Detección cloud híbrida: guía para los responsables de la seguridad sobre cloud de entornos locales a cloud

La mayoría cloud en 2025 no comenzaron con un exploit poco común. Comenzaron en el punto donde la identidad local se une con cloud . Una investigación sobre inteligencia de amenazas del sector publicada a principios de 2026 reveló que la mayoría de cloud se debían a deficiencias en los controles de identidad, la configuración de las cargas de trabajo ycloud , y no a vulnerabilidades de día cero (Dark Reading). Este simple hallazgo reescribe las prioridades de los defensores de entornos híbridos. La tarea no consiste en aplicar parches más rápido de lo que los atacantes tardan en convertir las CVE en armas. La tarea consiste en vigilar el puente entre tu Active Directory local y tu cloud , porque esa es la superficie por la que los atacantes realmente se mueven.

Esta guía explica qué es la detección cloud híbrida, cómo funciona a nivel del tráfico este-oeste, los eventos de identidad y la telemetría de cargas de trabajo, y qué MITRE ATT&CK específicas MITRE ATT&CK deben estar preparados para detectar hoy en día los equipos de SOC de pequeño tamaño. Relaciona los patrones de ataque híbridos más habituales —la evolución de Storm-0501 hacia el ransomware cloud, los puentes de identidad mediante tokens OAuth de ShinyHunters hacia Snowflake— con las fuentes de telemetría que realmente se pueden recopilar. Compara NDR, CDR, CNAPP, ITDR y XDR en cuanto a la cobertura híbrida, para que pueda racionalizar cinco acrónimos que se solapan y tomar una decisión de compra fundamentada. Además, cruza los resultados con NIS2, DORA y NIST CSF 2.0.

¿Qué es la detección cloud híbrida?

La detección cloud híbrida consiste en identificar e investigar la actividad de los atacantes que se extiende tanto a la infraestructura local como a uno o varios cloud pública, prestando especial atención a las señales relacionadas con la identidad, la red y las cargas de trabajo que atraviesan el cloud entre el entorno local y cloud . Considera que el puente —y no el perímetro— es la principal superficie de ataque.

Este cambio de perspectiva es importante porque los datos han cambiado. Según el estudio «El coste de una filtración de datos» (2025) del Ponemon Institute, las filtraciones que afectaban a múltiples entornos —la configuración híbrida— supusieron un coste medio de 5,05 millones de dólares, la cifra más alta de todas las categorías de entornos y aproximadamente un 25 % superior a la de las filtraciones que se produjeron únicamente en entornos locales (artículo en Dark Reading). Además, en una encuesta cloud híbrida realizada en 2025 a 1021 responsables de seguridad y TI, el 55 % de los encuestados afirmó que sus organizaciones habían sufrido una filtración en el último año, lo que supone un aumento significativo con respecto al año anterior. A los atacantes no les resultan difíciles los entornos híbridos. A los defensores sí.

La dificultad específica de los entornos híbridos se debe a la fragmentación de la información. Los equipos locales utilizan un sistema SIEM que recopila los registros de Active Directory y del cortafuegos. Cloud recogen los registros de auditoría cloud en una consola independiente. Los equipos de identidades supervisan los inicios de sesión de Entra ID. Los equipos de redes supervisan el tráfico este-oeste… cuando pueden verlo. Ninguna de esas herramientas, por sí sola, ofrece una visión completa de la cronología de un ataque híbrido. La detección cloud híbrida consiste precisamente en unir todas esas piezas.

Esto difiere de la detección cloud(CDR), que se limita a cloud y al plano cloud , y de la detección tradicional exclusiva en las instalaciones, que se limita al perímetro. Complementa las disciplinas más amplias cloud cloud híbrida y cloud , pero su función específica es la detección a lo largo de todo el puente.

Cómo funciona la detección cloud híbrida

A nivel de proceso, la detección cloud híbrida sigue ocho pasos repetibles:

1. Recopila datos de telemetría de la red local, registros cloud y sistemas de identidad.
2. Establecer patrones de comportamiento de referencia por dispositivo, identidad y carga de trabajo.
3. Correlacionar el tráfico este-oeste con los eventos de identidad en todos los entornos.
4. Detectar anomalías que afecten tanto al entorno local como cloud por ejemplo, una vulnerabilidad en Entra Connect Sync).
5. Asignar las detecciones a MITRE ATT&CK de Cloud .
6. Analiza los datos utilizando una línea temporal integrada que abarque tanto el entorno local como cloud.
7. Responde gestionando simultáneamente la identidad, la red o la carga de trabajo.
8. Perfeccionar continuamente las referencias a partir de los comentarios de los analistas.

