Real-world cloud security. Explained and applied.
Diseños seguros, buenas prácticas y arquitecturas recomendadas en AWS/Azure/GCP
El ransomware en cloud no siempre “copia y cifra”: a menudo secuestra tus propios controles, especialmente KMS, para dejarte sin acceso a snapshots y objetos en S3. Este artículo aterriza cómo ocurre, qué señales lo delatan, y qué controles operativos (versionado y Object Lock) marcan la diferencia cuando el atacante usa tu propio cifrado contra ti.
Una cuenta Break-Glass sin trazabilidad no es un “seguro”: es una puerta lateral que acaba usándose para operar el día a día. Cómo se rompe la atribución, por qué pasa en organizaciones grandes y cómo montar guardrails prácticos: desbloqueo temporal con ticket, alertas de alta severidad y MFA con custodia dividida.
Controlar el egress en una VPC no es “cerrar internet”, es diseñar rutas, endpoints y controles inspectables para que una instancia comprometida no pueda hablar libremente con C2 ni exfiltrar datos. Guía operativa con decisiones y validación en AWS/Azure.
El patrón “Confused Deputy” aparece cuando un SaaS con acceso a tu cloud no valida correctamente qué cliente está solicitando una acción. El resultado puede ser que otra cuenta del propio SaaS —o un atacante— termine operando en tu tenant. Cómo se ve en integraciones reales (CI/CD, monitorización, billing) y cómo mitigarlo con guardrails concretos (ExternalId, OIDC con iss/aud, condiciones por tags/IP) sin romper la operación.
Usar un gestor de secretos no te “compra” seguridad automáticamente. El síndrome del set-and-forget aparece cuando se asume que Azure Key Vault, AWS Secrets Manager o GCP Secret Manager resuelven por defecto el cifrado, el control de acceso y la rotación. En la práctica, los fallos vienen de permisos masivos, rotación inexistente y una falsa sensación de protección de red.
BloodHound Enterprise amplía su alcance más allá de Microsoft para mapear rutas de ataque de identidad que atraviesan Okta y GitHub. En empresas donde la identidad es el nuevo perímetro, esta expansión permite ver (y priorizar) encadenamientos reales entre SSO, repositorios y privilegios.
Serverless elimina servidores que administrar, no elimina el riesgo. Desmontamos mitos habituales y bajamos a terreno práctico: permisos excesivos, endpoints expuestos, event injection, dependencias vulnerables y secretos mal gestionados en AWS Lambda, Azure Functions y GCP Cloud Functions, además de cómo se pivota desde una función comprometida y qué quick wins aplicar en producción.
Muchas arquitecturas cloud pasan auditorías de diseño y “se ven seguras” en diagramas. El problema aparece cuando hay que reconstruir un incidente y los logs no existen, no cubren lo crítico o no son confiables. Este artículo recorre qué suele fallar en CloudTrail/Activity Logs, cómo se detecta tarde y qué validar en la práctica para evitar una falsa sensación de control.