Arquitetura híbrida baseada em inteligência de ameaças e aprendizado de máquina para detecção e resposta a phishing multivetorial em ambientes corporativos

1. Introduction

O phishing constitui, há mais de duas décadas, um dos vetores de ataque mais persistentes e economicamente eficientes no ecossistema de ameaças cibernéticas. Evidências empíricas provenientes de relatórios de incidentes indicam que ataques baseados em engenharia social continuam desempenhando papel central na fase inicial de comprometimento. O Data Breach Investigations Report de 2023 indica que uma parcela substancial das violações analisadas envolve interação humana com artefatos maliciosos, sendo o phishing um dos mecanismos predominantes de acesso inicial (VERIZON, 2023).

No framework MITRE ATT&CK, tais atividades são categorizadas principalmente sob a técnica T1566 (Phishing), incluindo sub‑técnicas como T1566.001 (Spearphishing Attachment), T1566.002 (Spearphishing Link) e T1566.003 (Spearphishing via Service) (MITRE, 2023). Essa taxonomia operacional permite compreender o papel do phishing no encadeamento de atividades adversárias e facilita a correlação entre eventos de segurança.

Campanhas contemporâneas de phishing não se limitam a e‑mails fraudulentos simples. Observa‑se, na prática operacional, o uso de infraestrutura distribuída com técnicas de fast‑flux DNS, hospedagem de páginas de coleta de credenciais em serviços de nuvem legítimos, encadeamento de redirecionamentos e uso de domínios recém‑registrados para evadir mecanismos de reputação. Além disso, ataques de Business Email Compromise (BEC) frequentemente exploram contas corporativas previamente comprometidas, reduzindo a eficácia de controles baseados exclusivamente em autenticação de domínio.

Outro fator relevante é a exploração de vulnerabilidades conhecidas como vetores auxiliares para coleta de credenciais ou movimentação lateral. Um exemplo relevante observado em 2023 é a vulnerabilidade CVE‑2023‑23397 no Microsoft Outlook, explorada para obtenção de hashes NTLM sem interação do usuário (MICROSOFT, 2023). Esse tipo de exploração evidencia a convergência entre vulnerabilidades de software e campanhas de engenharia social.

O problema técnico central pode ser formulado como a detecção precoce de artefatos associados a campanhas de phishing — URLs, domínios, anexos e padrões comportamentais — em um cenário adversarial no qual atacantes adaptam continuamente sua infraestrutura para contornar mecanismos defensivos. Sistemas tradicionais baseados apenas em blacklists apresentam limitações diante de domínios efêmeros ou recém‑registrados.

Diante desse contexto, formulamos as seguintes questões de pesquisa:

• RQ1: Como integrar inteligência de ameaças estruturada baseada em STIX/TAXII com modelos supervisionados de detecção de phishing?
• RQ2: Quais características lexicais, estruturais e comportamentais apresentam maior poder discriminativo em cenários adversariais?
• RQ3: Qual o impacto operacional da arquitetura proposta sobre métricas como taxa de falsos positivos e tempo médio de detecção?

As contribuições principais deste trabalho são três. Primeiro, propomos uma arquitetura híbrida que integra inteligência de ameaças, classificação supervisionada e análise comportamental. Segundo, formalizamos matematicamente um escore de risco composto para avaliação de artefatos suspeitos. Terceiro, realizamos avaliação experimental em larga escala e um estudo de caso operacional em ambiente corporativo simulado.

2. Background and Related Work

A detecção automática de phishing pode ser modelada como um problema de classificação supervisionada. Seja $X \subset \mathbb{R}^n$ o espaço de características e $y \in {0,1}$ o rótulo associado a cada instância, onde $1$ indica artefato malicioso e $0$ indica artefato benigno. O objetivo consiste em aprender uma função de decisão $f(x)$ capaz de generalizar para novos exemplos.

Trabalhos iniciais focaram em heurísticas baseadas em características de URLs, como comprimento, presença de endereços IP literais e profundidade de subdomínios (GARERA et al., 2007). Posteriormente, métodos baseados em aprendizado de máquina passaram a utilizar conjuntos de características mais amplos, incluindo dados de registro de domínio e padrões lexicais (MA et al., 2009).