Tres fuentes de señales se encargan de la mayor parte del trabajo: el tráfico de red este-oeste, los eventos de identidad que cruzan el puente entre Entra ID y Active Directory local, y la telemetría de cargas de trabajo en ambos lados. Los mecanismos técnicos subyacen a cada uno de ellos.

Visibilidad del tráfico este-oeste entre entornos locales y cloud

El tráfico norte-sur atraviesa el perímetro de la red. El tráfico este-oeste se desplaza lateralmente entre sistemas: de servidor a servidor, de máquina virtual a máquina virtual, de contenedor a contenedor. Las herramientas de perímetro detectan el tráfico norte-sur. Por su diseño, no detectan el tráfico este-oeste. Es precisamente en esa ceguera donde los atacantes ocultan sus movimientos laterales.

Para cubrir esa brecha hay que colocar los sensores donde realmente fluye el tráfico este-oeste. En entornos locales, esto se traduce en TAP y puertos SPAN en los puntos de agregación de la red. En cloud, se trata del mirroring de tráfico en VPC en AWS, los TAP virtuales en Azure y el mirroring de paquetes en GCP. El resultado son metadatos de red —registros de conexión, encabezados de protocolo, huellas JA3/JA4— y no capturas completas de paquetes. Los metadatos son baratos de conservar y lo suficientemente ricos como para realizar análisis de comportamiento.

El cifrado es el siguiente obstáculo. Según las cifras citadas por el sector, el tráfico empresarial cifrado supera el 80 %, y la tendencia es irreversible. Descifrar el tráfico este-oeste a gran escala es inviable para la mayoría de los equipos: resulta demasiado caro, demasiado arriesgado y, a menudo, genera demasiado ruido. El enfoque moderno trata el tráfico cifrado como un conjunto de características en lugar de como un obstáculo. JA3 y la familia más reciente JA4 identifican a los clientes TLS a partir de los parámetros del handshake. El análisis de tráfico cifrado (ETA) superpone metadatos de comportamiento —tamaños de paquetes, sincronización, patrones de secuencia—. Juntos, permiten a los defensores identificar, por ejemplo, Cobalt Strike por su huella TLS consistente y la cadencia de las señales, sin tener que terminar nunca la sesión TLS. En la misma encuesta cloud híbrida de 2025, realizada a 1021 responsables de seguridad y TI, el 89 % de los encuestados consideró que la observabilidad profunda —que combina registros, métricas y metadatos de paquetes— era fundamental para su estrategia de seguridad.

Detección basada en la identidad a través del puente entre Entra ID y Active Directory local

La identidad híbrida es como una puerta corredera de cristal. Desde dentro, parece una sola estancia: los usuarios inician sesión una sola vez, las credenciales se transmiten y los recursos se desbloquean a ambos lados. Desde el punto de vista del atacante, esa única puerta es el punto de acceso más valioso del entorno. Si se compromete la puerta, se controlan ambas estancias.

Las variantes arquitectónicas son importantes porque cada una genera señales de detección diferentes. La sincronización de hash de contraseñas (PHS) replica los hash de contraseñas del Active Directory local en Entra ID. La autenticación de paso (PTA) mantiene la verificación en las instalaciones y utiliza un agente ligero en la cloud. La federación de AD FS transfiere la autenticación a un servicio de federación local. El denominador común de las tres es un servidor —Entra Connect (antes Azure AD Connect)— que almacena las claves.

Ese servidor es el objetivo típico de los ataques híbridos. Las señales de detección de alta fiabilidad en torno a las que deben basarse los defensores incluyen los inicios de sesión de administradores globales procedentes de un servidor integrado en un entorno híbrido, los eventos de extracción de credenciales de cuentas de sincronización de directorios (DSA) fuera de las ventanas de sincronización programadas y la inserción de un dominio federado malicioso en el inquilino. El análisis de comportamiento de los registros de identidad permite detectar estos patrones de forma fiable; la revisión de los registros sin procesar rara vez lo consigue.

