\documentclass[12pt]{article}
\usepackage[utf8]{inputenc}
\usepackage[spanish]{babel}
\usepackage{hyperref}
\usepackage{geometry}
\geometry{margin=2.5cm}
\title{Evidencia Digital en Entornos Cloud Native: procedimientos forenses para arquitecturas distribuidas}
\author{\small Torres Ponce, Mariano Enrique}


\date{2025-10-15}

\begin{document}
\maketitle

\section*{Resumen}
Contextualización: La tecnología brinda nuevas soluciones y los profesionales deben adaptarse a estos cambios para poder hacer su trabajo eficientemente. El conocimiento adquirido se va volviendo obsoleto y nos presenta nuevos escenarios a resolver. La prueba digital cambia cuando los sistemas no están centralizados y son autosuficientes, sino que funcionan con contenedores que duran segundos y servicios repartidos por distintos países. Por esto podemos afirmar que recolectar evidencia digital se vuelve un desafío. Para entender cómo abordarlo, revisamos decenas de artículos recientes en Scopus, Web of Science e IEEE Xplore. Con ese material armamos una taxonomía de artefactos probatorios, ordenados por capa de infraestructura y duración. Propusimos métodos de captura que priorizan logs en JSON, trazas con OpenTelemetry y snapshots versionados en Git. El objetivo no es repetir manuales, sino mostrar qué conviene documentar, cuándo y con qué nivel de detalle. Combinamos teoría con herramientas prácticas, vinculando los artefactos al modelo de servicio (IaaS, PaaS o SaaS) y a marcos como el Reglamento DORA en Europa o el NIST 800-207 en EE.UU. También diseñamos una matriz que reparte responsabilidades entre cliente y proveedor, e incluimos una plantilla de informe pericial adaptada a sistemas distribuidos. El aporte central: criterios claros y herramientas útiles para auditar incidentes sin depender de infraestructuras persistentes. Cerramos con una mirada a lo que viene: automatización forense con IA en la nube y los dilemas éticos que plantea.

\section*{Introducci\'on}
La transición a arquitecturas cloud native —basadas en contenedores efímeros, microservicios y despliegues automatizados— vuelve frágil la obtención de evidencia digital, que pasa a estar distribuida entre logs, métricas y trazas; esto obliga a repensar la observabilidad, la sincronización temporal y la cadena de custodia con anclaje en marcos como DORA y NIST 800-207.

\section*{Discusi\'on}
Las prácticas y herramientas forenses clásicas suponen soportes persistentes e infraestructuras centralizadas; faltan procedimientos operativos y formatos interoperables que preserven origen, contexto y cronología en entornos multi-proveedor y multi-jurisdicción, además de cláusulas contractuales que aseguren retención y exportabilidad probatoria sin romper el contexto.

\section*{Objetivo}
El trabajo busca ofrecer criterios y herramientas prácticas para la investigación de incidentes en entornos cloud native, mediante la construcción de una taxonomía de artefactos probatorios, el desarrollo de métodos de captura centrados en logs JSON, trazas OpenTelemetry y snapshots versionados, y la elaboración de una matriz de responsabilidades entre cliente y proveedor junto con una plantilla de informe pericial alineada a estándares y marcos regulatorios.

\section*{Metodolog\'ia}
Revisión de literatura científica (Scopus, Web of Science, IEEE Xplore); síntesis en una taxonomía por capa y vida útil; mapeo a modelos de servicio IaaS/PaaS/SaaS y a estándares; diseño de procedimientos de identificación, preservación, recolección y análisis para entornos efímeros; elaboración de checklist, matriz y plantilla pericial.

\section*{Resultados}
Se obtuvo una taxonomía mínima de fuentes probatorias —logs estructurados, trazas distribuidas, métricas, artefactos de infraestructura como código y eventos de API/webhooks— junto con métodos de captura y requisitos de metadatos, sellado temporal e integridad. Se adaptaron procedimientos para entornos efímeros que priorizan la captura "en ejecución", el congelamiento del estado al declarar el incidente, la preservación de artefactos volátiles y la sincronización temporal auditable. Además, se desarrollaron instrumentos prácticos —matriz de responsabilidades en la nube, checklist de investigación y plantilla de informe pericial— alineados con estándares ISO/IEC 27037/27041/27042/27043 y marcos regulatorios como DORA, NIS2 y NIST. Finalmente, se identificaron tensiones operativas recurrentes entre privacidad y preservación, dependencia de terceros y costos de retención, así como desafíos jurisdiccionales en despliegues multi-región.

\section*{Conclusi\'on}
Los criterios clásicos no alcanzan en cloud native; investigar exige pensar en tiempo, automatización y portabilidad, con telemetría que conserve origen, secuencia y relaciones entre eventos, y con soporte legal-contractual explícito para retención y exportación. Se propone validar el enfoque con casos reales y fomentar una coordinación sostenida entre técnicos, peritos y reguladores para convertir principios en procedimientos auditables y replicables.

\section*{Referencias}
\begin{itemize}
  \item Ab Rahman, N. H., et al. (2016). Forensic-by-design framework for cyber-physical cloud systems. IEEE Cloud Computing, 3(1), 50–59.

  \item Alertmanager Team. (2024). Alertmanager documentation. Prometheus.

  \item Amazon Web Services. (2024a). IAM documentation.

  \item Amazon Web Services. (2024b). Amazon QLDB documentation.

  \item Apache Kafka. (2024). Kafka documentation.

  \item Bray, T. (2017). The JavaScript Object Notation (JSON) data interchange format (RFC 8259). RFC Editor.

