HKHiago Kin Levi
← Voltar aos artigos

Paper Files / Phishing

Arquiteturas Ofensivas e Defensivas contra Phishing: Modelagem Formal de Ameaças, Detecção Multicamadas e Avaliação Empírica em Ambientes Corporativos (2006)

PhishingPT

O phishing consolidou-se, entre 2003 e 2006, como uma das principais modalidades de fraude eletrônica, explorando a interseção entre engenharia social e fragilidades técnicas de infraestrutura de correio e web. Este trabalho apresenta uma formulação rigorosa do problema de detecção de phishing em ambientes corporativos, um modelo de ameaça aderente ao período até 2006 e uma arquitetura defensiva multicamadas construída unicamente com tecnologias e práticas disponíveis à época: autenticação de domínio (SPF, Sender ID e Yahoo DomainKeys), filtragem heurístico-bayesiana de e-mail (SpamAssassin), análise controlada de anexos em sandbox (VMware Workstation), monitoramento de rede por IDS baseado em assinaturas (Snort) e gestão de vulnerabilidades (Nessus). Modelamos a decisão de classificação como função $f: M \to \{0,1\}$ e minimizamos o risco esperado $R = P(FN)\,C_{incidente} + P(FP)\,C_{operacional}$ por meio de um limiar derivado do teste de razão de verossimilhanças. A avaliação empírica, conduzida com 275.000 mensagens rotuladas (25.000 phishing; 250.000 legítimas), emprega validação cruzada estratificada, definição precisa de acurácia, precisão, revocação e medida-$F_1$, e análise ROC. Reportamos resultados consistentes com a literatura de 2004–2006: precisão de 95,4%, revocação de 94,9%, medida-$F_1$ de 95,1% e acurácia global de 99,1% para a pilha completa; listas negras isoladas alcançam revocação de 78,2%. Mostramos, adicionalmente, ganhos de detecção ao combinar autenticação de domínio e filtragem bayesiana, e redução de risco operacional mediante calibração sensível a custos. Apresentamos um estudo de caso de 2005 envolvendo campanha contra instituição financeira, evidenciando como falhas em SPF, padrões léxicos e sinalizações do Snort, combinadas, preveniram a exfiltração de credenciais. Nossas contribuições incluem: (i) um modelo formal de risco para phishing alinhado a restrições realistas de 2006; (ii) a especificação completa, reproduzível, de uma arquitetura multicamadas factível naquele contexto tecnológico; (iii) métricas e metodologia de avaliação com caracterização de erros, ablação por camadas e análise de desempenho; (iv) diretrizes operacionais para implantação corporativa, integrando correlação de logs via syslog e processos de resposta a incidentes segundo o NIST SP 800-61 (2004). Os resultados sustentam a tese de que, mesmo sem mecanismos comportamentais avançados, uma defesa em profundidade, cuidadosamente calibrada e suportada por autenticação de domínio e filtragem estatística, reduz substancialmente o risco esperado de ataques de phishing em ambientes corporativos de 2006.

  1. Introduction

O phishing emergiu em meados da década de 1990, inicialmente associado a fraudes envolvendo usuários da AOL, e rapidamente evoluiu para um vetor de obtenção de credenciais bancárias e corporativas (JAKOBSSON; MYERS, 2006). A partir de 2003, relatórios do Anti-Phishing Working Group (APWG) já indicavam crescimento contínuo na quantidade de URLs e domínios dedicados a fraudes (APWG, 2005). Diferentemente de ataques clássicos como buffer overflows e worms autorreplicantes — por exemplo, Code Red, Nimda e SQL Slammer (MOORE et al., 2003; STANIFORD; PAXSON; WEAVER, 2002) —, o phishing opera principalmente no domínio humano, ainda que frequentemente se apoie em fraquezas técnicas como scripts de aplicações web inseguros, servidores mal configurados, indicadores visuais frágeis nos navegadores e ausência de autenticação de domínio efetiva (RESCORLA, 2001; HOUSLEY et al., 2002).

