¿Qué registros y servicios de cloud conviene conectar?
Cada proveedor separa dos tipos de datos: los registros de actividad, que dicen quién hizo qué sobre qué recurso, y los hallazgos de sus servicios de seguridad, que ya interpretan esos datos. Conviene conectar ambos.
| Proveedor | Registros de actividad | Detección y postura | Otras fuentes útiles |
|---|---|---|---|
| AWS | CloudTrail: llamadas a la API, incluidos los inicios de sesión en la consola | GuardDuty, Security Hub, IAM Access Analyzer | VPC Flow Logs, consultas DNS de Route 53, registros de acceso a S3 |
| Microsoft Azure | Registro de actividad de Azure y registros de inicio de sesión de Microsoft Entra ID | Microsoft Defender for Cloud | Registros de flujo de red, diagnóstico de Key Vault y Storage |
| Google Cloud | Cloud Audit Logs: actividad de administración y acceso a datos | Security Command Center | VPC Flow Logs, registros de Cloud DNS |
Un detalle que se olvida a menudo: los registros de acceso a datos, como la lectura de objetos en S3 o en Cloud Storage, no suelen estar activados por defecto. Son los que permiten saber qué se llevó un atacante.
¿Qué ataques se detectan en cloud?
Según el informe Cloud Threat Horizons de Google (primer semestre de 2026), en los incidentes que Google observó en su nube durante el segundo semestre de 2025, la explotación de vulnerabilidades en software de terceros fue la vía de acceso inicial más frecuente (44,5 %), seguida de las credenciales débiles o ausentes (27,2 %) y de las configuraciones erróneas (21 %). Con los registros adecuados se detecta:
- Uso de claves filtradas: llamadas a la API desde IP o regiones nuevas con credenciales de larga duración que llevaban meses sin usarse.
- Escalada de privilegios: creación de usuarios, claves o roles con permisos de administrador, o cambios en las políticas de IAM.
- Borrado de huellas: desactivar CloudTrail, eliminar registros o deshabilitar GuardDuty o Defender for Cloud.
- Exposición de datos: un bucket o contenedor de almacenamiento que pasa a ser público, o una instantánea de disco compartida con otra cuenta.
- Abuso de recursos: instancias con GPU lanzadas en regiones que no usas, típicas del minado de criptomonedas.
- Cargas de trabajo comprometidas: una máquina virtual o un contenedor expuesto que empieza a conectarse a infraestructura maliciosa.
¿Qué diferencia hay entre CSPM y detección de amenazas en cloud?
CSPM (Cloud Security Posture Management) revisa la configuración: buckets públicos, puertos abiertos a internet, cuentas sin MFA o cifrado desactivado. Responde a qué podría salir mal. La detección de amenazas analiza la actividad casi en tiempo real y responde a qué está pasando ahora. Defender for Cloud, Security Command Center, Wiz u Orca combinan ambas funciones en distinta medida. En un SOC, la postura sirve para priorizar (una alerta sobre un recurso público con datos sensibles pesa más) y la detección, para actuar.
¿Qué respuesta se puede ejecutar en cloud?
| Situación | Acción habitual | Precaución |
|---|---|---|
| Clave de acceso comprometida | Desactivar la clave de acceso, revocar las sesiones temporales emitidas y crear credenciales nuevas para el uso legítimo. | Desactiva antes de borrar: así puedes revertir si rompe una aplicación. |
| Instancia comprometida | Aislarla con un grupo de seguridad que solo permita tráfico desde el equipo de análisis y hacer una instantánea del disco. | Según AWS, cambiar el grupo de seguridad no corta las conexiones ya rastreadas, solo el tráfico nuevo; para cortarlas remite a las ACL de red. No termines la instancia antes de capturar evidencias. |
| Almacenamiento expuesto | Bloquear el acceso público y revisar los registros de acceso a datos. | Si esos registros no estaban activos, no sabrás qué salió. |
| Privilegios añadidos a un usuario o rol | Retirar los permisos nuevos y revisar qué se hizo con ellos. | Comprueba si el cambio vino de un despliegue legítimo. |
| Registro desactivado | Reactivarlo y tratarlo como incidente hasta que se explique. | Apagar el registro suele ser de lo primero que hace un atacante. |
¿En qué se diferencia de las demás integraciones?
En cloud, identidad e infraestructura se mezclan: un permiso de IAM es a la vez una cuenta y la llave de un servidor. Por eso estas integraciones se correlacionan sobre todo con identidad (quién inició sesión y con qué método) y con red (a dónde se conectan las cargas de trabajo). Las cuentas de Microsoft 365 o Google Workspace se tratan en la integración de identidad; aquí hablamos de infraestructura: máquinas, contenedores, almacenamiento y servicios gestionados.
Cómo te ayuda Ciberia
Ciberia MDR se integra con AWS, Azure y Google Cloud y con sus servicios de seguridad, y correlaciona sus hallazgos con identidad, endpoint y red. Ciberia CTM vigila tu exposición externa, como infraestructura expuesta a internet o credenciales filtradas, antes de que alguien la aproveche. Cuando hay que actuar, sus agentes de IA proponen la respuesta, un analista valida las decisiones con impacto y la acción se orquesta según el proveedor, por ejemplo desactivar credenciales o aislar una instancia, con cada paso trazado. La IA es de desarrollo propio y los datos se procesan en servidores ubicados en España.
