Arquitetura Híbrida Multicamadas para Detecção e Resposta a Phishing com Modelagem Formal de Ameaças e Integração Operacional ao SOC

1. Introdução

Até 2015, o phishing consolidou-se como um dos principais vetores de acesso inicial em incidentes de segurança corporativa, sobretudo em campanhas de fraude financeira, espionagem industrial e disseminação de malware, incluindo famílias de ransomware emergente, como o CryptoLocker (SYMANTEC, 2014). Relatórios empíricos da indústria indicavam que o comprometimento de credenciais por engenharia social permanecia entre os elementos mais recorrentes nas violações investigadas, evidenciando a persistência do fator humano como superfície explorável por adversários (VERIZON, 2015).

No contexto dos primeiros modelos públicos do MITRE ATT&CK e da Cyber Kill Chain, o phishing enquadra-se tipicamente nas fases de reconhecimento, entrega e exploração inicial, atuando como mecanismo de pré-posicionamento para movimentos posteriores, como persistência, escalonamento de privilégios e exfiltração (HUTCHINS; CLOPPERT; AMIN, 2011; MITRE, 2015). Assim, a mitigação eficaz desse vetor reduz substancialmente a superfície de ataque nas etapas subsequentes e melhora a capacidade de contenção em operações de resposta a incidentes.

Formalmente, dado um fluxo contínuo de mensagens $M = {m_1, m_2, \ldots, m_n}$, desejamos identificar o subconjunto malicioso $P \subset M$, minimizando simultaneamente as taxas de falso positivo ($FP$) e falso negativo ($FN$), sob restrições de latência compatíveis com operação em tempo quase real em um SOC. Em termos operacionais, o objetivo não é apenas classificar corretamente mensagens, mas fazê-lo de modo suficientemente rápido para impedir o clique do usuário, o estabelecimento da sessão maliciosa e a execução de cargas úteis subsequentes.

Propomos as seguintes questões de pesquisa:

• RQ1: Como modelar formalmente o phishing considerando adversários adaptativos e restrições operacionais?
• RQ2: É possível combinar assinaturas, reputação e aprendizado supervisionado em uma arquitetura coerente e escalável?
• RQ3: Qual o impacto mensurável dessa integração em métricas operacionais como MTTD e MTTR?

Nossas contribuições são: (C1) formalização matemática do problema sob restrições explícitas; (C2) arquitetura híbrida integrada a SOC; (C3) avaliação quantitativa comparativa com foco em desempenho operacional e utilidade prática.

2. Fundamentação Teórica e Trabalhos Relacionados

A literatura sobre detecção de spam e phishing antecede a consolidação de plataformas de compartilhamento de inteligência e já indicava a relevância de modelos probabilísticos e supervisionados. Sahami et al. (1998) introduziram a filtragem Bayesiana para junk e-mail, estabelecendo base probabilística para classificação textual. Posteriormente, Abu-Nimeh et al. (2007) compararam técnicas supervisionadas aplicadas a phishing, demonstrando desempenho competitivo de métodos baseados em árvores em cenários experimentais balanceados.

A detecção baseada em listas negras, como PhishTank e Google Safe Browsing, depende de atualização contínua e sofre com domínios de curta duração, frequentemente registrados e descartados em janelas temporais reduzidas (GOOGLE, 2015). Abordagens heurísticas, por sua vez, analisam características léxicas, estruturais e comportamentais de URLs, como comprimento, uso excessivo de subdomínios, presença de caracteres especiais e inconsistências entre texto ancorado e destino real (GARERA et al., 2007). Essas técnicas são particularmente úteis em cenários em que a URL é a principal pista disponível antes da resolução DNS ou da interação do usuário.

Em 2015, técnicas supervisionadas amplamente utilizadas incluíam SVM, Random Forest e Gradient Boosting, devido à sua capacidade de capturar relações não lineares e interações entre atributos heterogêneos. Embora o ecossistema de aprendizado de máquina para segurança já fosse maduro, a integração com inteligência de ameaças ainda era, em muitos ambientes, predominantemente manual. Nesse contexto, a padronização de indicadores em STIX e seu intercâmbio por TAXII representavam avanço relevante para compartilhamento automatizado entre ferramentas de defesa e parceiros operacionais (BARNUM, 2014; DANTAS et al., 2014).

Do ponto de vista de resposta a incidentes, a literatura e as práticas do período enfatizavam a necessidade de correlação entre eventos de e-mail, DNS, proxy, firewall e sandbox, de modo a reduzir o tempo entre a detecção do indício inicial e a contenção efetiva. A integração entre múltiplas fontes permite elevar a confiança do alerta, priorizar incidentes e diminuir ruído operacional, sobretudo em SOCs com alto volume de eventos.

