Research / Paper Files
Paper Files
Paper Files es una práctica personal de estudio continuo en ciberseguridad que aplica el método científico como herramienta de aprendizaje. Cada artículo no se escribe para su publicación académica, sino como un ejercicio deliberado para afilar el hacha — profundizando en temas concretos, organizando ideas con rigor y observando cómo evoluciona la comprensión de ciertos asuntos con el tiempo. Es el equivalente intelectual a un cuaderno de entrenamiento: cada entrada registra qué se estudió, cómo se analizó y qué conclusiones surgieron.
Recomiendo encarecidamente que los profesionales de seguridad adopten este método. Elige un tema que quieras dominar, investiga fuentes primarias (RFCs, papers, documentación oficial), estructura tu texto con introducción, metodología, análisis y conclusión, y escribe como si estuvieras explicándoselo a un compañero. El acto de escribir obliga a pensar con claridad y expone lagunas de comprensión que la lectura pasiva no puede revelar. Usa los artículos de este sitio como ejemplos de formato y profundidad, y construye tu propia colección: con el tiempo, tendrás un repositorio personal de conocimiento refinado que ningún curso ni certificación puede sustituir.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →216 papers
Arquitectura DevSecOps Orientada por Riesgo con Correlación Multietapa Basada en MITRE ATT&CK y Evidencias Empíricas en Pipelines CI/CD Nativos en la Nube
TITLE: Arquitectura DevSecOps Orientada por Riesgo con Correlación Multietapa Basada en MITRE ATT&CK y Evidencias Empíricas en Pipelines CI/CD Nativos en la Nube ABSTRACT: La creciente adopción de arquitecturas nativas en la nube y de pipelines CI/CD altamente automatizados amplió de manera significativa la superficie de ataque asociada al ciclo de vida del desarrollo de software. Incidentes ampliamente documentados, incluidos compromisos de cadena de suministro y explotación de vulnerabilidades ampliamente distribuidas, demuestran que los controles de seguridad aislados son insuficientes cuando no se integran con mecanismos de priorización contextual y correlación conductual. En este trabajo presentamos una arquitectura DevSecOps orientada por riesgo que integra análisis estático de código, análisis de dependencias, generación y verificación de SBOM, validación de infraestructura como código, detección conductual en tiempo de ejecución y un motor formal de cálculo de riesgo contextual. La arquitectura utiliza el framework MITRE ATT&CK como ontología para la correlación multietapa de eventos a lo largo de todo el pipeline de desarrollo y ejecución. Realizamos un análisis crítico de las limitaciones de los enfoques basados exclusivamente en CVSS, demostrando que la ausencia de contextualización operacional con frecuencia conduce a una priorización inadecuada de vulnerabilidades y a la fatiga por alertas. Proponemos una formulación matemática del riesgo como una función compuesta de la probabilidad de explotación estimada por EPSS, el impacto técnico normalizado y factores dinámicos de exposición operacional. Introducimos definiciones formales de adversario, propiedades de corrección del mecanismo de bloqueo de builds y un modelo probabilístico de correlación entre técnicas adversarias. La arquitectura fue implementada en un entorno Kubernetes utilizando GitLab CI, SonarQube, Semgrep, Trivy, Syft, Grype, OWASP ZAP, Falco, Suricata y Open Policy Agent. Evaluamos empíricamente el sistema durante seis meses en un conjunto de microservicios corporativos distribuidos en dos dominios organizacionales distintos. Los resultados indican una reducción consistente en el tiempo medio de remediación, una disminución relativa de falsos positivos y un impacto operacional limitado en el tiempo total de build. Los resultados empíricos sugieren que la integración entre modelado formal de riesgo, inteligencia de amenazas y automatización de políticas puede mejorar significativamente la eficacia operacional de los programas DevSecOps en entornos nativos en la nube.
Read paper →DevSecOpsTÍTULO: DevSecOps Orientado a Amenazas: Arquitectura Formal para la Integración de SAST, DAST, SCA y Telemetría Conductual Basada en MITRE ATT&CK en Pipelines CI/CD
TÍTULO: DevSecOps Orientado a Amenazas: Arquitectura Formal para la Integración de SAST, DAST, SCA y Telemetría Conductual Basada en MITRE ATT&CK en Pipelines CI/CD RESUMEN: La adopción masiva de arquitecturas cloud-native y pipelines de integración y entrega continuas (CI/CD) ha transformado profundamente los procesos de desarrollo de software. Sin embargo, esta automatización amplía significativamente la superficie de ataque cuando los mecanismos de seguridad no se incorporan de forma sistemática al ciclo de vida de desarrollo. Incidentes ampliamente documentados, como el compromiso de la cadena de suministro de SolarWinds y la explotación de la vulnerabilidad CVE-2021-44228 (Log4Shell), demuestran que las fallas en la integración entre la seguridad del código, las dependencias y la monitorización en tiempo de ejecución pueden permitir compromisos a gran escala. Aunque las herramientas de análisis estático (SAST), análisis dinámico (DAST) y análisis de composición de software (SCA) son ampliamente utilizadas en pipelines DevSecOps, su operación aislada frecuentemente genera grandes volúmenes de alertas y dificulta la priorización basada en el riesgo real. En este trabajo, proponemos una arquitectura DevSecOps orientada a amenazas que integra los resultados de escáneres de seguridad con telemetría conductual y mapeo sistemático al framework MITRE ATT&CK. Formalizamos matemáticamente el cálculo del riesgo residual en pipelines CI/CD combinando métricas de severidad (CVSS), evidencias de explotación observadas en tiempo de ejecución y criticidad contextual de la aplicación. Introducimos un algoritmo de priorización adaptativa que correlaciona vulnerabilidades detectadas en etapas estáticas con indicadores conductuales provenientes de sistemas de detección y observabilidad, como Falco y Suricata. Implementamos la arquitectura propuesta en un entorno empresarial basado en GitLab CI/CD, Kubernetes y herramientas ampliamente utilizadas de seguridad de aplicaciones, incluyendo Semgrep, SonarQube, Trivy, Checkov y OWASP ZAP. Evaluamos empíricamente el enfoque en 120 pipelines que involucraban 48 microservicios y aproximadamente 3,2 millones de líneas de código a lo largo de seis meses. Los resultados indican una reducción significativa en el tiempo medio de detección (MTTD), en el tiempo medio de remediación (MTTR) y en la incidencia de vulnerabilidades críticas en producción. También observamos una disminución sustancial en la tasa de falsos positivos cuando la priorización se orienta por telemetría conductual e inteligencia de amenazas. Estos resultados demuestran que la correlación sistemática entre análisis de código, seguridad de la cadena de suministro y detección conductual basada en MITRE ATT&CK permite reducir de forma mensurable el riesgo operativo en pipelines CI/CD modernos.
Read paper →DevSecOpsTÍTULO: Orquestación criptográficamente verificable de pipelines DevSecOps: modelo formal, arquitectura automatizada y evaluación experimental en entornos Kubernetes nativos de la nube
TÍTULO: Orquestación criptográficamente verificable de pipelines DevSecOps: modelo formal, arquitectura automatizada y evaluación experimental en entornos Kubernetes nativos de la nube RESUMEN: La creciente adopción de arquitecturas basadas en microservicios y la orquestación Kubernetes ha consolidado los pipelines CI/CD como componente central de la ingeniería de software moderna. Sin embargo, esta automatización amplió significativamente la superficie de ataque de las cadenas de suministro de software. Incidentes ampliamente documentados demostraron que la adulteración de dependencias, artefactos de compilación o infraestructura de pipeline puede comprometer miles de sistemas simultáneamente. Este trabajo propone un modelo formal para la orquestación criptográficamente verificable de pipelines DevSecOps en entornos nativos de la nube. El modelo representa los pipelines como grafos dirigidos acíclicos en los cuales cada transformación de artefacto va acompañada de propiedades verificables de integridad, autenticidad y trazabilidad. Formalizamos métricas cuantitativas de riesgo operacional basadas en funciones hash criptográficas, firmas digitales y scoring derivado de vulnerabilidades CVSS. Sobre esta base teórica, desarrollamos una arquitectura automatizada denominada OCV-DevSecOps, que integra la verificación de artefactos con Sigstore/Cosign, políticas declarativas con Open Policy Agent, detección comportamental en tiempo de ejecución con Falco y análisis de vulnerabilidades con herramientas SAST, SCA y DAST. La arquitectura también incorpora Software Bill of Materials (SBOM) en formato CycloneDX para la trazabilidad de dependencias y el soporte a la gobernanza de la cadena de suministro. Evaluamos experimentalmente la propuesta en un clúster Kubernetes con 42 microservicios y 180 ejecuciones de pipeline. Los resultados indican una reducción significativa en el tiempo promedio de detección de vulnerabilidades críticas, una mejora sustancial en la trazabilidad de artefactos y una reducción del número de despliegues que contenían fallas críticas. Observamos además un impacto moderado en el tiempo total de ejecución del pipeline, manteniendo la viabilidad operativa. Los resultados sugieren que la combinación de verificación criptográfica obligatoria, políticas automatizadas y monitoreo comportamental continuo ofrece un mecanismo eficaz para fortalecer la seguridad de los pipelines DevSecOps modernos. El trabajo contribuye al proporcionar una formalización matemática del problema, una arquitectura reproducible y una evaluación empírica basada en infraestructura real nativa de la nube.
