💻 computer science

CLOUDBURST: Cloud-Layer Observations Using Beacons for Unified Real-time Surveillance and Threat Attribution

Este artículo presenta CLOUDBURST, el primer marco formal para balizas pasivas nativas de la nube que define una nueva Puntuación de Atribución en la Nube para medir la detección de amenazas en seis clases de vectores, revelando que los Roles de Señuelo de IAM y las URLs Firmadas de S3 ofrecen la mayor resistencia a los escáneres de nube modernos, al tiempo que destacan la rápida degradación del valor de atribución debido al cambio constante de la infraestructura efímera.

Autores originales: Abraham Itzhak Weinberg

Publicado 2026-05-14

📖 6 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Abraham Itzhak Weinberg

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que eres un guardia de seguridad para una ciudad masiva y en constante cambio, construida con edificios digitales (la Nube). En los viejos tiempos, si un ladrón robaba un archivo físico, podías rastrearlo por las huellas que dejaba atrás. Pero en esta ciudad moderna, los edificios mismos están hechos de niebla. Aparecen, desaparecen y se reconstruyen cada pocos minutos. Si un ladrón roba una "llave" para un edificio, ese edificio podría desaparecer antes de que termines tu informe.

Este documento, CLOUDBURST, es un nuevo reglamento y un nuevo conjunto de herramientas diseñados para atrapar ladrones en esta ciudad neblinosa y cambiante.

Aquí está el desglose de sus ideas utilizando analogías simples:

1. El Problema: La "Ciudad Fantasma"

En la seguridad tradicional, rastreas a un ladrón por la computadora específica que utilizó. Pero en la nube, la "computadora" (un contenedor o servidor) podría existir solo durante 10 minutos antes de ser eliminada y reemplazada.

La Analogía: Imagina que un ladrón roba una llave de una habitación de hotel, pero la habitación es demolida y reconstruida instantáneamente. Para cuando llegas a revisar la habitación, el ladrón se ha ido y la habitación es totalmente nueva. No puedes decir quién estuvo allí.
La Afirmación del Documento: Las herramientas de rastreo existentes no funcionan aquí porque asumen que la "habitación" sigue ahí. CLOUDBURST admite que la habitación podría haber desaparecido y construye una nueva forma de rastrear al ladrón de todos modos.

2. La Solución: Seis Tipos de "Trampas" (Balizas)

Los investigadores crearon un "menú" de seis tipos diferentes de trampas (llamadas Balizas) que parecen cosas valiosas para un ladrón, pero que en realidad son trampas. Cuando un ladrón toca una, envía una señal silenciosa de vuelta al equipo de seguridad.

Piensa en estas como diferentes tipos de cebo:

La "Llave Falsa" (URLs Firmadas de S3): Un enlace que parece un documento secreto. Si un ladrón hace clic para descargar los datos "robados", la trampa se activa. Esto es muy difícil de detectar para los escáneres.
La "Llave Fantasma" (Roles Canary de IAM): Una credencial de seguridad falsa que ningún empleado real debería usar nunca. Si un ladrón intenta usarla, es como entrar en una habitación donde una alarma silenciosa ya está cableada al techo. Esta es la mejor trampa porque deja un registro muy claro de quién intentó usarla.
El "Plano Envenenado" (Módulos de Terraform): Un plan de construcción falso para la ciudad. Si un ladrón intenta construir con él, el plan llama a casa para decir: "Oye, alguien está usando mi plano".
La "Caja Mágica" (Imágenes de Contenedores): Una caja de software que llama a casa cada vez que se abre.
La "Nota Secreta" (Secretos de Kubernetes): Notas ocultas dentro de las instrucciones de la ciudad que activan una alarma si se leen.
El "Código Muerto" (Disparadores Serverless): Un fragmento de código que no hace nada a menos que alguien lo ejecute accidentalmente, momento en el cual grita "¡Me están usando!".

