Real-world cloud security. Explained and applied.
Guía operativa para automatizar el aislamiento de identidades en AWS IAM y Azure Entra ID usando un webhook centralizado (n8n) tras detectar un inicio de sesión anómalo: arquitectura, permisos mínimos, acciones concretas y validación en auditoría.
Cuando un proveedor marca una CVSS 10 como “No Action Required”, el parche está del lado del servicio… pero el riesgo no desaparece. En cloud corporativo, la responsabilidad compartida implica asumir que el impacto puede materializarse igual: telemetría, exposición, credenciales, configuración y respuesta operativa siguen siendo tuyas.
Los tokens heredados (incluidos los patrones de “actor” en flujos S2S) y el uso de APIs obsoletas como Azure AD Graph han sido una combinación peligrosa: permiten ejecutar operaciones privilegiadas sin pasar por los mismos guardrails que hoy esperamos (MFA y Acceso Condicional). Este artículo desglosa cómo se materializa la suplantación de Global Admins en Entra ID, qué señales buscar y cómo operarlo en la práctica para cerrar el hueco.
El “bucket squatting” en GCP alrededor de Vertex AI (CVE-2026-2473) mostró un patrón peligroso: si una pipeline confía en nombres de Cloud Storage predecibles y no valida propiedad/identidad del bucket, un atacante puede crear ese bucket antes y forzar cargas/lecturas maliciosas, derivando en ejecución remota y envenenamiento de modelos. Este artículo descompone el escenario, señales operativas y mitigaciones aplicables en empresas.
Postmortem técnico del caso Storm-2949 en Azure: cómo una cadena basada en identidades y abuso de App Services permitió exfiltrar secretos de Key Vault y datos de SQL Database sin desplegar malware, y qué señales y controles fallaron en entornos corporativos.
Dirty Frag (CVE-2026-43284) permite, bajo condiciones concretas, escalar a root en el nodo de AWS EKS desde un contenedor comprometido. Este artículo describe la superficie de ataque, señales operativas y cómo aplicar perfiles seccomp y validarlos en EKS para cortar la cadena de explotación.
En 2026, la mayoría de intrusiones iniciales en AWS no empiezan con un exploit, sino con credenciales y sesiones robadas. Este artículo explica por qué ocurre (incluido el dato del 83% centrado en identidad), qué señales operativas lo delatan en AWS y cómo endurecer IAM/STS sin romper la operación corporativa.
Exponer Ollama como API en una instancia pública sin autenticación es una receta para fuga de datos, abuso de cómputo y shadow AI. Este artículo recorre una arquitectura típica en cloud, los puntos de fallo más comunes y cómo implementar segmentación, API Gateway, autenticación y controles operativos verificables.
El robo de cookies de sesión mediante Adversary-in-the-Middle (AitM) permite a un atacante reutilizar una sesión ya autenticada en la consola cloud, incluso cuando el administrador tiene MFA. Este artículo aterriza señales operativas, impacto real en empresa y mitigaciones prácticas basadas en acceso condicional, validación de red y reducción de superficie de sesión.
Los Kubernetes Secrets nativos no “cifran”: codifican en Base64. En entornos corporativos esto se traduce en exposición por logs, RBAC demasiado amplio, etcd sin cifrado y pipelines que filtran credenciales. Cómo entender el riesgo real y operar External Secrets Operator con Azure Key Vault o AWS Secrets Manager sin romper el despliegue.