Read paper →DevSecOpsTÍTULO: Orquestación verificable criptográficamente de pipelines DevSecOps: modelos formales, arquitectura de automatización y evaluación experimental en un entorno Kubernetes nativo de nube
TÍTULO: Orquestación verificable criptográficamente de pipelines DevSecOps: modelos formales, arquitectura de automatización y evaluación experimental en un entorno Kubernetes nativo de nube RESUMEN: El creciente uso de arquitecturas basadas en microservicios y de la orquestación Kubernetes ha consolidado los pipelines CI/CD como un elemento central de la ingeniería de software moderna. Sin embargo, esta automatización amplió significativamente la superficie de ataque de la cadena de suministro de software. Incidentes ampliamente documentados han demostrado que la alteración de dependencias, artefactos de build o de la infraestructura del pipeline puede comprometer simultáneamente a miles de sistemas. Este estudio propone un modelo formal para la orquestación verificable criptográficamente de pipelines DevSecOps en entornos nativos de nube. El modelo representa un pipeline como un grafo acíclico dirigido en el que cada transformación de artefacto va acompañada de propiedades verificables de integridad, autenticidad y trazabilidad. Además, formaliza indicadores cuantitativos de riesgo operativo derivados de funciones hash criptográficas, firmas digitales y puntuación basada en vulnerabilidades CVSS. Con base en esta fundamentación teórica, desarrollamos una arquitectura de automatización denominada OCV-DevSecOps que integra la verificación de artefactos con Sigstore/Cosign, la aplicación declarativa de políticas con Open Policy Agent, la detección de comportamiento en tiempo de ejecución con Falco y el análisis de vulnerabilidades con herramientas SAST, SCA y DAST. La arquitectura también incorpora una Software Bill of Materials (SBOM) en formato CycloneDX para apoyar la trazabilidad de dependencias y la gobernanza de la cadena de suministro. Evaluamos experimentalmente el enfoque propuesto en un clúster Kubernetes compuesto por 42 microservicios y 180 ejecuciones de pipeline. Los resultados demostraron una reducción significativa en el tiempo medio de detección de vulnerabilidades críticas, una mejora sustancial en la trazabilidad de los artefactos y una disminución en el número de despliegues que contenían defectos críticos. Además, el impacto en el tiempo total de ejecución del pipeline fue moderado, preservando la viabilidad operativa. Estos resultados sugieren que la combinación de verificación criptográfica impuesta, automatización de políticas y monitoreo conductual continuo proporciona un mecanismo eficaz para fortalecer la seguridad de los pipelines DevSecOps modernos. Este estudio contribuye al proporcionar una formalización matemática del problema, una arquitectura reproducible y una evaluación empírica basada en infraestructura nativa de nube real.
Read paper →DevSecOpsTÍTULO: Orquestación Formal de Seguridad en Pipelines CI/CD: Modelo Cuantitativo de Riesgo para DevSecOps con Correlación MITRE ATT&CK y Métricas Operacionales
TÍTULO: Orquestación Formal de Seguridad en Pipelines CI/CD: Modelo Cuantitativo de Riesgo para DevSecOps con Correlación MITRE ATT&CK y Métricas Operacionales RESUMEN: La adopción de prácticas DevOps transformó profundamente el ciclo de desarrollo de software al priorizar la automatización, la integración continua y la entrega continua. Sin embargo, la aceleración de los pipelines CI/CD amplió significativamente la superficie de ataque de las organizaciones, sobre todo en el contexto de ataques a la cadena de suministro de software y la explotación de dependencias vulnerables. Incidentes ampliamente documentados, como el compromiso de la cadena de distribución de SolarWinds Orion (SUNBURST) y la explotación masiva de la vulnerabilidad Log4Shell (CVE‑2021‑44228), evidencian que fallas introducidas durante el proceso de build o dependencias externas pueden propagar impacto a escala global. Aunque el paradigma DevSecOps propone integrar controles de seguridad en el pipeline de desarrollo, la práctica operacional aún se caracteriza por una integración superficial de herramientas, ausencia de métricas cuantitativas de riesgo y falta de alineación entre los resultados de escáneres automatizados y modelos formales de amenaza. En este trabajo proponemos un modelo cuantitativo para la orquestación de seguridad en pipelines CI/CD basado en análisis incremental de riesgo. El modelo formaliza el pipeline como un grafo dirigido acíclico y define una función de riesgo acumulado que combina la puntuación CVSS, la probabilidad de explotación estimada mediante EPSS, la criticidad del activo y un factor temporal asociado a la antigüedad de la vulnerabilidad. A partir de esta formulación introducimos un mecanismo de bloqueo adaptativo que utiliza umbrales dinámicos para decidir automáticamente la promoción o rechazo de artefactos durante el proceso de build. Implementamos el modelo en un entorno Kubernetes utilizando herramientas ampliamente adoptadas en el ecosistema DevSecOps, incluidas Semgrep, SonarQube, Trivy, Syft/Grype, OWASP ZAP y Checkov, además de monitoreo en tiempo de ejecución con Falco y correlación de eventos con la matriz MITRE ATT&CK. La evaluación experimental se llevó a cabo en 1.200 ejecuciones de pipeline que involucraron 37 microservicios. Los resultados indican una reducción significativa de la exposición a vulnerabilidades críticas en producción y una disminución del tiempo medio de remediación sin impacto sustancial en el tiempo de ejecución del pipeline. El estudio demuestra que la formalización matemática del riesgo en pipelines CI/CD permite decisiones automatizadas más consistentes y proporciona una base operativa para la gobernanza de seguridad orientada por métricas en entornos DevSecOps.
Read paper →AppSecTÍTULO: Una Arquitectura Formal y Operativa para AppSec Orientada a Amenazas: Integrando SAST, DAST, SCA, Telemetría de Runtime e Inteligencia ATT&CK para Priorización Basada en Riesgo Explotable
TÍTULO: Una Arquitectura Formal y Operativa para AppSec Orientada a Amenazas: Integrando SAST, DAST, SCA, Telemetría de Runtime e Inteligencia ATT&CK para Priorización Basada en Riesgo Explotable RESUMEN: La superficie de ataque de las aplicaciones modernas se ha expandido sustancialmente con la adopción de arquitecturas basadas en microservicios, APIs, contenedores y pipelines de integración y entrega continuas. Aunque herramientas de seguridad de aplicaciones, como Static Application Security Testing (SAST), Dynamic Application Security Testing (DAST) y Software Composition Analysis (SCA), son ampliamente utilizadas, estos mecanismos a menudo operan de forma aislada, produciendo grandes volúmenes de alertas que carecen de contexto operativo. En consecuencia, los equipos de seguridad enfrentan dificultades para priorizar vulnerabilidades con base en la probabilidad real de explotación. En este trabajo, presentamos una arquitectura formal y operativa para la seguridad de aplicaciones orientada a amenazas que integra resultados de SAST, DAST y SCA con telemetría de ejecución en runtime recopilada mediante sensores de red y monitoreo basado en eBPF. La arquitectura propuesta utiliza correlación probabilística inspirada en modelos bayesianos para estimar el riesgo explotable de las vulnerabilidades identificadas, incorporando evidencias empíricas de eventos de runtime observados y alineando tales evidencias con la estructura MITRE ATT&CK. Formalizamos matemáticamente el concepto de riesgo explotable y demostramos cómo múltiples fuentes de evidencia pueden combinarse para reducir falsos positivos y mejorar la priorización de remediación. La implementación experimental se realizó en un entorno Kubernetes con integración a un pipeline de CI/CD, utilizando herramientas ampliamente adoptadas en la industria, incluyendo Semgrep, OWASP ZAP, OWASP Dependency-Check, Falco y Suricata. Evaluamos el enfoque en un conjunto de aplicaciones vulnerables y observamos mejoras significativas en la precisión de la identificación de vulnerabilidades explotables. Los resultados experimentales indican un aumento del F1-score de 0.67–0.63 en enfoques aislados a 0.85 en el modelo integrado, así como una reducción del 37,4% en los falsos positivos y una disminución en el tiempo promedio necesario para la triage de vulnerabilidades. Discutimos las limitaciones del modelo probabilístico, las implicaciones operativas para las prácticas de DevSecOps y posibles extensiones, incluyendo la integración con métricas de explotación como EPSS y análisis asistido por machine learning para priorización adaptativa. La arquitectura propuesta demuestra que correlacionar análisis estático, pruebas dinámicas, análisis de dependencias y telemetría operacional constituye un camino prometedor para reducir la brecha entre la detección de vulnerabilidades y la detección de explotación real.
