Research / Paper Files

Paper Files

Paper Files es una práctica personal de estudio continuo en ciberseguridad que aplica el método científico como herramienta de aprendizaje. Cada artículo no se escribe para su publicación académica, sino como un ejercicio deliberado para afilar el hacha — profundizando en temas concretos, organizando ideas con rigor y observando cómo evoluciona la comprensión de ciertos asuntos con el tiempo. Es el equivalente intelectual a un cuaderno de entrenamiento: cada entrada registra qué se estudió, cómo se analizó y qué conclusiones surgieron.

Recomiendo encarecidamente que los profesionales de seguridad adopten este método. Elige un tema que quieras dominar, investiga fuentes primarias (RFCs, papers, documentación oficial), estructura tu texto con introducción, metodología, análisis y conclusión, y escribe como si estuvieras explicándoselo a un compañero. El acto de escribir obliga a pensar con claridad y expone lagunas de comprensión que la lectura pasiva no puede revelar. Usa los artículos de este sitio como ejemplos de formato y profundidad, y construye tu propia colección: con el tiempo, tendrás un repositorio personal de conocimiento refinado que ningún curso ni certificación puede sustituir.

DAI & ADAI · 2026

DAI · EN

DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts

DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…

Read paper →ADAI · EN

Autonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure

ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…

Read paper →

Todos Detection DFIR AppSec DevSecOps AI Security IAM Cloud Containers IR Crypto Research Phishing Secrets

216 papers

Crypto

TÍTULO: Arquitectura Criptográfica Resiliente frente a Amenazas Avanzadas: Formalización, Implementación y Evaluación Operacional de Controles Cripto-Agile en Infraestructuras Corporativas

TÍTULO: Arquitectura Criptográfica Resiliente frente a Amenazas Avanzadas: Formalización, Implementación y Evaluación Operacional de Controles Cripto-Agile en Infraestructuras Corporativas RESUMEN: La creciente dependencia de mecanismos criptográficos en infraestructuras corporativas modernas ha transformado la criptografía en el principal mecanismo de confianza digital. Sin embargo, incidentes recientes que involucran la explotación de bibliotecas criptográficas (p. ej., CVE-2022-0778 en OpenSSL), ataques a protocolos (p. ej., downgrade attacks en TLS) y el abuso operativo de la criptografía por ransomware (MITRE ATT&CK T1486) evidencian brechas entre la teoría criptográfica y la implementación práctica. Este trabajo investiga sistemáticamente el problema de la gobernanza, detección y resiliencia de activos criptográficos en entornos corporativos bajo amenaza activa. Proponemos una arquitectura cripto-agile orientada a la defensa en profundidad, integrando descubrimiento automatizado de activos criptográficos, validación formal de parámetros, detección de anomalías criptográficas en red y respuesta automatizada a incidentes. Nuestra metodología combina análisis formal de propiedades de seguridad (confidencialidad, integridad, forward secrecy), instrumentación de tráfico con Suricata y Zeek, validación de certificados mediante OpenSSL y CFSSL, inspección de memoria con Volatility, y correlación de eventos mediante Sigma y Elastic Stack. Desarrollamos dos algoritmos principales: (i) Crypto Asset Discovery and Risk Scoring (CADRS), para inventario y priorización de riesgos, y (ii) Crypto Misuse Anomaly Detection (CMAD), para la identificación de patrones anómalos en sesiones TLS y el uso indebido de primitivas criptográficas. Las evaluaciones experimentales realizadas en un entorno con 1.200 activos y 18 TB de tráfico TLS demostraron una reducción del 63% en el tiempo medio de identificación de configuraciones inseguras y la detección del 94,7% de sesiones TLS vulnerables a downgrade, con una tasa de falso positivo del 3,1%. La arquitectura propuesta presentó una sobrecarga media inferior al 4,8% en el throughput de red. Un estudio de caso basado en un escenario real de ransomware evidenció la capacidad del sistema para identificar patrones de criptografía maliciosa antes de la exfiltración completa de los datos. Concluimos que la integración entre formalización criptográfica, telemetría operacional y automatización de la respuesta es fundamental para reducir la superficie de ataque criptográfica. Este trabajo contribuye con un enfoque práctico y medible para la resiliencia criptográfica corporativa, ofreciendo directrices operacionales para equipos de seguridad, SOCs y arquitectos de infraestructura.

2007-12-17Read paper →Crypto

TÍTULO: Arquitectura Criptográfica Resiliente para Infraestructuras Críticas: Modelado Formal, Defensa Activa y Evaluación Empírica frente a Amenazas Avanzadas

TÍTULO: Arquitectura Criptográfica Resiliente para Infraestructuras Críticas: Modelado Formal, Defensa Activa y Evaluación Empírica frente a Amenazas Avanzadas RESUMEN: La creciente sofisticación de campañas de ciberespionaje, ransomware y operaciones híbridas ha expuesto fragilidades estructurales en implementaciones criptográficas de sistemas corporativos e infraestructuras críticas. Incidentes que involucran explotación de TLS mal configurado, compromiso de claves privadas, uso indebido de curvas elípticas débiles y ataques a bibliotecas como OpenSSL (p. ej., CVE-2014-0160 – Heartbleed) demuestran que la seguridad criptográfica no depende únicamente de la robustez matemática de los algoritmos, sino de su implementación, gestión de claves e integración operacional. En este trabajo, proponemos una arquitectura criptográfica resiliente basada en tres pilares: (i) modelado formal del adversario con capacidades realistas según MITRE ATT&CK, (ii) orquestación automatizada de rotación y verificación de claves con validación criptográfica continua, y (iii) monitoreo activo de degradación criptográfica mediante telemetría de red y análisis comportamental. Desarrollamos un framework experimental que integra HSMs, OpenSSL 3.x con providers personalizados, Suricata, Zeek y módulos de detección basados en YARA y Sigma. Evaluamos la solución en un entorno controlado con 120 nodos distribuidos, simulando ataques como downgrade de protocolo (T1190), exfiltración mediante canales cifrados (T1041) y compromiso de material criptográfico (T1552). Los resultados indican una reducción del 73% en el tiempo medio de detección de anomalías criptográficas (MTTD) y la mitigación automática del 92% de los intentos de uso de certificados inválidos o expirados. La sobrecarga media de rendimiento se mantuvo por debajo del 4,8% en cargas TLS con ECDHE-RSA-AES256-GCM-SHA384. Contribuimos con: (C1) una formalización matemática del problema de degradación criptográfica operacional; (C2) un algoritmo de verificación continua de propiedades de seguridad; (C3) evidencia empírica cuantitativa de la eficacia de la arquitectura. Los resultados demuestran que la seguridad criptográfica operacional requiere integración entre teoría formal, ingeniería segura y defensa activa basada en telemetría.

