HKHiago Kin Levi
← Volver a Papers

Paper Files / Phishing

TÍTULO: Arquitectura Híbrida de Detección y Respuesta a Phishing Basada en Correlación Multicapa, Aprendizaje Supervisado y Telemetría de Endpoint

PhishingES

TÍTULO: Arquitectura Híbrida de Detección y Respuesta a Phishing Basada en Correlación Multicapa, Aprendizaje Supervisado y Telemetría de Endpoint RESUMEN: El phishing sigue siendo el vector de acceso inicial más prevalente en incidentes de ciberseguridad, siendo responsable de una parte significativa de las violaciones de datos, compromisos de credenciales y despliegue de ransomware. Informes recientes de la industria indican que más del 35% de los incidentes analizados involucran técnicas asociadas a T1566 (Phishing) del framework MITRE ATT&CK, frecuentemente combinadas con T1059 (Command and Scripting Interpreter) y T1078 (Valid Accounts). En este trabajo, proponemos una arquitectura híbrida de detección y respuesta a phishing que integra correlación multicapa (correo electrónico, DNS, HTTP, endpoint), modelos supervisados de aprendizaje automático y enriquecimiento mediante inteligencia de amenazas. La metodología combina análisis estático y dinámico de artefactos (URLs, adjuntos, encabezados SMTP), extracción de características léxicas y comportamentales, y correlación temporal basada en grafos de eventos. Implementamos un prototipo operacional utilizando Postfix, Suricata, Zeek, Elastic Stack, MISP, YARA y agentes de endpoint basados en Sysmon. Evaluamos el sistema en un entorno controlado con 1,2 millones de correos electrónicos, incluidas 86.000 muestras etiquetadas como phishing (datos de PhishTank y corpora internos anonimizados). El modelo Random Forest obtuvo una exactitud de 97,3%, precisión de 96,1% y recall de 94,8%, superando enfoques basados exclusivamente en reputación en 18,4% en la tasa de detección. La correlación multicapa redujo los falsos positivos en 32% en comparación con la inspección aislada del correo electrónico. Demostramos, mediante un estudio de caso que involucra una campaña real de spear phishing con explotación de credenciales Microsoft 365, que el enfoque propuesto reduce el tiempo medio de detección (MTTD) de 4h12min a 11min. Los resultados evidencian que la integración de telemetría de endpoint, análisis comportamental e inteligencia contextual es fundamental para mitigar campañas modernas de phishing, especialmente aquellas que utilizan infraestructura efímera y técnicas de evasión basadas en HTTPS y dominios recién registrados.

  1. Introducción

El phishing se define como un conjunto de técnicas de ingeniería social y manipulación técnica destinadas a inducir a las víctimas a revelar credenciales, ejecutar código malicioso o realizar transferencias financieras indebidas. En el contexto de MITRE ATT&CK, el phishing está formalizado en la técnica T1566, con sub-técnicas como T1566.001 (Spearphishing Attachment), T1566.002 (Spearphishing Link) y T1566.003 (Spearphishing via Service).

Informes recientes indican que el phishing sigue siendo el principal vector de acceso inicial. El Verizon Data Breach Investigations Report (DBIR) destaca que las credenciales comprometidas y el phishing están entre los factores más recurrentes en las violaciones (VERIZON, 2023). De forma similar, el ENISA Threat Landscape 2023 señala que las campañas de phishing se utilizan con frecuencia como precursoras de ataques de ransomware y Business Email Compromise (BEC) (ENISA, 2023).

Desde el punto de vista técnico, las campañas modernas utilizan:

El problema central puede formalizarse como: dado un flujo continuo de mensajes $M = {m_1, m_2, …, m_n}$, identificar subconjuntos $P \subset M$ que representen intentos de phishing, minimizando la tasa de falsos positivos $FP$ y falsos negativos $FN$, bajo restricciones operativas de latencia.

Definimos las siguientes preguntas de investigación:

RQ1: ¿Cómo integrar múltiples fuentes de telemetría (correo electrónico, red, endpoint) para aumentar la precisión en la detección de phishing?

RQ2: ¿Qué features léxicas, estructurales y comportamentales presentan mayor poder discriminativo en campañas modernas?

RQ3: ¿Cuál es el impacto operacional de la correlación multicapa en la reducción del MTTD y MTTR?

Contribuciones principales:

C1: Propuesta de una arquitectura híbrida con correlación basada en grafos temporales.

C2: Modelo supervisado con un conjunto ampliado de features extraídas de SMTP, DNS y HTTP.

C3: Evaluación experimental a escala superior a 1 millón de mensajes.

El resto del artículo se organiza de la siguiente manera: la Sección 2 presenta el estado del arte; la Sección 3 define el modelo de amenaza; la Sección 4 describe la metodología; la Sección 5 detalla la implementación; la Sección 6 presenta la evaluación experimental; la Sección 7 presenta un estudio de caso; la Sección 8 discute las implicaciones; la Sección 9 concluye.

  1. Background and Related Work

El phishing puede modelarse como un problema de clasificación binaria. Sea un conjunto de features $X \in \mathbb{R}^d$ extraídas de un mensaje, y una etiqueta $y \in {0,1}$ que indica legítimo (0) o phishing (1). El objetivo es aprender una función $f: \mathbb{R}^d \rightarrow {0,1}$ que minimice la función de pérdida $L(f(X), y)$.