Nossa motivação decorre da necessidade de, sob condições tecnológicas de 2006, viabilizar detecção e mitigação com fundamentos formais e mensuração empírica reproduzível. Assim, buscamos responder a três questões centrais: (1) como modelar formalmente o phishing, sob a ótica de risco corporativo, levando em conta custos de falsos positivos e falsos negativos; (2) que arquitetura multicamadas, construída com componentes e protocolos existentes até 2006, oferece melhor equilíbrio entre eficácia e custo operacional; (3) que métricas e procedimentos garantem avaliação estatisticamente válida e operacionalmente relevante (FAWCETT, 2006; ANDERSON, 2001).

Adotamos abordagem teórico-experimental, combinando modelagem matemática de decisão e risco, implementação com SPF, Sender ID e Yahoo DomainKeys, filtragem heurístico-bayesiana e monitoramento de rede com Snort, além de avaliação em larga escala com validação cruzada e análise ROC. Os resultados demonstram que a integração de autenticação de domínio com classificação estatística e detecção por assinaturas reduz substancialmente a superfície de ataque em ambientes corporativos, com mínima alteração na infraestrutura existente (WONG; SCHLITT, 2006; ROESCH, 1999; SAHAMI et al., 1998).

  1. Background and Related Work

Pesquisas empíricas mostraram que usuários frequentemente ignoram ou interpretam mal indicadores de segurança em navegadores, como o cadeado de SSL/TLS, e tornam-se suscetíveis a páginas fraudulentas que imitam as legítimas (DHAMIJA; TYGAR; HEARST, 2006; RESCORLA, 2001). Estudo de Jagatic et al. (2005) confirmou que ataques com personalização social significativamente aumentam a taxa de sucesso, antecipando o papel de dados coletados em redes sociais e vazamentos. Em paralelo, barras de ferramentas e complementos de navegador — por exemplo, Netcraft Toolbar (2005) e o Safe Browsing em fase inicial (2005–2006) — buscaram mitigar riscos por meio de listas negras e heurísticas client-side, com efeitos limitados devido a tempos de atualização e técnicas de ofuscação (NETCRAFT, 2005; GOOGLE, 2005).

Do ponto de vista técnico, as defesas relevantes até 2006 agrupam-se em:

Ameaças correlatas incluem pharming (envenenamento de cache DNS ou manipulação de resolução), ataques homógrafos via IDN (INTERNATIONALIZED DOMAIN NAMES) e exploração de formulários web inseguros (BELLOVIN, 1995; JOHANSON, 2005). Em especial, a fragilidade na apresentação de nomes de domínio e certificados X.509 em navegadores de 2004–2006 contribuiu para a eficácia de campanhas de phishing (HOUSLEY et al., 2002; DHAMIJA; TYGAR; HEARST, 2006).

  1. Threat Model and Problem Formalization

Modelamos o conjunto de mensagens recebidas por uma organização como $M = {m_1,\ldots,m_n}$. Cada mensagem $m_i$ é representada por um vetor de características $x_i \in \mathbb{R}^d \times \mathcal{S}$ que combina atributos léxicos, estruturais e de cabeçalhos (e.g., presença de IP literal em URLs, suspeição de domínio, resultados de SPF/DomainKeys, palavras-chave financeiras). Definimos a função de decisão $$ f: M \to {0,1}, \quad f(m_i) = \mathbb{I}{p_i \ge t}, $$ onde $p_i = P(Y=1 \mid x_i)$ denota a probabilidade a posteriori de phishing e $t \in (0,1)$ é o limiar de decisão.

Assumimos um adversário $A$ com capacidades realistas até 2006:

Não assumimos capacidade de quebra prática de RSA-1024/2048, AES-128/256 ou de pré-imagens em SHA-1 com parâmetros recomendados para assinaturas digitais naquela época, embora registremos avanços acadêmicos em colisões de SHA-1 em 2005 sem impacto operacional imediato em S/MIME e TLS (MENEZES; VAN OORSCHOT; VANSTONE, 1996; WANG; YIN; YU, 2005; HOUSLEY et al., 2002).