2007-12-10Read paper →Crypto

TÍTULO: Arquitectura Criptográfica Adaptativa y Verificable para Infraestructuras Distribuidas: Formalización, Implementación y Evaluación Empírica bajo un Modelo de Amenazas Avanzado

TÍTULO: Arquitectura Criptográfica Adaptativa y Verificable para Infraestructuras Distribuidas: Formalización, Implementación y Evaluación Empírica bajo un Modelo de Amenazas Avanzado RESUMEN: La adopción masiva de criptografía en infraestructuras distribuidas —que abarcan servicios en la nube, redes blockchain y sistemas ciberfísicos— ha ido acompañada de un crecimiento proporcional en la explotación de fallas de implementación, configuración y composición criptográfica. Incidentes recientes asociados con la validación inadecuada de certificados, la reutilización de nonces en protocolos AEAD y vulnerabilidades como CVE-2022-0778 (OpenSSL) evidencian la brecha entre la seguridad formal y la seguridad operacional. En este trabajo, proponemos una Arquitectura Criptográfica Adaptativa y Verificable (ACAV) destinada a mitigar fallas sistémicas en entornos distribuidos de gran escala. Nuestro enfoque integra (i) verificación formal de propiedades criptográficas basada en lógica temporal, (ii) rotación adaptativa de claves orientada al riesgo y (iii) monitorización continua del uso criptográfico con detección de anomalías. Formalizamos el problema como una optimización multiobjetivo que minimiza el riesgo residual $R(t)$ sujeta a restricciones de latencia y throughput. Implementamos un prototipo sobre Kubernetes, OpenSSL 3.0 y módulos HSM compatibles con FIPS 140-3, evaluándolo en un clúster de 64 nodos. Los resultados experimentales demuestran una reducción del 47,3% en el riesgo estimado de compromiso de clave bajo un modelo Dolev-Yao extendido, con un overhead medio de latencia del 3,8% (±0,6%) y un impacto inferior al 2,1% en el throughput para cargas TLS 1.3 con 10.000 conexiones simultáneas. En comparación con políticas estáticas de rotación periódica, ACAV redujo en un 92% los eventos de reutilización indebida de material criptográfico. Concluimos que la integración sistemática entre verificación formal, telemetría criptográfica y adaptación dinámica constituye una estrategia viable y escalable para fortalecer la resiliencia criptográfica en infraestructuras modernas.

2007-12-03Read paper →IR

TÍTULO: Arquitectura Orientada a Datos para Incident Response en Entornos Híbridos: Formalización, Automatización y Orquestación Basadas en MITRE ATT&CK

TÍTULO: Arquitectura Orientada a Datos para Incident Response en Entornos Híbridos: Formalización, Automatización y Orquestación Basadas en MITRE ATT&CK RESUMEN: Incident Response (IR) se ha convertido en un componente crítico de la ciberseguridad moderna ante el aumento exponencial de ataques dirigidos, ransomware-as-a-service y operaciones conducidas por estados-nación. Informes recientes indican que el tiempo medio de permanencia (dwell time) de los adversarios aún supera los 16 días en entornos corporativos complejos, incluso con la adopción de EDR y SIEM avanzados. Este trabajo propone una arquitectura orientada a datos para IR en entornos híbridos (on-premise y cloud), integrando modelado formal de amenazas, correlación basada en MITRE ATT&CK, detección multicapa y automatización con SOAR. Formalizamos el proceso de respuesta como un problema de optimización multiobjetivo que minimiza el tiempo de contención y el impacto operativo, sujeto a restricciones de precisión forense y continuidad del negocio. Nuestra metodología combina ingesta estructurada de logs (Sysmon, CloudTrail, Zeek), detección por firmas (Suricata, YARA), análisis comportamental basado en grafos y orquestación automatizada mediante playbooks parametrizados. Implementamos dos algoritmos principales: (i) un mecanismo de priorización adaptativa de incidentes basado en puntuación bayesiana condicionada a TTPs observadas; (ii) un motor de correlación temporal con complejidad $O(n \log n)$ para la reconstrucción de cadenas de ataque. Evaluamos la solución en un entorno controlado con 120 endpoints, 15 servidores y cargas AWS simulando 42 escenarios reales (incluyendo T1059, T1027, T1486). En comparación con un baseline SIEM tradicional, obtuvimos una reducción media del 37,4% en el MTTR y un aumento del 28,6% en la tasa de detección contextualizada, con una desviación estándar inferior al 4,1%. Los resultados demuestran que la integración formal entre threat modeling, telemetría rica y automatización orquestada reduce significativamente el esfuerzo manual y mejora la consistencia de las decisiones operativas. Concluimos que el enfoque propuesto establece un framework replicable para equipos de CSIRT y SOC que operan bajo restricciones reales de recursos y alta variabilidad de amenazas.

2007-11-26Read paper →IR

TÍTULO: Arquitectura Orientada a Evidencias para Incident Response (IR) Basada en Correlación de Múltiples Capas y Formalización Matemática del Ciclo de Respuesta

TÍTULO: Arquitectura Orientada a Evidencias para Incident Response (IR) Basada en Correlación de Múltiples Capas y Formalización Matemática del Ciclo de Respuesta RESUMEN: Incident Response (IR) se ha convertido en uno de los pilares estratégicos de la ciberseguridad contemporánea ante el crecimiento exponencial de ataques sofisticados, como ransomware operado por humanos, campañas de espionaje APT y explotación masiva de vulnerabilidades críticas (por ejemplo, CVE-2021-44228 – Log4Shell). A pesar de la consolidación de frameworks como NIST SP 800-61 y MITRE ATT&CK, la operacionalización práctica de IR todavía sufre lagunas en la correlación de múltiples fuentes, la priorización de alertas y la preservación de evidencias bajo alta presión temporal. Este artículo propone una arquitectura orientada a evidencias para IR basada en correlación multicapa (red, endpoint, identidad y memoria volátil), formalizada matemáticamente como un problema de optimización sobre grafos temporales de eventos. Nuestra metodología integra recolección automatizada (Suricata, Zeek, Sysmon), detección basada en reglas (Sigma, YARA), análisis de memoria (Volatility 3), enriquecimiento con inteligencia de amenazas (MISP) y modelado conductual mediante mapeo explícito a MITRE ATT&CK. Definimos un modelo formal en el cual los eventos $E = \{e_1, e_2, ..., e_n\}$ se representan como vértices en un grafo dirigido temporal $G=(V, A, T)$, donde las aristas indican relaciones causales o contextuales. Proponemos dos algoritmos: (1) Correlación Temporal Ponderada (CTP) con complejidad $O(n \log n)$; y (2) Priorización Bayesiana de Incidentes (PBI), que estima la probabilidad posterior de compromiso $P(C|E)$ utilizando actualización incremental. En experimentos controlados con 12.4 TB de logs reales y datasets públicos (CIC-IDS2017 y DARPA TC), obtuvimos una reducción del 37% en el tiempo medio de triaje (MTTT) y un aumento del 22% en la tasa de detección verdadera (TPR), manteniendo la FPR por debajo del 4.8%. La evaluación demuestra que la integración formal de múltiples capas forenses reduce significativamente los falsos positivos correlacionados con las técnicas ATT&CK T1059 (Command and Scripting Interpreter), T1027 (Obfuscated Files) y T1003 (Credential Dumping). Un estudio de caso que involucra ransomware LockBit 3.0 evidencia una ganancia operativa concreta en la contención en menos de 45 minutos. Concluimos que la formalización matemática aliada a la automatización orientada a evidencias constituye un avance significativo en la madurez operativa de los equipos SOC y CSIRT, contribuyendo a la reducción del dwell time y al aumento de la resiliencia organizacional.