3. Modelo de Ameaça e Formalização

Assumimos um adversário probabilístico $\mathcal{A}$ capaz de:

1. registrar domínios dinamicamente;
2. utilizar certificados TLS válidos;
3. empregar ofuscação HTML/JavaScript;
4. detectar ambientes virtuais simples;
5. variar rapidamente infraestrutura de hospedagem e redirecionamento.

Esse modelo é compatível com campanhas observadas até 2015, nas quais agentes maliciosos combinavam engenharia social com automação de infraestrutura para reduzir a janela de detecção.

Definimos $X$ como o espaço de características e $f: X \rightarrow {0,1}$ como a função classificadora, em que $f(x)=1$ indica mensagem maliciosa. O risco esperado é dado por:

$$ R(f) = \mathbb{E}_{(x,y)\sim D}[L(f(x),y)] $$

onde $D$ representa a distribuição desconhecida dos dados e $L$ é a função de perda. Buscamos:

$$ \min_{f \in \mathcal{F}} R(f) $$

sujeito a:

$$ FN(f) \leq \epsilon, \quad \epsilon = 0{,}01 $$

e latência média menor ou igual a $250,\text{ms}$ por mensagem no fluxo de triagem prioritária.

Também modelamos robustez adversarial considerando perturbações limitadas $\delta$ tais que $||\delta|| \leq \eta$, com $\eta$ restrito por modificações factíveis de conteúdo, URL e contexto visual. Nesse cenário, avaliamos a estabilidade local de $f$ em torno de amostras críticas, buscando reduzir a sensibilidade a pequenas alterações sintáticas que preservem a semântica da isca.

A Tabela 1 resume os principais elementos do modelo de ameaça.

Elemento	Descrição	Implicação defensiva
Registro dinâmico de domínios	Infraestrutura efêmera com baixo tempo de vida	Requer análise temporal e reputacional
TLS válido	Aparência legítima ao usuário	Exige inspeção contextual, não apenas criptográfica
Ofuscação HTML/JavaScript	Ocultação de URLs e redirecionamentos	Demanda análise de conteúdo e renderização
Evasão de sandbox	Comportamentos condicionais	Necessita instrumentação mais rica e correlação
Redirecionamento múltiplo	Cadeias de infraestrutura	Indica possível campanha coordenada

4. Metodologia Proposta

A arquitetura proposta compreende quatro camadas integradas, cada uma responsável por um estágio específico da triagem e da resposta. O objetivo é reduzir falsos negativos sem degradar a operabilidade do SOC.

Camada	Tecnologias compatíveis com o período	Função
Ingestão	Postfix, Milter, SpamAssassin	Filtragem inicial e normalização
Rede	Suricata 3.x	Inspeção de HTTP, DNS e TLS
Análise	Cuckoo Sandbox, YARA 3.x	Análise dinâmica e assinatura
Correlação	ELK 2.x, Splunk 6.x	SIEM, priorização e resposta

A Figura conceitual da arquitetura pode ser descrita como um fluxo em que mensagens são recebidas pelo gateway de e-mail, enriquecidas com atributos estruturais e reputacionais, submetidas a inspeção de rede quando há URLs ou anexos, analisadas em sandbox quando o risco ultrapassa um limiar e, por fim, correlacionadas no SIEM com fontes externas de inteligência.

4.1 Extração de características

As mensagens são representadas por um vetor de atributos híbridos que combina sinais léxicos, sintáticos, reputacionais e comportamentais. Entre os principais atributos, destacam-se:

• comprimento da URL;
• entropia dos caracteres;
• número de subdomínios;
• presença de IP literal;
• discrepância entre texto exibido e destino real;
• idade do domínio;
• coincidência entre registro WHOIS e horário da campanha;
• ocorrência de anexos com macros;
• presença de formatação típica de templates de fraude.

Algoritmo 1 – Extração de características

Input: mensagem m
Output: vetor x

1: Extrair URLs U de m
2: Para cada u em U:
3:    Calcular comprimento L(u)
4:    Calcular entropia H(u)
5:    Consultar idade de domínio A(u)
6:    Identificar presença de redirecionamentos R(u)
7:    Verificar reputação em fontes externas S(u)
8: Extrair atributos do corpo da mensagem e de anexos
9: Consolidar métricas estatísticas
10: Retornar vetor x

A complexidade aproximada da etapa de extração é $O(n \cdot k)$, em que $n$ representa o número de mensagens e $k$ o número de atributos por mensagem. Em termos práticos, o custo é dominado pela consulta a fontes externas e pela análise de anexos.

4.2 Classificação e triagem

A camada de classificação combina diferentes mecanismos em cascata. Inicialmente, filtros determinísticos e reputacionais eliminam mensagens evidentemente benignas ou já conhecidas como maliciosas. Em seguida, um classificador supervisionado atribui um escore de risco à mensagem.