3. La Puntuación: La "Puntuación de Atribución en la Nube" (CAS)

¿Cómo sabes qué trampa es la mejor? Los autores inventaron una puntuación llamada CAS. Es como una "Calificación de Captura de Ladrones" que pondera tres cosas:

¿Llegó la señal? (¿El ladrón usaba una máscara como una VPN?)
¿Capturamos su identificación? (¿El sistema de la nube registró exactamente quién tocó la trampa?)
¿Desapareció el edificio? (¿La trampa desapareció antes de que pudiéramos analizarla?)

El Gran Descubrimiento:

El Ganador: La "Llave Fantasma" (Roles Canary de IAM) obtuvo la puntuación más alta. Es la más confiable porque incluso si el edificio desaparece, el sistema de la nube mantiene un registro permanente de quién intentó usar la llave.
El Subcampeón: La "Llave Falsa" (URLs de S3) es la más difícil de detectar para los ladrones. Parece tan normal que los escáneres de seguridad a menudo la pasan por alto.
El Perdedor: El "Código Muerto" (Disparadores Serverless) es el más débil. Es demasiado obvio y a menudo es detectado por los escáneres de seguridad antes de que el ladrón siquiera la toque.

4. El Problema de la "Tinta Desvanecida" (Decaimiento Efímero)

Este es el hallazgo más importante del documento.

La Analogía: Imagina que escribes el nombre de un ladrón con tinta en una ventana neblinosa. Si esperas 10 minutos, la niebla se despeja y la tinta se desvanece. Si esperas 2 horas, la tinta ha desaparecido.
El Hallazgo: El documento demuestra que la capacidad de identificar a un ladrón disminuye drásticamente con el tiempo.
- Al inicio (0 horas): Tienes un 79% de posibilidades de identificar al ladrón.
- Después de 48 horas: Esa posibilidad cae al 18–22%.
¿Por qué? Porque los "edificios" (servidores) siguen siendo reconstruidos. Cuanto más esperas para analizar los datos, más probable es que la evidencia haya sido borrada por la limpieza automática del sistema.

5. El Veredicto: ¿Qué Debes Hacer?

El documento concluye con una guía simple para los equipos de seguridad:

Coloca "Llaves Fantasma" en todas partes: Dado que dejan el rastro más claro y no desaparecen, deberían estar en cada cuenta de la nube.
Usa "Llaves Falsas" como respaldo: Son difíciles de detectar para los ladrones, por lo que son excelentes para atrapar a atacantes sigilosos.
Actúa rápido: Dado que la evidencia se desvanece tan rápidamente (dentro de las 48 horas), no puedes esperar para investigar. Debes atrapar al ladrón en el momento en que toca la trampa.

Resumen

CLOUDBURST es un nuevo manual para atrapar ladrones en la nube. Nos dice que en un mundo donde los edificios digitales desaparecen cada hora, no podemos confiar en los métodos de rastreo antiguos. En su lugar, debemos usar "Llaves Fantasma" específicas (roles IAM) que dejan huellas de papel permanentes, y debemos actuar inmediatamente porque la evidencia se desvanece como tinta en una ventana neblinosa.

Nota: El documento afirma explícitamente que, aunque estas herramientas son buenas, no lograron una certeza "perfecta" (prueba del 100%) en sus pruebas. Identificaron que se necesitan más pistas para alcanzar ese nivel final de certeza, pero crearon con éxito el primer sistema para medir y mejorar estas posibilidades.

Resumen Técnico: CLOUDBURST – Observaciones de Capa de Nube Mediante Balizas para Vigilancia Unificada en Tiempo Real y Atribución de Amenazas

1. Declaración del Problema

Los entornos nativos de la nube modernos (AWS, GCP, Azure, OCI) presentan una superficie de amenaza de exfiltración fundamentalmente diferente en comparación con los escenarios tradicionales basados en archivos. Los atacantes ya no solo roban archivos; roban artefactos efímeros como URLs firmadas de S3, imágenes de contenedores, secretos de Kubernetes, módulos de estado de Terraform y tokens de roles IAM. La literatura académica existente y los marcos de honeytokens (por ejemplo, contraataque pasivo, Canarytokens) se centran principalmente en escenarios basados en archivos o móviles y no abordan las propiedades únicas de la nube nativa:

