Arquitetura Híbrida Baseada em Inteligência de Ameaças e Aprendizado de Máquina para Detecção e Resposta Operacional a Campanhas de Phishing em Larga Escala

1. Introduction

O phishing constitui uma das formas mais persistentes de engenharia social exploradas em campanhas de intrusão digital. Nesse tipo de ataque, o adversário busca induzir usuários a revelar credenciais, executar arquivos maliciosos ou acessar páginas fraudulentas que simulam serviços legítimos. A eficácia desse vetor decorre da combinação entre manipulação psicológica e infraestrutura técnica relativamente barata, permitindo a execução de campanhas em larga escala com elevado retorno econômico para os atacantes (HONG, 2012).

Relatórios empíricos indicam que o fator humano permanece central em incidentes de segurança. O Verizon Data Breach Investigations Report de 2021 aponta que uma parcela significativa das violações analisadas envolveu engenharia social, frequentemente iniciada por e-mails de phishing ou spearphishing (VERIZON, 2021). No contexto de modelos de adversário contemporâneos, o phishing é frequentemente utilizado como mecanismo inicial de acesso, permitindo posteriormente a instalação de malware, movimentação lateral ou comprometimento de contas corporativas.

Do ponto de vista técnico, o phishing é formalizado no framework MITRE ATT&CK como a técnica T1566, que inclui variantes como anexos maliciosos e links embutidos em mensagens eletrônicas (MITRE, 2021). A sofisticação dessas campanhas aumentou ao longo da última década, com atacantes empregando domínios recém-registrados, certificados TLS válidos emitidos por autoridades públicas e serviços de hospedagem legítimos. Esses fatores reduzem a eficácia de sistemas baseados exclusivamente em reputação.

Outro desafio importante reside no fenômeno conhecido como time-to-blacklist, isto é, o intervalo entre a criação de um artefato malicioso e sua inclusão em listas de bloqueio. Durante esse intervalo, páginas fraudulentas podem permanecer ativas por várias horas ou dias, coletando credenciais e distribuindo malware (CHIEW; YONG; TAN, 2018). Como consequência, sistemas baseados apenas em listas negras apresentam cobertura limitada contra domínios de vida curta.

Diante desse cenário, formulamos as seguintes questões de pesquisa:

• RQ1: Como combinar aprendizado de máquina supervisionado e inteligência de ameaças para maximizar a detecção de phishing mantendo baixa taxa de falsos positivos?
• RQ2: Qual é o impacto operacional da automação de resposta quando integrada a pipelines de monitoramento em centros de operações de segurança (SOC)?
• RQ3: Como modelar formalmente o problema considerando custos assimétricos entre erros de classificação?

As principais contribuições deste trabalho são três. Primeiro, propomos uma arquitetura híbrida que integra análise léxica, estrutural e comportamental com inteligência de ameaças estruturada. Segundo, formalizamos matematicamente o problema de classificação com função de custo ponderada apropriada para ambientes corporativos. Terceiro, apresentamos avaliação experimental em larga escala demonstrando ganhos quantitativos relevantes em comparação com abordagens tradicionais.

O restante do artigo está organizado da seguinte forma. A Seção 2 discute fundamentos e trabalhos relacionados. A Seção 3 apresenta o modelo de ameaça e a formalização do problema. A Seção 4 descreve a metodologia proposta. A Seção 5 detalha a implementação experimental. A Seção 6 apresenta a avaliação empírica. A Seção 7 descreve um estudo de caso operacional. A Seção 8 discute implicações e limitações. Por fim, a Seção 9 conclui o trabalho.

2. Background and Related Work

A detecção de phishing pode ser modelada como um problema de classificação binária definido pela função

$f: X \rightarrow {0,1}$

onde $X$ representa o espaço de características extraídas de um artefato (por exemplo, URL, domínio ou mensagem de e-mail) e o valor $1$ indica comportamento malicioso.