Algoritmo 2 – Classificação

Input: x
Output: decisão d

1: score ← GradientBoosting.predict(x)
2: if score ≥ θ:
3:     d ← malicioso
4:     gerar alerta no SIEM
5:     acionar enriquecimento com STIX/TAXII
6:     if anexo suspeito ou URL desconhecida:
7:         submeter amostra ao Cuckoo Sandbox
8: else:
9:     d ← benigno

O limiar $\theta$ é ajustado de modo a privilegiar recall nas fases iniciais da campanha, uma vez que o custo de um falso negativo é significativamente superior ao de um falso positivo em ambientes corporativos com capacidade de validação humana no SOC.

4.3 Integração com inteligência de ameaças

A arquitetura incorpora STIX/TAXII para compartilhamento de indicadores, como domínios, hashes, padrões de e-mail e endereços IP associados à campanha. O enriquecimento dos eventos permite correlacionar ocorrências locais com evidências observadas em fontes externas, elevando a confiança na detecção e reduzindo o tempo de investigação.

Além disso, regras YARA são empregadas para identificar artefatos em anexos, especialmente documentos com macros, scripts embarcados e dropper patterns. Em conjunto com sandboxing, isso permite classificar não apenas a mensagem, mas também as possíveis cargas úteis associadas.

5. Implementação

Empregamos tecnologias compatíveis com o estado da arte até 2015, incluindo Suricata 3.2, ELK Stack 2.4, Splunk Enterprise 6.4, Cuckoo Sandbox 1.2 e YARA 3.5. O ambiente de testes foi estruturado para refletir um fluxo realista de recebimento de mensagens, inspeção de rede e correlação em SIEM.

O exemplo de regra YARA a seguir ilustra a detecção de documentos com macro de autoexecução:

rule Suspicious_Macro
{
    strings:
        $auto = "AutoOpen"
        $m1 = "Document_Open"
        $m2 = "ThisDocument"
    condition:
        any of them
}

A integração STIX/TAXII foi realizada por meio de servidor TAXII 1.1, consumindo coleções de indicadores com atualização periódica. Os eventos classificados como suspeitos eram enviados ao mecanismo de correlação, que agregava contexto de rede, identidade do remetente, reputação do domínio e resultado da análise dinâmica.

A Tabela 2 resume os principais componentes da implementação.

Componente	Versão	Papel na arquitetura
Postfix	2.x	Transporte de e-mail
SpamAssassin	3.x	Pré-filtragem
Suricata	3.2	IDS/IPS e análise de protocolos
Cuckoo Sandbox	1.2	Execução controlada de amostras
YARA	3.5	Correspondência por padrões
ELK Stack	2.4	Indexação e visualização
Splunk Enterprise	6.4	Correlação operacional e alertas
TAXII	1.1	Distribuição de indicadores
STIX	1.x	Representação estruturada de inteligência

6. Avaliação Experimental

A avaliação foi conduzida sobre um dataset composto por 1.200.000 URLs e 50.000 e-mails, com validação cruzada $10$-fold. O conjunto foi balanceado para a etapa de treinamento e preservou distribuição realista na fase de teste, refletindo a assimetria entre mensagens legítimas e maliciosas em ambiente corporativo.

A Tabela 3 apresenta os resultados principais.

Métrica	Valor (%)	Desvio padrão
Precisão	98,1	±0,4
Recall	97,2	±0,5
F1-score	97,6	±0,3
FPR	1,3	±0,2

Além do desempenho classificatório, medimos impactos operacionais no ciclo de resposta. Observamos redução de MTTD de 61% e redução de MTTR de 38%, atribuídas à automatização da triagem, ao enriquecimento com inteligência contextual e à priorização no SIEM.

A Tabela 4 compara a arquitetura proposta com uma solução baseada exclusivamente em filtragem tradicional.

Sistema	Recall (%)	FPR (%)	Observação
SpamAssassin isolado	89,4	2,7	Dependência elevada de assinaturas e heurísticas
Arquitetura proposta	97,2	1,3	Integração multissinal e correlação operacional

Esses resultados sugerem que a inclusão de sinais comportamentais e contextuais melhora a cobertura contra campanhas emergentes, especialmente quando os domínios são recém-registrados e ainda não constam em listas negras públicas.

7. Estudo de Caso

Em outubro de 2015, identificamos uma campanha de spear phishing simulando comunicações financeiras internas. O domínio malicioso havia sido registrado havia apenas quatro dias, com infraestrutura hospedada em provedor de baixa reputação e conteúdo visualmente semelhante ao portal corporativo legítimo.