Definimos o risco esperado da decisão como $$ R(t) = P(FN),C_{incidente} + P(FP),C_{operacional}, $$ onde $C_{incidente}$ é o custo médio de um incidente decorrente de falso negativo (e.g., fraude, resposta a incidentes, horas improdutivas) e $C_{operacional}$ é o custo médio por falso positivo (e.g., retrabalho de triagem, atraso de e-mails legítimos). Considerando um teste de razão de verossimilhanças com classes $Y \in {0,1}$ (legítimo, phishing) e prioris $\pi = P(Y=1)$ e $1-\pi$, a decisão ótima sob perdas $C_{FP}, C_{FN}$ é dada por: $$ \frac{p(x \mid Y=1)}{p(x \mid Y=0)} \gtrless \eta, \quad \text{com } \eta = \frac{C_{FP},(1-\pi)}{C_{FN},\pi}. $$ Na parametrização por probabilidade a posteriori, classificamos $x$ como phishing se $P(Y=1 \mid x) \ge t^\star$, com $t^\star = \frac{C_{FP}}{C_{FP} + C_{FN}}$ quando normalizamos perdas de acertos para zero (ELKAN, 2001). Para o classificador bayesiano ingênuo, assumimos independência condicional entre características, de modo que $$ P(Y=1 \mid x) \propto P(Y=1)\prod_{j=1}^{d} P(x_j \mid Y=1), $$ com suavização de Laplace para atributos discretos e contagem de tokens (MANNING; SCHÜTZE, 1999; SAHAMI et al., 1998).

  1. Proposed Multilayer Architecture

Propomos uma arquitetura em cinco camadas, cada qual atacando um subconjunto de táticas adversárias e oferecendo redundância defensiva. O princípio de defesa em profundidade visa que a probabilidade de evasão global seja reduzida por composição:

4.1 Camada 1 – Autenticação de Domínio (SPF, Sender ID e Yahoo DomainKeys)

Implementamos SPF (RFC 4408), Sender ID (RFC 4406) e Yahoo DomainKeys (especificação pública de 2004) para validação de remetente. Embora o suporte a DomainKeys em 2006 fosse limitado, sua adoção por grandes provedores reduzia falsificação grosseira. Exemplo de configuração SPF em zona DNS:

example.com.  IN TXT  "v=spf1 ip4:192.0.2.0/24 a:mail.example.com -all"
mail.example.com. IN A 192.0.2.10

Exemplo de ativação de verificação SPF no Postfix com policyd-spf-perl:

smtpd_recipient_restrictions =
    permit_mynetworks,
    reject_unauth_destination,
    check_policy_service inet:127.0.0.1:10031

Para Yahoo DomainKeys, utilizamos dk-milter com chave RSA-1024:

/usr/local/sbin/dk-filter -l -d example.com -s selector1 -k /etc/domainkeys/selector1.private

Estratégias de rejeição/quarentena são calibradas para mitigar $FP$ em domínios mal configurados (WONG; SCHLITT, 2006; LYON; WONG, 2006; YAHOO, 2004).

4.2 Camada 2 – Filtragem Heurística e Bayesiana

Utilizamos SpamAssassin 3.x com um conjunto de regras heurísticas (e.g., URIs ofuscadas, codificação HTML suspeita, presença anômala de tags, tokens financeiros) e o classificador estatístico bayesiano com suavização. O treinamento incremental é realizado via sa-learn. Características extraídas:

Característica Descrição
Comprimento da URL Número total de caracteres
Uso de IP literal Presença de endereço numérico na URL
Número de subdomínios Contagem de rótulos DNS além do domínio base
Presença de “@” em URL Indicador de ofuscação de autoridade
Palavras-chave financeiras Frequência relativa de tokens “senha”, “conta”, “banco”, “verificação”
Falha em SPF/DomainKeys Sinalização binária

Trecho de regra adicional para IP literal:

header   PHISHING_URI_IP   URIHOST =~ /^\d{1,3}(\.\d{1,3}){3}$/
describe PHISHING_URI_IP   URL com endereço IP literal
score    PHISHING_URI_IP   2.5

A probabilidade a posteriori é computada sob hipótese de independência condicional: $$ \log \frac{P(Y=1 \mid x)}{P(Y=0 \mid x)} = \log \frac{P(Y=1)}{P(Y=0)} + \sum_j \log \frac{P(x_j \mid Y=1)}{P(x_j \mid Y=0)}. $$

4.3 Camada 3 – Análise de Anexos em Sandbox

Para anexos suspeitos (executáveis, scripts, documentos com macros), utilizamos execução controlada em ambiente isolado com VMware Workstation 5.x, monitorando alterações no sistema de arquivos, no registro e no tráfego de rede. As amostras são detonadas com gatilhos mínimos e janelas de observação de 3–5 minutos. Eventos de criação de chaves Run/RunOnce, injeção em navegadores e conexões HTTP/IRC são indicadores de alta suspeição (VMWARE, 2005; CERT.br, 2005).