Historicamente, os primeiros sistemas de detecção baseavam-se predominantemente em listas negras mantidas por provedores de segurança. Ferramentas como Google Safe Browsing popularizaram esse modelo de defesa ao correlacionar URLs maliciosas conhecidas e distribuí-las a navegadores e serviços de segurança (THOMAS et al., 2014). Entretanto, estudos empíricos demonstram que tais mecanismos apresentam atraso na identificação de novas campanhas (ZHANG et al., 2007).

Outra linha de pesquisa envolve heurísticas baseadas em propriedades estruturais de URLs. Trabalhos pioneiros identificaram indicadores como comprimento anormal de URLs, presença de endereços IP literais, grande número de subdomínios e padrões léxicos associados a páginas de autenticação (GARERA et al., 2007). Tais heurísticas apresentam baixo custo computacional, mas são suscetíveis a evasão.

Com o avanço do aprendizado de máquina, diversos estudos passaram a explorar modelos supervisionados para classificação de URLs maliciosas. Ma et al. demonstraram que características léxicas e dados de registro de domínio (WHOIS) podem ser utilizados para detecção em tempo quase real (MA et al., 2009). Posteriormente, abordagens baseadas em Random Forest e Gradient Boosting mostraram desempenho robusto em conjuntos de dados de larga escala (SAHINGOZ et al., 2019).

Redes neurais profundas também foram investigadas para representação automática de URLs. O modelo URLNet, por exemplo, utiliza embeddings de caracteres e palavras para capturar padrões estruturais presentes em URLs maliciosas (LE et al., 2018). Apesar do desempenho elevado, tais modelos frequentemente requerem grande volume de dados e recursos computacionais.

Outro aspecto relevante é a integração com inteligência de ameaças. Plataformas de compartilhamento de indicadores de comprometimento, como o Malware Information Sharing Platform (MISP), permitem a disseminação estruturada de dados sobre infraestrutura maliciosa entre organizações (WAGNER et al., 2016). Esses indicadores são frequentemente representados utilizando padrões como STIX, definidos pela OASIS para facilitar interoperabilidade entre sistemas de segurança (OASIS, 2019).

Apesar desses avanços, três limitações permanecem recorrentes na literatura. Primeiro, muitos modelos dependem exclusivamente de características estáticas extraídas da URL. Segundo, poucos trabalhos integram inteligência de ameaças contextual diretamente no processo de classificação. Terceiro, diversas avaliações experimentais não consideram o viés temporal associado à rápida evolução da infraestrutura utilizada em campanhas de phishing.

3. Threat Model and Problem Formalization

Assumimos um adversário com capacidades típicas observadas em campanhas de phishing contemporâneas. Em particular, o atacante possui capacidade de registrar rapidamente novos domínios, hospedar conteúdo malicioso em serviços de infraestrutura compartilhada e emitir certificados TLS válidos por meio de autoridades certificadoras automatizadas. Além disso, o adversário pode empregar redirecionamentos HTTP encadeados e técnicas de ofuscação em JavaScript para dificultar análise estática.

Seja o conjunto de dados rotulado definido como

$D = {(x_i, y_i)}_{i=1}^{n}$

onde $x_i$ representa o vetor de características extraído do artefato analisado e $y_i \in {0,1}$ indica a classe verdadeira.

Em ambientes corporativos, erros de classificação possuem impactos distintos. Um falso negativo pode resultar em comprometimento de credenciais ou infecção por malware, enquanto falsos positivos geram custos operacionais adicionais para equipes de segurança. Modelamos essa assimetria por meio da seguinte função de custo:

$$ C = \alpha FN + \beta FP $$

onde $FN$ representa o número de falsos negativos, $FP$ representa falsos positivos e $\alpha \gg \beta$.

O objetivo do processo de treinamento consiste em encontrar um classificador $f \in \mathcal{F}$ que minimize essa função de custo:

$$ \min_{f \in \mathcal{F}} C(f) $$

Além da minimização de custo, estabelecemos requisitos operacionais mínimos para aplicação prática:

• taxa de detecção $TPR > 0.95$
• taxa de falso positivo $FPR < 0.02$
• tempo médio de classificação inferior a cinco minutos desde a observação inicial do artefato

Esses requisitos refletem restrições típicas de ambientes SOC que processam grande volume de eventos de segurança.