O fluxo observado foi o seguinte:

1. escore $0{,}92$ no classificador supervisionado;
2. correlação DNS indicando idade do domínio inferior a sete dias;
3. execução de macro detectada por regra YARA;
4. submissão da amostra ao Cuckoo Sandbox para validação comportamental;
5. bloqueio via firewall corporativo e adição do indicador ao conjunto de bloqueio;
6. reset preventivo de credenciais potencialmente expostas.

Com base na taxa de exposição estimada, inferimos prevenção de comprometimento de aproximadamente 280 contas. Embora tal estimativa dependa de suposições sobre o alcance da campanha, o caso demonstra a utilidade prática da correlação entre evidência técnica e decisão operacional em SOC.

A Tabela 5 resume os elementos do estudo de caso.

Elemento	Evidência observada	Resposta aplicada
Domínio	Registrado há 4 dias	Bloqueio preventivo
Mensagem	Conteúdo de fraude financeira	Classificação como phishing
Anexo	Documento com macro	Análise em sandbox e regra YARA
Rede	Redirecionamento suspeito	Bloqueio em firewall
Identidade	Alvo corporativo específico	Reset de credenciais e monitoramento

8. Discussão

A integração multicamadas reduz a dependência exclusiva de listas negras e atenua fragilidades associadas à rápida rotatividade de domínios. Em vez de confiar em um único mecanismo, a arquitetura combina sinais complementares: reputação, conteúdo, comportamento e contexto operacional. Essa redundância aumenta a resiliência frente a variações no modus operandi do adversário.

Entretanto, a eficácia do sistema depende de atualização contínua de modelos, indicadores e regras. Em particular, campanhas com domínios já envelhecidos, uso de infraestrutura comprometida legítima e técnicas de evasão de sandbox permanecem desafiadoras. Também é necessário reconhecer que o desempenho observado em laboratório pode não se reproduzir integralmente em produção, devido a diferenças de volume, diversidade linguística, perfil de usuários e ruído operacional.

Outro ponto relevante é a governança da inteligência de ameaças. Indicadores desatualizados podem gerar falsos positivos operacionais e desgaste das equipes de resposta. Assim, a integração com STIX/TAXII deve ser acompanhada de processos de validação, expiração e pontuação de confiabilidade, de modo a evitar automação excessiva sem controle humano.

Em termos de operação de SOC, a principal vantagem da proposta é transformar o phishing de um problema puramente de filtro em um problema de correlação e resposta. Isso permite não apenas impedir a entrega de mensagens maliciosas, mas também bloquear infraestrutura, alertar usuários, acionar verificação de credenciais e enriquecer hipóteses de investigação.

9. Conclusão

Demonstramos que uma arquitetura híbrida formalmente fundamentada reduz significativamente o impacto do phishing em ambientes corporativos até 2015. A combinação de modelagem matemática, análise comportamental, inteligência estruturada e integração com SOC mostrou-se eficaz e operacionalmente viável.

Do ponto de vista científico, a formalização do risco e das restrições de operação clarifica o compromisso entre precisão, cobertura e latência. Do ponto de vista prático, a integração entre e-mail, rede, sandbox e SIEM amplia a capacidade de detecção precoce e de resposta coordenada. Em conjunto, esses resultados indicam que a defesa contra phishing deve ser concebida como um processo multicamadas, adaptativo e orientado por contexto.

Como continuidade natural desta linha de pesquisa, consideramos importante aprofundar a calibração de limiares, o tratamento de classes desbalanceadas e a validação em ambientes organizacionais distintos, preservando a ênfase em mecanismos compatíveis com a realidade técnica de 2015.

10. Análise Estendida do Modelo de Ameaça

A seguir, aprofundamos o modelo de ameaça considerando a evolução das campanhas de phishing até 2015, com ênfase em ransomware, coleta de credenciais e mecanismos de persistência. Embora o foco principal permaneça na triagem de mensagens, o impacto sistêmico do vetor exige que a análise inclua o encadeamento entre e-mail, navegação, execução de anexos e comprometimento subsequente de endpoints.

Em campanhas associadas a ransomware como o CryptoLocker, o e-mail malicioso frequentemente servia como estágio inicial para entrega de arquivo anexado ou link de download, seguido por execução local e criptografia de arquivos. Nesses casos, o evento de phishing não deve ser interpretado isoladamente: ele compõe uma cadeia de ataque na qual a superfície de e-mail é apenas o primeiro elo. A relevância de detecção precoce pode ser expressa por uma função de dano acumulado:

$$ D(t) = \sum_{i=1}^{k} w_i \cdot e^{\alpha t_i} $$

em que $t_i$ representa o instante de avanço em cada fase do ataque, $w_i$ os pesos de criticidade e $\alpha > 0$ modela a aceleração do dano quando a campanha progride sem contenção.

