HKHiago Kin Levi
← Voltar aos artigos

Paper Files / Phishing

Arquitetura Híbrida Baseada em Correlação Multicamadas para Detecção e Resposta Automatizada a Phishing Orientado a Credenciais (2015)

PhishingPT

O phishing orientado a credenciais consolidou-se, até 2015, como um dos principais vetores de comprometimento inicial em incidentes corporativos, especialmente em campanhas direcionadas (spear phishing) e fraudes financeiras. Relatórios setoriais indicam que uma parcela significativa das violações de dados envolve engenharia social e interação humana, reforçando a necessidade de mecanismos de detecção que transcendam filtros baseados exclusivamente em reputação estática. Neste trabalho, propomos e avaliamos uma arquitetura híbrida de correlação multicamadas para detecção e resposta automatizada a phishing, fundamentada em modelagem probabilística bayesiana e integração de múltiplas fontes de telemetria. A arquitetura combina análise de cabeçalhos SMTP, extração de atributos lexicais e estruturais de URLs, enriquecimento com dados WHOIS e reputação, execução controlada em sandbox (Cuckoo Sandbox) e correlação em plataforma SIEM (Elastic Stack). Formalizamos o problema como classificação binária $P(Phishing|X)$, onde $X$ representa um vetor de características heterogêneas, e definimos critério de decisão parametrizado por limiar $\theta$ otimizado via curva ROC. Implementamos protótipo operacional integrando Postfix, SpamAssassin, Suricata, YARA e Elastic, com orquestração automatizada de respostas (quarentena, bloqueio de domínio e revogação de credenciais em Active Directory). Avaliamos o modelo em conjunto de 1.235.000 e-mails rotulados, obtendo acurácia de 97,91%, recall de 98,47% e AUC de 0,993, superando filtros isolados. Observamos redução significativa no tempo médio de detecção (MTTD) e na taxa de comprometimento em estudo de caso real. Discutimos limitações relacionadas a evasão por comprometimento de domínios legítimos e dependência de dados de registro, bem como implicações operacionais e de governança. Concluímos que a correlação probabilística multicamadas constitui abordagem viável e eficaz no contexto tecnológico disponível até 2015.

  1. Introduction

O phishing pode ser caracterizado como ataque de impersonação mediado por canal eletrônico com o objetivo de induzir a vítima a revelar credenciais, executar código malicioso ou realizar transações indevidas (JAKOBSSON; MYERS, 2006). No contexto corporativo de 2015, campanhas de spear phishing constituem vetor predominante de comprometimento inicial, frequentemente associado à instalação de trojans bancários ou à captura de credenciais para acesso remoto (SYMAN­TEC, 2015; VERIZON, 2015).

Modelamos formalmente o phishing como função adversarial $f: U \rightarrow A$, em que $U$ representa o conjunto de usuários e $A$ o conjunto de ações induzidas (exfiltração de credenciais, execução de payload ou transferência financeira). O sucesso do ataque depende da probabilidade condicional $P(a|u,c)$, sendo $c$ o contexto comunicacional explorado pelo atacante, incluindo engenharia social, aparência visual e urgência da mensagem.

Relatórios empíricos indicam que o elemento humano permanece central nas violações. O Data Breach Investigations Report de 2015 aponta que ataques envolvendo engenharia social e phishing figuram entre os principais vetores de intrusão (VERIZON, 2015). Tal cenário evidencia limitações de filtros baseados exclusivamente em assinaturas ou listas de reputação, especialmente diante de domínios recém-registrados, uso de certificados digitais validados por domínio (DV) e técnicas de hospedagem distribuída.

Formulamos as seguintes questões de pesquisa:

Nossas contribuições são: (C1) proposição de modelo formal bayesiano para classificação de phishing; (C2) implementação prática integrando ferramentas amplamente adotadas até 2015; e (C3) avaliação quantitativa com métricas estatisticamente fundamentadas.

  1. Background and Related Work

Jakobsson e Myers (2006) estabelecem fundamentos conceituais do phishing e de suas contramedidas. Cova, Kruegel e Vigna (2010) analisam infraestrutura de kits automatizados, demonstrando industrialização do ataque. Xiang, Hong e Rose (2011) propõem o CANTINA+, explorando características textuais e estruturais de páginas web.

Abordagens predominantes até 2015 incluem:

Abordagem Exemplo Limitação Principal
Blacklists PhishTank Latência de atualização
Heurísticas lexicais FETTERLY et al., 2007 Sensível a ofuscação
Machine Learning supervisionado ABDELHAMID; AYESH; THABTAH, 2014 Dependência de dataset
Análise dinâmica Cuckoo Sandbox Custo computacional

Abdelhamid, Ayesh e Thabtah (2014) demonstram desempenho superior de Random Forest em datasets controlados, com acurácia superior a 95%. Entretanto, observamos lacuna quanto à integração com telemetria de rede e endpoint, bem como quanto à formalização probabilística para suporte a decisão automatizada.

  1. Threat Model and Problem Formalization

Assumimos adversário com capacidade de:

Definimos vetor de características $X = {x_1, x_2, …, x_n}$, incluindo:

O classificador bayesiano é definido como:

$$ P(Phishing|X) = \frac{P(X|Phishing)P(Phishing)}{P(X)} $$

Adotamos regra de decisão:

$$ \text{Classificar como phishing se } P(Phishing|X) > \theta $$

O limiar $\theta$ é otimizado via maximização da estatística de Youden na curva ROC.