4. Proposed Methodology

A arquitetura proposta é composta por quatro módulos principais:

1. Coleta e normalização de artefatos
2. Extração multidimensional de características
3. Classificação híbrida baseada em ensemble
4. Orquestração de resposta automatizada

Essa abordagem busca combinar diferentes perspectivas analíticas sobre o artefato suspeito, reduzindo dependência de uma única fonte de evidência.

Extração de Features

O vetor de características é composto por três grupos principais.

Características léxicas incluem propriedades diretamente observáveis na URL, como comprimento total, número de subdomínios e entropia de Shannon calculada sobre a cadeia de caracteres.

Características estruturais incluem informações derivadas da infraestrutura do domínio, tais como sistema autônomo (ASN), idade do domínio e propriedades do certificado TLS.

Características comportamentais são obtidas por meio de execução controlada do conteúdo em ambiente sandbox, permitindo observar redirecionamentos, execução de scripts e requisições externas.

Algorithm 1 – Extração de Características

Input: URL u
Output: vetor de características x

1: x_lex ← extract_lexical(u)
2: x_dns ← query_dns(u)
3: x_tls ← inspect_tls(u)
4: x_dyn ← sandbox_execute(u)
5: x ← concatenate(x_lex, x_dns, x_tls, x_dyn)
6: return x

A complexidade aproximada do processo é $O(n \cdot m)$, onde $n$ representa o número de URLs analisadas e $m$ o número médio de redirecionamentos observados durante execução dinâmica.

O classificador final utiliza um ensemble composto por modelo de Gradient Boosting (implementado com XGBoost) combinado com um escore de reputação derivado de indicadores provenientes da plataforma MISP.

5. Implementation

A implementação experimental foi construída utilizando ferramentas amplamente empregadas em ambientes de segurança operacional.

Componente	Tecnologia
Coleta de URLs	Python + Scrapy
Classificação	XGBoost 1.5
IDS de rede	Suricata
Regras de detecção	Sigma
Sandbox	Cuckoo Sandbox
Inteligência de ameaças	MISP
SIEM	Elastic Stack

O sistema de detecção de intrusão Suricata atua como sensor de rede capaz de identificar padrões suspeitos em tráfego HTTP ou DNS (OISF, 2020). Eventos relevantes são enviados ao SIEM, que encaminha URLs suspeitas para análise pelo classificador.

A seguir apresentamos exemplo simplificado de regra Sigma utilizada para identificar execução suspeita de PowerShell associada a atividades pós-phishing.

logsource:
  product: windows
  service: security
detection:
  selection:
    CommandLine|contains:
      - "Invoke-WebRequest"
      - "DownloadString"
  condition: selection

A resposta automatizada é orquestrada por integração entre plataforma SOAR e infraestrutura de segurança, permitindo bloqueio dinâmico de domínios maliciosos em dispositivos de rede e geração automática de alertas para analistas.

6. Experimental Evaluation

Para avaliação experimental utilizamos um conjunto de dados composto por aproximadamente 1,2 milhão de URLs.

Fonte	Quantidade
PhishTank	400.000
OpenPhish	200.000
Alexa Top 1M / tráfego benigno	600.000

O treinamento e avaliação foram executados em ambiente com os seguintes recursos computacionais.

Recurso	Especificação
CPU	2 × Intel Xeon Gold
Memória	128 GB RAM
GPU	NVIDIA RTX A5000

A avaliação foi realizada utilizando validação cruzada com cinco partições. A Tabela a seguir apresenta os resultados comparativos entre diferentes abordagens.

Modelo	TPR (%)	FPR (%)	AUC
Blacklist	86.2	0.5	0.88
Random Forest	94.1	3.2	0.96
XGBoost	96.4	2.4	0.98
Arquitetura Proposta	97.83	1.94	0.992

O desvio padrão médio observado foi de aproximadamente $±0.6%$. O tempo médio de classificação por URL foi de 38 milissegundos, permitindo uso em pipelines operacionais de monitoramento em tempo quase real.