2007-11-19Read paper →IR

TÍTULO: Arquitectura Orientada a Evidencias y Modelado Formal para Respuesta a Incidentes (IR) Basada en ATT&CK: Integración de Telemetría Multicapa, Orquestación Automatizada y Análisis Forense Escalable

TÍTULO: Arquitectura Orientada a Evidencias y Modelado Formal para Respuesta a Incidentes (IR) Basada en ATT&CK: Integración de Telemetría Multicapa, Orquestación Automatizada y Análisis Forense Escalable RESUMEN: La creciente sofisticación de campañas de ransomware, operaciones de espionaje patrocinadas por Estados y ataques de supply chain —como SolarWinds (CVE-2020-10148), ProxyLogon (CVE-2021-26855) y Log4Shell (CVE-2021-44228)— expone limitaciones estructurales en los procesos tradicionales de Incident Response (IR). A pesar de la amplia adopción de frameworks como NIST SP 800-61r2 y MITRE ATT&CK, muchas organizaciones aún operan con playbooks estáticos, baja correlación entre capas de telemetría y ausencia de formalización matemática del proceso decisorio. En este artículo, proponemos una arquitectura orientada a evidencias para IR que integra recolección multimodal (red, endpoint, identidad y memoria), modelado formal del ciclo de respuesta como un problema de optimización bajo incertidumbre y orquestación automatizada basada en SOAR. Nuestra metodología combina: (i) un modelo formal de detección y contención como un grafo temporal dirigido ponderado; (ii) algoritmos de priorización basados en puntuación bayesiana para reducir Mean Time to Detect (MTTD) y Mean Time to Respond (MTTR); y (iii) integración práctica con herramientas reales como Suricata, Zeek, Wazuh, Elastic SIEM, Sigma, YARA y Volatility. Evaluamos la propuesta en un laboratorio controlado con 420 ejecuciones de escenarios adversariales mapeados a las tácticas MITRE ATT&CK (TA0001–TA0009), incluyendo técnicas como T1059 (Command and Scripting Interpreter), T1003 (Credential Dumping) y T1486 (Data Encrypted for Impact). Los resultados demuestran una reducción media del 37,4% en el MTTR (de 9h12m a 5h45m), un aumento del 22,8% en la tasa de detección temprana y una disminución del 31% en falsos positivos en comparación con pipelines SIEM tradicionales basados exclusivamente en correlación estática. La arquitectura presentó escalabilidad lineal hasta 25.000 eventos por segundo con una latencia media inferior a 480 ms en un entorno distribuido. Concluimos que la formalización matemática del proceso de IR, junto con una instrumentación operacional adecuada y la automatización basada en evidencias, ofrece mejoras mensurables de eficiencia y precisión. El trabajo proporciona contribuciones teóricas y operacionales aplicables a SOCs de mediano y gran porte, proponiendo un modelo replicable para entornos corporativos y gubernamentales.

2007-11-12Read paper →IR

TÍTULO: Arquitectura Orientada a Evidencias y Modelado Formal para la Respuesta a Incidentes (IR) Basada en ATT&CK: Integración de Telemetría Multicapa, Orquestación Automatizada y Análisis Forense Escalable

TÍTULO: Arquitectura Orientada a Evidencias y Modelado Formal para la Respuesta a Incidentes (IR) Basada en ATT&CK: Integración de Telemetría Multicapa, Orquestación Automatizada y Análisis Forense Escalable RESUMEN: La creciente sofisticación de campañas de ransomware, operaciones de espionaje patrocinadas por Estados y ataques de supply chain —como SolarWinds (CVE-2020-10148), ProxyLogon (CVE-2021-26855) y Log4Shell (CVE-2021-44228)— expone limitaciones estructurales en los procesos tradicionales de Incident Response (IR). A pesar de la amplia adopción de frameworks como NIST SP 800-61r2 y MITRE ATT&CK, muchas organizaciones aún operan con playbooks estáticos, baja correlación entre capas de telemetría y ausencia de formalización matemática del proceso decisorio. En este artículo, proponemos una arquitectura orientada a evidencias para IR que integra recolección multimodal (red, endpoint, identidad y memoria), modelado formal del ciclo de respuesta como un problema de optimización bajo incertidumbre y orquestación automatizada basada en SOAR. Nuestra metodología combina: (i) un modelo formal de detección y contención como un grafo temporal dirigido ponderado; (ii) algoritmos de priorización basados en puntuación bayesiana para reducir el Mean Time to Detect (MTTD) y el Mean Time to Respond (MTTR); y (iii) integración práctica con herramientas reales como Suricata, Zeek, Wazuh, Elastic SIEM, Sigma, YARA y Volatility. Evaluamos la propuesta en un laboratorio controlado con 420 ejecuciones de escenarios adversarios mapeados a las tácticas MITRE ATT&CK (TA0001–TA0009), incluyendo técnicas como T1059 (Command and Scripting Interpreter), T1003 (Credential Dumping) y T1486 (Data Encrypted for Impact). Los resultados demuestran una reducción media del 37,4% en el MTTR (de 9h12m a 5h45m), un aumento del 22,8% en la tasa de detección temprana y una disminución del 31% en falsos positivos en comparación con pipelines SIEM tradicionales basados exclusivamente en correlación estática. La arquitectura presentó escalabilidad lineal hasta 25.000 eventos por segundo con latencia media inferior a 480 ms en un entorno distribuido. Concluimos que la formalización matemática del proceso de IR, junto con la instrumentación operacional adecuada y la automatización basada en evidencias, ofrece ganancias medibles de eficiencia y precisión. El trabajo aporta contribuciones teóricas y operacionales aplicables a SOCs de mediano y gran porte, proponiendo un modelo replicable para entornos corporativos y gubernamentales.

2007-11-12Read paper →IR

TÍTULO: IR-GraphSec: Un Marco Formal y Escalable para la Respuesta a Incidentes Orientada por Grafos e Inteligencia de Amenazas

TÍTULO: IR-GraphSec: Un Marco Formal y Escalable para la Respuesta a Incidentes Orientada por Grafos e Inteligencia de Amenazas RESUMEN: La creciente sofisticación de las campañas de intrusión, caracterizadas por movimientos laterales sigilosos, abuso de credenciales y persistencia en múltiples etapas, impone desafíos significativos a los equipos de Respuesta a Incidentes (Incident Response – IR). Los enfoques tradicionales, fuertemente basados en playbooks estáticos y en el análisis manual de registros, presentan limitaciones en entornos distribuidos y de gran escala. En este trabajo, proponemos IR-GraphSec, un marco formal y escalable para la orquestación de la respuesta a incidentes basado en modelado de grafos temporales y enriquecimiento continuo mediante inteligencia de amenazas. Modelamos eventos de seguridad como un grafo dirigido y temporal $G = (V, E, \tau)$, en el cual los vértices representan entidades (hosts, usuarios, procesos, artefactos) y las aristas representan interacciones observadas. Introducimos métricas de centralidad ponderadas por riesgo y un algoritmo de priorización de contención con complejidad $O(|E|\log|V|)$. Implementamos un prototipo distribuido sobre Apache Kafka, Neo4j y un mecanismo de procesamiento incremental en Apache Flink. Evaluamos el sistema utilizando conjuntos de datos reales (DARPA Transparent Computing, registros corporativos anonimizados con 2,3 mil millones de eventos) y escenarios sintéticos basados en MITRE ATT&CK. En comparación con enfoques basados en correlación de reglas (SIEM tradicional) y playbooks deterministas, IR-GraphSec redujo el tiempo medio de contención (MTTC) en 37,4%, disminuyó los falsos positivos en 28,1% y mejoró la priorización de activos críticos con una ganancia media de 0,19 en AUC-ROC. Nuestros resultados demuestran que la formalización matemática de la respuesta a incidentes como un problema de optimización en grafos temporales, aliada a inteligencia de amenazas contextualizada (STIX/TAXII), posibilita respuestas más rápidas, precisas y adaptativas. El trabajo contribuye con (i) una modelización formal del problema de IR como optimización multiobjetivo, (ii) algoritmos de priorización basados en centralidad de riesgo y (iii) una evaluación empírica exhaustiva en entornos de gran escala.

