Real-world cloud security. Explained and applied.
Diseños seguros, buenas prácticas y arquitecturas recomendadas en AWS/Azure/GCP
Las Shadow APIs aparecen cuando equipos despliegan endpoints en API Gateway/App Engine fuera del WAF central o sin inventario. Este artículo explica señales, escenarios de riesgo (incluyendo APIs internas expuestas vía SSRF) y un método práctico para descubrirlas con Cloud Asset Inventory y herramientas de enumeración.
Deshabilitar una identidad en Microsoft Entra ID no invalida necesariamente todas las sesiones ya emitidas en Azure, AWS y Google Cloud. Explico por qué ocurre y cómo diseñar un offboarding eficaz en entornos federados.
Cómo integrar Microsoft Entra ID con Google Cloud mediante Cloud Identity, aprovisionamiento de usuarios y grupos, SAML e IAM, manteniendo una identidad central y la autorización dentro de Google Cloud.
Cómo integrar Microsoft Entra ID con AWS IAM Identity Center mediante SAML y SCIM para acceder a cuentas AWS, CloudShell y Terraform sin crear IAM Users ni distribuir Access Keys.
Cómo centralizar la identidad de laboratorios con Azure, AWS y Google Cloud utilizando Microsoft Entra ID, manteniendo la autorización dentro de cada proveedor y evitando credenciales estáticas.
Una explicación práctica y orientada a operación de la vulnerabilidad CVE-2026-40379 en el Enterprise Security Token Service (ESTS) de Azure: cómo se puede intentar falsificar identidades a nivel de proveedor de tokens, qué señales aparecen en entornos corporativos y qué controles ayudan a reducir el impacto.
Cuando un proveedor marca una CVSS 10 como “No Action Required”, el parche está del lado del servicio… pero el riesgo no desaparece. En cloud corporativo, la responsabilidad compartida implica asumir que el impacto puede materializarse igual: telemetría, exposición, credenciales, configuración y respuesta operativa siguen siendo tuyas.
El “bucket squatting” en GCP alrededor de Vertex AI (CVE-2026-2473) mostró un patrón peligroso: si una pipeline confía en nombres de Cloud Storage predecibles y no valida propiedad/identidad del bucket, un atacante puede crear ese bucket antes y forzar cargas/lecturas maliciosas, derivando en ejecución remota y envenenamiento de modelos. Este artículo descompone el escenario, señales operativas y mitigaciones aplicables en empresas.
Exponer Ollama como API en una instancia pública sin autenticación es una receta para fuga de datos, abuso de cómputo y shadow AI. Este artículo recorre una arquitectura típica en cloud, los puntos de fallo más comunes y cómo implementar segmentación, API Gateway, autenticación y controles operativos verificables.
La Denegación de Billetera (DoW) explota la elasticidad cloud para forzar consumo y disparar costes: criptominería, escalado masivo, tráfico artificial y abuso de servicios gestionados. Este artículo aterriza señales reales, contención y guardrails operativos (cuotas, alertas de anomalías, IAM) para reducir impacto económico sin romper la operación.