Efimeridad de la Infraestructura: En entornos contenerizados (por ejemplo, Kubernetes), la infraestructura que desencadena una devolución de llamada de baliza puede dejar de existir antes de que comience el análisis de atribución, invalidando la suposición de que "la máquina que activó la baliza sigue en ejecución".
Complejidad de IAM: Las llamadas a la API de la nube llevan un contexto de identidad rico (por ejemplo, ARNs de roles asumidos, correos electrónicos de cuentas de servicio) que ofrece telemetría superior pero requiere una interpretación compleja de las cadenas de asunción de roles y los registros de auditoría habilitados (CloudTrail/Registro de Auditoría).
Normalización Multi-Proveedor: Los atacantes a menudo enrutan credenciales robadas a través de diferentes proveedores de nube, lo que requiere que los sistemas de atribución normalicen la telemetría a través de formatos dispares.

Las herramientas actuales carecen de una taxonomía formal para balizas nativas de la nube y de una métrica que cuantifique cómo el cambio de infraestructura degrada la calidad de la atribución con el tiempo.

2. Metodología

El artículo introduce CLOUDBURST, una taxonomía formal y un marco de medición diseñados para evaluar balizas pasivas nativas de la nube.

2.1 Marco Formal: Puntuación de Atribución en la Nube (CAS)

La contribución central es la Puntuación de Atribución en la Nube (CAS), una métrica unificada definida como:
$CAS(c) = w_1C_f(1 - E_p) + w_2I_c + w_3(1 - E_p)I_c + w_4M_b$
Donde:

$C_f$ : Fidelidad de la devolución de llamada (calidad de la información por devolución de llamada).
$E_p$ : Penalización efímera, que modela la pérdida de calidad de atribución debido al cambio de infraestructura (reinicios de pods, escalado automático).
$I_c$ : Cobertura de IAM (fracción del contexto de identidad capturado).
$M_b$ : Bonus multi-nube (ganancia de correlación por evidencia entre proveedores).
$w_i$ : Pesos que suman 1.

El marco modela explícitamente la Decaimiento Efímero, donde la penalización $E_p$ aumenta como función del tiempo, los reinicios de pods y los eventos de escalado, demostrando matemáticamente cómo la calidad de la atribución se degrada en entornos contenerizados.

2.2 Taxonomía de Vectores de Baliza

CLOUDBURST define seis clases distintas de vectores de baliza, cada una con propiedades de amenaza únicas y soporte de proveedor:

URLs Firmadas de S3: URLs firmadas con límite de tiempo incrustadas en datos robados.
Imágenes de Contenedores Marcadas: Imágenes OCI con capas de comprobación de salud incrustadas.
Roles IAM Canary: Roles/cuentas de servicio dormidos sin ruta de invocación legítima.
Módulos de Terraform Envenenados: Módulos con fuentes de datos HTTP incrustadas.
Balizas de Secretos de Kubernetes: Secretos que desencadenan devoluciones de llamada mediante webhooks de admisión o registros de auditoría.
Disparadores de Funciones Serverless: Funciones de "código muerto" que se activan al ser invocadas.

2.3 Configuración Experimental

La evaluación involucró:

Despliegue: 21 instancias de baliza a través de cuatro proveedores de nube (AWS, GCP, Azure, OCI).
Simulación de Atacante: Tres niveles de sofisticación (Ingenuo, Avanzado, APT) que varían en enrutamiento (TOR/VPN), rotación de infraestructura y tiempo de permanencia.
Modelos de Escáner: Tres modelos de detección (AWS Macie/GCP DLP, Checkov/tfsec, Prisma Cloud/Wiz) para medir la Resistencia a la Detección (DR).
Métricas: CAS, Resistencia a la Detección (DR), Devoluciones de llamada para Detectar (CTD) y dinámicas de Decaimiento Efímero durante 48 horas.