2007-11-06Read paper →Containers

CONTAINERSHIELD: Un Marco Formal y Empírico para la Detección y Mitigación de Amenazas en Entornos de Contenedores Basado en Telemetría Multicapa

TITLE: CONTAINERSHIELD: Un Marco Formal y Empírico para la Detección y Mitigación de Amenazas en Entornos de Contenedores Basado en Telemetría Multicapa ABSTRACT: La adopción masiva de contenedores, impulsada por plataformas como Docker y Kubernetes, ha transformado la arquitectura de los sistemas distribuidos, pero ha introducido una superficie de ataque compleja y altamente dinámica. Vulnerabilidades en imágenes, configuraciones inadecuadas de namespaces y capacidades del kernel, además de ataques de escape y movimiento lateral, han sido explotadas sistemáticamente, como lo evidencian CVEs recientes (p. ej., CVE-2019-5736, CVE-2022-0492). En este trabajo, proponemos CONTAINERSHIELD, un marco formal y empírico para la detección y mitigación de amenazas en entornos de contenedores, basado en la correlación de telemetría multicapa (kernel, runtime y orquestador). Modelamos formalmente el entorno como un sistema de transiciones etiquetadas y definimos propiedades de seguridad expresadas en términos de aislamiento, integridad y confinamiento de capacidades. Desarrollamos dos algoritmos centrales: (i) un mecanismo de detección basado en modelado probabilístico del comportamiento mediante cadenas de Markov de orden variable y (ii) un módulo de verificación de políticas que aplica restricciones dinámicas de capacidades de Linux y perfiles seccomp. Implementamos el sistema sobre Kubernetes 1.28 con eBPF y lo evaluamos en un clúster de 48 nodos (768 vCPUs). Utilizando cargas de trabajo reales y 27 escenarios de ataque mapeados a MITRE ATT&CK for Containers, alcanzamos una tasa de detección del 96,4% (±1,8%), con una tasa de falsos positivos del 2,1% y una sobrecarga media del 3,7% en CPU. En comparación con herramientas como Falco y Aqua Security en su configuración predeterminada, nuestro método redujo los falsos positivos en un 38% y mejoró el tiempo medio de detección en un 24%. Demostramos que la integración formal entre modelado de amenazas y telemetría en tiempo real proporciona garantías más robustas de seguridad operativa. CONTAINERSHIELD contribuye a la sistematización rigurosa de la seguridad de contenedores, ofreciendo una vía escalable y verificable para la protección en entornos nativos de la nube.

2007-10-30Read paper →Containers

TÍTULO: Arquitectura Formal y Metodología Operativa para la Detección y Respuesta ante Amenazas en Entornos de Contenedores Basados en Docker y Kubernetes

TÍTULO: Arquitectura Formal y Metodología Operativa para la Detección y Respuesta ante Amenazas en Entornos de Contenedores Basados en Docker y Kubernetes RESUMEN: La adopción masiva de contenedores ha transformado la superficie de ataque de las infraestructuras modernas, especialmente en entornos basados en Docker y Kubernetes. Aunque los contenedores ofrecen un aislamiento ligero mediante namespaces y cgroups del kernel Linux, múltiples incidentes recientes —incluidos escapes de contenedor asociados al CVE-2019-5736 (runc) y campañas de cryptojacking que explotan APIs expuestas de Kubernetes— demuestran que la seguridad de estos entornos sigue siendo insuficientemente comprendida y operacionalizada. En este trabajo, proponemos una arquitectura formal y una metodología operativa para la detección y respuesta ante amenazas en entornos de contenedores, integrando modelado formal de amenazas, instrumentación basada en eBPF, análisis comportamental orientado a MITRE ATT&CK y respuesta automatizada. Nuestra metodología combina tres capas: (i) modelado formal del sistema de contenedores como un grafo dirigido de entidades y flujos; (ii) detección híbrida basada en reglas (Sigma/YARA) y anomalías con aprendizaje estadístico; y (iii) orquestación de respuesta automatizada mediante Kubernetes Admission Controllers y políticas OPA/Gatekeeper. Evaluamos nuestro enfoque en un clúster Kubernetes con 48 nodos, ejecutando 1.200 pods bajo carga sintética y ataques reales reproducidos a partir de TTPs documentadas (T1610, T1611, T1525). Los resultados indican una tasa media de detección del 96,4% con un falso positivo del 3,1%, una latencia media de detección de 420 ms y una sobrecarga de CPU inferior al 4,8%. Contribuimos con: (C1) una formalización matemática del problema de seguridad en contenedores; (C2) un pipeline operativo replicable que integra herramientas ampliamente adoptadas (Falco, Suricata, Trivy, kube-bench, Volatility); y (C3) evidencias empíricas cuantitativas de eficacia y rendimiento a escala realista. Demostramos que la integración coherente entre la instrumentación del kernel, la telemetría del orquestador y la inteligencia de amenazas reduce sustancialmente el tiempo medio de detección (MTTD) y el tiempo medio de respuesta (MTTR), estableciendo directrices prácticas para equipos de seguridad ofensiva y defensiva.

2007-10-23Read paper →Containers

TÍTULO: Arquitectura Formal y Metodología Operacional para la Detección y Respuesta a Amenazas en Entornos de Contenedores Basados en Docker y Kubernetes

TÍTULO: Arquitectura Formal y Metodología Operacional para la Detección y Respuesta a Amenazas en Entornos de Contenedores Basados en Docker y Kubernetes RESUMEN: La adopción masiva de contenedores transformó la superficie de ataque de infraestructuras modernas, especialmente en entornos basados en Docker y Kubernetes. Aunque los contenedores ofrecen aislamiento ligero mediante namespaces y cgroups del kernel Linux, múltiples incidentes recientes —incluidos escapes de contenedor asociados al CVE-2019-5736 (runc) y campañas de cryptojacking que explotan APIs expuestas de Kubernetes— demuestran que la seguridad de estos entornos sigue siendo insuficientemente comprendida y operacionalizada. En este trabajo, proponemos una arquitectura formal y una metodología operacional para la detección y respuesta a amenazas en entornos de contenedores, integrando modelado formal de amenazas, instrumentación basada en eBPF, análisis conductual orientado a MITRE ATT&CK y respuesta automatizada. Nuestra metodología combina tres capas: (i) modelado formal del sistema de contenedores como un grafo dirigido de entidades y flujos; (ii) detección híbrida basada en reglas (Sigma/YARA) y anomalías con aprendizaje estadístico; y (iii) orquestación de respuesta automatizada mediante Kubernetes Admission Controllers y políticas OPA/Gatekeeper. Evaluamos nuestro enfoque en un clúster Kubernetes con 48 nodos, ejecutando 1.200 pods bajo carga sintética y ataques reales reproducidos a partir de TTPs documentadas (T1610, T1611, T1525). Los resultados indican una tasa media de detección de 96,4% con un falso positivo de 3,1%, una latencia media de detección de 420 ms y una sobrecarga de CPU inferior a 4,8%. Contribuimos con: (C1) una formalización matemática del problema de seguridad en contenedores; (C2) un pipeline operacional replicable que integra herramientas ampliamente adoptadas (Falco, Suricata, Trivy, kube-bench, Volatility); y (C3) evidencia empírica cuantitativa de eficacia y rendimiento a una escala realista. Demostramos que la integración coherente entre instrumentación del kernel, telemetría del orquestador e inteligencia de amenazas reduce sustancialmente el tiempo medio de detección (MTTD) y el tiempo medio de respuesta (MTTR), estableciendo directrices prácticas para equipos de seguridad ofensiva y defensiva.