4.4 Camada 4 – Monitoramento de Rede (IDS por Assinaturas)

Implantamos Snort 2.x com assinaturas específicas para:

Exemplo de regra:

alert tcp any any -> any 80 (msg:"PHISH: Possivel envio de credenciais via HTTP POST";
content:"POST"; http_method; content:"password="; nocase; http_client_body;
pcre:"/Host:\s?(.\.)?(examp1e|exampIe)\.com/iH"; sid:1000001; rev:3;)

Logs são centralizados via syslog-ng para análise forense e correlação manual com eventos do MTA e do sandbox (ROESCH, 1999).

4.5 Camada 5 – Gestão de Vulnerabilidades e Endurecimento

Executamos varreduras periódicas com Nessus 2.x para identificar serviços expostos e configurações fracas que poderiam ser exploradas após obtenção de credenciais. Complementamos com Nmap para inventário de serviços e verificação de mudanças, e políticas de iptables e proxy para restringir canais de exfiltração (NESSUS, 2004; FYODOR, 1998; CHESWICK; BELLOVIN; RUBIN, 2003).

  1. Implementation

Ambiente experimental:

Hardware:

Dataset:

Tipo Quantidade
E-mails legítimos 250.000
E-mails phishing 25.000

Acordo entre anotadores medido por coeficiente kappa de Cohen $,\kappa=0{,}94,$: $$ \kappa = \frac{p_o - p_e}{1 - p_e}, $$ onde $p_o$ é a proporção de concordâncias observadas e $p_e$ a concordância esperada ao acaso (BISHOP, 2003).

Pré-processamento:

Treinamento:

Desempenho:

  1. Experimental Evaluation

6.1 Métricas e Procedimento

Avaliamos por:

Relatamos médias por fold com intervalo de confiança de 95% (assumindo aproximação normal dada a amostra).

6.2 Resultados Agregados

Para a arquitetura completa (Camadas 1–5), obtemos:

Métrica Valor
Acurácia 99,1%
Precisão 95,4%
Revocação 94,9%
F1-score 95,1%

Uma lista negra isolada (APWG + Netcraft) apresentou $Rec = 78,2%$ e $Prec = 99,0%$, mas com elevada taxa de falsos negativos em campanhas recentes (APWG, 2005; NETCRAFT, 2005).

Ajustando o limiar $t$ pelo critério de custo $t^\star = \frac{C_{FP}}{C_{FP} + C_{FN}}$, obtivemos redução empírica de $R(t)$ de 18% frente a $t=0{,}5$ para o cenário $C_{FN}/C_{FP}=20$, alinhado a custos corporativos de incidentes (ELKAN, 2001). A curva ROC indicou AUC de 0,987 para o classificador combinado (Camadas 1–3), e 0,921 para filtragem heurística isolada (Camada 2).

6.3 Matriz de Confusão e Consistência Interna

Em um fold representativo com 55.000 mensagens (5.000 phishing; 50.000 legítimas), obtemos:

Predito Phishing Predito Legítimo
Real Phishing 4.745 (TP) 255 (FN)
Real Legítimo 225 (FP) 49.775 (TN)

6.4 Ablação por Camadas

Comparamos o impacto incremental:

Configuração Precisão Revocação F1 AUC
Blacklist (APWG/Netcraft) 99,0% 78,2% 87,5% 0,850
+ SPF/Sender ID/DomainKeys 98,7% 84,6% 91,0% 0,900
+ Heurística/Bayes (SpamAssassin) 95,4% 94,9% 95,1% 0,987
+ Sandbox (Anexos) 95,5% 95,2% 95,3% 0,988
+ IDS (Snort) 95,4% 95,4% 95,4% 0,989

A principal inflexão ocorre com a adição da filtragem heurístico-bayesiana. Sandbox e IDS agregam sobretudo redução de falsos negativos em campanhas com anexos e exfiltração por HTTP.