Outra linha de pesquisa explora análise de conteúdo de páginas web para identificar padrões semânticos associados a páginas de phishing. O sistema CANTINA, por exemplo, utiliza análise TF‑IDF para identificar discrepâncias entre o conteúdo textual da página e o domínio associado (ZHANG; HONG; CRANOR, 2007).

Com a evolução das técnicas de aprendizado profundo, redes neurais recorrentes passaram a ser utilizadas para modelar sequências de caracteres em URLs e domínios (SAHINGOZ et al., 2019). Apesar de apresentarem bons resultados experimentais, tais modelos frequentemente apresentam maior custo computacional e menor interpretabilidade.

Paralelamente, a literatura de defesa cibernética enfatiza a importância da inteligência de ameaças estruturada. A Cyber Kill Chain descreve como ataques complexos se desenvolvem em múltiplas fases, sendo o phishing frequentemente utilizado como vetor inicial (HUTCHINS; CLOPPERT; AMIN, 2011). Padrões estruturados de compartilhamento de inteligência, como STIX e TAXII, permitem a troca automatizada de indicadores de comprometimento entre organizações (BARNUM, 2014; CONNOLLY et al., 2014).

Apesar desses avanços, ainda existe lacuna significativa na integração operacional entre sistemas de detecção baseados em aprendizado de máquina e plataformas de compartilhamento de inteligência de ameaças, como MISP. Este trabalho procura preencher essa lacuna ao propor uma arquitetura integrada voltada a ambientes corporativos.

3. Threat Model and Problem Formalization

Assumimos um adversário com capacidades realistas observadas em campanhas modernas de phishing. Entre essas capacidades incluem‑se registro automatizado de domínios, hospedagem de infraestrutura maliciosa em provedores de nuvem legítimos e rápida modificação de artefatos para evitar detecção baseada em assinaturas.

Formalmente, definimos o problema de classificação como a minimização do risco esperado:

$$ R(f) = \mathbb{E}_{(x,y)\sim D}[L(f(x),y)] $$

onde $D$ representa a distribuição desconhecida dos dados e $L$ é uma função de perda logística.

Para integrar múltiplas fontes de evidência, introduzimos um escore de risco composto definido como:

$$ Score(x) = \alpha L_x + \beta S_x + \gamma B_x $$

onde:

• $L_x$ representa características lexicais da URL ou domínio
• $S_x$ representa características estruturais, como informações DNS e certificados TLS
• $B_x$ representa evidências comportamentais observadas em logs de rede ou autenticação

Os coeficientes $\alpha$, $\beta$ e $\gamma$ satisfazem a restrição:

$$ \alpha + \beta + \gamma = 1 $$

A decisão final de classificação ocorre quando $Score(x) > \tau$, sendo $\tau$ um limiar determinado empiricamente durante a fase de validação.

4. Proposed Methodology

A arquitetura proposta é composta por cinco camadas funcionais integradas.

1. Coleta de telemetria: sensores de rede baseados em Suricata capturam tráfego HTTP e HTTPS, exportando eventos no formato EVE JSON. Logs de e‑mail e proxy corporativo são igualmente coletados.

2. Enriquecimento de dados: artefatos suspeitos são enriquecidos por meio de consultas a serviços como WHOIS, Passive DNS e plataformas de análise de reputação.

3. Classificação baseada em aprendizado de máquina: um modelo Gradient Boosting implementado com XGBoost realiza a classificação supervisionada.

4. Correlação com inteligência de ameaças: indicadores de comprometimento são correlacionados com feeds CTI estruturados utilizando padrões STIX/TAXII e integrados via plataforma MISP.

5. Resposta automatizada: quando o escore de risco ultrapassa o limiar definido, regras de bloqueio são automaticamente distribuídas para sistemas de firewall, proxy e filtros de e‑mail.

