Cuadro 1. Criticidad de determinados recursos de la nube.<\/span><\/p>\n Cabe destacar que los atacantes se dirig\u00edan con frecuencia a los tokens IAM serverless lo que permite el uso remoto de la l\u00ednea de comandos. Son importantes porque pueden utilizarse para obtener acceso al entorno de nube m\u00e1s amplio de una organizaci\u00f3n. Como parte del aumento de alertas en la nube, hubo tres veces m\u00e1s eventos de acceso remoto a la l\u00ednea de comandos utilizando tokens de acceso y gesti\u00f3n de identidades (IAM), y credenciales que son utilizadas por funciones \u201cserverless\u201d en la nube.<\/p>\n Tambi\u00e9n identificamos otras tendencias al alza en las alertas:<\/p>\n La identidad es el per\u00edmetro de defensa de la infraestructura en la nube. Los atacantes tienen como objetivo los tokens y credenciales IAM, ya que contienen las claves del reino de la nube, permitiendo a los atacantes moverse lateralmente, escalar sus permisos y realizar operaciones maliciosas adicionales. El aumento del n\u00famero de intentos de acceso y el uso de cuentas de servicios IAM sensibles significa que los atacantes de todo el mundo tienen sus objetivos puestos en los recursos de la nube.<\/p>\n Los atacantes tienen como objetivo los servicios de almacenamiento en la nube, ya que a menudo contienen datos confidenciales. Hemos observado un notable aumento del n\u00famero de descargas sospechosas de objetos de almacenamiento en la nube y de exportaciones de copias instant\u00e1neas de im\u00e1genes. Las alertas de descarga sospechosa de objetos de almacenamiento en la nube se activan cuando una \u00fanica identidad basada en IAM descarga un gran n\u00famero de objetos de almacenamiento dentro de un estrecho margen de tiempo. Esto puede significar operaciones maliciosas como ransomware o extorsi\u00f3n. Las copias instant\u00e1neas de im\u00e1genes son el objetivo de los atacantes, ya que pueden contener datos confidenciales relativos a la infraestructura de la nube y credenciales de IAM que podr\u00edan permitir al atacante escalar permisos y moverse lateralmente dentro del entorno en la nube de una v\u00edctima.<\/p>\n Estos ejemplos ilustran la necesidad inmediata de proteger los entornos en la nube, no s\u00f3lo con herramientas b\u00e1sicas de gesti\u00f3n de la postura de seguridad en la nube (CSPM), sino en cooperaci\u00f3n con herramientas que detecten y eviten las operaciones maliciosas en tiempo de ejecuci\u00f3n a medida que se producen.<\/p>\n Mediante el despliegue de las herramientas de seguridad en la nube en tiempo de ejecuci\u00f3n de Cortex Cloud -tambi\u00e9n denominadas Cloud Detection and Response (CDR<\/a>), los equipos de seguridad pueden identificar y prevenir eventos maliciosos dentro de los entornos en la nube.<\/p>\n Si piensas que podr\u00edas haber sido comprometido o tienes un asunto urgente, contacta con el equipo de respuesta a incidentes de la Unit 42.<\/p>\n En una reciente publicaci\u00f3n de Unit 42<\/a>, publicamos detalles de una campa\u00f1a de ransomware y extorsi\u00f3n que apuntaba directamente a archivos de variables de entorno expuestos. El actor malicioso de la campa\u00f1a cosech\u00f3 con \u00e9xito m\u00e1s de 90.000 credenciales de 110.000 dominios objetivo. Y lo que es m\u00e1s preocupante, tambi\u00e9n recopilaron casi 1.200 credenciales de IAM en la nube. Estas credenciales permitieron al actor malicioso realizar con \u00e9xito ataques de extorsi\u00f3n contra m\u00faltiples organizaciones.<\/p>\n Esta operaci\u00f3n brinda la oportunidad de debatir sobre los mecanismos de seguridad existentes para proteger a las organizaciones. En concreto, esto nos permite determinar c\u00f3mo emplear a la vez soluciones de seguridad de gesti\u00f3n de postura y de supervisi\u00f3n en tiempo de ejecuci\u00f3n de forma transparente. Esto permite a las organizaciones construir un per\u00edmetro de defensa de seguridad en la nube lo suficientemente s\u00f3lido y capaz de hacer frente a estas nuevas oleadas de atacantes.