Real-world cloud security. Explained and applied.
Diseños seguros, buenas prácticas y arquitecturas recomendadas en AWS/Azure/GCP
Cuando un proveedor marca una CVSS 10 como “No Action Required”, el parche está del lado del servicio… pero el riesgo no desaparece. En cloud corporativo, la responsabilidad compartida implica asumir que el impacto puede materializarse igual: telemetría, exposición, credenciales, configuración y respuesta operativa siguen siendo tuyas.
El “bucket squatting” en GCP alrededor de Vertex AI (CVE-2026-2473) mostró un patrón peligroso: si una pipeline confía en nombres de Cloud Storage predecibles y no valida propiedad/identidad del bucket, un atacante puede crear ese bucket antes y forzar cargas/lecturas maliciosas, derivando en ejecución remota y envenenamiento de modelos. Este artículo descompone el escenario, señales operativas y mitigaciones aplicables en empresas.
Exponer Ollama como API en una instancia pública sin autenticación es una receta para fuga de datos, abuso de cómputo y shadow AI. Este artículo recorre una arquitectura típica en cloud, los puntos de fallo más comunes y cómo implementar segmentación, API Gateway, autenticación y controles operativos verificables.
La Denegación de Billetera (DoW) explota la elasticidad cloud para forzar consumo y disparar costes: criptominería, escalado masivo, tráfico artificial y abuso de servicios gestionados. Este artículo aterriza señales reales, contención y guardrails operativos (cuotas, alertas de anomalías, IAM) para reducir impacto económico sin romper la operación.
El ransomware en cloud no siempre “copia y cifra”: a menudo secuestra tus propios controles, especialmente KMS, para dejarte sin acceso a snapshots y objetos en S3. Este artículo aterriza cómo ocurre, qué señales lo delatan, y qué controles operativos (versionado y Object Lock) marcan la diferencia cuando el atacante usa tu propio cifrado contra ti.
Una cuenta Break-Glass sin trazabilidad no es un “seguro”: es una puerta lateral que acaba usándose para operar el día a día. Cómo se rompe la atribución, por qué pasa en organizaciones grandes y cómo montar guardrails prácticos: desbloqueo temporal con ticket, alertas de alta severidad y MFA con custodia dividida.
Controlar el egress en una VPC no es “cerrar internet”, es diseñar rutas, endpoints y controles inspectables para que una instancia comprometida no pueda hablar libremente con C2 ni exfiltrar datos. Guía operativa con decisiones y validación en AWS/Azure.
El patrón “Confused Deputy” aparece cuando un SaaS con acceso a tu cloud no valida correctamente qué cliente está solicitando una acción. El resultado puede ser que otra cuenta del propio SaaS —o un atacante— termine operando en tu tenant. Cómo se ve en integraciones reales (CI/CD, monitorización, billing) y cómo mitigarlo con guardrails concretos (ExternalId, OIDC con iss/aud, condiciones por tags/IP) sin romper la operación.
Usar un gestor de secretos no te “compra” seguridad automáticamente. El síndrome del set-and-forget aparece cuando se asume que Azure Key Vault, AWS Secrets Manager o GCP Secret Manager resuelven por defecto el cifrado, el control de acceso y la rotación. En la práctica, los fallos vienen de permisos masivos, rotación inexistente y una falsa sensación de protección de red.
BloodHound Enterprise amplía su alcance más allá de Microsoft para mapear rutas de ataque de identidad que atraviesan Okta y GitHub. En empresas donde la identidad es el nuevo perímetro, esta expansión permite ver (y priorizar) encadenamientos reales entre SSO, repositorios y privilegios.