Paper Files / Phishing
Arquitetura Adaptativa Multicamadas para Detecção e Mitigação de Phishing Baseada em Modelagem Formal de Ameaças e Correlação Operacional de Telemetria
O phishing consolidou-se, até 2018, como o principal vetor inicial de intrusões corporativas, frequentemente associado a campanhas de ransomware e comprometimento de credenciais em larga escala. Relatórios de incidentes demonstram que ataques direcionados exploram engenharia social, registro dinâmico de domínios, uso de certificados TLS válidos e hospedagem em infraestruturas legítimas, dificultando abordagens tradicionais baseadas exclusivamente em listas de bloqueio. Neste trabalho, propomos uma arquitetura adaptativa multicamadas para detecção e mitigação de phishing fundamentada em modelagem formal de ameaças e correlação probabilística de telemetria operacional. Modelamos o problema como classificação binária sob distribuição não estacionária $P_t(X,Y)$ e formalizamos a interação atacante-defensor como jogo assimétrico em que o adversário busca maximizar evasão enquanto o defensor minimiza risco agregado sob restrição de falso positivo $\alpha < 0{,}02$. Introduzimos um grafo bipartido identidade-infraestrutura $G=(U,I,E)$ para estimar a probabilidade de comprometimento $P(C_u)$ por meio de composição probabilística. A arquitetura integra coleta de telemetria (SMTP, DNS, HTTP), extração de atributos léxicos e de infraestrutura, classificador híbrido (Random Forest ponderado por heurísticas) e mecanismos automatizados de resposta orquestrados via SIEM/SOAR. Avaliamos o sistema com 1,52 milhão de artefatos (URLs e e-mails), obtendo $F1=0{,}972$ e $AUC=0{,}989$, superando abordagens isoladas. Em estudo de caso em ambiente corporativo com 4.800 usuários, observamos redução de 63% no tempo médio de contenção (MTTC). Demonstramos que a integração formal entre modelagem probabilística e automação operacional oferece ganhos mensuráveis de resiliência organizacional frente a adversários adaptativos, mantendo controle rigoroso de falsos positivos e aderência a boas práticas como SPF, DKIM, DMARC e autenticação multifator baseada em FIDO U2F.
- Introduction
Até 2018, o phishing consolidou-se como o vetor inicial predominante em violações de segurança reportadas globalmente, conforme relatórios anuais de incidentes (VERIZON, 2018). Campanhas modernas combinam engenharia social, registro oportunístico de domínios, uso de certificados TLS válidos emitidos por autoridades certificadoras automatizadas e hospedagem em provedores de infraestrutura amplamente confiáveis. Tal contexto impõe desafios substanciais a mecanismos tradicionais baseados exclusivamente em listas de bloqueio e assinaturas estáticas.
Observamos, em operações reais de resposta a incidentes conduzidas entre 2016 e 2018, que parcela significativa dos casos de ransomware e comprometimento de contas corporativas foi precedida por coleta de credenciais via páginas falsas de autenticação hospedadas em serviços de nuvem pública. Esse padrão está alinhado com a evolução do ransomware após eventos de grande impacto como WannaCry e NotPetya em 2017 (GREENBERG, 2018).
Formalmente, seja $X$ o espaço de artefatos observáveis (URLs, mensagens SMTP, fluxos HTTP/DNS) e $Y={0,1}$ o rótulo benigno ou malicioso. O adversário implementa transformação $f_a: X \rightarrow X’$ com o objetivo de maximizar evasão, enquanto o defensor constrói classificador $f_d: X \rightarrow Y$ que minimize risco sob restrição de erro. Trata-se de interação estratégica com assimetria de custo e informação.
Definimos as seguintes questões de pesquisa:
- RQ1: Como modelar formalmente o risco de phishing considerando correlação entre identidade alvo e infraestrutura maliciosa?
- RQ2: Qual a eficácia de uma arquitetura híbrida combinando heurísticas operacionais e aprendizado supervisionado?
- RQ3: Qual o impacto mensurável da automação de resposta na redução do tempo médio de contenção (MTTC)?
Nossas contribuições são:
- C1: Modelo probabilístico baseado em grafo bipartido identidade-infraestrutura.
- C2: Pipeline multicamadas integrando Suricata, Zeek, YARA e classificação supervisionada.
- C3: Mecanismo automatizado de resposta integrado a SIEM com avaliação quantitativa.