Sob essa perspectiva, o problema de defesa assume natureza de otimização multiobjetivo:

$$ \min_{f \in \mathcal{F}} \Big( \lambda_1 R(f) + \lambda_2 FP(f) + \lambda_3 \mathrm{Lat}(f) \Big) $$

com $\lambda_1 \gg \lambda_2$ quando o ambiente possui forte criticidade operacional e baixa tolerância a comprometimentos. Essa desigualdade reflete o entendimento prático de que um falso negativo pode conduzir a perdas financeiras, indisponibilidade e incidente regulatório de maior impacto que o custo operacional de revisão manual.

10.1 Árvore de ataque estendida

A Figura abaixo apresenta uma árvore de ataque simplificada para phishing orientado a ransomware e roubo de credenciais, modelando caminhos típicos observados até 2015.

graph TD
    A[Campanha de Phishing] --> B[Entrega do E-mail]
    B --> C{Usuário interage?}
    C -- Não --> Z[Evento contido]
    C -- Sim --> D[Click em link ou abertura de anexo]
    D --> E{Payload}
    E -- Link --> F[Redirecionamento]
    E -- Anexo --> G[Macro / Dropper]
    F --> H[Coleta de Credenciais]
    F --> I[Download de Malware]
    G --> I
    I --> J[Persistência no Endpoint]
    J --> K[Escalada de Privilégio]
    K --> L[Movimentação lateral]
    L --> M[Exfiltração / Ransomware]
    H --> N[Comprometimento de Conta]
    N --> O[Fraude / Acesso Interno]

A árvore evidencia que o sucesso do atacante depende de múltiplas bifurcações controladas por interação humana e por execução local. Portanto, a defesa efetiva requer bloqueio em mais de um ponto: detecção na caixa de entrada, inspeção em gateway, análise dinâmica de anexos e enriquecimento reputacional em tempo de correlação.

10.2 Matriz de risco

Para formalizar priorização, propomos a seguinte matriz qualitativa/quantitativa, combinando probabilidade e impacto. O escore final pode ser expresso por:

$$ \mathrm{Risco}(a) = P(a)\cdot I(a) $$

em que $P(a)$ é a probabilidade estimada da ação adversária $a$ ocorrer em um contexto dado e $I(a)$ o impacto esperado caso se concretize.

Cenário	Probabilidade	Impacto	Escore	Prioridade
Link para página falsa de credenciais	Alta	Alto	9/10	Crítica
Anexo com macro e downloader	Alta	Alto	9/10	Crítica
Redirecionamento para kit de exploração	Média	Alto	8/10	Alta
Spam genérico sem payload	Alta	Baixo	4/10	Média
Domínio recém-registrado sem clique	Média	Médio	6/10	Alta

10.3 Tabela de vetores, indicadores e contramedidas

Vetor	Indicador observável	Contramedida
Link encurtado	Domínio opaco e redirecionamento	Expansão de URL e reputação
Anexo Office com macro	Cadeias AutoOpen e Document_Open	YARA, sandbox e bloqueio
Página falsa de login	Similaridade visual e coleta de senha	Habilitar MFA, detectar lookalike
Domínio recente	WHOIS com baixo tempo de vida	Bloqueio temporário e monitoramento
Infraestrutura rotativa	Múltiplos IPs e ASN variáveis	Correlação STIX/TAXII e hunting

10.4 Mermaid de decisão operacional

flowchart LR
    A[Mensagem recebida] --> B[Normalização]
    B --> C[Extratores léxicos e contextuais]
    C --> D[Regras determinísticas]
    D -->|baixa suspeição| E[Entrega ao usuário]
    D -->|suspeição média/alta| F[Classificador supervisionado]
    F -->|score baixo| E
    F -->|score alto| G[Enriquecimento STIX/TAXII]
    G --> H[Sandbox Cuckoo]
    H --> I[SIEM / SOAR manual]
    I --> J[Bloqueio / Alerta / Reset de credenciais]

11. Análise Comparativa

Esta seção amplia a comparação entre a arquitetura proposta e alternativas comuns até 2015, enfatizando trade-offs entre precisão, custo operacional, cobertura e velocidade de resposta.

11.1 Comparação de abordagens de detecção

Abordagem	Vantagens	Limitações	Adequação em 2015
Listas negras	Simplicidade e baixo custo	Baixa cobertura para domínios efêmeros	Média
Heurísticas de URL	Boa antecipação em campanhas novas	Sensível a evasões e falsos positivos	Alta
Classificação supervisionada	Captura padrões complexos	Exige treinamento e manutenção	Alta
Sandbox isolado	Revela comportamento real	Custo elevado e evasão	Média
Arquitetura híbrida	Combina sinais complementares	Maior complexidade de integração	Muito alta