Correlación de la telemetría de la carga de trabajo

La tercera fuente de señales es la carga de trabajo. En entornos locales, esto se refiere a la telemetría del hipervisor y de los procesos procedente del EDR. En cloud, se refiere a los sensores de tiempo de ejecución y a los registros de auditoría del cloud . El objetivo de recopilar ambos datos es la correlación: una señal débil en los registros de identidad se convierte en un incidente de alta fiabilidad cuando se combina con una señal de red coincidente y un evento de carga de trabajo coincidente en el mismo intervalo de tiempo.

cloud híbrida y MITRE ATT&CK

Dos grupos de ciberdelincuentes concretos constituyen el eje central del panorama actual de las amenazas híbridas: Storm-0501 y ShinyHunters. Ambos han utilizado el «puente de identidades» como vía de acceso. Ambos se han convertido en patrones recurrentes, no en casos aislados.

Storm-0501 es la cadena de ataque híbrida por excelencia. Según lo documentado por MSTIC y lo publicado en BleepingComputer y Dark Reading, el actor recorre Active Directory, se desplaza lateralmente con Evil-WinRM (PowerShell sobre WinRM tras la explotación), compromete un servidor Entra Connect Sync, extrae las credenciales de la cuenta de sincronización de directorios, inicia sesión en la cloud administrador global desde un servidor unido a un entorno híbrido y, a continuación, pasa a utilizar ransomware cloud. La evolución de 2025 añadió la exfiltración de datos cloud desde Azure Storage, la eliminación de los almacenes de Recovery Services y el recifrado de cloud con claves de Key Vault controladas por el atacante: ransomware sin malware tradicional. En la cobertura de Dark Reading sobre las credenciales descuidadas de Entra ID en cloud híbrida se incluye información adicional sobre el problema subyacente de la higiene de las credenciales.

ShinyHunters —en colaboración con Scattered Spider The Com en materia de ingeniería social— utilizó un puente diferente. En lugar de comprometer un servidor de sincronización de identidades, el actor comprometió integradores de SaaS (Anodot en abril de 2026; Vercel y Context AI en abril de 2026) para obtener tokens OAuth de larga duración, y luego utilizó esos tokens como puentes de identidad hacia los inquilinos posteriores (The Hacker News — etiqueta ShinyHunters; cobertura de la brecha de Vercel / Context AI; Scattered Spider ShinyHunters y Scattered Spider ). La autenticación multifactorial (MFA) en el inquilino posterior no sirvió de nada, ya que el atacante se autenticó con una concesión OAuth válida que el usuario ya había aprobado.

Se detectó un tercer patrón a nivel de protocolo. La vulnerabilidad CVE-2025-53786 (CVSS 8.0) permitía la escalada de privilegios tras la autenticación, pasando de un administrador de Exchange local a Exchange Online, mediante el uso indebido de una entidad de servicio compartida. La CISA publicó una alerta y emitió la Directiva de Emergencia 25-02, en la que se exigía la aplicación de medidas de mitigación antes del 11 de agosto de 2025. La propia capa de integración híbrida es ahora un objetivo activo de vulnerabilidades.

El informe «Mandiant M-Trends 2026» cuantifica esta tendencia: el 32 % de las intrusiones de 2025 comenzaron con exploits, el tiempo medio de permanencia es de 14 días y el tiempo medio hasta el exploit es ahora de -7 días, lo que significa que la explotación suele preceder al lanzamiento del parche. Esto hace que la responsabilidad recaiga en la detección.

Técnicas de laCloud MITRE ATT&CK Cloud que se deben supervisar

La tabla siguiente recoge las técnicas más relevantes para la detección híbrida: desde el identificador de la técnica hasta la fuente de telemetría donde se encuentra realmente la señal, pasando por una regla de detección de muestra que un equipo reducido puede redactar este trimestre. La correspondencia entre las detecciones y el marco ATT&CK es el hilo conductor que hace que el resto del programa sea defendible ante auditorías y revisiones; la cadena de ataque cibernético proporciona el arco narrativo, mientras que ATT&CK aporta los identificadores.

Cloud completa de MITRE ATT&CK Cloud es la fuente de referencia: empieza por aquí y amplía tu conocimiento a medida que la cobertura vaya madurando.

Categorías de detección: NDR frente a CDR frente a CNAPP frente a ITDR frente a XDR

Hay cinco acrónimos que se solapan y abordan la detección híbrida desde diferentes perspectivas. Un director de sistemas de información (CIO) o de seguridad de la información (CISO) que cuente con menos de cinco empleados a tiempo completo dedicados a la seguridad no puede integrar los cinco en un plan de adquisición sin una única matriz de decisión. La matriz que se muestra a continuación es precisamente eso.