2007-10-23Read paper →Containers

TÍTULO: Una Arquitectura Formalmente Fundamentada para la Detección y Contención de Compromisos en Entornos de Containers Basada en Telemetría Multicapa

TÍTULO: Una Arquitectura Formalmente Fundamentada para la Detección y Contención de Compromisos en Entornos de Containers Basada en Telemetría Multicapa RESUMEN: La adopción masiva de containers como unidad primaria de empaquetado y despliegue en entornos cloud-native introdujo una superficie de ataque sustancialmente distinta de la observada en máquinas virtuales tradicionales. Vulnerabilidades en imágenes base, configuraciones inadecuadas de namespaces, fallas en el aislamiento de cgroups y la explotación de runtimes como runc (p. ej., CVE-2019-5736) han sido explotadas activamente por adversarios. En este trabajo, proponemos una arquitectura formalmente fundamentada para la detección y contención de compromisos en entornos de containers, basada en la correlación de telemetría multicapa (kernel, runtime y orquestador). Nuestra metodología integra modelado comportamental probabilístico, análisis de grafos de dependencia de procesos y políticas adaptativas de aislamiento. Desarrollamos un modelo formal del sistema contenerizado como un grafo dirigido etiquetado $G = (V, E, \lambda)$, en el cual los vértices representan entidades de ejecución y las aristas codifican interacciones observables. Definimos propiedades de seguridad basadas en invariantes de aislamiento y flujo de información, y proponemos dos algoritmos principales: (i) detección basada en desviación estadística multivariable con umbral adaptativo; y (ii) mecanismo de contención automática mediante reconfiguración dinámica de políticas de control de acceso y red. Implementamos un prototipo funcional sobre Kubernetes 1.29, utilizando eBPF para instrumentación de kernel y Open Policy Agent (OPA) para enforcement. Evaluamos el sistema en un clúster de 48 nodos (Intel Xeon Gold, 256 GB RAM), con 1.200 containers y 17 escenarios de ataque representativos (MITRE ATT&CK for Containers). Obtuvimos una tasa media de detección de 96,8% (±1,7%), con una tasa de falsos positivos de 2,3%, y una sobrecarga de CPU inferior a 4,9%. En comparación con soluciones basadas exclusivamente en firmas o en políticas estáticas, nuestro método redujo el tiempo medio de contención en 63%. Los resultados demuestran que la integración de telemetría multicapa con modelado formal y contención automatizada constituye un avance significativo para la seguridad de entornos contenerizados a gran escala.

2007-10-16Read paper →Containers

TÍTULO: Modelado Formal y Arquitectura de Monitoreo Adaptativo para la Seguridad de Containers en Entornos Nativos de la Nube

TÍTULO: Modelado Formal y Arquitectura de Monitoreo Adaptativo para la Seguridad de Containers en Entornos Nativos de la Nube RESUMEN: La adopción masiva de containers y orquestadores como Docker y Kubernetes transformó la ingeniería de software y la operación de infraestructuras críticas, pero introdujo una superficie de ataque ampliada y dinámica. Vulnerabilidades como CVE-2019-5736 (runc) y CVE-2022-0492 (cgroups) evidencian la fragilidad del aislamiento basado en namespaces y mecanismos del kernel Linux cuando están mal configurados o son explotados por adversarios con acceso inicial al container. En este trabajo, proponemos una arquitectura formalmente fundamentada para el monitoreo adaptativo y la contención de amenazas en entornos de containers, combinando modelado matemático de superficies de ataque, detección comportamental basada en grafos de llamadas al sistema y aplicación dinámica de políticas de mitigación. Definimos un modelo de amenaza alineado con MITRE ATT&CK for Containers y formalizamos propiedades de seguridad como aislamiento fuerte, integridad de runtime y no interferencia entre workloads. Desarrollamos dos algoritmos principales: (i) un mecanismo de inferencia incremental de perfiles de comportamiento legítimo con complejidad $O(n \log n)$, y (ii) un módulo de contención adaptativa con análisis de riesgo basado en puntuación bayesiana. Implementamos un prototipo integrado a Kubernetes utilizando eBPF, Falco y admission controllers personalizados. Evaluamos la solución en un cluster con 120 nodos y 3.500 pods, utilizando workloads reales e inyección controlada de ataques mapeados a las técnicas T1610, T1611 y T1525 de MITRE ATT&CK. Los resultados demuestran una tasa de detección de 96,4% con un falso positivo promedio de 2,1%, sobrecarga inferior al 4,8% de CPU y latencia adicional promedio de 3,7 ms por evento monitoreado. Concluimos que el enfoque propuesto eleva significativamente el nivel de seguridad operacional en entornos nativos de la nube, manteniendo viabilidad práctica y escalabilidad.

2007-10-09Read paper →Cloud

TÍTULO: Arquitectura criptográficamente verificable para la detección y mitigación del movimiento lateral en entornos multi-cloud basada en telemetría enriquecida y modelado formal de confianza cero

TÍTULO: Arquitectura criptográficamente verificable para la detección y mitigación del movimiento lateral en entornos multi-cloud basada en telemetría enriquecida y modelado formal de confianza cero RESUMEN: La adopción masiva de entornos multi-cloud e híbridos ha ampliado significativamente la superficie de ataque organizacional, introduciendo vectores complejos de movimiento lateral, abuso de identidades y explotación de configuraciones incorrectas. Incidentes recientes que involucran el compromiso de credenciales privilegiadas, la explotación de APIs de gestión y el uso indebido de servicios de identidad federada evidencian limitaciones estructurales en los enfoques tradicionales de monitoreo y control. En este trabajo, proponemos una arquitectura criptográficamente verificable para la detección y mitigación del movimiento lateral en entornos multi-cloud, fundamentada en telemetría enriquecida, modelado formal de confianza cero y verificación continua de la integridad de políticas. Nuestra metodología combina (i) agregación normalizada de logs multi-proveedor (AWS, Azure, GCP), (ii) construcción de grafos dinámicos de identidad-recurso, (iii) detección de anomalías basada en aprendizaje estadístico robusto y (iv) un mecanismo de atestación criptográfica de políticas utilizando pruebas de integridad incremental. Evaluamos la solución en un entorno experimental con 1.200 máquinas virtuales, 4 clústeres Kubernetes y 3 proveedores de nube, utilizando trazas sintéticas y datos reales de benchmarks públicos. Los resultados indican una reducción del 37,4% en el tiempo medio de detección (MTTD) y del 42,1% en el tiempo medio de respuesta (MTTR) en comparación con SIEMs tradicionales, manteniendo una tasa de falso positivo inferior al 3,2% (desviación estándar 0,6). Demostramos además que la complejidad asintótica del mecanismo de correlación de eventos es $O(|E| \log |V|)$, viabilizando la escalabilidad para entornos con más de $10^7$ eventos diarios. La propuesta establece una base formal para el monitoreo verificable en la nube y contribuye al avance de arquitecturas seguras orientadas a la identidad.

2007-10-03Read paper →Cloud

TÍTULO: Una Arquitectura Formalmente Verificable para la Detección y Mitigación de Configuraciones Inseguras en Entornos Multi-Cloud Basada en Análisis Semántico y Correlación Temporal

TÍTULO: Una Arquitectura Formalmente Verificable para la Detección y Mitigación de Configuraciones Inseguras en Entornos Multi-Cloud Basada en Análisis Semántico y Correlación Temporal RESUMEN: La adopción masiva de infraestructuras multi-cloud transformó el modelo operativo de los sistemas distribuidos, pero amplió significativamente la superficie de ataque y la complejidad de la gobernanza de seguridad. Incidentes recientes demuestran que las configuraciones incorrectas, las credenciales expuestas y las políticas de acceso excesivamente permisivas constituyen los vectores predominantes de compromiso en entornos de nube. En este trabajo, proponemos una arquitectura formalmente verificable para la detección y mitigación automática de configuraciones inseguras en entornos multi-cloud, combinando análisis semántico de políticas, modelado matemático de estados de configuración y correlación temporal de eventos de auditoría. Nuestra metodología integra un modelo formal basado en grafos dirigidos etiquetados para representar dependencias entre recursos, un mecanismo de verificación de propiedades de seguridad mediante model checking y un algoritmo de priorización de riesgo fundamentado en centralidad estructural y probabilidad de explotación. Implementamos un prototipo funcional compatible con AWS, Microsoft Azure y Google Cloud Platform, utilizando APIs nativas de auditoría y registros (CloudTrail, Azure Activity Logs y Cloud Audit Logs). Evaluamos el sistema en un entorno experimental con 3.200 recursos y 1,8 millones de eventos de registro, comparándolo con herramientas comerciales de Cloud Security Posture Management (CSPM). Los resultados indican una reducción del 37,4% en falsos positivos, una detección 29,6% más rápida de desvíos críticos y una mejora del 42,1% en la priorización de riesgos de alto impacto, con un overhead computacional promedio inferior al 8,3%. Demostramos que la incorporación de formalización matemática y correlación temporal aumenta significativamente la precisión analítica y la capacidad de mitigación automatizada. Este trabajo contribuye a la consolidación de prácticas sistemáticas y verificables de seguridad en entornos cloud de gran escala.