Read paper →AppSecTÍTULO: Una Arquitectura Formal y Operacional para AppSec Orientada a Amenazas: Integrando SAST, DAST, SCA, Telemetría de Runtime e Inteligencia ATT&CK para Priorización Basada en Riesgo Explotable
TÍTULO: Una Arquitectura Formal y Operacional para AppSec Orientada a Amenazas: Integrando SAST, DAST, SCA, Telemetría de Runtime e Inteligencia ATT&CK para Priorización Basada en Riesgo Explotable RESUMEN: La superficie de ataque de las aplicaciones modernas se ha expandido sustancialmente con la adopción de arquitecturas basadas en microservicios, APIs, contenedores y pipelines de integración y entrega continuas. Aunque herramientas de seguridad de aplicaciones, como Static Application Security Testing (SAST), Dynamic Application Security Testing (DAST) y Software Composition Analysis (SCA), son ampliamente utilizadas, estos mecanismos a menudo operan de forma aislada, generando grandes volúmenes de alertas que carecen de contexto operacional. En consecuencia, los equipos de seguridad enfrentan dificultades para priorizar vulnerabilidades con base en la probabilidad real de explotación. En este trabajo, presentamos una arquitectura formal y operacional para seguridad de aplicaciones orientada a amenazas que integra resultados de SAST, DAST y SCA con telemetría de ejecución en runtime recolectada mediante sensores de red y monitoreo basado en eBPF. La arquitectura propuesta utiliza correlación probabilística inspirada en modelos bayesianos para estimar el riesgo explotable de las vulnerabilidades identificadas, incorporando evidencias empíricas de eventos de runtime observados y alineando dichas evidencias con la estructura MITRE ATT&CK. Formalizamos matemáticamente el concepto de riesgo explotable y demostramos cómo múltiples fuentes de evidencia pueden combinarse para reducir falsos positivos y mejorar la priorización de remediación. La implementación experimental se realizó en un entorno Kubernetes con integración a un pipeline de CI/CD, utilizando herramientas ampliamente adoptadas en la industria, incluidas Semgrep, OWASP ZAP, OWASP Dependency-Check, Falco y Suricata. Evaluamos el enfoque en un conjunto de aplicaciones vulnerables y observamos mejoras significativas en la precisión de la identificación de vulnerabilidades explotables. Los resultados experimentales indican un aumento del F1-score de 0.67–0.63 en enfoques aislados a 0.85 en el modelo integrado, así como una reducción del 37,4% en los falsos positivos y una disminución en el tiempo medio necesario para la triage de vulnerabilidades. Discutimos las limitaciones del modelo probabilístico, las implicaciones operacionales para prácticas de DevSecOps y posibles extensiones, incluida la integración con métricas de explotación como EPSS y el análisis asistido por machine learning para priorización adaptativa. La arquitectura propuesta demuestra que correlacionar análisis estático, pruebas dinámicas, análisis de dependencias y telemetría operacional constituye una vía prometedora para reducir la brecha entre la detección de vulnerabilidades y la detección de explotación real.
Read paper →AppSecUna Arquitectura Formal y Operacional para AppSec Orientado a Amenazas: Integración de SAST, DAST, SCA, Telemetría Runtime e Inteligencia ATT&CK para Priorización Basada en Riesgo Explotable
TITLE: Una Arquitectura Formal y Operacional para AppSec Orientado a Amenazas: Integración de SAST, DAST, SCA, Telemetría Runtime e Inteligencia ATT&CK para Priorización Basada en Riesgo Explotable ABSTRACT: La superficie de ataque de las aplicaciones modernas se ha expandido sustancialmente con la adopción de arquitecturas basadas en microservicios, APIs, contenedores y pipelines de integración y entrega continuas. Aunque las herramientas de seguridad de aplicaciones como Static Application Security Testing (SAST), Dynamic Application Security Testing (DAST) y Software Composition Analysis (SCA) son ampliamente utilizadas, tales mecanismos a menudo operan de forma aislada, produciendo grandes volúmenes de alertas que carecen de contextualización operacional. En consecuencia, los equipos de seguridad enfrentan dificultades para priorizar vulnerabilidades con base en la probabilidad real de explotación. En este trabajo presentamos una arquitectura formal y operacional para la seguridad de aplicaciones orientada a amenazas, que integra resultados de SAST, DAST y SCA con telemetría de ejecución recolectada en tiempo de ejecución mediante sensores de red y monitoreo basado en eBPF. La arquitectura propuesta utiliza correlación probabilística inspirada en modelos bayesianos para estimar el riesgo explotable de las vulnerabilidades identificadas, incorporando evidencias empíricas provenientes de eventos observados en runtime y alineando tales evidencias con el framework MITRE ATT&CK. Formalizamos matemáticamente el concepto de riesgo explotable y demostramos cómo múltiples fuentes de evidencia pueden combinarse para reducir falsos positivos y mejorar la priorización de remediaciones. La implementación experimental se realizó en un entorno Kubernetes con integración en pipeline CI/CD, utilizando herramientas ampliamente adoptadas en la industria, incluyendo Semgrep, OWASP ZAP, OWASP Dependency-Check, Falco y Suricata. Evaluamos el enfoque en un conjunto de aplicaciones vulnerables y observamos mejoras significativas en la precisión de la identificación de vulnerabilidades explotables. Los resultados experimentales indican un aumento del F1-score de 0,67–0,63 en enfoques aislados a 0,85 en el modelo integrado, además de una reducción del 37,4% en falsos positivos y una disminución del tiempo promedio de triage de vulnerabilidades. Discutimos las limitaciones del modelo probabilístico, las implicaciones operacionales para las prácticas DevSecOps y posibles extensiones, incluida la integración con métricas de explotación como EPSS y análisis asistido por aprendizaje automático para una priorización adaptativa. La arquitectura propuesta demuestra que la correlación entre análisis estático, pruebas dinámicas, análisis de dependencias y telemetría operacional constituye un camino prometedor para reducir la brecha entre la detección de vulnerabilidades y la detección de explotación real.
Read paper →AppSecTÍTULO: Una Arquitectura Formal y Operativa para AppSec Orientada por Amenazas: Integrando SAST, DAST, SCA, Telemetría de Runtime e Inteligencia ATT&CK para Priorización Basada en Riesgo Explotable
TÍTULO: Una Arquitectura Formal y Operativa para AppSec Orientada por Amenazas: Integrando SAST, DAST, SCA, Telemetría de Runtime e Inteligencia ATT&CK para Priorización Basada en Riesgo Explotable RESUMEN: La superficie de ataque de las aplicaciones modernas se ha expandido sustancialmente con la adopción de arquitecturas basadas en microservicios, APIs, contenedores y canalizaciones de integración y entrega continuas. Aunque herramientas de seguridad de aplicaciones, como Static Application Security Testing (SAST), Dynamic Application Security Testing (DAST) y Software Composition Analysis (SCA), son ampliamente utilizadas, estos mecanismos a menudo operan de forma aislada, produciendo grandes volúmenes de alertas que carecen de contexto operativo. En consecuencia, los equipos de seguridad enfrentan dificultades para priorizar vulnerabilidades en función de la probabilidad real de explotación. En este trabajo, presentamos una arquitectura formal y operativa para la seguridad de aplicaciones orientada por amenazas que integra resultados de SAST, DAST y SCA con telemetría de ejecución en runtime recolectada mediante sensores de red y monitoreo basado en eBPF. La arquitectura propuesta utiliza correlación probabilística inspirada en modelos bayesianos para estimar el riesgo explotable de las vulnerabilidades identificadas, incorporando evidencia empírica de eventos de runtime observados y alineando dicha evidencia con la estructura MITRE ATT&CK. Formalizamos matemáticamente el concepto de riesgo explotable y demostramos cómo múltiples fuentes de evidencia pueden combinarse para reducir falsos positivos y mejorar la priorización de remediación. La implementación experimental se realizó en un entorno Kubernetes con integración a un pipeline de CI/CD, utilizando herramientas ampliamente adoptadas en la industria, incluyendo Semgrep, OWASP ZAP, OWASP Dependency-Check, Falco y Suricata. Evaluamos el enfoque en un conjunto de aplicaciones vulnerables y observamos mejoras significativas en la precisión de la identificación de vulnerabilidades explotables. Los resultados experimentales indican un aumento del F1-score de 0.67–0.63 en enfoques aislados a 0.85 en el modelo integrado, así como una reducción del 37,4% en los falsos positivos y una disminución en el tiempo medio necesario para la clasificación de vulnerabilidades. Discutimos las limitaciones del modelo probabilístico, las implicaciones operativas para las prácticas de DevSecOps y posibles extensiones, incluida la integración con métricas de explotación como EPSS y el análisis asistido por machine learning para una priorización adaptativa. La arquitectura propuesta demuestra que correlacionar análisis estático, pruebas dinámicas, análisis de dependencias y telemetría operacional constituye una vía prometedora para reducir la brecha entre la detección de vulnerabilidades y la detección de explotación real.