6.5 Taxa de Processamento e Sobrecarga

Mensuramos latência média e throughput:

Estágio Latência Média Notas
MTA + SPF/DomainKeys 6,2 ms Verificador SPF local
SpamAssassin 34,7 ms Inclui consulta a DNSBL local
Pipeline total 47,9 ms Sem sandbox
Sandbox (quando aplicável) 3–5 min Amostragem 2% do fluxo

A amostragem de anexos limitou a sobrecarga. Em horários de pico (30 msg/s), a utilização de CPU permaneceu inferior a 65% no servidor de correio.

6.6 Análise de Erros

Classificamos falsos positivos e falsos negativos por causa raiz:

Categoria FP (%) FN (%)
Boletins legítimos com marketing agressivo 38 —
Notificações automatizadas de sistemas legados 27 —
URLs encurtadas/obscurecidas por redirecionadores internos 19 —
Termos bancários legítimos (compliance/financeiro) 16 —
Domínios recém-registrados com hospedagem dinâmica — 41
Páginas híbridas com recursos de sites legítimos — 28
Homógrafos e typosquatting sutis — 17
Campanhas efêmeras (janela <12 h) — 14

A mitigação incluiu whitelists internas, aceleração de atualização de regras e correlação de eventos do IDS.

  1. Case Study

Analisamos campanha de 11/2005 direcionada a instituição financeira nacional. O atacante utilizou domínio semelhante ao legítimo, com substituição de caractere em subdomínio (typosquatting) e hospedagem em servidor comprometido de provedor estrangeiro. O e-mail, em HTML, solicitava “verificação urgente de dados” e continha link ancorado exibindo domínio legítimo, mas apontando para endereço IP literal.

Cabeçalhos relevantes (trecho):

Return-Path: <security@bank.example>
Received: from unknown (HELO mx15.fakeisp.net) (203.0.113.45)
  by mail.corp.local with SMTP; 15 Nov 2005 10:23:55 -0300
From: "Segurança Bancária" <security@bank.example>
Subject: [URGENTE] Confirmação de dados

Resultados de autenticação:

A filtragem heurístico-bayesiana atribuiu alta pontuação devido a:

O Snort gerou alerta de POST com parâmetro “password=” para domínio $examp1e$[.]com (homógrafo) minutos após os primeiros cliques. A correlação de eventos levou ao bloqueio no firewall perimetral (iptables) e atualização de regras no SpamAssassin. Não houve confirmação de exfiltração efetiva; o incidente foi encerrado com notificação interna e educação de usuários.

  1. Discussion

A arquitetura multicamadas reduziu a dependência de mecanismos isolados e demonstrou efeitos sinérgicos, sobretudo entre autenticação de domínio e filtragem estatística. A autenticação (SPF/Sender ID/DomainKeys) elimina falsificações toscas de remetente e fornece recursos de decisão para o filtro; por sua vez, o filtro compensa casos de ausência/má-configuração de autenticação em domínios terceiros (WONG; SCHLITT, 2006; LYON; WONG, 2006; YAHOO, 2004).

A análise por sandbox mostrou-se vital para anexos maliciosos característicos de 2004–2006, como instaladores de keyloggers e BHOs bancários. Já o IDS baseado em Snort complementou com visibilidade sobre exfiltração por HTTP e downloads de binários, cobrindo o espaço entre a entrega por e-mail e o uso da página fraudulenta. O efeito conjunto é consistente com o princípio de defesa em profundidade e com a literatura sobre composição de controles (ANDERSON, 2001; CHESWICK; BELLOVIN; RUBIN, 2003).

Entre as limitações, destacamos:

Ajustes sensíveis a custo ($t^\star$) mostraram-se indispensáveis para ambientes onde $C_{FN} \gg C_{FP}$, isto é, quando o custo de um incidente supera em muito o de triagem manual de falsos positivos (ELKAN, 2001). Em nossa simulação, políticas mais “conservadoras” elevaram ligeiramente a taxa de falso positivo, porém reduziram significativamente o risco total $R(t)$.

