirigido etiquetado, (ii) un algoritmo de reducción de privilegios basado en optimización multiobjetivo y (iii) un mecanismo de detección de anomalías fundamentado en modelos de mezcla gaussiana y análisis de secuencias de autorización. Implementamos un prototipo operacional integrado a entornos AWS, Azure y Kubernetes, evaluándolo sobre 1,2 mil millones de eventos de autenticación recopilados a lo largo de 180 días en tres organizaciones de tamaño mediano. Los resultados indican una reducción promedio del 37,8% en los privilegios excesivos detectados, una disminución del 42,3% en la superficie efectiva de ataque y una tasa de detección de abuso de credenciales del 96,1% con una tasa de falso positivo del 3,4%. En comparación con enfoques basados exclusivamente en RBAC estático, IAM-Guard presentó una mejora del 28% en la precisión de minimización de privilegios y una reducción del 31% en el tiempo medio de respuesta a incidentes relacionados con cuentas comprometidas. Estos resultados demuestran la viabilidad de una gobernanza de identidad formalmente fundamentada y adaptativa como mecanismo central de defensa en profundidad.
Read paper →IAMTÍTULO: Una Arquitectura Adaptativa y Formalmente Verificable para Identity and Access Management (IAM) Resiliente al Compromiso de Credenciales y a la Escalada Lateral
TÍTULO: Una Arquitectura Adaptativa y Formalmente Verificable para Identity and Access Management (IAM) Resiliente al Compromiso de Credenciales y a la Escalada Lateral RESUMEN: Los sistemas de Identity and Access Management (IAM) constituyen el núcleo del control de seguridad en infraestructuras corporativas modernas, especialmente en entornos híbridos y multicloud. Sin embargo, informes recientes sobre violaciones de datos indican que más del 60% de los incidentes críticos involucran abuso de credenciales válidas, escalada de privilegios y configuraciones inadecuadas de políticas de acceso. Este trabajo investiga el problema de la gestión dinámica de identidades y privilegios bajo un modelo de amenaza realista que contempla el compromiso parcial de credenciales, el movimiento lateral y la explotación de políticas excesivamente permisivas. Proponemos una arquitectura adaptativa de IAM denominada A-FIAM (Adaptive and Formally-verified IAM), que integra control de acceso basado en atributos (ABAC), análisis conductual continuo y verificación formal de políticas utilizando lógica temporal lineal. La metodología combina modelado matemático del grafo de privilegios, algoritmos de minimización de la superficie de ataque y detección de anomalías basada en desviaciones estadísticas de perfiles de acceso. Implementamos un prototipo en un entorno híbrido (Kubernetes + Azure AD + Keycloak) y realizamos experimentos con 12,4 millones de eventos reales y sintéticos. Los resultados demuestran una reducción del 47,3% en la superficie de privilegios efectivos, detección de abuso de credenciales con una tasa de verdadero positivo del 96,1% y falso positivo del 2,8%, además de una sobrecarga media inferior a 8,6 ms por solicitud de autorización. En comparación con enfoques RBAC estáticos y con IAM nativo de proveedores de nube, nuestro sistema reduce los caminos de escalada lateral en un 39% y mitiga automáticamente el 92% de las violaciones de separación de funciones. Concluimos que la integración de la verificación formal con la adaptación conductual continua representa un avance significativo en la resiliencia de los sistemas IAM frente a adversarios sofisticados.
Read paper →IAMArquitectura Adaptativa de Identity and Access Management con Evaluación Continua de Riesgo Basada en Grafos y Políticas Formales para Entornos Multicloud
1. Introducción
Read paper →IAMUna Arquitectura Formalmente Verificable para Identity and Access Management Adaptativo con Garantías Cuantitativas de Seguridad en Entornos Multi-Cloud
1. Introducción
Read paper →IAMArquitectura Adaptativa y Formalmente Verificable para Identity and Access Management con Minimización de Privilegios Orientada a Riesgo
1. Introducción
Read paper →IAMIAM-GraphSec: Una Arquitectura Formal, Verificable y Escalable para la Gobernanza Adaptativa de Identidades y la Minimización de la Superficie de Ataque en Entornos Multi-Cloud
1. Introducción
Read paper →