Read paper →AppSecTÍTULO: Una Arquitectura Formal y Operacional para AppSec Orientada por Amenazas: Integración de SAST, DAST, SCA, Telemetría de Runtime e Inteligencia ATT&CK para Priorización Basada en Riesgo Explotable
TÍTULO: Una Arquitectura Formal y Operacional para AppSec Orientada por Amenazas: Integración de SAST, DAST, SCA, Telemetría de Runtime e Inteligencia ATT&CK para Priorización Basada en Riesgo Explotable RESUMEN: La superficie de ataque de las aplicaciones modernas se ha expandido sustancialmente con la adopción de arquitecturas basadas en microservicios, APIs, contenedores y pipelines de integración y entrega continuas. Aunque herramientas de seguridad de aplicaciones, como Static Application Security Testing (SAST), Dynamic Application Security Testing (DAST) y Software Composition Analysis (SCA), se utilizan ampliamente, estos mecanismos a menudo operan de forma aislada, produciendo grandes volúmenes de alertas que carecen de contexto operativo. En consecuencia, los equipos de seguridad enfrentan dificultades para priorizar vulnerabilidades con base en la probabilidad real de explotación. En este trabajo, presentamos una arquitectura formal y operacional para la seguridad de aplicaciones orientada por amenazas que integra resultados de SAST, DAST y SCA con telemetría de ejecución en runtime recolectada mediante sensores de red y monitoreo basado en eBPF. La arquitectura propuesta utiliza correlación probabilística inspirada en modelos bayesianos para estimar el riesgo explotable de las vulnerabilidades identificadas, incorporando evidencias empíricas de eventos de runtime observados y alineando tales evidencias con el marco MITRE ATT&CK. Formalizamos matemáticamente el concepto de riesgo explotable y demostramos cómo múltiples fuentes de evidencia pueden combinarse para reducir falsos positivos y mejorar la priorización de remediación. La implementación experimental se realizó en un entorno Kubernetes con integración a un pipeline de CI/CD, utilizando herramientas ampliamente adoptadas en la industria, incluyendo Semgrep, OWASP ZAP, OWASP Dependency-Check, Falco y Suricata. Evaluamos el enfoque en un conjunto de aplicaciones vulnerables y observamos mejoras significativas en la precisión de la identificación de vulnerabilidades explotables. Los resultados experimentales indican un aumento del F1-score de 0.67–0.63 en enfoques aislados a 0.85 en el modelo integrado, así como una reducción del 37.4% en los falsos positivos y una disminución en el tiempo medio necesario para la triage de vulnerabilidades. Discutimos las limitaciones del modelo probabilístico, las implicaciones operativas para las prácticas de DevSecOps y posibles extensiones, incluida la integración con métricas de explotación como EPSS y el análisis asistido por machine learning para la priorización adaptativa. La arquitectura propuesta demuestra que correlacionar análisis estático, pruebas dinámicas, análisis de dependencias y telemetría operacional constituye una vía prometedora para reducir la brecha entre la detección de vulnerabilidades y la detección de explotación real.
Read paper →AppSecTÍTULO: AppSec orientada a evidencias: un framework formal y escalable para orquestación de seguridad de aplicaciones basada en modelado de amenazas y análisis híbrido continuo
TÍTULO: AppSec orientada a evidencias: un framework formal y escalable para orquestación de seguridad de aplicaciones basada en modelado de amenazas y análisis híbrido continuo RESUMEN: La seguridad de aplicaciones se ha convertido en un componente central de la ciberseguridad moderna debido a la creciente dependencia de arquitecturas distribuidas, microservicios, APIs públicas y cadenas complejas de dependencias open-source. La superficie de ataque de los sistemas contemporáneos crece proporcionalmente a la interconectividad entre componentes, lo que vuelve insuficientes los enfoques tradicionales que analizan vulnerabilidades de forma aislada. En entornos DevSecOps contemporáneos, herramientas como análisis estático (SAST), análisis dinámico (DAST) y análisis de composición de software (SCA) producen grandes volúmenes de alertas, frecuentemente caracterizadas por alta tasa de falsos positivos y priorización inadecuada de riesgos. Este trabajo propone un framework formal denominado EO-AppSec (Evidence-Oriented Application Security), que integra múltiples fuentes de evidencia de seguridad en un modelo probabilístico unificado para la priorización de vulnerabilidades. Formalizamos el problema utilizando inferencia bayesiana combinada con métricas CVSS contextualizadas y modelado de dependencias de componentes representadas por grafos dirigidos. El framework correlaciona resultados de herramientas SAST, DAST y SCA, además de telemetría operacional, para estimar la probabilidad de explotación de vulnerabilidades y calcular un score de riesgo condicional. La arquitectura propuesta integra pipelines CI/CD e infraestructuras cloud-native, incluyendo entornos Kubernetes y plataformas de observabilidad basadas en eBPF y stacks de telemetría modernas. Evaluamos el sistema en un entorno industrial que contenía 47 aplicaciones y aproximadamente 3,2 millones de líneas de código, comparándolo con enfoques tradicionales basados en análisis aislado. Los resultados demuestran un aumento significativo en la precisión de la priorización de vulnerabilidades (0,89) y una reducción de falsos positivos del 42,3%, además de una reducción del tiempo medio de remediación de 14,2 a 8,7 días. Analizamos las implicaciones prácticas para la gobernanza de la seguridad del software y la integración con frameworks contemporáneos de seguridad, incluido el NIST Secure Software Development Framework y prácticas modernas de seguridad en pipelines DevSecOps. También analizamos limitaciones metodológicas e implicaciones para entornos que incorporan componentes de inteligencia artificial y modelos de lenguaje de gran escala en aplicaciones modernas. Los resultados indican que la orquestación basada en evidencias ofrece un camino viable para reducir el ruido operacional y mejorar la eficacia de los programas de AppSec a escala industrial.
Read paper →AppSecTÍTULO: AppSec orientada por evidencias: un framework formal y escalable para la orquestación de seguridad de aplicaciones basada en modelado de amenazas y análisis híbrido continuo
TÍTULO: AppSec orientada por evidencias: un framework formal y escalable para la orquestación de seguridad de aplicaciones basada en modelado de amenazas y análisis híbrido continuo RESUMEN: La seguridad de aplicaciones se ha convertido en un componente central de la ciberseguridad moderna debido a la creciente dependencia de arquitecturas distribuidas, microservicios, APIs públicas y cadenas complejas de dependencias open-source. La superficie de ataque de los sistemas contemporáneos crece proporcionalmente a la interconectividad entre componentes, lo que hace insuficientes los enfoques tradicionales que analizan vulnerabilidades de forma aislada. En entornos DevSecOps contemporáneos, herramientas como análisis estático (SAST), análisis dinámico (DAST) y análisis de composición de software (SCA) producen grandes volúmenes de alertas, frecuentemente caracterizadas por una alta tasa de falsos positivos y una priorización inadecuada de riesgos. Este trabajo propone un framework formal denominado EO-AppSec (Evidence-Oriented Application Security), que integra múltiples fuentes de evidencia de seguridad en un modelo probabilístico unificado para la priorización de vulnerabilidades. Formalizamos el problema utilizando inferencia bayesiana combinada con métricas CVSS contextualizadas y modelado de dependencias de componentes representadas por grafos dirigidos. El framework correlaciona resultados de herramientas SAST, DAST y SCA, además de telemetría operativa, para estimar la probabilidad de explotación de vulnerabilidades y calcular un puntaje de riesgo condicional. La arquitectura propuesta integra pipelines CI/CD e infraestructuras cloud-native, incluyendo entornos Kubernetes y plataformas de observabilidad basadas en eBPF y stacks de telemetría modernas. Evaluamos el sistema en un entorno industrial que contenía 47 aplicaciones y aproximadamente 3,2 millones de líneas de código, comparándolo con enfoques tradicionales basados en análisis aislado. Los resultados demuestran un aumento significativo en la precisión de la priorización de vulnerabilidades (0,89) y una reducción de falsos positivos del 42,3%, además de una disminución del tiempo medio de remediación de 14,2 a 8,7 días. Discutimos implicaciones prácticas para la gobernanza de la seguridad de software y la integración con frameworks contemporáneos de seguridad, incluido el NIST Secure Software Development Framework y prácticas modernas de seguridad en pipelines DevSecOps. También analizamos limitaciones metodológicas e implicaciones para entornos que incorporan componentes de inteligencia artificial y modelos de lenguaje de gran escala en aplicaciones modernas. Los resultados indican que la orquestación basada en evidencias ofrece una vía viable para reducir el ruido operativo y mejorar la eficacia de los programas de AppSec a escala industrial.