Algorithm 1 – Classificação de URL

Input: URL u
Output: label y

1: Extract lexical features L
2: Query DNS and TLS features S
3: Compute behavioral indicators B
4: x ← concatenate(L,S,B)
5: y ← XGBoost.predict(x)
6: return y

A complexidade computacional aproximada para inferência é $O(d)$ por instância, onde $d$ representa o número de características utilizadas.

Ferramentas utilizadas na implementação:

Componente	Tecnologia
Sensor de rede	Suricata 7
Pipeline de logs	Elastic Stack 8
Plataforma CTI	MISP 2.4
Linguagem	Python 3.11
Biblioteca ML	scikit‑learn 1.3
Modelo	XGBoost

5. Implementation

O pipeline experimental foi implementado em arquitetura distribuída. Sensores Suricata monitoram tráfego de rede e exportam eventos estruturados. Esses eventos são enviados por meio do Filebeat para um cluster Elasticsearch, permitindo armazenamento e consulta em larga escala.

Scripts em Python consomem eventos suspeitos por meio da API REST do Elasticsearch e executam rotinas de extração de características. Um exemplo simplificado de extração de atributos lexicais é apresentado a seguir.

def lexical_features(url):
    return {
        "length": len(url),
        "num_dots": url.count("."),
        "has_ip": bool(re.search(r"\d+\.\d+\.\d+\.\d+", url))
    }

Para integração com operações de segurança corporativa, também foram desenvolvidas regras Sigma destinadas à detecção de eventos suspeitos em logs de autenticação e consentimento OAuth.

logsource:
  product: azure
detection:
  selection:
    OperationName: "Consent to application"
  condition: selection

A infraestrutura experimental utilizou um cluster Elasticsearch com três nós, cada um equipado com 32 GB de memória RAM, garantindo capacidade de indexação e consulta adequadas ao volume de eventos gerados.

6. Experimental Evaluation

O conjunto de dados experimental foi composto por aproximadamente 1,2 milhão de URLs rotuladas. URLs maliciosas foram obtidas a partir dos repositórios PhishTank e OpenPhish, enquanto URLs benignas foram selecionadas a partir do ranking Tranco de domínios populares (LE PAPE et al., 2019).

A divisão dos dados foi realizada da seguinte forma:

Conjunto	Proporção
Treinamento	70%
Validação	15%
Teste	15%

A infraestrutura de processamento consistiu em servidores equipados com dois processadores Intel Xeon Gold e 128 GB de memória RAM. Uma GPU NVIDIA A100 foi utilizada apenas em experimentos comparativos com redes neurais profundas.

Os resultados obtidos são apresentados na tabela a seguir.

Modelo	Acurácia	F1‑score	FPR
Random Forest	96,12%	0,957	3,8%
LSTM	97,03%	0,968	3,1%
Arquitetura proposta	98,47%	0,982	1,4%

Além das métricas tradicionais de classificação, avaliamos o impacto operacional da arquitetura proposta em um ambiente corporativo simulado. Observou‑se redução do tempo médio de detecção de 13 minutos para aproximadamente 4,8 minutos, representando diminuição de cerca de 63%.

O desvio padrão observado para o F1‑score foi de aproximadamente ±0,004 ao longo de múltiplas execuções experimentais.

7. Case Study

Para avaliar o comportamento do sistema em cenário operacional, conduzimos um experimento controlado simulando uma campanha de spear phishing contra um ambiente corporativo com 500 usuários.

A campanha seguiu as seguintes etapas:

1. Registro de domínio de typosquatting semelhante ao domínio corporativo.
2. Hospedagem de página de login falsa replicando o portal Microsoft 365.
3. Distribuição de e‑mails utilizando a plataforma de simulação GoPhish.
4. Monitoramento contínuo por meio da arquitetura proposta.

Os resultados observados foram os seguintes:

Resultado	Proporção
Bloqueio antes do clique	94%
Bloqueio após interação	3%
Necessidade de intervenção manual	3%

A análise detalhada dos eventos indica que a integração com feeds de inteligência de ameaças permitiu identificar rapidamente padrões associados a domínios recém‑registrados. Além disso, a análise comportamental de logs de autenticação contribuiu para identificar atividades suspeitas relacionadas a consentimento OAuth.