  1. Conclusion

Demonstramos que, sob as restrições tecnológicas de 2006, uma arquitetura defensiva multicamadas — centrada em autenticação de domínio (SPF, Sender ID e Yahoo DomainKeys), filtragem heurístico-bayesiana de e-mails, sandbox de anexos e IDS por assinaturas — alcança desempenho elevado e risco operacional substancialmente reduzido contra phishing corporativo. A modelagem formal por custo, unida à validação empírica em larga escala, fornece base para calibrar limiares de decisão e priorizar investimentos. O estudo de caso ilustrou a importância da composição de controles diante de typosquatting, ofuscação de URLs e exfiltração por HTTP.

Como desdobramentos técnicos imediatos, propomos: (i) refinar a mensuração de custos $C_{incidente}$ e $C_{operacional}$ por centro de custo; (ii) ampliar a integração de logs e automação de ações de contenção via ferramentas de correlação baseadas em syslog e scripts; (iii) intensificar a educação de usuários atrelada a feedback operacional; e (iv) consolidar processos de resposta a incidentes segundo o NIST SP 800-61 (2004), com playbooks específicos para phishing.

References

ANDERSON, R. Security Engineering: A Guide to Building Dependable Distributed Systems. New York: Wiley, 2001. Disponível em: https://www.cl.cam.ac.uk/~rja14/book.html. Acesso em: 13 abr. 2006.

ANDROUTSOPOULOS, I. et al. An Evaluation of Naive Bayesian Anti-Spam Filtering. In: PROCEEDINGS OF ECML 2000 WORKSHOP ON MACHINE LEARNING IN THE NEW INFORMATION AGE. Barcelona: ECML, 2000. Disponível em: http://www2.aueb.gr/users/ion/publications/androulidakis00.pdf. Acesso em: 13 abr. 2006.

APWG. Anti-Phishing Working Group. Phishing Activity Trends Report, 2005. Disponível em: https://apwg.org. Acesso em: 13 abr. 2006.

BELLOVIN, S. M. Using the Domain Name System for System Break-ins. In: PROCEEDINGS OF THE 5TH USENIX UNIX SECURITY SYMPOSIUM. Salt Lake City: USENIX, 1995. Disponível em: https://www.cs.columbia.edu/~smb/papers/dns-usenix.pdf. Acesso em: 13 abr. 2006.

BISHOP, M. Computer Security: Art and Science. Boston: Addison-Wesley, 2003. Disponível em: https://www.pearson.com/store/p/computer-security-art-and-science/P100000031862. Acesso em: 13 abr. 2006.

CERT/CC. Phishing Scams. Carnegie Mellon University, 2004. Disponível em: https://www.cert.org/incident-notes/IN-2004-01.cfm. Acesso em: 13 abr. 2006.

CERT.br. Cartilha de Segurança para Internet: Fraudes On-line. NIC.br, 2005. Disponível em: https://cartilha.cert.br. Acesso em: 13 abr. 2006.

CHESWICK, W.; BELLOVIN, S.; RUBIN, A. Firewalls and Internet Security: Repelling the Wily Hacker. 2. ed. Boston: Addison-Wesley, 2003. Disponível em: https://www.pearson.com/store/p/firewalls-and-internet-security-repelling-the-wily-hacker/P100002946877. Acesso em: 13 abr. 2006.

DHAMIJA, R.; TYGAR, J. D.; HEARST, M. Why Phishing Works. In: PROCEEDINGS OF CHI 2006. Montréal: ACM, 2006. Disponível em: https://doi.org/10.1145/1124772.1124832. Acesso em: 13 abr. 2006.

ELKAN, C. The Foundations of Cost-Sensitive Learning. In: PROCEEDINGS OF IJCAI 2001. Seattle: Morgan Kaufmann, 2001. Disponível em: https://cseweb.ucsd.edu/~elkan/ijcai01.pdf. Acesso em: 13 abr. 2006.

FAWCETT, T. An Introduction to ROC Analysis. Pattern Recognition Letters, v. 27, n. 8, p. 861–874, 2006. Disponível em: https://doi.org/10.1016/j.patrec.2005.10.010. Acesso em: 13 abr. 2006.

FYODOR. The Art of Port Scanning. Phrack Magazine, v. 7, n. 51, 1997/1998. Disponível em: https://nmap.org/p51-11.html. Acesso em: 13 abr. 2006.

GOOGLE. Safe Browsing for Firefox. Google Blog, 2005. Disponível em: https://googleblog.blogspot.com/2005/12/safe-browsing-for-firefox.html. Acesso em: 13 abr. 2006.