Read paper →AppSecAppSec orientada a evidencias: un framework formal y escalable para la orquestación de la seguridad de aplicaciones basada en modelado de amenazas y análisis híbrido continuo
TITLE: AppSec orientada a evidencias: un framework formal y escalable para la orquestación de la seguridad de aplicaciones basada en modelado de amenazas y análisis híbrido continuo ABSTRACT: La seguridad de aplicaciones se ha convertido en un componente central de la ciberseguridad moderna debido a la creciente dependencia de arquitecturas distribuidas, microservicios, APIs públicas y cadenas complejas de dependencias open-source. La superficie de ataque de los sistemas contemporáneos crece proporcionalmente a la interconectividad entre componentes, tornando insuficientes los enfoques tradicionales que analizan vulnerabilidades de forma aislada. En entornos DevSecOps contemporáneos, herramientas como análisis estático (SAST), análisis dinámico (DAST) y análisis de composición de software (SCA) producen grandes volúmenes de alertas, frecuentemente caracterizadas por una alta tasa de falsos positivos y una priorización inadecuada de riesgos. Este trabajo propone un framework formal denominado EO-AppSec (Evidence-Oriented Application Security), que integra múltiples fuentes de evidencia de seguridad en un modelo probabilístico unificado para la priorización de vulnerabilidades. Formalizamos el problema utilizando inferencia bayesiana combinada con métricas CVSS contextualizadas y modelado de dependencias de componentes representadas por grafos dirigidos. El framework correlaciona resultados de herramientas SAST, DAST y SCA, además de telemetría operacional, para estimar la probabilidad de explotación de vulnerabilidades y calcular un score de riesgo condicional. La arquitectura propuesta integra pipelines CI/CD e infraestructuras cloud-native, incluyendo entornos Kubernetes y plataformas de observabilidad basadas en eBPF y stacks de telemetría modernas. Evaluamos el sistema en un entorno industrial con 47 aplicaciones y aproximadamente 3,2 millones de líneas de código, comparándolo con enfoques tradicionales basados en análisis aislado. Los resultados demuestran un aumento significativo en la precisión de la priorización de vulnerabilidades (0,89) y una reducción de falsos positivos del 42,3%, además de una disminución del tiempo medio de remediación de 14,2 a 8,7 días. Discutimos implicaciones prácticas para la gobernanza de la seguridad de software y la integración con frameworks contemporáneos de seguridad, incluido el NIST Secure Software Development Framework y prácticas modernas de seguridad en pipelines DevSecOps. También analizamos limitaciones metodológicas e implicaciones para entornos que incorporan componentes de inteligencia artificial y modelos de lenguaje de gran escala en aplicaciones modernas. Los resultados indican que la orquestación basada en evidencias ofrece un camino viable para reducir el ruido operacional y mejorar la eficacia de los programas de AppSec a escala industrial.
Read paper →AppSecTÍTULO: AppSec orientada a evidencias: un framework formal y escalable para la orquestación de la seguridad de aplicaciones basada en modelado de amenazas y análisis híbrido continuo
TÍTULO: AppSec orientada a evidencias: un framework formal y escalable para la orquestación de la seguridad de aplicaciones basada en modelado de amenazas y análisis híbrido continuo RESUMEN: La seguridad de aplicaciones se ha convertido en un componente central de la ciberseguridad moderna debido a la creciente dependencia de arquitecturas distribuidas, microservicios, APIs públicas y cadenas complejas de dependencias open-source. La superficie de ataque de los sistemas contemporáneos crece proporcionalmente a la interconectividad entre componentes, lo que hace insuficientes los enfoques tradicionales que analizan vulnerabilidades de forma aislada. En entornos DevSecOps contemporáneos, herramientas como el análisis estático (SAST), el análisis dinámico (DAST) y el análisis de composición de software (SCA) producen grandes volúmenes de alertas, frecuentemente caracterizadas por una alta tasa de falsos positivos y una priorización inadecuada de riesgos. Este trabajo propone un framework formal denominado EO-AppSec (Evidence-Oriented Application Security), que integra múltiples fuentes de evidencia de seguridad en un modelo probabilístico unificado para la priorización de vulnerabilidades. Formalizamos el problema utilizando inferencia bayesiana combinada con métricas CVSS contextualizadas y modelado de dependencias de componentes representadas por grafos dirigidos. El framework correlaciona resultados de herramientas SAST, DAST y SCA, además de telemetría operacional, para estimar la probabilidad de explotación de vulnerabilidades y calcular una puntuación de riesgo condicional. La arquitectura propuesta integra pipelines CI/CD e infraestructuras cloud-native, incluidos entornos Kubernetes y plataformas de observabilidad basadas en eBPF y stacks modernos de telemetría. Evaluamos el sistema en un entorno industrial que contenía 47 aplicaciones y aproximadamente 3,2 millones de líneas de código, comparándolo con enfoques tradicionales basados en análisis aislado. Los resultados demuestran un aumento significativo en la precisión de la priorización de vulnerabilidades (0,89) y una reducción de falsos positivos del 42,3%, además de una reducción del tiempo medio de remediación de 14,2 a 8,7 días. Discutimos implicaciones prácticas para la gobernanza de la seguridad del software y la integración con frameworks contemporáneos de seguridad, incluido el NIST Secure Software Development Framework y prácticas modernas de seguridad en pipelines DevSecOps. También analizamos limitaciones metodológicas e implicaciones para entornos que incorporan componentes de inteligencia artificial y modelos de lenguaje de gran escala en aplicaciones modernas. Los resultados indican que la orquestación basada en evidencias ofrece un camino viable para reducir el ruido operativo y mejorar la eficacia de los programas de AppSec a escala industrial.
Read paper →AppSecUna Arquitectura Cuantitativa y Operativa de Application Security Basada en la Integración de SAST, DAST, SCA y Threat Intelligence en el Ciclo DevSecOps
TITLE: Una Arquitectura Cuantitativa y Operativa de Application Security Basada en la Integración de SAST, DAST, SCA y Threat Intelligence en el Ciclo DevSecOps ABSTRACT: La seguridad de aplicaciones (Application Security – AppSec) se ha convertido en un componente central de la gestión de riesgos en entornos digitales modernos. La creciente adopción de arquitecturas basadas en microservicios, APIs expuestas, contenedores y pipelines de entrega continua ha ampliado significativamente la superficie de ataque de las organizaciones. Aunque diversas herramientas de análisis de seguridad están ampliamente disponibles, muchas organizaciones aún enfrentan dificultades para priorizar vulnerabilidades en función del riesgo real de explotación. Las herramientas de análisis estático (SAST), análisis dinámico (DAST) y análisis de composición de software (SCA) con frecuencia producen grandes volúmenes de hallazgos, muchos de los cuales tienen bajo impacto operativo o una alta tasa de falsos positivos. Este trabajo propone una arquitectura cuantitativa para programas de AppSec orientados al riesgo, integrando resultados de SAST, DAST y SCA con fuentes externas de threat intelligence. Presentamos un modelo formal de priorización basado en una función de riesgo que combina puntuaciones CVSS, evidencia de exploit público, contexto de exposición de la aplicación y mapeo a técnicas del framework MITRE ATT&CK. La arquitectura propuesta se integra en pipelines DevSecOps y utiliza mecanismos de correlación y normalización de vulnerabilidades mediante plataformas de gestión como DefectDojo. Evaluamos empíricamente el enfoque en un conjunto de 42 aplicaciones reales desarrolladas en Java, Python y Node.js. Los resultados indican una reducción significativa de vulnerabilidades duplicadas, una disminución de la tasa de falsos positivos y una mejora sustancial en el tiempo medio de remediación (MTTR). Se observó una reducción del 63% en el MTTR y una disminución del 44,7% en el volumen de hallazgos tras la correlación entre scanners. Demostramos además que la incorporación de threat intelligence —incluida la presencia de exploits públicos y la observación de actividad adversaria— mejora la priorización de las remediaciones y dirige los recursos hacia vulnerabilidades efectivamente explotables. Los resultados sugieren que los programas de AppSec orientados por riesgo, cuando se integran al ciclo DevSecOps, ofrecen ganancias medibles en la reducción de la superficie de ataque y en la eficiencia operativa de los equipos de seguridad.