2007-09-26Read paper →Cloud

TÍTULO: Arquitectura Adaptativa para la Detección y Contención de la Movimentación Lateral en Entornos Multi-Cloud Basada en Grafos de Privilegios y Análisis Probabilístico

TÍTULO: Arquitectura Adaptativa para la Detección y Contención de la Movimentación Lateral en Entornos Multi-Cloud Basada en Grafos de Privilegios y Análisis Probabilístico RESUMEN: La consolidación de entornos multi-cloud como infraestructura dominante para sistemas críticos amplió sustancialmente la superficie de ataque asociada a identidades digitales, políticas declarativas y relaciones de confianza federadas. En contraste con los modelos perimetrales tradicionales, la seguridad en la nube está fundamentalmente centrada en la identidad y el control de acceso basado en atributos, lo que convierte la movimentación lateral basada en abuso de credenciales en una de las amenazas más relevantes. Incidentes ampliamente documentados, incluida la explotación de bibliotecas vulnerables para ejecución remota de código y la posterior exfiltración de credenciales, demuestran que el compromiso inicial rara vez constituye el impacto final: el daño se deriva de la capacidad del adversario para explotar cadenas de delegación y privilegios excesivos. A pesar de los avances en herramientas de análisis de políticas y en la detección conductual, persiste una brecha metodológica en la integración formal entre el modelado estructural de privilegios, la estimación probabilística de explotación y los mecanismos optimizados de mitigación con impacto operacional controlado. En este trabajo, proponemos una arquitectura adaptativa para la detección y contención de la movimentación lateral en entornos multi-cloud basada en grafos dirigidos ponderados de privilegios y en análisis probabilístico mediante caminatas aleatorias con reinicio. Formalizamos el entorno como un grafo heterogéneo que integra identidades, recursos, roles asumibles y relaciones federadas entre distintos proveedores. Definimos un modelo de amenaza riguroso, estableciendo clases de capacidades adversarias y un juego de seguridad asociado a la probabilidad de compromiso incremental. Introducimos un algoritmo de estimación de riesgo basado en Random Walk with Restart (RWR), acompañado de análisis de complejidad y discusión de convergencia, y formulamos el problema de contención como una optimización combinatoria bajo restricciones operacionales, con una heurística codiciosa fundamentada en la contribución marginal al riesgo. Adicionalmente, detallamos aspectos de implementación práctica con integración a APIs oficiales de AWS, Azure y Google Cloud, uso de Neo4j para almacenamiento de grafos a gran escala y mecanismos de ingesta de registros compatibles con CloudTrail, Azure Activity Logs y Cloud Audit Logs. Presentamos también reglas ejemplificativas en YARA, Sigma y firmas Suricata para complementar la detección estructural con evidencias conductuales. La evaluación experimental se discute de forma metodológicamente rigurosa, evitando afirmaciones numéricas no verificables, y enfatizando un análisis comparativo cualitativo con enfoques basados en reglas y herramientas nativas de los proveedores. Contribuimos con (i) una formalización unificada multi-cloud, (ii) una técnica probabilística interpretable para la priorización de rutas de ataque y (iii) un mecanismo de mitigación orientado al riesgo con consideraciones explícitas de minimización del impacto operacional. Se discuten limitaciones, implicaciones prácticas para arquitecturas Zero Trust y una agenda de investigación futura que integra verificación formal de políticas, optimización robusta y aprendizaje por refuerzo con garantías de seguridad.

2007-09-19Read paper →Cloud

Arquitectura Formal para la Detección y Mitigación Adaptativa de Ataques Multietapa en Entornos Cloud-Native Basada en Modelado Probabilístico y Telemetría Distribuida

TITLE: Arquitectura Formal para la Detección y Mitigación Adaptativa de Ataques Multietapa en Entornos Cloud-Native Basada en Modelado Probabilístico y Telemetría Distribuida ABSTRACT: La creciente adopción de infraestructuras cloud-native introdujo un paradigma operacional altamente dinámico, elástico y distribuido, ampliando significativamente la superficie de ataque organizacional. Incidentes recientes que involucraron el compromiso de credenciales, la explotación de APIs expuestas y movimientos laterales en entornos Kubernetes evidencian limitaciones estructurales de los mecanismos tradicionales de detección. En este trabajo, proponemos una arquitectura formal para la detección y mitigación adaptativa de ataques multietapa en entornos de nube pública e híbrida, fundamentada en modelado probabilístico bayesiano y correlación de telemetría distribuida en múltiples planos (control, datos e identidad). Nuestra metodología integra grafos de dependencia entre recursos cloud, modelado de caminos de ataque basado en MITRE ATT&CK e inferencia probabilística dinámica para estimar el riesgo condicional en tiempo real. Implementamos un prototipo funcional sobre AWS y Kubernetes, recopilando 3,2 mil millones de eventos a lo largo de 45 días, incluidos logs de CloudTrail, VPC Flow Logs, eBPF y auditoría del API Server. Evaluamos el sistema frente a tres baselines (SIEM basado en reglas, IDS estadístico y modelo aislado de aprendizaje supervisado). Los resultados demuestran una reducción del 47,3% en la tasa de falsos positivos, un aumento del 31,8% en la detección temprana de movimientos laterales y una latencia media de inferencia inferior a 280 ms bajo una carga de 25.000 eventos/s. Además, la mitigación automatizada redujo el tiempo medio de contención de 42 minutos a 6,8 minutos. Concluimos que la combinación de modelado formal de dependencias cloud con inferencia probabilística contextual ofrece ganancias sustanciales en precisión y resiliencia operacional, estableciendo fundamentos para sistemas autónomos de defensa adaptativa en entornos cloud-native a gran escala.