- Background and Related Work
Phishing é definido como técnica de engenharia social destinada a induzir a vítima a revelar informações sensíveis ou executar ações prejudiciais (JAKOBSSON; MYERS, 2006). Abordagens de detecção incluem listas de bloqueio (ZHANG et al., 2007), análise léxica de URL (MA et al., 2009), inspeção de conteúdo HTML e métodos de aprendizado de máquina.
Ma et al. (2009) demonstraram que atributos léxicos combinados com informações WHOIS permitem classificação eficaz via regressão logística. Kanich et al. (2008) evidenciaram o atraso inerente à atualização de blacklists, frequentemente superior a várias horas, criando janela de exploração. O problema é agravado por concept drift, isto é, variação temporal da distribuição $P_t(X,Y)$ (GAMA et al., 2014).
Ferramentas amplamente adotadas até 2018 incluem:
| Ferramenta | Função | Referência |
|---|---|---|
| Suricata | IDS/IPS com inspeção profunda | OISF (2018) |
| Zeek (Bro) | Análise de tráfego de rede | PAXSON (1999) |
| YARA | Assinaturas para artefatos | ALVAREZ (2016) |
| MISP | Compartilhamento de IoCs | WAGNER et al. (2016) |
A literatura também explora modelagem de grafos domínio-IP-certificado (CHEN et al., 2015), evidenciando que correlação estrutural melhora detecção de infraestrutura maliciosa.
- Threat Model and Problem Formalization
Assumimos adversário com capacidade de:
- Registrar domínios sob demanda.
- Utilizar TLS válido.
- Hospedar conteúdo em provedores legítimos.
- Enviar e-mails por servidores comprometidos.
- Adaptar infraestrutura em menos de 24 horas.
O defensor dispõe de telemetria SMTP, DNS e HTTP, além de logs de autenticação corporativa e feeds STIX/TAXII.
Definimos grafo bipartido $G=(U,I,E)$, onde $U$ representa usuários e $I$ infraestruturas (domínios/IPs). Existe aresta $e_{u,i}$ se usuário $u$ interage com infraestrutura $i$.
A probabilidade de comprometimento de um usuário $u$ é:
$$ P(C_u) = 1 - \prod_{i \in N(u)} (1 - p_i) $$
onde $p_i = P(i \text{ é malicioso})$ estimado pelo classificador híbrido.
O risco agregado organizacional é:
$$ R = \sum_{u \in U} P(C_u) $$
O objetivo é minimizar $R$ sujeito à restrição $\alpha = P(\text{FP}) < 0{,}02$.
- Proposed Methodology
A arquitetura é composta por quatro camadas.
4.1 Coleta de Telemetria
Logs SMTP, DNS e HTTP são coletados via:
Suricata 4.x
Zeek 2.5
Postfix logs
Eventos são enviados ao Elastic Stack para indexação.
4.2 Extração de Atributos
Atributos léxicos:
- Comprimento da URL
- Entropia de Shannon $H(x) = -\sum p_i \log_2 p_i$
- Número de subdomínios
- Presença de caracteres IDN
Atributos de infraestrutura:
- Idade do domínio
- ASN de hospedagem
- Distância de Levenshtein a domínios legítimos
4.3 Classificador Híbrido
Input: URL u
F ← ExtrairFeatures(u)
score_ml ← RandomForest(F)
score_rule ← Heuristicas(u)
return α·score_ml + (1-α)·score_rule
Treinamento apresenta complexidade média $O(n \log n)$ para $n$ amostras.
4.4 Correlação e Resposta
Para cada alerta a:
identificar usuário u
atualizar grafo G
calcular P(C_u)
se P(C_u) > τ:
acionar playbook
Playbooks incluem redefinição de senha, revogação de sessão e bloqueio de domínio.
- Implementation
Stack implementado:
| Componente | Versão (2018) |
|---|---|
| Suricata | 4.0 |
| Zeek (Bro) | 2.5 |
| Elastic Stack | 6.x |
| Python | 3.6 |
| scikit-learn | 0.19 |
| MISP | 2.4 |
| TheHive | 2.x |
Exemplo de regra Suricata:
alert http any any -> any any (msg:"Possible Phishing Kit";
content:"/wp-content/plugins/";
http.uri; classtype:trojan-activity; sid:900001; rev:1;)
Processamento assíncrono via Apache Kafka permitiu ingestão média de 12.000 eventos/segundo.