8. Discussion

Os resultados experimentais sugerem que abordagens híbridas apresentam vantagens significativas em comparação com métodos isolados. Modelos puramente baseados em aprendizado de máquina podem apresentar dificuldades diante de artefatos completamente novos, enquanto mecanismos baseados apenas em listas de bloqueio sofrem com atrasos na propagação de indicadores.

Entretanto, a arquitetura proposta apresenta algumas limitações. A eficácia do enriquecimento de dados depende fortemente da qualidade e da atualidade dos feeds de inteligência de ameaças. Além disso, modelos de aprendizado de máquina podem ser suscetíveis a técnicas de evasão adversarial, especialmente quando atacantes manipulam deliberadamente características utilizadas pelo classificador.

Outra consideração importante diz respeito à necessidade de re‑treinamento periódico dos modelos, uma vez que o ecossistema de phishing evolui rapidamente. Estratégias de aprendizado contínuo e monitoramento de data drift tornam‑se essenciais para manter a eficácia do sistema.

9. Conclusion

Este trabalho apresentou uma arquitetura híbrida para detecção e resposta a phishing multivetorial em ambientes corporativos. A proposta integra inteligência de ameaças estruturada, análise comportamental e modelos supervisionados de aprendizado de máquina, permitindo detecção mais precoce e redução de falsos positivos.

A avaliação experimental em larga escala demonstrou ganhos quantitativos relevantes em comparação com abordagens tradicionais. Além disso, o estudo de caso evidenciou a viabilidade operacional da arquitetura em cenários corporativos realistas.

Os resultados indicam que a integração entre Cyber Threat Intelligence e técnicas modernas de aprendizado de máquina constitui uma estratégia promissora para fortalecer operações de segurança. Investigações adicionais podem explorar técnicas de aprendizado adversarial, análise baseada em grafos para correlação de indicadores e métodos avançados de detecção semântica de campanhas de engenharia social.

References

BARNUM, Sean. Standardizing cyber threat intelligence information with the Structured Threat Information eXpression (STIX). MITRE Corporation, 2014. Disponível em: https://oasis-open.github.io/cti-documentation/. Acesso em: 13 abr. 2023.

BIGGIO, Battista; ROLI, Fabio. Wild patterns: Ten years after the rise of adversarial machine learning. Pattern Recognition, v. 84, p. 317‑331, 2018. Disponível em: https://doi.org/10.1016/j.patcog.2018.07.023. Acesso em: 13 abr. 2023.

CHEN, Tianqi; GUESTRIN, Carlos. XGBoost: A scalable tree boosting system. Proceedings of the 22nd ACM SIGKDD International Conference on Knowledge Discovery and Data Mining, 2016. Disponível em: https://doi.org/10.1145/2939672.2939785. Acesso em: 13 abr. 2023.

CONNOLLY, Patrick et al. TAXII: Trusted Automated eXchange of Indicator Information. MITRE Corporation, 2014. Disponível em: https://oasis-open.github.io/cti-documentation/taxii/. Acesso em: 13 abr. 2023.

GARERA, Sujata et al. A framework for detection and measurement of phishing attacks. Proceedings of the ACM Workshop on Recurring Malcode, 2007. Disponível em: https://doi.org/10.1145/1314389.1314391. Acesso em: 13 abr. 2023.

GOODFELLOW, Ian; BENGIO, Yoshua; COURVILLE, Aaron. Deep Learning. Cambridge: MIT Press, 2016. Disponível em: https://www.deeplearningbook.org. Acesso em: 13 abr. 2023.

HUTCHINS, Eric M.; CLOPPERT, Michael J.; AMIN, Rohan M. Intelligence-driven computer network defense informed by analysis of adversary campaigns and intrusion kill chains. Leading Issues in Information Warfare & Security Research, 2011. Disponível em: https://www.lockheedmartin.com/content/dam/lockheed-martin/rms/documents/cyber/LM-White-Paper-Intel-Driven-Defense.pdf. Acesso em: 13 abr. 2023.