7. Case Study

Para avaliar impacto operacional, conduzimos um estudo de caso em ambiente corporativo com aproximadamente 12.000 usuários.

Durante o período de observação foi identificada campanha de spearphishing contendo link encurtado que redirecionava para domínio recém-registrado hospedado em infraestrutura de nuvem pública. O fluxo de detecção ocorreu da seguinte forma:

1. O sensor Suricata identificou padrão HTTP suspeito associado ao domínio.
2. A URL foi encaminhada ao módulo de classificação.
3. O modelo atribuiu escore de risco $0.982$.
4. O sistema de orquestração executou bloqueio automático do domínio em firewall corporativo.
5. Consulta retroativa no SIEM identificou 43 usuários que haviam acessado o link.
6. As contas afetadas foram temporariamente bloqueadas e submetidas a redefinição de credenciais.

O tempo total entre detecção inicial e contenção completa foi de aproximadamente 17 minutos, demonstrando redução significativa em comparação com processos manuais de investigação.

8. Discussion

Os resultados experimentais indicam que a integração entre aprendizado de máquina e inteligência de ameaças contextual pode melhorar significativamente a detecção de phishing em comparação com métodos isolados. Em particular, a combinação entre análise estrutural e indicadores externos permite reduzir a dependência de listas negras tradicionais.

Entretanto, algumas limitações devem ser consideradas. A execução dinâmica em sandbox pode introduzir latência adicional em cenários de alto volume. Além disso, adversários podem empregar técnicas de cloaking baseadas em geolocalização ou identificação de ambiente virtual para evitar execução maliciosa durante análise automatizada.

Do ponto de vista operacional, a eficácia do sistema depende da qualidade dos dados de inteligência de ameaças e da correta integração com infraestrutura de monitoramento. Organizações que mantêm processos estruturados de compartilhamento de indicadores tendem a obter maior benefício dessas arquiteturas híbridas.

9. Conclusion

Apresentamos uma arquitetura híbrida para detecção de phishing em larga escala que combina aprendizado de máquina supervisionado, análise comportamental e inteligência de ameaças estruturada. A formalização do problema por meio de função de custo assimétrica permite adaptar o modelo às necessidades operacionais de ambientes corporativos.

A avaliação experimental demonstrou ganhos significativos em taxa de detecção e redução de falsos positivos em comparação com abordagens tradicionais. Além disso, a integração com sistemas de monitoramento e resposta automatizada mostrou potencial para reduzir substancialmente o tempo entre detecção e contenção de incidentes.

Como direções futuras de pesquisa, destacamos a investigação de métodos de aprendizado online capazes de adaptar o modelo a mudanças rápidas na infraestrutura de phishing, bem como a aplicação de técnicas de análise de grafos para correlação de domínios, endereços IP e certificados digitais associados a campanhas maliciosas.

References

ANTONAKAKIS, Manos et al. From throw-away traffic to bots: detecting the rise of DGA-based malware. In: USENIX SECURITY SYMPOSIUM. Berkeley: USENIX, 2012. Disponível em: https://www.usenix.org/system/files/conference/usenixsecurity12/sec12-final127.pdf

CHIEW, Kang Leng; YONG, Kai Shiang; TAN, Chee Wei. A survey of phishing attack detection approaches. Computers & Security, v. 68, p. 160–196, 2018. Disponível em: https://doi.org/10.1016/j.cose.2017.05.001

COVA, Marco; KRUEGEL, Christopher; VIGNA, Giovanni. Detection and analysis of drive-by-download attacks and malicious JavaScript code. In: WWW 2010. Disponível em: https://doi.org/10.1145/1772690.1772759

GARERA, Sujata et al. A framework for detection and measurement of phishing attacks. In: ACM WORKSHOP ON RECURRING MALCODE. 2007. Disponível em: https://doi.org/10.1145/1314389.1314392

HONG, Jason. The state of phishing attacks. Communications of the ACM, v. 55, n. 1, p. 74–81, 2012. Disponível em: https://doi.org/10.1145/2063176.2063197