El debate aún no zanjado se da entre CNAPP y CDR. Los proveedores de plataformas CNAPP sostienen que su plataforma ya incluye CDR en tiempo de ejecución. Los proveedores de CDR independientes sostienen que CNAPP es fundamentalmente preventivo —postura y configuración— y que la detección en tiempo de ejecución es una función distinta. La respuesta práctica es que la mayoría de las empresas necesitan ambas funciones; el hecho de que las adquieran como un solo producto o como dos es una cuestión relacionada con el ciclo de compra, no con las capacidades.

En el caso concreto de un entorno híbrido, la cobertura mínima viable suele consistir en dos de los cinco componentes: NDR (para el puente y el tráfico este-oeste) más ITDR (para los ataques basados en la identidad). El CDR entra en juego cuando cloud dominan el entorno. El XDR entra en juego cuando el equipo ya está gestionando múltiples fuentes de datos y necesita una agregación. La tríada clásica del SOC —red, terminal, registro— es una referencia útil; para el entorno híbrido, la identidad debe ser el cuarto pilar. En la misma encuesta cloud híbrida de 2025, el 70 % de los encuestados señaló cloud pública cloud el mayor riesgo en su entorno, lo que concuerda con esa priorización.

Por eso mismo, la detección de amenazas híbridas —en su sentido más amplio— rara vez se resuelve con un solo producto, sino que requiere un pequeño conjunto de productos bien integrados.

La detección cloud híbrida en la práctica

Dos casos reales ilustran este patrón con mayor claridad que cualquier modelo teórico.

Lo que las campañas de «identity-bridge» de Snowflake y Anodot enseñaron a los defensores

En 2024, actores vinculados a ShinyHunters utilizaron credenciales obtenidas de infecciones históricas por programas de robo de información —algunas de las cuales se remontaban a 2020— para acceder a unas 165 organizaciones, entre las que se encontraban AT&T, Ticketmaster/Live Nation, Santander, LendingTree, Advance Auto Parts y Neiman Marcus. El análisis retrospectivo de Cloud puso sobre la mesa las cifras de diagnóstico: más del 80 % de las cuentas comprometidas habían sufrido una exposición previa de sus credenciales, y las cuentas afectadas carecían de autenticación multifactorial. El robo de credenciales era antiguo. La brecha de detección radicaba en que nadie estaba vigilando la reutilización de credenciales antiguas en nuevas zonas geográficas y nuevos dispositivos.

El incidente de 2026 puso de manifiesto este patrón. Los atacantes comprometieron al integrador de SaaS Anodot, obtuvieron tokens de OAuth y los utilizaron como puentes de identidad de larga duración para acceder a los clientes posteriores —entre ellos, Snowflake— sin necesidad de atacar directamente a Snowflake. La brecha de seguridad de Vercel/Context AI en abril de 2026 siguió el mismo patrón. Se trata de un ataque a la cadena de suministro ejecutado en la capa de identidad, y la conclusión para los defensores es clara: la detección híbrida debe incluir concesiones de OAuth a entidades de servicio integradoras, seguidas del uso anómalo de direcciones IP de origen y, a continuación, la autenticación no interactiva desde nuevos dispositivos. Sin esas tres señales combinadas, la apropiación de cuentas a través del puente OAuth pasa desapercibida.

Lo que Storm-0501 enseñó a los defensores

La cadena de ataque de Storm-0501 se desarrolla, de principio a fin, de la siguiente manera: punto de apoyo inicial en Active Directory, movimiento lateral mediante Evil-WinRM, extracción de credenciales DSA de Entra Connect Sync, inicio de sesión como administrador global desde un servidor Windows integrado en un entorno híbrido, eliminación del almacén de Recovery Services y recifrado cloud a través de un Key Vault controlado por el atacante. Cada etapa supone una oportunidad de detección. La señal de mayor fiabilidad que la mayoría de los defensores pasaron por alto: un inicio de sesión de administrador global procedente de un servidor Windows unido a un entorno híbrido es inusual y debería activar una alerta de alta gravedad. Desde entonces, Microsoft ha restringido los permisos de las cuentas de sincronización de directorios en Entra Connect Sync y Cloud , un cambio defensivo en el que los defensores pueden confiar, pero no el único que deberían implementar.