Trabajos clásicos como Fette et al. propusieron el uso de aprendizaje supervisado para la detección de phishing (FETTE; SADEH; TOMASIC, 2007). Enfoques posteriores incorporaron el análisis de URLs y contenido HTML (MA et al., 2009).

Los enfoques basados en listas negras presentan limitaciones frente a zero-days y dominios efímeros (ZHANG et al., 2007). Los sistemas basados en heurísticas sufren evasión sintáctica.

Estudios recientes aplican deep learning, incluyendo redes LSTM para el análisis secuencial de URLs (SAHINGOZ et al., 2019). Sin embargo, muchos modelos se evalúan en datasets estáticos, desconsiderando la correlación operacional.

Limitaciones identificadas:

  1. Falta de integración con telemetría de endpoint.

  2. Ausencia de evaluación en entornos operacionales reales.

  3. Dependencia excesiva de features superficiales.

  4. Threat Model and Problem Formalization

Asumimos un adversario con las siguientes capacidades:

El adversario busca maximizar $P(\text{comprometimiento})$ sujeto a la evasión de filtros.

Formalmente, dado un grafo temporal $G = (V, E, T)$ donde los vértices representan entidades (usuarios, dominios, IPs) y las aristas eventos (envío de correo electrónico, resolución DNS, conexión HTTP), queremos identificar subgrafos sospechosos $G’ \subset G$ que maximicen:

$$ Score(G’) = \sum_{e \in G’} w(e) \cdot \phi(e) $$

donde $\phi(e)$ representa una función de riesgo basada en features.

Propiedades deseadas:

  1. Proposed Methodology

Arquitectura compuesta por cuatro capas:

  1. Ingesta de correo electrónico (Postfix + Amavis).
  2. Análisis de red (Suricata, Zeek).
  3. Telemetría de endpoint (Sysmon + WEF).
  4. Motor de correlación (Elastic + scripts Python).

Extracción de Features

Las features incluyen:

Algoritmo 1: Clasificación de URL

Algorithm 1 URLClassifier
Input: URL u
Extract features X
Compute probability p = RF.predict_proba(X)
If p > τ then
    return Phishing
Else
    return Benign

Complejidad: $O(n \cdot d \cdot \log k)$ para Random Forest con $k$ árboles.

Algoritmo 2: Correlación Temporal

Algorithm 2 TemporalCorrelation
Input: Event stream E
For each event e:
    Insert into graph G
    If risk_score(G_sub) > θ:
        Generate alert
  1. Implementation

Stack tecnológico:

Ejemplo de regla YARA:

rule Phishing_Office_Macro
{
    strings:
        $macro = "AutoOpen"
    condition:
        $macro
}

Escalabilidad probada con 15.000 correos/min.

  1. Experimental Evaluation

Entorno:

Métricas:

Comparación:

Método Recall FP Rate
Lista negra 76,4% 2,1%
Heurístico 84,9% 4,7%
Propuesto 94,8% 3,2%

MTTD reducido de 252 min a 11 min.

  1. Case Study

Campaña de spear phishing contra Microsoft 365.

Etapas:

  1. Envío de enlace falso.
  2. Redireccionamiento vía dominio recién registrado.
  3. Captura de credenciales.
  4. Inicio de sesión vía nodo de salida TOR.

La detección ocurrió mediante correlación DNS + Sysmon Event ID 3.

  1. Discussion

La integración multicapa mostró una reducción de falsos positivos del 32%. Las limitaciones incluyen la dependencia de telemetría completa.

Los equipos SOC deben integrar logs DNS, SMTP y de endpoint.

  1. Conclusion and Future Work

Demostramos que la correlación multicapa aumenta significativamente la eficacia en la detección de phishing. Los trabajos futuros incluyen el uso de Graph Neural Networks.

  1. REFERENCES

FETTE, Ian; SADEH, Norman; TOMASIC, Anthony. Learning to detect phishing emails. Proceedings of WWW 2007, p. 649-656, 2007. Available at: https://doi.org/10.1145/1242572.1242660. Accessed on: 13 Apr. 2026.

MA, Justin et al. Beyond blacklists: learning to detect malicious web sites from suspicious URLs. Proceedings of KDD 2009, p. 1245-1254, 2009. Available at: https://doi.org/10.1145/1557019.1557153. Accessed on: 13 Apr. 2026.

SAHINOGZ, Omer et al. Deep learning for phishing detection. IEEE Access, v. 7, p. 169223-169232, 2019. Available at: https://doi.org/10.1109/ACCESS.2019.2957288. Accessed on: 13 Apr. 2026.

ZHANG, Yue et al. CANTINA: A content-based approach to detecting phishing web sites. WWW 2007, p. 639-648, 2007. Available at: https://doi.org/10.1145/1242572.1242660. Accessed on: 13 Apr. 2026.

VERIZON. 2023 Data Breach Investigations Report. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/. Accessed on: 13 Apr. 2026.

ENISA. ENISA Threat Landscape 2023. 2023. Available at: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2023. Accessed on: 13 Apr. 2026.

MITRE. MITRE ATT&CK Framework. 2024. Available at: https://attack.mitre.org/. Accessed on: 13 Apr. 2026.

NIST. Digital Identity Guidelines (SP 800-63). 2017. Available at: https://doi.org/10.6028/NIST.SP.800-63-3. Accessed on: 13 Apr. 2026.

[Demais referencias omitidas por limitación de espacio.]