<\/p>\n Durante la investigaci\u00f3n para este art\u00edculo, descubrimos que el n\u00famero total medio de alertas en la nube experimentadas por una organizaci\u00f3n aument\u00f3 un 388% en 2024. Estas alertas proceden de operaciones de gesti\u00f3n de la postura y de detecci\u00f3n de monitorizaci\u00f3n en tiempo de ejecuci\u00f3n.<\/p>\n Aunque las alertas de severidad \"informativa\" representaron la mayor\u00eda de las alertas, es sumamente importante destacar que el cambio m\u00e1s significativo se produjo en el n\u00famero de alertas de severidad elevada. Esta clasificaci\u00f3n de alerta experiment\u00f3 un aumento del 235% durante 2024. Las alertas de severidad media y baja tambi\u00e9n aumentaron un 21% y un 10%, respectivamente.<\/p>\n Los cambios que observamos en el n\u00famero de alertas se alinean con nuestro Informe sobre el estado de la seguridad nativa de la nube 2024,<\/a> que descubri\u00f3 que el 71% de las organizaciones atribuyen el aumento de la exposici\u00f3n a vulnerabilidades a la aceleraci\u00f3n de las implementaciones. Adem\u00e1s, el 45% de esas organizaciones informan de un aumento de los ataques de amenazas persistentes avanzadas (APT) en el \u00faltimo a\u00f1o.<\/p>\n Un ejemplo de ello es la reciente investigaci\u00f3n de Microsoft sobre Storm-2077<\/a>, un actor en la nube (CTAG) basado en China que emplea complejas t\u00e9cnicas de recolecci\u00f3n de credenciales IAM en la nube para obtener y mantener el acceso a los entornos en la nube de las v\u00edctimas. R\u00e1pidamente se hace evidente que tanto la gesti\u00f3n de la postura de la nube como la supervisi\u00f3n de la seguridad en tiempo de ejecuci\u00f3n deben funcionar como una sola unidad para llevar a cabo una protecci\u00f3n adecuada frente a la siguiente fase de amenazas en entornos en la nube. La secci\u00f3n Antecedentes<\/a> que aparece a continuaci\u00f3n proporciona informaci\u00f3n adicional sobre la gesti\u00f3n de postura y las detecciones de monitorizaci\u00f3n en tiempo de ejecuci\u00f3n.<\/p>\n Una misi\u00f3n clave para los defensores de la nube es dise\u00f1ar y desplegar una plataforma de seguridad en la nube que mejore la capacidad de detecci\u00f3n. Esto permite a los administradores no s\u00f3lo detectar errores de configuraci\u00f3n y vulnerabilidades, sino tambi\u00e9n recopilar y analizar los eventos en tiempo de ejecuci\u00f3n dentro de los entornos en la nube. Una plataforma de este tipo proporciona a los defensores una mejor visibilidad y permite una respuesta m\u00e1s r\u00e1pida a las alertas.<\/p>\n Aunque la capacidad de identificar y detectar eventos maliciosos o sospechosos en la nube ha aumentado en la industr\u00eda, tambi\u00e9n lo ha hecho la complejidad de las operaciones ofensivas en la nube de los actores maliciosos. Por ejemplo, en enero de 2024, el entorno en la nube promedio vio solo dos alertas para el uso remoto de l\u00ednea de comandos de un token IAM de funci\u00f3n \u201cserverless\u201d. Esta tendencia se mantuvo a lo largo del a\u00f1o. Sin embargo, en diciembre de 2024, el entorno de nube medio registr\u00f3 m\u00e1s de 200 de esas mismas alertas, una preocupante se\u00f1al de aumento de la actividad. Tal como se comparti\u00f3 en el art\u00edculo Variables de Entorno Filtradas<\/a>, esta operaci\u00f3n en tiempo de ejecuci\u00f3n es exactamente lo que ocurri\u00f3 durante ese evento de extorsi\u00f3n maliciosa.<\/p>\n Otras pruebas que apoyan esta tendencia son las siguientes:<\/p>\n Estos hallazgos en las alertas indican claramente que el prop\u00f3sito principal de los CTAG es tener como objetivo, recopilar y utilizar un token o credencial de IAM en la nube. Esto tambi\u00e9n indica que los atacantes utilizar\u00e1n estos tokens o credenciales para operaciones potencialmente maliciosas.<\/p>\n Las herramientas de gesti\u00f3n de la postura de seguridad en la nube (CSPM<\/a>) constituyen la base de la seguridad en la nube. Sus operaciones se centran en la monitorizaci\u00f3n de los controles de seguridad para garantizar que los entornos en la nube mantienen configuraciones seguras y est\u00e1n libres de vulnerabilidades y configuraciones err\u00f3neas.