Implementación de la detección de cloud híbrida

Para un equipo de SOC pequeño —menos de cinco empleados a tiempo completo, entorno híbrido, sector regulado—, una implementación viable consta de siete pasos:

1. Realice un inventario del puente. Documente la arquitectura de identidades híbridas (PHS, PTA, AD FS), los servidores Entra Connect / Entra Connect Sync, los dominios federados, los entornos híbridos de Exchange y los integradores SaaS con autorizaciones OAuth de larga duración. No se puede detectar lo que no se ha mapeado.
2. Reducir la brecha de visibilidad entre el este y el oeste. Instalar sensores NDR en los puntos de agregación locales y en los espejos cloud . Capturar metadatos, en lugar de paquetes completos, para mantener los costes de almacenamiento y procesamiento a un nivel razonable.
3. Implemente detecciones basadas en la identidad. Ajuste las correlaciones entre Entra ID y las señales de Active Directory local. Active la autenticación multifactorial (MFA) phishing, de acuerdo con las directrices de la CISA sobre soluciones de identidad híbridas SCuBA. Considere la capa de identidad como un dominio de supervisión independiente, y no como un elemento secundario del SIEM.
4. Alinear las detecciones con laCloud MITRE ATT&CK Cloud . Empieza por las cinco técnicas que figuran en la tabla anterior (T1556.007, T1078.004, T1021.006, T1550, T1098.005). Ampliar el alcance a medida que la cobertura se consolida.
5. Empieza por redactar tres reglas de detección de alta precisión. Inicio de sesión de un administrador global desde un servidor integrado en un entorno híbrido. Lectura de credenciales DSA fuera de las ventanas de sincronización programadas. Concesión de OAuth a una entidad de servicio integradora seguida de actividad procedente de una IP de origen desconocida. Estas tres reglas por sí solas cubren los principales patrones de ataque híbridos para el periodo 2024-2026.
6. Crea una línea temporal de investigación unificada. Independientemente de si la capa de integración es una plataforma SIEM o NDR, el analista necesita disponer de eventos de identidad, metadatos de red y registros cloud en una única vista. La correlación entre dominios marca la diferencia entre un flujo de trabajo de respuesta a incidentes que se resuelve en cuestión de horas y otro que se prolonga durante días.
7. Realizar pruebas y validar. Llevar a cabo ejercicios de «purple team» contra el puente de identidades. Medir el tiempo medio de detección y el tiempo medio de respuesta. Incorporar las lecciones aprendidas a las operaciones del SOC y al manual de búsqueda de amenazas.

Vale la pena recordar a los responsables ejecutivos la tasa de violaciones cloud del 55 % que se desprende de la misma encuesta cloud híbrida de 2025, realizada a 1.021 responsables de seguridad y TI: la probabilidad básica de que se produzca una violación es ahora tan elevada que la inversión en detección es, desde cualquier punto de vista objetivo, un coste controlable. El estudio «El coste de una violación de datos» (2025) del Ponemon Institute sitúa el coste medio de una violación en entornos múltiples en 5,05 millones de dólares. El gasto en detección es pequeño en comparación con esa cifra.

Detección cloud y cumplimiento normativo en cloud híbrida

La capacidad de detección se ajusta perfectamente a las obligaciones normativas. La tabla comparativa que figura a continuación recoge los cuatro marcos normativos a los que se enfrentan con mayor frecuencia los sectores regulados por el ICP: servicios financieros, sanidad y fabricación. Se trata de una correspondencia, no de un asesoramiento en materia de cumplimiento normativo.

Las particularidades geográficas son importantes. Las entidades financieras de la UE sujetas a la DORA deben notificar los incidentes en un plazo de cuatro horas desde el momento en que un suceso se considere un incidente grave relacionado con las TIC. En Alemania, el plazo de registro en la BSI para la NIS2, fijado para el 6 de marzo de 2026, registró un cumplimiento aproximado del 33 %, lo que sugiere que muchas entidades esenciales e importantes aún están trabajando para desarrollar capacidades de detección documentadas. Los propios marcos de seguridad no prescriben proveedores, sino que establecen los resultados que un programa de detección defendible puede demostrar.

Enfoques modernos para la detección cloud híbrida

La categoría está evolucionando en tres frentes.

