Panorama de los ataques en la nube y la responsabilidad compartida

Cuando una empresa mueve sus sistemas a la nube, no desaparecen los ataques: cambian de forma. El atacante ya no necesita colarse en un edificio ni pinchar un cable. Le basta con encontrar, desde internet, una puerta que alguien dejó abierta por error en la configuración de una cuenta. Esa es la idea que ordena todo este curso.

Qué es un ataque en la nube

Un ataque en la nube es cualquier acción malintencionada que aprovecha una mala configuración, una credencial expuesta o un permiso excesivo en los servicios que una empresa contrata a un proveedor como AWS, Azure o Google Cloud. Casi nunca se trata de "romper" la nube del proveedor, que está muy bien protegida, sino de abusar de lo que el cliente dejó mal puesto.

Para entenderlo hay que recordar el modelo de responsabilidad compartida: el proveedor protege la infraestructura (los centros de datos, el hardware, la base del servicio) y el cliente protege lo que configura encima (sus datos, sus identidades, sus permisos y su exposición en red). El atacante conoce muy bien ese reparto, y por eso no pierde el tiempo con la parte del proveedor. Apunta directo a la mitad del cliente, donde se cometen casi todos los errores.

La responsabilidad compartida, vista por el atacante

Imagine la nube como una torre de oficinas con seguridad de primer nivel: cámaras, guardias y puertas blindadas, todo a cargo del edificio. El proveedor es ese edificio. Pero cada empresa alquila su piso y decide si cierra la puerta, a quién le da llave y qué deja a la vista por la ventana. El atacante no intenta burlar a los guardias del edificio; camina por los pasillos probando picaportes y mirando ventanas. Una puerta sin seguro, una copia de llave perdida o una caja fuerte abierta le bastan.

Traducido a la nube, esos picaportes son: un almacén de objetos marcado como público, una llave de acceso subida por error a un repositorio, una base de datos expuesta a internet o un permiso que concede mucho más de lo necesario.

Un poco de historia y contexto

Época	Qué cambió
Mediados de los 2000	Nacen los grandes servicios de nube pública; las empresas empiezan a alquilar cómputo y almacenamiento en vez de comprarlo.
Década de 2010	La adopción masiva trae las primeras fugas sonadas por buckets de almacenamiento mal configurados y credenciales filtradas.
Finales de los 2010	Se populariza el abuso de cómputo para minar criptomonedas con credenciales robadas, y el SSRF al servicio de metadatos gana notoriedad.
Década de 2020	Los ataques combinan varios pasos: una credencial filtrada lleva a permisos excesivos, estos a los datos, y todo queda registrado en los logs de auditoría.

La lección de esta historia es que el ataque en la nube rara vez es un solo truco. Suele ser una cadena: una puerta abierta lleva a otra.

Por qué entenderlos defiende mejor

Un defensor que entiende el ataque toma mejores decisiones. Piense en una analista de Cafetal Digital, una empresa ficticia de San José, frente a una alerta: en el registro de auditoría aparece una llave de acceso recién creada por un usuario de desarrollo desde una dirección desconocida. Quien entiende la cadena de un ataque investiga de inmediato; quien no, lo cierra como ruido. La diferencia no está en la herramienta, sino en saber qué se está viendo.

Dónde ocurren estos ataques

Lugar	Ejemplo de riesgo
Almacén de objetos (buckets)	Contenedor marcado como público con datos de clientes
Repositorios de código	Llave de acceso subida por error en un commit
Identidades y permisos (IAM)	Usuario con permisos de administrador que no necesita
Bases de datos gestionadas	Motor expuesto a internet sin restricción de origen
Instancias de cómputo	Servidor con rol potente alcanzable por SSRF

Conceptos clave

Concepto	Qué significa
Responsabilidad compartida	Reparto de la seguridad entre proveedor (infraestructura) y cliente (configuración y datos)
Mala configuración	Un ajuste dejado inseguro por error, como un almacén público
Credencial	Llave o contraseña que prueba la identidad ante la nube
Mínimo privilegio	Dar solo los permisos estrictamente necesarios
Superficie de ataque	El conjunto de puntos expuestos por los que alguien podría entrar
Registro de auditoría	La bitácora que anota quién hizo qué en la cuenta

Con este mapa en mente, el resto del curso recorre cada familia de ataque respondiendo siempre tres preguntas del defensor: cómo funciona, cómo se ve en la cuenta y cómo se frena.