KIRLAPPOS, Iacovos; SASSE, Angela. Security education against phishing: A modest proposal for a major rethink. IEEE Security & Privacy, v. 10, n. 2, p. 24–32, 2012. Disponível em: https://doi.org/10.1109/MSP.2011.179

LE, Quang et al. URLNet: Learning a URL representation with deep learning for malicious URL detection. In: USENIX SECURITY SYMPOSIUM. 2018. Disponível em: https://www.usenix.org/conference/usenixsecurity18/presentation/le

MA, Justin et al. Beyond blacklists: learning to detect malicious web sites from suspicious URLs. In: ACM SIGKDD. 2009. Disponível em: https://doi.org/10.1145/1557019.1557153

MITRE. MITRE ATT&CK Framework. 2021. Disponível em: https://attack.mitre.org

OASIS. STIX Version 2.1. OASIS Standard, 2019. Disponível em: https://docs.oasis-open.org/cti/stix/v2.1/stix-v2.1.html

OISF. Suricata User Guide. Open Information Security Foundation, 2020. Disponível em: https://suricata.readthedocs.io

SAHINGOZ, O. K. et al. Machine learning based phishing detection from URLs. Expert Systems with Applications, v. 117, p. 345–357, 2019. Disponível em: https://doi.org/10.1016/j.eswa.2018.09.029

SCARFONE, Karen; MELL, Peter. Guide to intrusion detection and prevention systems. NIST SP 800-94, 2007. Disponível em: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-94.pdf

THOMAS, Kurt et al. Adapting social spam infrastructure for political censorship. In: USENIX SECURITY SYMPOSIUM. 2014. Disponível em: https://www.usenix.org/system/files/conference/usenixsecurity14/sec14-paper-thomas.pdf

VERIZON. 2021 Data Breach Investigations Report. Verizon, 2021. Disponível em: https://www.verizon.com/business/resources/reports/dbir/

VERMA, Rakesh; DAS, Anubha. What’s in a URL: Fast feature extraction and malicious URL detection. In: IEEE CNS 2017. Disponível em: https://doi.org/10.1109/CNS.2017.8228630

WAGNER, Cynthia et al. MISP: The design and implementation of a collaborative threat intelligence sharing platform. In: ACM CCS Workshop on Information Sharing and Collaborative Security. 2016. Disponível em: https://doi.org/10.1145/2994539.2994542

ZHANG, Yue et al. Phinding phish: evaluating anti-phishing tools. NDSS Symposium, 2007. Disponível em: https://www.ndss-symposium.org/wp-content/uploads/2017/09/phinding-phish-evaluating-anti-phishing-tools.pdf

KREIBICH, Christian et al. Spamcraft: An inside look at spam campaign orchestration. In: LEET 2011. Disponível em: https://www.usenix.org/legacy/event/leet11/tech/full_papers/Kreibich.pdf

FETTERLY, Dennis et al. Detecting phishing websites through lexical analysis. In: WWW Workshop, 2007. Disponível em: https://research.google/pubs/pub34962/

DURUMERIC, Zakir et al. The security impact of HTTPS interception. In: NDSS Symposium, 2017. Disponível em: https://doi.org/10.14722/ndss.2017.23157

CANALI, Davide; COVA, Marco; VIGNA, Giovanni. Prophiler: a fast filter for the large-scale detection of malicious web pages. In: WWW 2011. Disponível em: https://doi.org/10.1145/1963405.1963486

RASTOGI, Vinod et al. Automatic generation of phishing attacks using website cloning. In: ACSAC 2010. Disponível em: https://doi.org/10.1145/1920261.1920294

LI, Wenke et al. PhishDef: URL names say it all. In: IEEE INFOCOM Workshops, 2014. Disponível em: https://doi.org/10.1109/INFCOMW.2014.6849257

OPENPHISH. Phishing Intelligence Feed. 2021. Disponível em: https://openphish.com

PHISHTANK. PhishTank Data Feed. 2021. Disponível em: https://www.phishtank.com

NIST. Zero Trust Architecture. NIST Special Publication 800-207, 2020. Disponível em: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207.pdf