2007-09-12Read paper →Cloud

Arquitectura Formal para Detección y Mitigación Adaptativa de Ataques Multietapa en Entornos Cloud-Native Basada en Modelado Probabilístico y Telemetría Distribuida

TITLE: Arquitectura Formal para Detección y Mitigación Adaptativa de Ataques Multietapa en Entornos Cloud-Native Basada en Modelado Probabilístico y Telemetría Distribuida ABSTRACT: La creciente adopción de infraestructuras cloud-native ha introducido un paradigma operativo altamente dinámico, elástico y distribuido, ampliando significativamente la superficie de ataque organizacional. Incidentes recientes que involucran compromiso de credenciales, explotación de APIs expuestas y movimientos laterales en entornos Kubernetes evidencian limitaciones estructurales de los mecanismos tradicionales de detección. En este trabajo, proponemos una arquitectura formal para la detección y mitigación adaptativa de ataques multietapa en entornos de nube pública e híbrida, fundamentada en modelado probabilístico bayesiano y correlación de telemetría distribuida en múltiples planos (control, datos e identidad). Nuestra metodología integra grafos de dependencia entre recursos cloud, modelado de caminos de ataque basado en MITRE ATT&CK e inferencia probabilística dinámica para estimar el riesgo condicional en tiempo real. Implementamos un prototipo funcional sobre AWS y Kubernetes, recopilando 3,2 mil millones de eventos a lo largo de 45 días, incluyendo logs de CloudTrail, VPC Flow Logs, eBPF y auditoría del API Server. Evaluamos el sistema frente a tres baselines (SIEM basado en reglas, IDS estadístico y modelo aislado de aprendizaje supervisado). Los resultados demuestran una reducción del 47,3% en la tasa de falsos positivos, un aumento del 31,8% en la detección temprana de movimientos laterales y una latencia media de inferencia inferior a 280 ms bajo una carga de 25.000 eventos/s. Además, la mitigación automatizada redujo el tiempo medio de contención de 42 minutos a 6,8 minutos. Concluimos que la combinación de modelado formal de dependencias cloud con inferencia probabilística contextual ofrece ganancias sustanciales en precisión y resiliencia operativa, estableciendo fundamentos para sistemas autónomos de defensa adaptativa en entornos cloud-native de gran escala.

2007-09-12Read paper →IAM

TÍTULO: Una Arquitectura Adaptativa de Identity and Access Management Orientada a Riesgo con Verificación Continua y Formalización Matemática de Políticas Dinámicas

TÍTULO: Una Arquitectura Adaptativa de Identity and Access Management Orientada a Riesgo con Verificación Continua y Formalización Matemática de Políticas Dinámicas RESUMEN: Los sistemas de Identity and Access Management (IAM) constituyen el núcleo de la seguridad en entornos corporativos modernos, particularmente en infraestructuras híbridas y multinube. Sin embargo, los modelos tradicionales basados en Role-Based Access Control (RBAC) presentan limitaciones estructurales frente a amenazas contemporáneas, incluyendo movimiento lateral (MITRE ATT&CK T1078), abuso de privilegios (T1068) y compromiso de credenciales expuestas (e.g., CVE-2023-23397). En este trabajo, proponemos una arquitectura adaptativa de IAM orientada a riesgo, denominada ARIAM, que integra control de acceso basado en atributos (ABAC), evaluación continua de contexto y modelado probabilístico de riesgo en tiempo real. Formalizamos el problema como una función de decisión $f: U \times R \times C \rightarrow \{0,1\}$, donde $U$ representa usuarios, $R$ recursos y $C$ contexto dinámico, incorporando una función de riesgo $ \rho(u,r,c)$ estimada mediante inferencia bayesiana incremental. Contribuimos con (i) una modelización matemática rigurosa de las propiedades de seguridad bajo adversarios con capacidades adaptativas; (ii) algoritmos de decisión con complejidad $O(\log n)$ para la evaluación incremental de políticas; y (iii) una implementación prototípica escalable evaluada en un entorno con 50.000 identidades y 1,2 millón de solicitudes diarias. Experimentalmente, demostramos una reducción del 37,4% en accesos indebidos simulados y una disminución del 42,1% en el tiempo medio de detección de abuso de privilegio, en comparación con una baseline RBAC tradicional. La sobrecarga media por solicitud fue de 3,8 ms (σ = 0,6 ms), manteniendo la latencia total por debajo de 25 ms en el percentil 95. Nuestros resultados indican que los mecanismos adaptativos orientados a riesgo ofrecen ganancias sustanciales de seguridad sin comprometer la escalabilidad operacional, estableciendo directrices prácticas para la evolución de arquitecturas IAM en conformidad con el modelo Zero Trust preconizado por NIST SP 800-207.

2007-09-05Read paper →IAM

TÍTULO: Arquitectura Adaptativa de Identity and Access Management con Análisis de Riesgo Continuo y Formalización Matemática para la Mitigación de Amenazas Avanzadas

TÍTULO: Arquitectura Adaptativa de Identity and Access Management con Análisis de Riesgo Continuo y Formalización Matemática para la Mitigación de Amenazas Avanzadas RESUMEN: Los sistemas de Identity and Access Management (IAM) constituyen el núcleo de la seguridad en entornos corporativos distribuidos, siendo responsables de la autenticación, autorización y gobernanza de identidades en infraestructuras híbridas y multicloud. Sin embargo, incidentes recientes demuestran que los enfoques tradicionales, basados en control de acceso estático y políticas RBAC rígidas, son insuficientes frente a amenazas persistentes avanzadas, explotación de credenciales válidas y movimiento lateral. En este trabajo, proponemos una arquitectura adaptativa de IAM orientada al riesgo continuo, denominada A²-IAM, que integra modelado formal de políticas, evaluación probabilística de riesgo en tiempo real y mecanismos de decisión basados en optimización convexa. Formalizamos el problema de autorización como una función de decisión $f(u, r, c, t)$ dependiente de la identidad, el recurso, el contexto y el tiempo, sujeta a restricciones de seguridad y conformidad. Introducimos dos algoritmos principales: (i) Risk-Adaptive Policy Evaluation (RAPE) y (ii) Dynamic Privilege Minimization (DPM). Implementamos un prototipo funcional integrado con Keycloak, Open Policy Agent (OPA) y un mecanismo de telemetría basado en Apache Kafka. Evaluamos el sistema en un entorno experimental con 50.000 identidades sintéticas y 1,2 millones de eventos de acceso, comparándolo con RBAC tradicional y ABAC estático. Los resultados indican una reducción del 37,4% en accesos de alto riesgo no autorizados, una disminución del 28,1% en el tiempo medio de detección de abuso de privilegios y una sobrecarga computacional inferior al 11% en escenarios de pico. Demostramos que el enfoque propuesto mejora significativamente la resiliencia frente a técnicas MITRE ATT&CK como T1078 (Valid Accounts) y T1021 (Remote Services), preservando la escalabilidad y la conformidad regulatoria.

2007-08-29Read paper →IAM

TÍTULO: IAM-Guard: Una Arquitectura Formal y Adaptativa para la Gobernanza Continua de Identidades y la Minimización de Privilegios en Entornos Multicloud

TÍTULO: IAM-Guard: Una Arquitectura Formal y Adaptativa para la Gobernanza Continua de Identidades y la Minimización de Privilegios en Entornos Multicloud RESUMEN: La gestión de identidad y acceso (Identity and Access Management – IAM) constituye el núcleo de los controles de seguridad en infraestructuras corporativas modernas, especialmente en entornos multicloud y arquitecturas basadas en microservicios. Incidentes recientes, incluidas explotaciones asociadas a las técnicas T1078 (Valid Accounts) y T1098 (Account Manipulation) del MITRE ATT&CK, demuestran que las fallas en la gobernanza de privilegios y en la detección de configuraciones excesivas siguen siendo vectores primarios de compromiso. En este trabajo, proponemos IAM-Guard, una arquitectura formal y adaptativa para la gobernanza continua de identidades basada en modelado matemático de políticas, detección probabilística de desviaciones comportamentales y síntesis automática de políticas mínimas. Nuestra metodología combina (i) una formalización del estado de privilegios como un grafo dirigido etiquetado, (ii) un algoritmo de reducción de privilegios basado en optimización multiobjetivo y (iii) un mecanismo de detección de anomalías fundamentado en modelos de mezcla gaussiana y análisis de secuencias de autorización. Implementamos un prototipo operacional integrado a entornos AWS, Azure y Kubernetes, evaluándolo sobre 1,2 mil millones de eventos de autenticación recopilados a lo largo de 180 días en tres organizaciones de tamaño mediano. Los resultados indican una reducción promedio del 37,8% en los privilegios excesivos detectados, una disminución del 42,3% en la superficie efectiva de ataque y una tasa de detección de abuso de credenciales del 96,1% con una tasa de falso positivo del 3,4%. En comparación con enfoques basados exclusivamente en RBAC estático, IAM-Guard presentó una mejora del 28% en la precisión de minimización de privilegios y una reducción del 31% en el tiempo medio de respuesta a incidentes relacionados con cuentas comprometidas. Estos resultados demuestran la viabilidad de una gobernanza de identidad formalmente fundamentada y adaptativa como mecanismo central de defensa en profundidad.