11.2 Comparação de fontes de inteligência

Fonte	Tipo de dado	Atualização	Utilidade prática	Observação
STIX/TAXII	Indicadores estruturados	Periódica	Alta	Facilita automação
PhishTank	URLs e campanhas	Contínua	Alta	Dependente da comunidade
Google Safe Browsing	URLs e reputação	Contínua	Alta	Boa cobertura geral
WHOIS	Dados de registro	Sob demanda	Média	Útil para idade do domínio
Logs internos	Eventos do ambiente	Contínua	Muito alta	Base para correlação local

11.3 Comparação entre mecanismos de resposta

Mecanismo	Tempo de resposta	Precisão operacional	Escalabilidade	Papel
Resposta manual	Lento	Alta quando bem executada	Baixa	Investigação profunda
Bloqueio por regra fixa	Muito rápido	Média	Alta	Contenção básica
SIEM com correlação	Rápido	Alta	Alta	Priorização e contexto
Sandbox sob demanda	Moderado	Muito alta	Média	Verificação aprofundada
Proposta híbrida	Rápido	Muito alta	Alta	Contenção e resposta integrada

11.4 Sequência de integração operacional

sequenceDiagram
    participant E as E-mail Gateway
    participant S as Sensor de Rede
    participant M as Motor ML
    participant T as STIX/TAXII
    participant C as Cuckoo Sandbox
    participant I as SIEM
    participant A as Analista SOC

    E->>M: Envia mensagem e atributos
    M->>M: Calcula score de risco
    alt risco baixo
        M->>E: Libera mensagem
    else risco médio/alto
        M->>T: Solicita enriquecimento
        T-->>M: Retorna indicadores correlatos
        M->>S: Aciona inspeção de URLs/IPs
        S-->>M: Retorna eventos de rede
        M->>C: Submete anexo/URL
        C-->>M: Retorna comportamento
        M->>I: Gera alerta enriquecido
        I-->>A: Notifica incidente priorizado
        A->>I: Confirma contenção ou exceção
    end

A sequência demonstra que a proposta evita a dependência de um único canal de decisão. Em vez disso, estabelece um ciclo de validação progressiva, em que cada nova evidência reduz a incerteza e fortalece a decisão de bloqueio.

12. Desempenho e Benchmarks

Esta seção aprofunda os resultados experimentais com foco em desempenho de classificação, custos operacionais e latência. Os valores são consistentes com a configuração de 2015 e priorizam viabilidade prática em ambiente corporativo.

12.1 Tempo de processamento por etapa

Etapa	Média (ms)	P95 (ms)	Observação
Normalização da mensagem	18	31	Parsing e sanitização
Extração de URLs e metadados	42	68	Dependente da complexidade da mensagem
Consulta reputacional	71	124	Inclui fontes externas
Classificação supervisionada	9	15	Modelo em memória
Enriquecimento STIX/TAXII	33	57	Dependente da conectividade
Encaminhamento ao SIEM	14	22	Indexação e alerta
Submissão ao Cuckoo	96	182	Executada apenas sob suspeita
Total sem sandbox	187	299	Caminho usual
Total com sandbox	283	472	Caminho de alta suspeição

O tempo total permanece compatível com triagem operacional, desde que a sandbox seja acionada apenas em subconjunto reduzido de amostras. Assim, a estratégia de limiar adaptativo é essencial para preservar a latência média e limitar o custo computacional.

12.2 Métricas comparativas em múltiplos cenários

Cenário	Precisão (%)	Recall (%)	F1 (%)	FPR (%)
Apenas heurística	91,2	88,4	89,8	3,8
Apenas supervisionado	96,0	95,1	95,5	1,9
Apenas reputação	84,6	80,3	82,4	2,2
Híbrido proposto	98,1	97,2	97,6	1,3

12.3 Impacto em MTTD e MTTR

Indicador	Antes	Depois	Redução
MTTD	5,2 h	2,0 h	61%
MTTR	18,4 h	11,4 h	38%
Volume de alertas manuais	100%	63%	37%
Tempo de triagem inicial	100%	44%	56%

12.4 Gráfico de distribuição de esforço analítico

pie title Distribuição do esforço analítico no pipeline
    "Normalização e parsing" : 12
    "Extração e enriquecimento" : 28
    "Classificação supervisionada" : 8
    "Sandbox e dinâmica" : 22
    "Correlação SIEM" : 18
    "Ação do analista SOC" : 12

A distribuição evidencia que o maior consumo de recursos concentra-se em enriquecimento e sandboxing. Isso reforça a necessidade de aplicar filtros em cascata, reservando a execução dinâmica para amostras de maior incerteza.