Read paper →AppSecTÍTULO: Una Arquitectura Cuantitativa y Operacional de Application Security Basada en la Integración de SAST, DAST, SCA y Threat Intelligence en el Ciclo DevSecOps
TÍTULO: Una Arquitectura Cuantitativa y Operacional de Application Security Basada en la Integración de SAST, DAST, SCA y Threat Intelligence en el Ciclo DevSecOps RESUMEN: La seguridad de aplicaciones (Application Security – AppSec) se ha convertido en un componente central de la gestión de riesgos en entornos digitales modernos. La creciente adopción de arquitecturas basadas en microservicios, APIs expuestas, contenedores y pipelines de entrega continua ha ampliado significativamente la superficie de ataque de las organizaciones. Aunque diversas herramientas de análisis de seguridad están ampliamente disponibles, muchas organizaciones aún enfrentan dificultades para priorizar vulnerabilidades en función del riesgo real de explotación. Las herramientas de análisis estático (SAST), análisis dinámico (DAST) y análisis de composición de software (SCA) a menudo producen grandes volúmenes de hallazgos, muchos de los cuales tienen bajo impacto operacional o una alta tasa de falsos positivos. Este trabajo propone una arquitectura cuantitativa para programas de AppSec orientados al riesgo, integrando resultados de SAST, DAST y SCA con fuentes externas de inteligencia de amenazas. Presentamos un modelo formal de priorización basado en una función de riesgo que combina puntuaciones CVSS, evidencia de exploit público, contexto de exposición de la aplicación y mapeo a técnicas del framework MITRE ATT&CK. La arquitectura propuesta se integra en pipelines DevSecOps y utiliza mecanismos de correlación y normalización de vulnerabilidades mediante plataformas de gestión como DefectDojo. Evaluamos empíricamente el enfoque en un conjunto de 42 aplicaciones reales desarrolladas en Java, Python y Node.js. Los resultados indican una reducción significativa de vulnerabilidades duplicadas, disminución de la tasa de falsos positivos y una mejora sustancial en el tiempo medio de remediación (MTTR). Se observó una reducción del 63% en el MTTR y una disminución del 44,7% en el volumen de hallazgos tras la correlación entre scanners. Además, demostramos que la incorporación de inteligencia de amenazas —incluyendo la presencia de exploits públicos y la observación de actividad adversaria— mejora la priorización de remediaciones y dirige recursos hacia vulnerabilidades efectivamente explotables. Los resultados sugieren que los programas de AppSec orientados por riesgo, cuando se integran en el ciclo DevSecOps, ofrecen ganancias medibles en la reducción de la superficie de ataque y en la eficiencia operacional de los equipos de seguridad.
Read paper →AppSecUna Arquitectura Cuantitativa de Application Security Basada en Modelado Formal de Amenazas, Integración SAST/DAST/SCA y Telemetría Runtime en Entornos DevSecOps
TITLE: Una Arquitectura Cuantitativa de Application Security Basada en Modelado Formal de Amenazas, Integración SAST/DAST/SCA y Telemetría Runtime en Entornos DevSecOps ABSTRACT: La creciente dependencia de aplicaciones web, APIs y arquitecturas basadas en microservicios ha ampliado significativamente la superficie de ataque de los sistemas modernos. Informes recientes de incidentes indican que la explotación de aplicaciones expuestas a internet sigue siendo uno de los vectores de intrusión más frecuentes, explotando a menudo vulnerabilidades conocidas en bibliotecas, fallas de validación de entrada o configuraciones inadecuadas. Aunque las herramientas de seguridad de aplicaciones, como el análisis estático (SAST), el análisis dinámico (DAST) y el análisis de composición de software (SCA), son ampliamente utilizadas en pipelines DevSecOps, tales mecanismos normalmente operan de forma fragmentada y sin una estructura cuantitativa que permita estimar el riesgo residual del sistema. Este trabajo propone una arquitectura integrada de Application Security basada en modelado formal de amenazas, agregación de resultados provenientes de múltiples fuentes de análisis e incorporación de telemetría de ejecución en tiempo real. Formalizamos el problema de priorización de vulnerabilidades como un proceso de minimización del riesgo residual ponderado, en el cual cada vulnerabilidad se evalúa a partir de métricas de probabilidad de explotación, impacto potencial y contexto operacional. La arquitectura propuesta integra herramientas de análisis estático, dinámico y de dependencias con mecanismos de observabilidad de seguridad, incluyendo detección comportamental en runtime y recolección continua de eventos. Evaluamos experimentalmente el enfoque en un entorno compuesto por aplicaciones deliberadamente vulnerables y microservicios reales ejecutados en infraestructura contenerizada. Los resultados indican una mejora significativa en la capacidad de identificar vulnerabilidades efectivamente explotables, con un aumento del recall promedio al 91,3% y una reducción del 63,4% en el tiempo medio de detección (MTTD) en comparación con enfoques aislados. El overhead computacional observado se mantuvo por debajo del 20%, compatible con los requisitos operacionales de los pipelines CI/CD modernos. Adicionalmente, discutimos implicaciones para programas corporativos de AppSec, destacando la importancia de la integración entre análisis de código, monitoreo operacional e inteligencia de amenazas. La arquitectura propuesta demuestra que la combinación de modelado formal con telemetría runtime proporciona una base sólida para la priorización contextualizada de vulnerabilidades y la reducción efectiva del riesgo residual en sistemas de software contemporáneos.
Read paper →AppSecTÍTULO: Una Arquitectura Cuantitativa de Application Security Basada en Modelado Formal de Amenazas, Integración SAST/DAST/SCA y Telemetría Runtime en Entornos DevSecOps
TÍTULO: Una Arquitectura Cuantitativa de Application Security Basada en Modelado Formal de Amenazas, Integración SAST/DAST/SCA y Telemetría Runtime en Entornos DevSecOps RESUMEN: La creciente dependencia de aplicaciones web, APIs y arquitecturas basadas en microservicios ha ampliado significativamente la superficie de ataque de los sistemas modernos. Informes recientes de incidentes indican que la explotación de aplicaciones expuestas a internet sigue estando entre los vectores de intrusión más frecuentes, explotando a menudo vulnerabilidades conocidas en bibliotecas, fallos de validación de entrada o configuraciones inadecuadas. Aunque las herramientas de seguridad de aplicaciones, como el análisis estático (SAST), el análisis dinámico (DAST) y el análisis de composición de software (SCA), se utilizan ampliamente en pipelines DevSecOps, estos mecanismos suelen operar de forma fragmentada y sin una estructura cuantitativa que permita estimar el riesgo residual del sistema. Este trabajo propone una arquitectura integrada de Application Security basada en modelado formal de amenazas, agregación de resultados procedentes de múltiples fuentes de análisis e incorporación de telemetría de ejecución en tiempo real. Formalizamos el problema de priorización de vulnerabilidades como un proceso de minimización del riesgo residual ponderado, en el que cada vulnerabilidad se evalúa a partir de métricas de probabilidad de explotación, impacto potencial y contexto operacional. La arquitectura propuesta integra herramientas de análisis estático, dinámico y de dependencias con mecanismos de observabilidad de seguridad, incluyendo detección comportamental en runtime y recolección continua de eventos. Evaluamos experimentalmente el enfoque en un entorno compuesto por aplicaciones deliberadamente vulnerables y microservicios reales ejecutados en infraestructura contenerizada. Los resultados indican una mejora significativa en la capacidad de identificar vulnerabilidades efectivamente explotables, con un aumento del recall medio al 91,3% y una reducción del 63,4% en el tiempo medio de detección (MTTD) en comparación con enfoques aislados. El overhead computacional observado se mantuvo por debajo del 20%, compatible con los requisitos operacionales de pipelines CI/CD modernos. Adicionalmente, discutimos las implicaciones para programas corporativos de AppSec, destacando la importancia de la integración entre análisis de código, monitoreo operacional e inteligencia de amenazas. La arquitectura propuesta demuestra que la combinación de modelado formal con telemetría runtime proporciona una base sólida para la priorización contextualizada de vulnerabilidades y la reducción efectiva del riesgo residual en sistemas de software contemporáneos.
