Real-world cloud security. Explained and applied.
Demos y walkthroughs en escenarios reales cloud
Postmortem técnico del caso Storm-2949 en Azure: cómo una cadena basada en identidades y abuso de App Services permitió exfiltrar secretos de Key Vault y datos de SQL Database sin desplegar malware, y qué señales y controles fallaron en entornos corporativos.
Dirty Frag (CVE-2026-43284) permite, bajo condiciones concretas, escalar a root en el nodo de AWS EKS desde un contenedor comprometido. Este artículo describe la superficie de ataque, señales operativas y cómo aplicar perfiles seccomp y validarlos en EKS para cortar la cadena de explotación.
El robo de cookies de sesión mediante Adversary-in-the-Middle (AitM) permite a un atacante reutilizar una sesión ya autenticada en la consola cloud, incluso cuando el administrador tiene MFA. Este artículo aterriza señales operativas, impacto real en empresa y mitigaciones prácticas basadas en acceso condicional, validación de red y reducción de superficie de sesión.
La cadena de suministro en registries de contenedores falla cuando tratamos imágenes base públicas como “de confianza” y cuando usamos tags mutables como :latest. Este artículo baja a tierra el escenario de abuso, por qué un registry corporativo no es sinónimo de seguridad y cómo operar ECR/ACR/GCR con inmutabilidad, escaneo en push y políticas de firma (Cosign/Notation) que realmente bloqueen despliegues inseguros.
Un atacante con permisos de lectura puede evitar un SELECT masivo y exfiltrar bases de datos completas compartiendo snapshots con una cuenta externa o haciéndolos públicos temporalmente. Esta guía operativa explica cómo se abusa de RDS/EBS y equivalentes, qué eventos mirar en logs y cómo bloquearlo con guardrails (SCP/Azure Policy) y alertas en tiempo real.
“Lo ciframos con KMS” no es una medida de seguridad si la clave por defecto no impone controles adicionales. El cifrado gestionado por el proveedor suele permitir descifrado implícito a cualquiera con permisos sobre el recurso. Este artículo desmonta el mito y aterriza cómo restringir el uso de claves (CMK) con políticas y condiciones como kms:ViaService, y qué cambia entre AWS, Azure y GCP.
En arquitecturas RAG, un PDF puede convertirse en un “canal de control” para tu agente: inyecta instrucciones que el modelo obedece y, si el runtime tiene permisos amplios (S3/DB/email), la consecuencia real es exfiltración de datos y credenciales. Este artículo aterriza el abuso, el fallo de arquitectura y cómo endurecer permisos y flujos de acción sin romper el producto.
En analítica y ML es habitual volcar datasets a buckets “temporales” para acelerar experimentos. Cuando esos buckets quedan públicos (lectura o, peor, escritura), el riesgo pasa de fuga de PII a manipulación de datos y abuso de infraestructura. Esta guía operativa explica cómo se generan estos puntos ciegos, cómo detectarlos y cómo cerrar la exposición sin romper pipelines.
Un package.json o setup malicioso no necesita explotar tu aplicación: le basta con ejecutarse durante el install en CI/CD y hablar con el metadata service para robar credenciales temporales. Este artículo desglosa el escenario, las señales y cómo levantar guardrails para que tus pipelines no descarguen paquetes de fuentes no verificadas.
El egress en serverless suele quedar “abierto por defecto”. Si una función es comprometida, ese camino sirve para exfiltrar datos o contactar con C2. Esta guía operativa explica cómo restringir destinos reales (VPC endpoints, NAT, firewalls y DNS), cómo aplicar guardrails y cómo verificar que el control de salida funciona en producción.