  \item Casey, E. (2011). Digital evidence and computer crime: Forensic science, computers, and the Internet (3rd ed.). Academic Press.

  \item Cloud Native Computing Foundation. (2024a). Cloud native security whitepaper (v2).

  \item Cloud Native Computing Foundation. (2024b). Security controls.

  \item Cloud Security Alliance. (2020). Security guidance for critical areas of focus in cloud computing (v4.0).

  \item Cloud Security Alliance. (2024). Cloud controls matrix (CCM v5).

  \item Defense Information Systems Agency. (2024). Container platform STIG.

  \item Docker. (2024). Docker security documentation.

  \item Elastic. (2024). Elastic Stack documentation.

  \item European Banking Authority. (2024). DORA technical standards.

  \item European Commission. (2024). AI Act guidelines. Disponible en

  \item European Telecommunications Standards Institute. (2024). ETSI EN 319 401 v2.3.1: Trust services-General policy requirements for trust service providers.

  \item Falco. (2024). Falco documentation.

  \item Git. (2024). Git documentation.

  \item Google Cloud. (2024). VPC flow logs.

  \item HashiCorp. (2024). Terraform documentation.

  \item HashiCorp Security. (2024). Terraform security best practices.

  \item International Organization for Standardization. (2012). ISO/IEC 27037:2012: Information technology-Security techniques-Guidelines for identification, collection, acquisition and preservation of digital evidence.

  \item International Organization for Standardization. (2015). ISO/IEC 27042:2015: Information technology -Security techniques- Guidelines for the analysis and interpretation of digital evidence.

  \item IETF HTTP Working Group. (2024). Webhooks security considerations (Internet-Draft).

  \item Jaeger Team. (2024). Jaeger distributed tracing documentation.

  \item Klyne, G., and Newman, C. (2002). Date and time on the Internet: Timestamps (RFC 3339). RFC Editor.

  \item Kubernetes SIG Security. (2024). Kubernetes security overview.

  \item Maliqueo Pérez, C., and González Candia, J. C. (2020). Diseño y validación de un instrumento para medir el nivel de madurez en innovación y transformación digital en la gestión de personas. Ciencia y Técnica Administrativa, 19(3), 6.

  \item Microsoft. (2024a). Azure Sentinel documentation.

  \item Microsoft. (2024b). Digital signatures in Azure.

  \item Mills, D. L. (1991). Internet time synchronization: The network time protocol. IEEE Transactions on Communications, 39(10), 1482–1493.

  \item National Institute of Standards and Technology. (2020). Zero trust architecture (SP 800-207). U.S. Department of Commerce.

  \item National Institute of Standards and Technology. (2023). Computer Forensics Tool Testing Program (CFTT).

  \item Newman, S. (2015). Building microservices. O’Reilly Media.

  \item OAuth Working Group. (2012). The OAuth 2.0 authorization framework (RFC 6749). IETF.

  \item OAuth. (2022). OAuth 2.1 draft.

  \item Observability Engineering. (2021). Observability Engineering. O Reilly Media.

  \item OpenTelemetry. (2024a). OpenTelemetry overview.

  \item OpenTelemetry. (2024b). OpenTelemetry specification. Cloud Native Computing Foundation.

  \item OpenTelemetry. (2024c). Tracing specification. OpenTelemetry.

  \item OWASP. (2023). API security top 10.

  \item Palmer, G. (2001). A road map for digital forensic research (DFRWS Technical Report DTR-T001-01 Final). Digital Forensic Research Workshop.

  \item Pichan, A., Lazarescu, M., and Soh, S. T. (2015). Cloud forensics: Technical challenges, solutions and comparative analysis. Digital Investigation, 13, 38–57.

  \item Prometheus. (2024). Querying Prometheus.

  \item Prometheus Community. (2024). Prometheus Documentation.

  \item Richardson, C. (2018). Microservices patterns. Manning Publications.

  \item Ruan, K., Carthy, J., Kechadi, T., and Crosbie, M. (2011). Cloud forensics. En G. Peterson and S. Shenoi (Eds.), Advances in Digital Forensics VII (pp. 35–46). Springer.

  \item SLSA. (2024). SLSA framework.

  \item Splunk. (2024). Splunk Enterprise Security.

  \item Sysdig. (2024). Sysdig documentation.

  \item Taylor, M., et al. (2010). Digital evidence in cloud computing systems. Computer Law and Security Review, 26(3), 304–308.

  \item Torres Ponce, M. E. (2019). Derechos y desafíos de la inteligencia artificial. Ciencia y Técnica Administrativa.

  \item Torres Ponce, M. E. (2020). Informática forense: el camino de la evidencia digital. Ciencia y Técnica Administrativa.

  \item Velero. (2024). Velero documentation.

  \item World Wide Web Consortium. (2021). Trace context (W3C Recommendation).

  \item Zipkin Team. (2024). Zipkin documentation.

  \item Zhang, Y., et al. (2020). Ephemeral computing in cloud forensics. Journal of Cloud Computing, 9(1), 1–15.

\end{itemize}

\section*{Editorial}
Access the full text of article: \href{https://www.cyta.com.ar/ta/article.php?id=240402}{https://www.cyta.com.ar/ta/article.php?id=240402}\\
Publicado por la \textbf{Editorial Ciencia y T\'ecnica Administrativa - CyTA}.\\
Sitio web: \href{https://www.cyta.ar}{www.cyta.ar}\\
Email: \texttt{cyta@cyta.ar}


\end{document}