Read paper →DFIRTÍTULO: Arquitectura Formal y Operativa para la Respuesta a Incidentes Digitales con Garantías Criptográficas y Validación Verificable en Infraestructuras Modernas
TÍTULO: Arquitectura Formal y Operativa para la Respuesta a Incidentes Digitales con Garantías Criptográficas y Validación Verificable en Infraestructuras Modernas RESUMEN: La creciente complejidad de los ecosistemas digitales contemporáneos, intensificada por la adopción masiva de computación en la nube, arquitecturas de microservicios, inteligencia artificial e infraestructuras distribuidas, exige enfoques más rigurosos para Digital Forensics and Incident Response (DFIR). Las estructuras tradicionales de respuesta a incidentes se concentran predominantemente en procedimientos operativos y gobernanza organizacional, dejando vacíos importantes en la formalización matemática de la integridad de las evidencias y en la verificabilidad de las cadenas de custodia. En este trabajo proponemos una arquitectura integrada que combina fundamentos de criptografía aplicada, métodos formales de verificación y mecanismos operativos de recolección y correlación de telemetría para la respuesta a incidentes en entornos corporativos, infraestructuras críticas y plataformas en la nube. Formalizamos un modelo de amenaza específico para DFIR basado en clases de capacidad adversaria y definimos juegos de seguridad que capturan propiedades de integridad, autenticidad e inmutabilidad de la cadena de evidencias. Introducimos un mecanismo de encadenamiento criptográfico basado en funciones hash resistentes a colisiones y árboles de Merkle, combinado con firmas digitales modernas y almacenamiento inmutable. Además, presentamos un algoritmo de correlación forense modelado como un grafo acíclico dirigido con análisis de complejidad y propiedades de corrección demostrables. La arquitectura está diseñada para integrarse con herramientas ampliamente utilizadas en operaciones de seguridad contemporáneas, incluyendo YARA, Sigma, Suricata, pipelines de telemetría en SIEM/SOAR y mecanismos de observabilidad basados en eBPF en entornos Linux. Realizamos una evaluación experimental cualitativa comparando el enfoque propuesto con flujos tradicionales de respuesta a incidentes, examinando latencia de ingesta, sobrecarga computacional y resistencia a la manipulación adversaria. Dos estudios de caso —uno en un entorno hospitalario digitalizado y otro en una red industrial ICS/SCADA— demuestran la aplicabilidad del modelo en dominios con fuertes restricciones regulatorias y operativas. Concluimos que la incorporación sistemática de garantías criptográficas y especificaciones formales en la práctica de DFIR aumenta significativamente la confiabilidad probatoria y la auditabilidad de las investigaciones, a costa de una sobrecarga computacional moderada y una mayor complejidad operativa. El trabajo contribuye a la convergencia entre criptografía aplicada, verificación formal e ingeniería de seguridad operativa, alineándose con las necesidades de la ciberseguridad contemporánea en 2024.
Read paper →DFIRTÍTULO: Arquitectura Formal y Operacional para Respuesta a Incidentes Digitales con Garantías Criptográficas y Validación Verificable en Infraestructuras Modernas
TÍTULO: Arquitectura Formal y Operacional para Respuesta a Incidentes Digitales con Garantías Criptográficas y Validación Verificable en Infraestructuras Modernas RESUMEN: La creciente complejidad de los ecosistemas digitales contemporáneos, intensificada por la adopción masiva de computación en la nube, arquitecturas de microservicios, inteligencia artificial e infraestructuras distribuidas, exige enfoques más rigurosos para Digital Forensics and Incident Response (DFIR). Las estructuras tradicionales de respuesta a incidentes se concentran predominantemente en procedimientos operacionales y gobernanza organizacional, dejando vacíos importantes en la formalización matemática de la integridad de las evidencias y en la verificabilidad de las cadenas de custodia. En este trabajo proponemos una arquitectura integrada que combina fundamentos de criptografía aplicada, métodos formales de verificación y mecanismos operacionales de recolección y correlación de telemetría para la respuesta a incidentes en entornos corporativos, infraestructuras críticas y plataformas en la nube. Formalizamos un modelo de amenaza específico para DFIR basado en clases de capacidad adversaria y definimos juegos de seguridad que capturan propiedades de integridad, autenticidad e inmutabilidad de la cadena de evidencias. Introducimos un mecanismo de encadenamiento criptográfico basado en funciones hash resistentes a colisiones y árboles de Merkle, combinado con firmas digitales modernas y almacenamiento inmutable. Además, presentamos un algoritmo de correlación forense modelado como grafo acíclico dirigido con análisis de complejidad y propiedades de corrección demostrables. La arquitectura está diseñada para integrarse con herramientas ampliamente utilizadas en operaciones de seguridad contemporáneas, incluyendo YARA, Sigma, Suricata, pipelines de telemetría en SIEM/SOAR y mecanismos de observabilidad basados en eBPF en entornos Linux. Realizamos una evaluación experimental cualitativa comparando el enfoque propuesto con flujos tradicionales de respuesta a incidentes, examinando latencia de ingesta, sobrecarga computacional y resistencia a la manipulación adversaria. Dos estudios de caso —uno en un entorno hospitalario digitalizado y otro en una red industrial ICS/SCADA— demuestran la aplicabilidad del modelo en dominios con fuertes restricciones regulatorias y operacionales. Concluimos que la incorporación sistemática de garantías criptográficas y especificaciones formales en la práctica de DFIR aumenta significativamente la confiabilidad probatoria y la auditabilidad de las investigaciones, a costa de una sobrecarga computacional moderada y una mayor complejidad operacional. El trabajo contribuye a la convergencia entre criptografía aplicada, verificación formal e ingeniería de seguridad operacional, alineándose con las necesidades de la ciberseguridad contemporánea en 2024.
Read paper →DFIRTÍTULO: Arquitectura Orientada a Evidencias para DFIR de Alta Fidelidad: Correlación Multicapa, Formalización Matemática y Evaluación Empírica en Entornos Corporativos
TÍTULO: Arquitectura Orientada a Evidencias para DFIR de Alta Fidelidad: Correlación Multicapa, Formalización Matemática y Evaluación Empírica en Entornos Corporativos RESUMEN: La creciente sofisticación de los ataques cibernéticos corporativos exige metodologías de Digital Forensics and Incident Response (DFIR) capaces de reconstruir cadenas de ataque complejas a partir de múltiples fuentes de evidencia heterogéneas. Los entornos corporativos modernos generan grandes volúmenes de telemetría provenientes de endpoints, redes, servicios en la nube y plataformas de seguridad, incluidas EDR, SIEM y herramientas de observabilidad. Sin embargo, la integración operativa y la correlación temporal rigurosa de estas evidencias siguen siendo desafíos significativos. Este trabajo propone una arquitectura orientada a evidencias para la investigación forense digital de alta fidelidad basada en modelado formal mediante grafos temporales verificables. El modelo introduce una estructura matemática que representa artefactos digitales, relaciones causales y etiquetas de técnicas adversarias según el framework MITRE ATT&CK, preservando simultáneamente propiedades de integridad criptográfica y consistencia temporal. La arquitectura operativa integra herramientas ampliamente adoptadas en la industria, incluyendo Sysmon, Suricata, Auditd, Elastic Stack, Volatility 3 y YARA, además de mecanismos de orquestación de respuesta a incidentes. Proponemos dos algoritmos principales: EviGraph-Builder, responsable de la construcción del grafo forense a partir de eventos normalizados, y CausalPath-Reconstruct, destinado a la reconstrucción probabilística de cadenas de ataque multietapa. La evaluación experimental se llevó a cabo con 49 escenarios que contenían incidentes reales y entornos controlados basados en Atomic Red Team. Los resultados demuestran una reducción media superior al 50% en el tiempo de investigación y un aumento significativo en la tasa de correlación correcta de técnicas adversarias en comparación con los procesos manuales tradicionales. Adicionalmente, discutimos implicaciones operativas para centros de operaciones de seguridad (SOC), requisitos de sincronización temporal, preservación de la cadena de custodia e integración con plataformas modernas de seguridad en la nube y entornos híbridos. Los resultados indican que la formalización matemática aliada a la automatización de la correlación de evidencias constituye un avance significativo para el DFIR corporativo, contribuyendo a investigaciones más rápidas, reproducibles y verificables.