3. Resultados Clave

3.1 Rendimiento de Vectores

Roles Canary IAM lograron la media CAS más alta (0.450) y una alta Resistencia a la Detección (DR = 0.873), lo que los convierte en el vector más desplegable. Proporcionan la telemetría más rica (ARNs completos de principales) y tienen el riesgo efímero más bajo.
URLs Firmadas de S3 lograron la mayor Resistencia a la Detección (DR = 0.890), sobreviviendo a los tres modelos de escáner porque su formato de URL y patrones de acceso se asemejan a la recuperación legítima de datos.
Disparadores de Funciones Serverless exhibieron la peor Resistencia a la Detección (DR = 0.611) debido a patrones explícitos de devolución de llamada HTTP saliente detectables por escáneres CNAPP.
Secretos de Kubernetes mostraron la degradación CAS más rápida debido al alto cambio de pods.

3.2 Decaimiento Efímero

Un hallazgo crítico es la rápida degradación de la calidad de la atribución. En todos los vectores, el CAS degradó de aproximadamente 0.79 en el despliegue a 0.18–0.22 dentro de las 48 horas ( $p < 0.001$ ). Esto establece un modelo cuantitativo de decaimiento de atribución, demostrando que las balizas nativas de la nube deben diseñarse para activarse rápidamente o persistir, ya que la infraestructura que desencadena la devolución de llamada a menudo desaparece antes del análisis.

3.3 Agnosticismo del Proveedor

El análisis estadístico (prueba de Kruskal-Wallis, $H=1.99, p=0.57$ ) confirmó no hay diferencia significativa en el CAS entre los proveedores de nube. Esto indica que la efectividad de CLOUDBURST es agnóstica al proveedor, permitiendo estrategias de despliegue uniformes en patrimonios multi-nube.

3.4 Brecha de Confianza de Atribución

A pesar de los altos valores de CAS para vectores específicos, ninguna configuración logró una posterior de atribución de alta confianza ( $P(H|E) \ge 0.85$ ). La posterior máxima observada fue $\approx 0.52$ (Canary IAM vs. APT). El artículo identifica esto como un "resultado nulo honesto", cuantificando la brecha entre las capacidades actuales de las balizas y la confianza operativa de atribución.

4. Contribuciones

Primera Taxonomía Formal: Una clasificación de seis clases de vectores de baliza nativos de la nube con propiedades de amenaza cuantificadas.
Puntuación de Atribución en la Nube (CAS): Una métrica que modela explícitamente penalizaciones efímeras, profundidad de cobertura de IAM y correlación multi-nube.
Modelo de Decaimiento Efímero: Un modelo cuantitativo que demuestra cómo el cambio de infraestructura contenerizada degrada la calidad de la atribución.
Evaluación Empírica: Un estudio exhaustivo a través de cuatro proveedores y tres niveles de sofisticación de atacantes, comparando con modelos de escáner del mundo real.
Marco de Despliegue: Una estrategia de recomendación escalonada basada en las compensaciones entre CAS y DR.

5. Significado y Afirmaciones

El artículo posiciona a CLOUDBURST como la capa fundamental para una pila completa de atribución post-exfiltración, complementando el trabajo existente sobre despliegue de balizas (contraataque pasivo), generación de tokens (PHANTOM) y acumulación longitudinal (ARCANE).

Realidad Operativa: El significado principal es el establecimiento del problema de decaimiento efímero como un desafío de ingeniería medible. El hallazgo de que la calidad de la atribución cae por debajo de los umbrales accionables dentro de las 48 horas requiere un cambio en los principios de diseño: pasar de la atribución basada en "acumulación" a la atribución de "primera devolución de llamada" o el uso de anclajes persistentes (como roles IAM).
Orientación Estratégica: El estudio identifica a los Roles Canary IAM como el vector principal superior debido a su equilibrio de alto CAS, bajo riesgo efímero y agnosticismo del proveedor, mientras destaca las URLs Firmadas de S3 como las más resistentes a la evasión.
Limitaciones y Trabajo Futuro: Los autores afirmodestamente que los vectores de baliza actuales por sí solos son insuficientes para una atribución de alta confianza ( $P \ge 0.85$ ). Proponen que cerrar esta brecha requiere señales complementarias: gráficos de infraestructura de nube, orientación de sectores de víctimas y agrupación temporal. El artículo no afirma resolver la atribución por completo, sino proporciona el marco de medición y la taxonomía necesarios para integrar balizas nativas de la nube en una tubería de atribución más amplia.