- Experimental Evaluation
Dataset:
| Fonte | Quantidade |
|---|---|
| PhishTank | 600.000 URLs |
| Alexa Top 1M | 600.000 URLs |
| Enron + corpus interno | 320.000 e-mails |
Divisão 70/15/15.
Resultados:
| Método | F1 | AUC |
|---|---|---|
| Heurístico | 0,884 | 0,912 |
| Random Forest | 0,931 | 0,962 |
| Proposto | 0,972 | 0,989 |
Redução de MTTC: 14h → 5,2h (−63%).
Intervalo de confiança de 95% para F1: ±0,006.
- Case Study
Em ambiente com 4.800 usuários do setor financeiro, identificamos campanha utilizando domínio tipograficamente similar a provedor de e-mail corporativo.
O sistema elevou $P(C_u)=0{,}78$ para 12 usuários. O playbook executou:
- Redefinição de senha.
- Revogação de sessões ativas.
- Bloqueio de domínio no proxy.
- Notificação ao usuário.
Nenhuma conta foi comprometida.
- Discussion
A integração multicamadas demonstrou superioridade estatística. Falsos positivos concentraram-se em domínios legítimos recém-registrados. Observamos degradação de 4% em F1 após 60 dias sem retreinamento, confirmando presença de concept drift.
Recomendamos:
- SPF, DKIM e DMARC estritos (KITTERMAN, 2016).
- Autenticação multifator baseada em FIDO U2F.
- Treinamento contínuo de usuários.
- Conclusion
Demonstramos que arquitetura baseada em modelagem probabilística e automação operacional reduz significativamente risco agregado e tempo de contenção. A abordagem mantém controle rigoroso de falso positivo e apresenta aplicabilidade prática em ambientes corporativos de médio e grande porte.
References
ALVAREZ, Victor M. YARA documentation. 2016. Disponível em: https://yara.readthedocs.io/en/v3.7.0/. Acesso em: 10 abr. 2018.
CHEN, Zhou et al. Detecting malicious domains through graph inference. In: IEEE INFOCOM, 2015. Disponível em: https://ieeexplore.ieee.org/document/7218444. Acesso em: 10 abr. 2018.
GAMA, João et al. A survey on concept drift adaptation. ACM Computing Surveys, v. 46, n. 4, 2014. Disponível em: https://dl.acm.org/doi/10.1145/2523813. Acesso em: 10 abr. 2018.
GREENBERG, Andy. The untold story of NotPetya. Wired, 2018. Disponível em: https://www.wired.com/story/notpetya-cyberattack-ukraine-russia-code-crashed-the-world/. Acesso em: 10 abr. 2018.
JAKOBSSON, Markus; MYERS, Steven. Phishing and countermeasures. Indianapolis: Wiley, 2006.
KANICH, Chris et al. Spamalytics: An empirical analysis of spam marketing conversion. In: ACM CCS, 2008. Disponível em: https://dl.acm.org/doi/10.1145/1455770.1455824. Acesso em: 10 abr. 2018.
KITTERMAN, Steve. DMARC overview. 2016. Disponível em: https://dmarc.org/overview/. Acesso em: 10 abr. 2018.
MA, Justin et al. Beyond blacklists: Learning to detect malicious web sites. In: ACM SIGKDD, 2009. Disponível em: https://dl.acm.org/doi/10.1145/1557019.1557153. Acesso em: 10 abr. 2018.
OISF. Suricata User Guide 4.0. 2018. Disponível em: https://suricata.readthedocs.io/en/suricata-4.0.0/. Acesso em: 10 abr. 2018.
PAXSON, Vern. Bro: A system for detecting network intruders in real-time. Computer Networks, 1999. Disponível em: https://www.icir.org/vern/papers/bro-CN99.pdf. Acesso em: 10 abr. 2018.
VERIZON. 2018 Data Breach Investigations Report. 2018. Disponível em: https://www.verizon.com/business/resources/reports/dbir/. Acesso em: 10 abr. 2018.
WAGNER, Cynthia et al. MISP: The design and implementation of a collaborative threat intelligence sharing platform. In: ACM CCS Workshop, 2016. Disponível em: https://dl.acm.org/doi/10.1145/2991119.2991122. Acesso em: 10 abr. 2018.
ZHANG, Yue et al. Cantina: A content-based approach to detecting phishing web sites. In: WWW, 2007. Disponível em: https://dl.acm.org/doi/10.1145/1242572.1242661. Acesso em: 10 abr. 2018.