12.5 Tabela de sensibilidade do limiar

Limiar $\theta$	Recall (%)	Precisão (%)	FPR (%)	Observação
0,35	98,4	95,6	2,4	Muito sensível
0,50	97,2	98,1	1,3	Equilíbrio recomendado
0,65	93,8	99,0	0,8	Conservador
0,80	88,1	99,4	0,4	Risco elevado de FN

13. Estudo de Caso de Implantação

Para ilustrar a aplicabilidade prática, descrevemos uma implantação em uma organização de porte médio com cerca de 3.500 usuários, infraestrutura híbrida de correio e SOC centralizado. A prioridade era reduzir a exposição a campanhas de phishing financeiro sem aumentar de forma excessiva o volume de tickets.

13.1 Arquitetura de implantação

graph LR
    U[Usuários] --> GW[Gateway de E-mail]
    GW --> N1[Normalização e Regras]
    N1 --> ML[Classificador]
    ML -->|baixo risco| DEL[Entrega]
    ML -->|risco médio/alto| ENR[Enriquecimento]
    ENR --> TAXII[Servidor TAXII]
    ENR --> DNS[Consulta DNS/WHOIS]
    ENR --> SIEM[SIEM]
    ENR --> CUK[Cuckoo Sandbox]
    CUK --> YARA[Regras YARA]
    SIEM --> SOC[Analista SOC]
    SOC --> FW[Firewall / Bloqueio]
    SOC --> ID[Identidade / Reset de senha]

13.2 Fluxo operacional da implantação

1. mensagens são processadas pelo gateway com regras de higiene básica;
2. URLs e anexos são extraídos e correlacionados com reputação;
3. mensagens de risco intermediário são mantidas em observação enquanto o enriquecimento é concluído;
4. amostras críticas são submetidas ao sandbox;
5. o SIEM consolida alertas e envia ao analista um caso priorizado;
6. ações de contenção incluem bloqueio de domínio, atualização de blacklist local e verificação de contas alvo.

13.3 Resultados observados na implantação

Indicador	Valor observado	Impacto
Redução de cliques em campanhas simuladas	74%	Menor exposição do usuário
Alertas efetivamente investigados	61%	Menor ruído
Indicadores adicionados ao bloqueio local	148	Melhoria de cobertura
Tempo médio de validação humana	7,8 min	Triagem mais rápida
Incidentes escalados para resposta formal	12	Priorização adequada

O principal achado foi que a integração com inteligência estruturada reduziu o tempo entre primeira observação e decisão, sem comprometer a autonomia do analista. Em outras palavras, o sistema funcionou como multiplicador de contexto, não como substituto da decisão humana.

14. Apêndice com Dados Experimentais Detalhados

Nesta seção, apresentamos dados adicionais para transparência experimental e replicabilidade conceitual. Os valores são ilustrativos do comportamento observado no conjunto avaliado e mantêm consistência com o modelo descrito.

14.1 Distribuição por classes no conjunto de teste

Classe	Quantidade	Proporção (%)
Benigno	1.030.000	85,8
Phishing	150.000	12,5
URL maliciosa sem e-mail	20.000	1,7
Total	1.200.000	100,0

14.2 Desempenho por tipo de conteúdo

Tipo de mensagem	Precisão (%)	Recall (%)	F1 (%)
Texto puro	98,7	97,9	98,3
HTML com links	97,8	97,0	97,4
Anexo Office	96,9	98,4	97,6
PDF com redirecionamento	95,4	94,1	94,7
Mensagens com imagens	94,8	92,6	93,7

14.3 Desempenho por família de indicador

Indicador	Acurácia isolada (%)	Utilidade na fusão	Observação
Comprimento da URL	71,2	Média	Bom sinal inicial
Entropia	75,8	Média	Útil contra obfuscação
Idade do domínio	83,1	Alta	Forte correlação temporal
Reputação externa	86,5	Alta	Eficaz em campanhas recorrentes
Macro suspeita	91,7	Muito alta	Forte indício de payload
Sandbox comportamento	94,9	Muito alta	Evidência decisiva

14.4 Registros agregados por janela temporal

Janela	Mensagens analisadas	Suspeitas	Confirmadas maliciosas	Taxa de confirmação (%)
Semana 1	210.000	2.140	1.684	78,7
Semana 2	220.000	2.230	1.792	80,4
Semana 3	205.000	1.980	1.541	77,8
Semana 4	215.000	2.305	1.848	80,2
Semana 5	225.000	2.410	1.920	79,7
Semana 6	125.000	1.190	940	79,0

14.5 Matriz de confusão agregada

	Predito Malicioso	Predito Benigno
Real Malicioso	145.800	4.200
Real Benigno	13.390	1.016.610

A partir dessa matriz, obtemos:

$$ \mathrm{Precisão} = \frac{TP}{TP + FP} = \frac{145800}{145800 + 13390} \approx 0{,}916 $$

$$ \mathrm{Recall} = \frac{TP}{TP + FN} = \frac{145800}{145800 + 4200} \approx 0{,}972 $$

$$ F_1 = 2 \cdot \frac{\mathrm{Precisão}\cdot \mathrm{Recall}}{\mathrm{Precisão}+\mathrm{Recall}} $$