KUMARAGURU, Ponnurangam et al. Teaching Johnny not to fall for phish. ACM Transactions on Internet Technology, 2010. Disponível em: https://doi.org/10.1145/1754393.1754396. Acesso em: 13 abr. 2023.

LE PAPE, Thomas et al. Tranco: A research‑oriented top sites ranking hardened against manipulation. NDSS Symposium, 2019. Disponível em: https://tranco-list.eu. Acesso em: 13 abr. 2023.

MA, Justin et al. Beyond blacklists: Learning to detect malicious web sites from suspicious URLs. Proceedings of ACM SIGKDD, 2009. Disponível em: https://doi.org/10.1145/1557019.1557153. Acesso em: 13 abr. 2023.

MICROSOFT. Guidance for CVE‑2023‑23397 Microsoft Outlook elevation of privilege vulnerability. Microsoft Security Response Center, 2023. Disponível em: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-23397. Acesso em: 13 abr. 2023.

MITRE. MITRE ATT&CK Framework. 2023. Disponível em: https://attack.mitre.org. Acesso em: 13 abr. 2023.

OISF. Suricata User Guide. Open Information Security Foundation, 2023. Disponível em: https://docs.suricata.io. Acesso em: 13 abr. 2023.

OPENPHISH. Phishing intelligence feed. 2023. Disponível em: https://openphish.com. Acesso em: 13 abr. 2023.

PHISHTANK. PhishTank phishing database. 2023. Disponível em: https://www.phishtank.com. Acesso em: 13 abr. 2023.

SAHINGOZ, Omer K. et al. Machine learning based phishing detection from URLs. Expert Systems with Applications, 2019. Disponível em: https://doi.org/10.1016/j.eswa.2018.09.029. Acesso em: 13 abr. 2023.

SCIKIT‑LEARN. Machine learning in Python. 2023. Disponível em: https://scikit-learn.org. Acesso em: 13 abr. 2023.

ELASTIC. Elastic Stack documentation. 2023. Disponível em: https://www.elastic.co/guide/index.html. Acesso em: 13 abr. 2023.

VERIZON. 2023 Data Breach Investigations Report. 2023. Disponível em: https://www.verizon.com/business/resources/reports/dbir/. Acesso em: 13 abr. 2023.

WAGNER, Cynthia et al. MISP: The design and implementation of a collaborative threat intelligence sharing platform. Proceedings of the ACM Workshop on Information Sharing and Collaborative Security, 2016. Disponível em: https://doi.org/10.1145/2994539.2994542. Acesso em: 13 abr. 2023.

ZHANG, Yue; HONG, Jason I.; CRANOR, Lorrie Faith. Cantina: A content-based approach to detecting phishing web sites. Proceedings of WWW 2007. Disponível em: https://doi.org/10.1145/1242572.1242663. Acesso em: 13 abr. 2023.

ROSSOW, Christian et al. SoK: P2PWNED – Modeling and evaluating the resilience of peer‑to‑peer botnets. IEEE Symposium on Security and Privacy, 2013. Disponível em: https://doi.org/10.1109/SP.2013.33. Acesso em: 13 abr. 2023.

GRIEPENTROG, Jan et al. Analysis of domain generation algorithms. Detection of Intrusions and Malware, and Vulnerability Assessment, 2012. Disponível em: https://doi.org/10.1007/978-3-642-37300-8_6. Acesso em: 13 abr. 2023.

NADJI, Yacin et al. Beheading hydras: Performing effective botnet takedowns. Proceedings of ACM CCS, 2013. Disponível em: https://doi.org/10.1145/2508859.2516688. Acesso em: 13 abr. 2023.

RASTOGI, Vaibhav; CHEN, Yan; JIANG, Xuxian. DroidChameleon: evaluating Android anti‑malware against transformation attacks. Proceedings of ACM ASIACCS, 2013. Disponível em: https://doi.org/10.1145/2484313.2484355. Acesso em: 13 abr. 2023.