<\/p>\n La monitorizaci\u00f3n de la gesti\u00f3n de la postura se basa tradicionalmente en el escaneo de seguridad espec\u00edfico en el tiempo de los recursos y las configuraciones de un entorno en la nube. Las alertas se activan cuando un recurso en la nube nuevo o modificado parece plantear riesgos potenciales para la seguridad.<\/p>\n Por ejemplo, se activar\u00e1 una alerta si una pol\u00edtica IAM es demasiado permisiva y permite el acceso a otros recursos de la nube. Tambi\u00e9n se activar\u00e1 si una instancia de computaci\u00f3n en la nube o una funci\u00f3n serverless contiene vulnerabilidades o configuraciones err\u00f3neas.<\/p>\n Las operaciones de escaneo de gesti\u00f3n de la postura se realizan de forma programada rutinaria, a menudo cada hora o cada d\u00eda. Algunas herramientas de seguridad CSPM permiten tambi\u00e9n la supervisi\u00f3n de los registros de auditor\u00eda de la plataforma en la nube, lo que puede ayudar a detectar actividades sospechosas a medida que se producen dentro de una plataforma de servicios en la nube (CSP). Es fundamental que las organizaciones configuren su plataforma CSPM para recopilar los registros de auditor\u00eda de sus aplicaciones de software como servicio (SaaS) de terceros basadas en la nube para garantizar la visibilidad.<\/p>\n Las herramientas CDR proporcionan detecciones de monitorizaci\u00f3n en tiempo de ejecuci\u00f3n mediante la recopilaci\u00f3n, identificaci\u00f3n e incluso prevenci\u00f3n de las operaciones que se producen durante un evento concreto. Al recopilar los registros de las instancias de computaci\u00f3n en la nube, los recursos de registros CSP y aplicaciones SaaS en nube de terceros, las herramientas de seguridad CDR pueden identificar, alertar y prevenir ante eventos maliciosos en la nube.<\/p>\n Ejemplos de estas operaciones incluyen la ejecuci\u00f3n de una petici\u00f3n API contra una plataforma o aplicaci\u00f3n en la nube como:<\/p>\n A diferencia de las herramientas de gesti\u00f3n de la postura de seguridad, las herramientas de monitorizaci\u00f3n en tiempo de ejecuci\u00f3n supervisan continuamente el entorno de la nube y a menudo requieren un agente dedicado para mantener la visibilidad de los recursos de la nube. Cuando se instala un agente, las herramientas de seguridad de monitorizaci\u00f3n en tiempo de ejecuci\u00f3n de la nube permiten detectar -e incluso prevenir- las operaciones maliciosas en la nube a medida que se producen.<\/p>\n Hemos observado un claro aumento del n\u00famero de alertas en 2024, en correlaci\u00f3n con el aumento de los ataques a entornos en la nube.<\/p>\n Las alertas de alta severidad en la nube aumentaron un 235% a lo largo de 2024. El mayor repunte en un solo mes (281%) se produjo en Mayo, y observamos el aumento m\u00e1s sustancial de estas alertas (204%, 247% y 122 %) en Agosto, Octubre y Diciembre, como muestra la Figura 1.<\/p>\n Un examen m\u00e1s detallado de las 10 alertas diarias de alta severidad m\u00e1s frecuentes revela un elevado n\u00famero de alertas relacionadas \u00fanicamente con eventos centrados en el tiempo de ejecuci\u00f3n. Estas alertas se activan por un acontecimiento singular o una secuencia de acontecimientos conectados. Esto hizo necesario un an\u00e1lisis casi en tiempo real o, en algunos casos, un an\u00e1lisis en tiempo real para la detecci\u00f3n.<\/p>\n La Tabla 2 a continuaci\u00f3n muestra que el uso remoto de la l\u00ednea de comandos de los tokens IAM \u201cserverless\u201d es un evento que requiere an\u00e1lisis de logs en tiempo real para detectar y potencialmente prevenir. Por el contrario, la alerta de alta gravedad m\u00e1s frecuente, \"protecci\u00f3n contra el borrado de almacenamiento en la nube desactivada,\" puede detectarse y mitigarse con una herramienta CSPM.<\/p>\n\n
<\/a>Ataques en la Nube a Escala<\/h2>\n
<\/a>Qu\u00e9 Significan estas Tendencias en las Alertas<\/h3>\n
\n
<\/a>Antecedentes<\/h2>\n
\n
\n
<\/a>Tendencias de las Alertas de Severidad Alta<\/h2>\n
![\"Line](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/04\/chart-2.png\")
<\/a>Las 10 Principales Alertas de alta Severidad<\/h3>\n
![\"Line](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/04\/chart-3.png\")