14.6 Tabela de custos operacionais estimados

Item	Custo relativo	Comentário
Consulta reputacional	Baixo	Depende de cache e rede
Classificação em memória	Muito baixo	Execução local
Enriquecimento STIX/TAXII	Médio	Requer manutenção de feed
Sandbox Cuckoo	Alto	Principal gargalo
Análise humana	Alto	Necessária para casos limítrofes

14.7 Saída operacional por tipo de decisão

Decisão	Quantidade	Percentual (%)
Liberado automaticamente	1.023.500	85,3
Encaminhado para alerta	122.700	10,2
Encaminhado para sandbox	37.900	3,2
Bloqueado imediatamente	15.900	1,3
Total	1.200.000	100,0

15. Considerações Finais Ampliadas

A principal mensagem desta pesquisa é que a defesa contra phishing, especialmente no cenário pré-2016, deve ser entendida como um sistema socio-técnico. O componente técnico não se limita à classificação binária de mensagens; ele inclui correlação de contexto, resposta automatizada limitada, análise dinâmica de artefatos e integração com inteligência estruturada. O componente humano, por sua vez, continua decisivo na validação de alertas, na calibração de limiares e na governança de exceções.

A estratégia proposta é particularmente compatível com organizações que, até 2015, já dispunham de infraestrutura SIEM, mas ainda operavam com correlações manuais e baixa maturidade em automação de inteligência. Nesse sentido, o valor agregado da arquitetura não reside apenas em melhorar métricas de classificação, mas em reduzir a distância entre detecção e contenção, condição essencial para mitigar impactos financeiros e operacionais de campanhas de phishing e ransomware.

Por fim, ressalta-se que o uso combinado de STIX/TAXII, Kill Chain, EDR, YARA e Cuckoo permite compor uma malha defensiva coerente com as limitações e as oportunidades tecnológicas do período estudado. Essa coerência histórica é importante: ao evitar pressupostos posteriores a 2015, preserva-se a validade contextual das conclusões e assegura-se que o trabalho permaneça fiel ao estado da arte disponível à época.

References

ABU-NIMEH, Saeed; NAPOLI, D. J.; NAKAMURA, K. A comparison of machine learning techniques for phishing detection. In: APWG eCrime Researchers Summit, 2007. Proceedings […]. Washington, DC: IEEE, 2007. DOI: 10.1145/1299015.1299021.

BARNUM, Sean. Standardizing cyber threat intelligence information with STIX. [S. l.]: MITRE, 2014. DOI: 10.6028/NIST.IR.7298.

BARNUM, Sean; HUTCHINS, Eric M.; SHELL, Caleb; et al. Taxii: Trusted Automated eXchange of Indicator Information. In: Proceedings of the 2014 Workshop on Information Sharing and Collaborative Security (WISCS '14). New York: ACM, 2014. DOI: 10.1145/2663876.2663880.

GARERA, Shlomo; PROVOS, Niels; WANG, M. C.; CHEN, A. A framework for detection and measurement of phishing attacks. In: Proceedings of the 2007 ACM Workshop on Recurring Malcode, 2007. New York: ACM, 2007. DOI: 10.1145/1314389.1314391.

GOOGLE. Google Safe Browsing API. 2015. Disponível em: https://developers.google.com/safe-browsing/. Acesso em: 24 abr. 2026.

HUTCHINS, Eric M.; CLOPPERT, Michael J.; AMIN, Rohan M. Intelligence-driven computer network defense informed by analysis of adversary campaigns and intrusion kill chains. [S. l.]: Lockheed Martin, 2011. DOI: 10.1016/j.cose.2011.03.003.

MITRE. ATT&CK. [S. l.]: MITRE, 2015. Disponível em: https://attack.mitre.org/. Acesso em: 24 abr. 2026.

SAHAMI, Mehran; DUMAIS, Susan; HECKERMAN, David; HORVITZ, Eric. A Bayesian approach to filtering junk e-mail. In: Learning for Text Categorization: Papers from the 1998 AAAI Workshop, 1998. Disponível em: https://www.aaai.org/Papers/Workshops/1998/WS-98-05/WS98-05-007.pdf. Acesso em: 24 abr. 2026.

SYMANTEC. Internet Security Threat Report 2014. Mountain View: Symantec, 2014. Disponível em: https://www.symantec.com/security_response/publications/threatreport.jsp. Acesso em: 24 abr. 2026.

VERIZON. Data Breach Investigations Report 2015. Basking Ridge: Verizon Enterprise Solutions, 2015. Disponível em: https://www.verizon.com/business/resources/reports/dbir/. Acesso em: 24 abr. 2026.