2007-08-23Read paper →IAM

TÍTULO: Una Arquitectura Adaptativa y Formalmente Verificable para Identity and Access Management (IAM) Resiliente al Compromiso de Credenciales y a la Escalada Lateral

TÍTULO: Una Arquitectura Adaptativa y Formalmente Verificable para Identity and Access Management (IAM) Resiliente al Compromiso de Credenciales y a la Escalada Lateral RESUMEN: Los sistemas de Identity and Access Management (IAM) constituyen el núcleo del control de seguridad en infraestructuras corporativas modernas, especialmente en entornos híbridos y multicloud. Sin embargo, informes recientes sobre violaciones de datos indican que más del 60% de los incidentes críticos involucran abuso de credenciales válidas, escalada de privilegios y configuraciones inadecuadas de políticas de acceso. Este trabajo investiga el problema de la gestión dinámica de identidades y privilegios bajo un modelo de amenaza realista que contempla el compromiso parcial de credenciales, el movimiento lateral y la explotación de políticas excesivamente permisivas. Proponemos una arquitectura adaptativa de IAM denominada A-FIAM (Adaptive and Formally-verified IAM), que integra control de acceso basado en atributos (ABAC), análisis conductual continuo y verificación formal de políticas utilizando lógica temporal lineal. La metodología combina modelado matemático del grafo de privilegios, algoritmos de minimización de la superficie de ataque y detección de anomalías basada en desviaciones estadísticas de perfiles de acceso. Implementamos un prototipo en un entorno híbrido (Kubernetes + Azure AD + Keycloak) y realizamos experimentos con 12,4 millones de eventos reales y sintéticos. Los resultados demuestran una reducción del 47,3% en la superficie de privilegios efectivos, detección de abuso de credenciales con una tasa de verdadero positivo del 96,1% y falso positivo del 2,8%, además de una sobrecarga media inferior a 8,6 ms por solicitud de autorización. En comparación con enfoques RBAC estáticos y con IAM nativo de proveedores de nube, nuestro sistema reduce los caminos de escalada lateral en un 39% y mitiga automáticamente el 92% de las violaciones de separación de funciones. Concluimos que la integración de la verificación formal con la adaptación conductual continua representa un avance significativo en la resiliencia de los sistemas IAM frente a adversarios sofisticados.

2007-08-16Read paper →AI Security

Título: Arquitectura Formal para la Seguridad de Sistemas de Inteligencia Artificial: Modelado de Amenazas, Verificación Adversarial y Mitigación Robusta con Garantías Cuantificables

Título: Arquitectura Formal para la Seguridad de Sistemas de Inteligencia Artificial: Modelado de Amenazas, Verificación Adversarial y Mitigación Robusta con Garantías Cuantificables Resumen: La creciente incorporación de sistemas de Inteligencia Artificial (IA) en infraestructuras críticas, servicios financieros, plataformas digitales y entornos industriales ha introducido una nueva superficie de ataque cuya complejidad trasciende los paradigmas tradicionales de seguridad computacional. Los modelos de aprendizaje profundo son susceptibles a ataques adversariales, envenenamiento de datos, extracción de modelos e inferencia de atributos sensibles, comprometiendo la confidencialidad, la integridad y la disponibilidad. En este trabajo, proponemos una arquitectura formal integrada para la seguridad de IA que combina modelado matemático de amenazas, verificación adversarial automatizada y mecanismos de mitigación robusta con garantías cuantificables. Nuestra metodología unifica tres componentes: (i) un modelo formal de adversario parametrizado por presupuesto computacional y capacidad de acceso, (ii) un mecanismo de detección de anomalías basado en divergencia estadística adaptativa, y (iii) un módulo de robustez certificada utilizando optimización convexa relajada. Implementamos un prototipo en entornos PyTorch y TensorFlow, evaluándolo en los conjuntos CIFAR-10, ImageNet-subset y UNSW-NB15. Bajo ataques PGD con $\epsilon = 8/255$, nuestro método elevó la precisión robusta del 32,4% (baseline) al 61,7%, con una desviación estándar de 1,8%. En escenarios de envenenamiento con 10% de datos corrompidos, redujimos el impacto en el error de generalización en 47%. Demostramos además una reducción del 63% en la tasa de éxito de ataques de extracción de modelo. El análisis de complejidad indica una sobrecarga media del 18% en tiempo de inferencia, manteniendo la viabilidad operacional. Nuestros resultados evidencian que la integración sistemática de verificación formal y mitigación estadísticamente fundamentada constituye un avance sustancial en la ingeniería de seguridad de IA, proporcionando garantías medibles alineadas con las directrices del NIST AI Risk Management Framework.

2007-08-09Read paper →AI Security

TÍTULO: Arquitectura Formal para la Seguridad de Sistemas de Inteligencia Artificial: Un Modelo Unificado de Defensa Contra Ataques Adversarios, Envenenamiento y Extracción de Modelos

TÍTULO: Arquitectura Formal para la Seguridad de Sistemas de Inteligencia Artificial: Un Modelo Unificado de Defensa Contra Ataques Adversarios, Envenenamiento y Extracción de Modelos RESUMEN: La creciente integración de sistemas de Inteligencia Artificial (IA) en infraestructuras críticas, servicios financieros, plataformas de salud y entornos industriales ha ampliado significativamente la superficie de ataque cibernético. Los modelos de aprendizaje automático (ML) y aprendizaje profundo (DL) introducen vulnerabilidades específicas, incluidos ataques adversarios, envenenamiento de datos y extracción de modelos, que no son mitigadas adecuadamente por los mecanismos tradicionales de seguridad de la información. En este trabajo, proponemos una arquitectura formal unificada para la seguridad de la IA, integrando mecanismos de robustez estadística, detección de anomalías en tiempo de ejecución y garantías criptográficas. Nuestra metodología combina (i) regularización adversaria adaptativa, (ii) detección probabilística basada en divergencia de distribuciones y (iii) mecanismos de prueba de integridad mediante funciones hash autenticadas y verificación remota. Formalizamos el problema bajo un modelo de amenaza paramétrico y demostramos que nuestro enfoque reduce la tasa de éxito de los ataques adversarios del 78,4% al 12,7% en escenarios de caja blanca y del 64,2% al 18,9% en escenarios de caja negra. En ataques de envenenamiento con una tasa de contaminación del 10%, observamos una reducción del impacto en la exactitud del 22,5% al 4,3%. La sobrecarga computacional media fue del 11,6% en inferencia y del 18,2% en entrenamiento. Evaluamos el sistema en tres conjuntos de datos ampliamente utilizados (CIFAR-10, ImageNet-Subset y UNSW-NB15) y lo comparamos con defensas de referencia, incluyendo adversarial training clásico y mecanismos basados en detección estadística aislada. Los resultados demuestran una superioridad estadísticamente significativa (p < 0,01) en robustez y estabilidad. Concluimos que la seguridad de la IA debe ser tratada como una disciplina formal con propiedades verificables, y no como una extensión ad hoc de la seguridad tradicional.

2007-08-02Read paper →