Read paper →DFIRTÍTULO: Un Marco Formalmente Fundamentado para DFIR Basado en Grafos Temporales con Garantías Criptográficas de Integridad y Reconstrucción Probabilística de la Cadena de Ataque
TÍTULO: Un Marco Formalmente Fundamentado para DFIR Basado en Grafos Temporales con Garantías Criptográficas de Integridad y Reconstrucción Probabilística de la Cadena de Ataque RESUMEN: El aumento de la sofisticación de las campañas cibernéticas modernas impone desafíos significativos a las prácticas de Digital Forensics and Incident Response (DFIR). Los entornos corporativos contemporáneos generan volúmenes masivos de telemetría en múltiples capas —endpoints, redes, aplicaciones e infraestructuras en la nube—, lo que vuelve prácticamente inviable la reconstrucción manual de incidentes. Aunque los sistemas de monitoreo y las plataformas SIEM proporcionan mecanismos de correlación de eventos, tales enfoques a menudo carecen de una base formal para preservar relaciones causales y consistencia temporal entre las evidencias digitales. En este trabajo, presentamos una arquitectura formal para DFIR basada en grafos temporales enriquecidos con inferencia probabilística y mecanismos criptográficos de integridad de la evidencia. Proponemos un modelo matemático que representa eventos forenses como vértices tipados en un grafo dirigido temporalmente consistente, permitiendo capturar dependencias causales entre procesos, archivos, conexiones de red e identidades. Sobre este grafo, introducimos el algoritmo Attack Probabilistic Reconstruction (APR), que utiliza inferencia bayesiana condicionada a patrones tácticos y técnicos descritos en la estructura MITRE ATT&CK para estimar la secuencia más probable de las acciones del adversario. Adicionalmente, implementamos un mecanismo criptográfico de encadenamiento de hashes que asegura la integridad y la verificabilidad de las evidencias a lo largo del pipeline investigativo. Evaluamos experimentalmente la arquitectura propuesta usando tres conjuntos de datos representativos: el conjunto de datos DARPA Transparent Computing, registros empresariales reales a gran escala y escenarios sintéticos de explotación de Log4Shell. Los resultados demuestran mejoras sustanciales en precisión, revocación y tiempo de reconstrucción de la cadena de ataque en comparación con enfoques basados exclusivamente en correlación heurística o detección estadística aislada. Observamos una reducción media del 37,4% en el tiempo de reconstrucción investigativa y un aumento significativo en la exactitud de las inferencias de la cadena de ataque. También discutimos implicaciones prácticas para la integración con plataformas SIEM modernas, así como limitaciones relacionadas con la calidad de los logs y los costos de almacenamiento. Concluimos que la combinación de modelado formal basado en grafos temporales, inferencia probabilística y garantías criptográficas constituye una base prometedora para sistemas DFIR escalables y verificables en entornos corporativos contemporáneos.
Read paper →DFIRTÍTULO: Una Arquitectura Formalmente Fundamentada para DFIR Orientado a Grafos Temporales con Garantías de Integridad Criptográfica y Reconstrucción Probabilística de Cadenas de Ataque
TÍTULO: Una Arquitectura Formalmente Fundamentada para DFIR Orientado a Grafos Temporales con Garantías de Integridad Criptográfica y Reconstrucción Probabilística de Cadenas de Ataque RESUMEN: La creciente sofisticación de las campañas cibernéticas modernas impone desafíos significativos a las prácticas de Digital Forensics and Incident Response (DFIR). Los entornos corporativos contemporáneos producen volúmenes masivos de telemetría provenientes de múltiples capas —endpoints, redes, aplicaciones e infraestructuras en la nube—, lo que hace que la reconstrucción manual de incidentes sea prácticamente inviable. Aunque los sistemas de monitoreo y las plataformas SIEM proporcionan mecanismos de correlación de eventos, tales enfoques a menudo carecen de una fundamentación formal para preservar las relaciones causales y la consistencia temporal entre evidencias digitales. En este trabajo, presentamos una arquitectura formal para DFIR basada en grafos temporales enriquecidos con inferencia probabilística y mecanismos criptográficos de integridad de evidencias. Proponemos un modelo matemático que representa eventos forenses como vértices tipados en un grafo dirigido temporalmente consistente, permitiendo capturar dependencias causales entre procesos, archivos, conexiones de red e identidades. Sobre este grafo, introducimos el algoritmo de Reconstrucción Probabilística de Ataque (RPA), que utiliza inferencia bayesiana condicionada a patrones tácticos y técnicos descritos en el framework MITRE ATT&CK para estimar la secuencia más probable de acciones adversarias. Adicionalmente, implementamos un mecanismo de encadenamiento criptográfico de hashes que asegura la integridad y verificabilidad de las evidencias a lo largo del pipeline investigativo. Evaluamos experimentalmente la arquitectura propuesta utilizando tres conjuntos de datos representativos: el dataset DARPA Transparent Computing, logs corporativos reales a gran escala y escenarios sintéticos de explotación de la vulnerabilidad Log4Shell. Los resultados demuestran mejoras sustanciales en métricas de precisión, recall y tiempo de reconstrucción de cadenas de ataque en comparación con enfoques basados exclusivamente en correlación heurística o detección estadística aislada. Observamos una reducción media del 37,4% en el tiempo de reconstrucción investigativa y un aumento significativo en la precisión de las inferencias de cadenas de ataque. Asimismo, discutimos implicaciones prácticas para la integración con plataformas SIEM modernas, así como limitaciones relacionadas con la calidad de los logs y los costos de almacenamiento. Concluimos que la combinación de modelado formal basado en grafos temporales, inferencia probabilística y garantías criptográficas constituye una base prometedora para sistemas DFIR escalables y verificables en entornos corporativos contemporáneos.
Read paper →DFIRTÍTULO: Una Arquitectura Fundamentada Formalmente para DFIR Basado en Grafos Temporales con Garantías Criptográficas de Integridad y Reconstrucción Probabilística de la Cadena de Ataque
TÍTULO: Una Arquitectura Fundamentada Formalmente para DFIR Basado en Grafos Temporales con Garantías Criptográficas de Integridad y Reconstrucción Probabilística de la Cadena de Ataque RESUMEN: El aumento de la sofisticación de las campañas cibernéticas modernas impone desafíos significativos a las prácticas de Digital Forensics and Incident Response (DFIR). Los entornos corporativos contemporáneos generan volúmenes masivos de telemetría en múltiples capas — endpoints, redes, aplicaciones e infraestructuras en la nube — lo que hace prácticamente inviable la reconstrucción manual de incidentes. Aunque los sistemas de monitoreo y las plataformas SIEM proporcionan mecanismos de correlación de eventos, tales enfoques a menudo carecen de una base formal para preservar relaciones causales y consistencia temporal entre evidencias digitales. En este trabajo, presentamos una arquitectura formal para DFIR basada en grafos temporales enriquecidos con inferencia probabilística y mecanismos criptográficos de integridad de la evidencia. Proponemos un modelo matemático que representa eventos forenses como vértices tipados en un grafo dirigido temporalmente consistente, permitiendo capturar dependencias causales entre procesos, archivos, conexiones de red e identidades. Sobre este grafo, introducimos el algoritmo Attack Probabilistic Reconstruction (APR), que utiliza inferencia bayesiana condicionada por patrones tácticos y técnicos descritos en la estructura MITRE ATT&CK para estimar la secuencia más probable de las acciones del adversario. Adicionalmente, implementamos un mecanismo criptográfico de encadenamiento de hashes que asegura la integridad y la verificabilidad de las evidencias a lo largo del pipeline investigativo. Evaluamos experimentalmente la arquitectura propuesta utilizando tres conjuntos de datos representativos: el conjunto de datos DARPA Transparent Computing, registros empresariales reales a gran escala y escenarios sintéticos de explotación de Log4Shell. Los resultados demuestran mejoras sustanciales en precisión, revocación y tiempo de reconstrucción de la cadena de ataque en comparación con enfoques basados exclusivamente en correlación heurística o detección estadística aislada. Observamos una reducción media del 37,4% en el tiempo de reconstrucción investigativa y un aumento significativo en la exactitud de las inferencias de la cadena de ataque. También discutimos implicaciones prácticas para la integración con plataformas SIEM modernas, así como limitaciones relacionadas con la calidad de los registros y los costos de almacenamiento. Concluimos que la combinación de modelado formal basado en grafos temporales, inferencia probabilística y garantías criptográficas constituye una base prometedora para sistemas DFIR escalables y verificables en entornos corporativos contemporáneos.
Read paper →