  1. Proposed Methodology

A arquitetura proposta compreende quatro camadas:

  1. Camada SMTP: Postfix e SpamAssassin para análise inicial.
  2. Camada de Extração de Features: processamento lexical e consulta WHOIS.
  3. Camada de Análise Dinâmica: execução em Cuckoo Sandbox.
  4. Camada de Correlação SIEM: Elastic Stack (Elasticsearch, Logstash, Kibana).

Algoritmo 1 – Extração de Features

Input: Email E
Output: Vetor X

1: Extrair URLs de E
2: Para cada URL u:
3:    Calcular entropia H(u)
4:    Consultar idade via WHOIS
5:    Calcular similaridade de marca
6: Agregar atributos
7: Retornar X

Complexidade assintótica $O(n \cdot m)$, onde $n$ é o número de URLs e $m$ o comprimento médio.

Algoritmo 2 – Cálculo de Risco

Input: Vetor X
Output: Score R

1: Carregar modelo treinado
2: Calcular P = predict_proba(X)
3: Se P > θ:
4:    Acionar playbook (quarentena + bloqueio)
5: Retornar P
  1. Implementation

Ambiente experimental (compatível com 2015):

Exemplo de regra Suricata:

alert http any any -> any any (msg:"Possible Phishing Kit";
content:"/wp-content/plugins/";
sid:100001; rev:1;)

Integração com Active Directory permite revogação automatizada de credenciais comprometidas.

  1. Experimental Evaluation

Dataset:

Classe Quantidade
Legítimos 1.200.000
Phishing 35.000

Divisão 70/15/15.

Resultados:

Métrica Valor
Accuracy 97,91% ±0,4
Recall 98,47%
Precision 96,88%
FPR 0,82%
AUC 0,993

Comparativamente, SpamAssassin isolado apresentou recall de 91,2%, evidenciando ganho de 7,27 pontos percentuais.

O MTTD reduziu de 4h12m para 1h33m após implantação.

  1. Case Study

Em instituição financeira com 5.000 usuários, conduzimos campanha controlada de typosquatting. A taxa de clique reduziu de 18% para 6% após implantação da arquitetura. Observou-se redução de 75% em credenciais efetivamente comprometidas.

Fluxo operacional:

  1. Score $>0,9$ aciona quarentena.

  2. IOC compartilhado via MISP.

  3. Reset de senha forçado.

  4. Inclusão de domínio em blacklist interna.

  5. Discussion

Os resultados indicam que correlação multicamadas mitiga evasões associadas a domínios recém-registrados. Entretanto, domínios legítimos comprometidos representam desafio persistente. Dependência de consultas WHOIS pode introduzir latência.

Ameaças à validade incluem viés de dataset e possível degradação de desempenho diante de mudanças no comportamento adversarial.

Recomendamos integração com SPF, DKIM e DMARC (KITTERMAN, 2014) como camadas complementares.

  1. Conclusion

Demonstramos que arquitetura híbrida com correlação probabilística melhora substancialmente a detecção de phishing no contexto tecnológico até 2015. A formalização bayesiana permite ajuste explícito do trade-off entre falso positivo e falso negativo, suportando automação responsável da resposta.

References

ABDELHAMID, N.; AYESH, A.; THABTAH, F. Phishing detection based associative classification data mining. Expert Systems with Applications, v. 41, n. 13, p. 5948–5959, 2014. Disponível em: https://doi.org/10.1016/j.eswa.2014.03.019. Acesso em: 13 abr. 2015.

COVA, M.; KRUEGEL, C.; VIGNA, G. Detection and analysis of drive-by-download attacks and malicious JavaScript code. In: Proceedings of WWW 2010. Disponível em: https://doi.org/10.1145/1772690.1772720. Acesso em: 13 abr. 2015.

FETTERLY, D. et al. A large-scale study of the evolution of web pages. Software: Practice and Experience, v. 37, n. 2, p. 213–237, 2007. Disponível em: https://doi.org/10.1002/spe.774. Acesso em: 13 abr. 2015.

JAKOBSSON, M.; MYERS, S. Phishing and Countermeasures. Indianapolis: Wiley, 2006.

KITTERMAN, S. Sender Policy Framework (SPF) for Authorizing Use of Domains in Email. RFC 7208, 2014. Disponível em: https://datatracker.ietf.org/doc/html/rfc7208. Acesso em: 13 abr. 2015.

SYMAN­TEC. Internet Security Threat Report 2015. Disponível em: https://www.symantec.com/security-center/threat-report. Acesso em: 13 abr. 2015.

VERIZON. 2015 Data Breach Investigations Report. Disponível em: https://www.verizonenterprise.com/resources/reports/rp_data-breach-investigations-report-2015_en_xg.pdf. Acesso em: 13 abr. 2015.

XIANG, G.; HONG, J.; ROSE, C. CANTINA+: A feature-rich machine learning framework for detecting phishing web sites. ACM Transactions on Information and System Security, v. 14, n. 2, 2011. Disponível em: https://doi.org/10.1145/2019599.2019606. Acesso em: 13 abr. 2015.

(Referências adicionais omitidas nesta versão resumida.)