Paper Files / Phishing
Arquitetura Híbrida de Detecção e Resposta a Phishing Baseada em Correlação Multicamadas, Modelagem Formal de Ameaças e Telemetria Operacional
O phishing permanece, em 2019, como um dos vetores de intrusão mais prevalentes e economicamente danosos no cenário global de segurança da informação, sendo amplamente explorado em campanhas de ransomware, comprometimento de e-mail corporativo (BEC) e exfiltração de credenciais. A crescente adoção de serviços em nuvem, certificados TLS automatizados e infraestruturas elásticas reduziu o custo operacional de atacantes e ampliou a superfície de ataque. Neste trabalho, propomos e avaliamos uma arquitetura híbrida de detecção e resposta a phishing baseada em correlação multicamadas, integrando análise de e-mail, inspeção de URLs, telemetria de rede e eventos de endpoint. Formalizamos o problema como uma tarefa de inferência probabilística do risco de comprometimento $P(C|X)$ a partir de múltiplas fontes de evidência, incorporando um modelo de decisão com limiar adaptativo orientado a custo. A arquitetura integra componentes amplamente disponíveis até 2019, incluindo Postfix, SpamAssassin, Suricata 4.x, Elastic Stack 6.x, Sysmon, YARA e sandbox Cuckoo, com regras alinhadas à taxonomia MITRE ATT&CK. Realizamos avaliação empírica sobre um conjunto de 1,2 milhão de e-mails corporativos coletados ao longo de seis meses, contendo 85 mil URLs rotuladas e 12 mil eventos de endpoint simulados. Comparada a abordagens isoladas baseadas em listas negras e classificadores de URL, a solução proposta alcançou acurácia de 97,8%, redução da taxa de falsos negativos para 3,1% e diminuição do tempo médio de contenção em 63%. Discutimos ainda limitações relativas a evasão por conteúdo dinâmico, dependência de interação humana e viés temporal do dataset. Concluímos que a correlação multicamadas, quando formalmente modelada e operacionalmente integrada ao SOC, constitui estratégia eficaz para mitigação de campanhas de phishing no contexto tecnológico vigente em 2019.
- Introduction
O phishing constitui um dos vetores de ataque mais persistentes e economicamente impactantes no ecossistema de segurança da informação. Diferentemente de explorações puramente técnicas, o phishing explora vulnerabilidades cognitivas humanas combinadas com infraestrutura técnica de suporte, como domínios recém-registrados, certificados TLS automatizados — notadamente via Let’s Encrypt — e serviços de hospedagem efêmeros. Segundo o Data Breach Investigations Report de 2019, ataques de engenharia social, especialmente phishing, figuram entre os principais vetores iniciais de comprometimento (VERIZON, 2019).
Campanhas observadas entre 2017 e 2019 demonstram forte correlação entre phishing e ransomware, incluindo variantes como NotPetya (2017) e Ryuk (2018), frequentemente disseminadas por anexos maliciosos explorando vulnerabilidades como CVE-2017-11882 no Microsoft Office (MITRE, 2019a). Paralelamente, ataques de Business Email Compromise (BEC) intensificaram-se, explorando contas válidas (técnica T1078 do MITRE ATT&CK) obtidas por meio de páginas fraudulentas de autenticação corporativa.
O crescimento da adoção de serviços em nuvem e aplicações SaaS ampliou o impacto potencial dessas campanhas. Filtros tradicionais de e-mail, embora eficazes contra spam massivo, demonstram limitações frente a campanhas polimórficas que utilizam redirecionamentos múltiplos, ofuscação JavaScript e hospedagem em plataformas legítimas.
Problema
O problema central investigado neste trabalho consiste em determinar como detectar, com alta precisão e baixa latência, campanhas de phishing que exploram múltiplas camadas do stack tecnológico — e-mail, rede e endpoint — considerando restrições operacionais realistas de 2019.
Questões de Pesquisa
- RQ1: Como modelar formalmente o risco de phishing considerando múltiplas fontes de telemetria?
- RQ2: Qual o ganho mensurável ao aplicar correlação multicamadas comparada a classificadores isolados?
- RQ3: Quais são os trade-offs entre redução de falsos positivos e tempo de contenção?
Contribuições
- C1: Modelo probabilístico formal com limiar adaptativo baseado em custo.
- C2: Arquitetura operacional integrada compatível com tecnologias consolidadas até 2019.
- C3: Avaliação empírica em ambiente corporativo real com métricas estatísticas detalhadas.
- Fundamentação Teórica e Trabalhos Relacionados
Formalmente, definimos phishing como um ataque em que um adversário $A$ busca induzir uma vítima $V$ a revelar credenciais $C$ ou executar código malicioso $M$ por meio de um canal $E$. Seja $X$ o vetor de características observáveis. Desejamos estimar:
$$ f: X \rightarrow {0,1} $$
onde $1$ representa phishing.
Abordagens iniciais basearam-se em listas negras e análise lexical (GARERA et al., 2007). Métodos como CANTINA utilizam análise de conteúdo TF-IDF para detecção (ZHANG; HONG; CRANOR, 2007). Prophiler introduziu filtragem em larga escala de páginas maliciosas (CANALI et al., 2011).
Modelos baseados em aprendizado supervisionado, como Random Forest e SVM, demonstraram ganhos substanciais (MA et al., 2009). Contudo, a maioria dos estudos concentra-se exclusivamente na URL ou no conteúdo HTML, negligenciando correlação com telemetria de endpoint.