La correlación entre dominios impulsada por la IA está optimizando el flujo de trabajo de los analistas. En lugar de tres traspasos entre cloud de identidad, red y cloud , las plataformas de detección modernas integran estos tres dominios de señales en un único gráfico de ataques y presentan un incidente priorizado con las cloud locales y cloud ya vinculadas. Lo que importa es la metodología, más que la etiqueta de marketing: la detección de amenazas mediante IA es un medio para lograr un análisis más rápido y preciso del comportamiento de los atacantes, no un fin en sí mismo.

El análisis de tráfico este-oeste cifrado sin necesidad de descifrado es ya un requisito imprescindible. Las técnicas de identificación de JA3/JA4 y el análisis de tráfico cifrado tratan el tráfico cifrado como un conjunto de características que hay que modelar, en lugar de como un obstáculo que hay que eliminar. El razonamiento defensivo es más sencillo de lo que parece: malware rara vez varían su huella TLS, y los metadatos de comportamiento (tamaño de los paquetes, sincronización de los flujos) constituyen una firma estable incluso cuando las cargas útiles son ilegibles.

La resiliencia activa es el tercer frente. El informe «Mandiant M-Trends 2026» destaca la táctica denominada «denegación de recuperación»: los atacantes se centran explícitamente en la infraestructura de copias de seguridad para impedir la recuperación y forzar el pago del rescate (Mandiant M-Trends 2026). El informe Threat Horizons Cloud Google Cloud para el primer semestre de 2026 señala plazos de explotación masiva de 48 horas en Kubernetes gestionado. La consecuencia defensiva es que las copias de seguridad inmutables, el refuerzo de los almacenes de claves cloud y los manuales de procedimientos que asumen que los atacantes ya han eliminado los puntos de recuperación ya no son opcionales.

Cómo Vectra AI la detección de cloud en cloud híbrida

La solución Attack Signal Intelligence Vectra AI Attack Signal Intelligence la red moderna —infraestructura local, cloud, identidades, SaaS e IoT/OT— como una única superficie de ataque unificada. La metodología es sencilla de explicar: dar por hecho que se ha producido una intrusión; priorizar la señal frente al ruido; y poner de manifiesto los pocos comportamientos que realmente importan cuando un atacante salva la cloud entre la infraestructura local y cloud . El trabajo reside en las matemáticas y las etiquetas que hay detrás, pero para el analista se presenta como un incidente claro y priorizado en el que las cloud local y cloud ya están unidas, exactamente la línea temporal que requiere una investigación de Storm-0501 o ShinyHunters.

Conclusión

La detección cloud híbrida ya no es una subdisciplina opcional de cloud . Todos los datos apuntan en la misma dirección: las brechas híbridas son ahora la categoría más costosa, la mayoría de cloud aprovechan los controles de identidad en lugar de los vulnerabilidades de día cero, y los patrones de ataque canónicos para 2024-2026 —la evolución de Storm-0501 hacia el ransomware cloud, los puentes de tokens OAuth de ShinyHunters hacia Snowflake— giran en torno al cloud entre el entorno local y cloud .

La buena noticia es que el manual de estrategias del defensor es concreto. Haz un inventario del puente. Añade sensores este-oeste en los puntos de agregación locales y en los espejos cloud . Ajusta las correlaciones de identidades entre Entra ID y el AD local. Asigna las detecciones a las técnicasCloud MITRE ATT&CK Cloud que los adversarios utilizan realmente contra entornos híbridos. Redacta tres reglas de alta fidelidad —inicio de sesión de administrador global desde un servidor unido a un entorno híbrido, lectura de credenciales DSA fuera de las ventanas de sincronización, concesión de OAuth seguida de actividad de IP de origen desconocida— y une los incidentes resultantes en una línea de tiempo unificada. Nada de esto requiere un equipo extenso ni un presupuesto ilimitado. Requiere la disciplina de tratar el puente como la superficie de ataque en la que se ha convertido.

Para conocer mejor el contexto arquitectónico, te recomendamos leer a continuación el artículo sobre el clúster cloud híbrida; además, las páginas MITRE ATT&CK detección y respuesta de red, detección y respuesta a amenazas de identidad y el marco MITRE ATT&CK ofrecen los conceptos fundamentales en los que se basa cada uno de los siete pasos de implementación. La ciberresiliencia y zero trust vinculan estas capacidades con los resultados a nivel ejecutivo.

‍