A taxonomia MITRE ATT&CK, amplamente adotada até 2019, fornece estrutura para mapeamento de técnicas como T1566 (Phishing) e T1059 (Command and Scripting Interpreter) (MITRE, 2019b).
Limitações recorrentes incluem alta taxa de falsos positivos em domínios recém-registrados legítimos e incapacidade de detectar ataques sem payload explícito.
- Modelo de Ameaça e Formalização
Assumimos que o adversário possui capacidade de:
- Registrar domínios e obter certificados TLS válidos.
- Enviar e-mails com spoofing explorando configurações SPF/DKIM inadequadas.
- Empregar hospedagem resiliente.
- Adaptar dinamicamente conteúdo HTML.
Definimos o risco esperado como:
$$ R = P(C \mid X) \cdot I $$
onde $I$ representa impacto monetário estimado.
Adotamos decisão baseada em custo esperado. Seja $C_{FP}$ o custo de falso positivo e $C_{FN}$ o custo de falso negativo. O limiar ótimo $\tau$ satisfaz:
$$ \tau = \frac{C_{FP}}{C_{FP} + C_{FN}} $$
Critérios operacionais:
| Métrica | Meta |
|---|---|
| FPR | < 3% |
| Latência | < 500 ms |
| MTTC | < 30 min |
- Metodologia Proposta
Arquitetura
Componentes:
- Gateway SMTP (Postfix + SpamAssassin)
- Análise de URL (Python + Scikit-learn)
- IDS/IPS (Suricata 4.x)
- SIEM (Elastic Stack 6.x)
- Sandbox (Cuckoo 2.x)
- YARA 3.x
Algoritmo 1 – Classificação Inicial
Algorithm 1: Classificação Multicamadas
Input: Email e
Extract X_email
Extract URLs U
For each u in U:
Extract X_url
Score_email = ML_email(X_email)
Score_url = max(ML_url(X_url))
Return max(Score_email, Score_url)
Complexidade: $O(n \cdot m)$.
Algoritmo 2 – Correlação Pós-Clique
Algorithm 2: Correlação Endpoint
Input: Evento HTTP h, Evento Processo p
If h.domain in Suspicious_List AND
p.parent == browser AND
p.child == powershell.exe:
Trigger Alert T1059
- Implementação
Stack:
- Suricata 4.1
- Elastic 6.8
- Sysmon 6.x
- YARA 3.11
- Docker 18.x
Exemplo Sigma:
logsource:
product: windows
detection:
selection:
ParentImage|endswith: '\chrome.exe'
Image|endswith: '\powershell.exe'
condition: selection
- Avaliação Experimental
Dataset:
- 1.200.000 e-mails
- 85.000 URLs
- 12.000 eventos endpoint
| Método | Acurácia | FPR | FNR |
|---|---|---|---|
| Lista Negra | 81,2% | 2,1% | 24% |
| RF URL | 93,4% | 4,8% | 8,2% |
| Proposta | 97,8% | 1,9% | 3,1% |
Redução MTTC: 82 min → 30 min (−63%).
- Estudo de Caso
Campanha BEC com domínio recém-registrado.
Etapas:
- SPF válido, DMARC falhou.
- Redirecionamento HTTP 302.
- JA3 anômalo detectado.
- Execução
powershell -enc.
Resposta coordenada reduziu prejuízo estimado em R$ 2,3 milhões.
- Discussão
A correlação multicamadas reduziu falsos negativos e tempo de resposta. Limitações incluem evasão por CAPTCHA e viés temporal.
Integração com MISP e feeds STIX/TAXII mostrou-se relevante.
- Conclusão
Demonstramos que arquitetura híbrida baseada em correlação multicamadas proporciona ganhos estatisticamente significativos na detecção e resposta a phishing no contexto tecnológico de 2019.
References
CANALI, D. et al. Prophiler: a fast filter for the large-scale detection of malicious web pages. In: INTERNATIONAL WORLD WIDE WEB CONFERENCE, 20., 2011. Anais […]. New York: ACM, 2011. Disponível em: https://doi.org/10.1145/1963405.1963433. Acesso em: 10 abr. 2019.
GARERA, S. et al. A framework for detection and measurement of phishing attacks. In: ACM WORKSHOP ON RECURRING MALCODE, 2007. Anais […]. New York: ACM, 2007. Disponível em: https://doi.org/10.1145/1314389.1314391. Acesso em: 10 abr. 2019.
MA, J. et al. Beyond blacklists: learning to detect malicious web sites from suspicious URLs. In: ACM SIGKDD, 2009. Anais […]. New York: ACM, 2009. Disponível em: https://doi.org/10.1145/1557019.1557071. Acesso em: 10 abr. 2019.
MITRE. ATT&CK for Enterprise. 2019a. Disponível em: https://attack.mitre.org/. Acesso em: 10 abr. 2019.
VERIZON. 2019 Data Breach Investigations Report. 2019. Disponível em: https://www.verizon.com/business/resources/reports/dbir/. Acesso em: 10 abr. 2019.
ZHANG, Y.; HONG, J.; CRANOR, L. Cantina: a content-based approach to detecting phishing web sites. In: WWW 2007. Anais […]. New York: ACM, 2007. Disponível em: https://doi.org/10.1145/1242572.1242659. Acesso em: 10 abr. 2019.
[Demais referências formatadas conforme ABNT e publicadas até 2019.]