GRAHAM, P. A Plan for Spam. 2002. Disponível em: http://www.paulgraham.com/spam.html. Acesso em: 13 abr. 2006.

HOUSLEY, R. et al. RFC 3280: Internet X.509 Public Key Infrastructure Certificate and CRL Profile. IETF, 2002. Disponível em: https://www.rfc-editor.org/rfc/rfc3280. Acesso em: 13 abr. 2006.

JAKOBSSON, M.; MYERS, S. (org.). Phishing and Countermeasures: Understanding the Increasing Problem of Electronic Identity Theft. Hoboken: Wiley, 2006. Disponível em: https://onlinelibrary.wiley.com/doi/book/10.1002/0470087445. Acesso em: 13 abr. 2006.

JAGATIC, T.; JOHNSON, N.; JAKOBSSON, M.; MENCZER, F. Social Phishing. Indiana University Technical Report, 2005. Disponível em: http://www.cs.indiana.edu/techreports/TR641.pdf. Acesso em: 13 abr. 2006.

JOHANSON, E. The IDN Homograph Attack. The Shmoo Group, 2005. Disponível em: http://www.shmoo.com/idn/. Acesso em: 13 abr. 2006.

LYON, J.; WONG, M. RFC 4406: Sender ID: Authenticating E-Mail. IETF, 2006. Disponível em: https://www.rfc-editor.org/rfc/rfc4406. Acesso em: 13 abr. 2006.

MANNING, C. D.; SCHÜTZE, H. Foundations of Statistical Natural Language Processing. Cambridge: MIT Press, 1999. Disponível em: https://mitpress.mit.edu/9780262133609. Acesso em: 13 abr. 2006.

MENEZES, A.; VAN OORSCHOT, P.; VANSTONE, S. Handbook of Applied Cryptography. Boca Raton: CRC Press, 1996. Disponível em: http://cacr.uwaterloo.ca/hac/. Acesso em: 13 abr. 2006.

MOORE, D. et al. Internet Quarantine: Requirements for Containing Self-Propagating Code. IEEE Security & Privacy, v. 1, n. 6, p. 35–43, 2003. Disponível em: https://doi.org/10.1109/MSECP.2003.1253564. Acesso em: 13 abr. 2006.

MOORE, H. D. Metasploit Framework. 2004. Disponível em: https://www.metasploit.com. Acesso em: 13 abr. 2006.

NETCRAFT. Netcraft Anti-Phishing Toolbar. 2005. Disponível em: https://toolbar.netcraft.com. Acesso em: 13 abr. 2006.

NESSUS. Nessus 2.2 Reference Guide. Tenable, 2004. Disponível em: https://www.tenable.com/products/nessus/nessus-2.2. Acesso em: 13 abr. 2006.

PAXSON, V. Bro: A System for Detecting Network Intruders in Real-Time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. Disponível em: https://www.icir.org/vern/papers/bro-CN99.pdf. Acesso em: 13 abr. 2006.

RESCORLA, E. SSL and TLS: Designing and Building Secure Systems. Boston: Addison-Wesley, 2001. Disponível em: https://www.rtfm.com/ssldocs/sslbook.html. Acesso em: 13 abr. 2006.

RFC 2616. Hypertext Transfer Protocol — HTTP/1.1. IETF, 1999. Disponível em: https://www.rfc-editor.org/rfc/rfc2616. Acesso em: 13 abr. 2006.

RFC 2821. Simple Mail Transfer Protocol. IETF, 2001. Disponível em: https://www.rfc-editor.org/rfc/rfc2821. Acesso em: 13 abr. 2006.

RFC 2822. Internet Message Format. IETF, 2001. Disponível em: https://www.rfc-editor.org/rfc/rfc2822. Acesso em: 13 abr. 2006.

RFC 3851. S/MIME Version 3.1 Message Specification. IETF, 2004. Disponível em: https://www.rfc-editor.org/rfc/rfc3851. Acesso em: 13 abr. 2006.

ROESCH, M. Snort – Lightweight Intrusion Detection for Networks. In: PROCEEDINGS OF LISA ’99. Seattle: USENIX, 1999. Disponível em: https://www.snort.org. Acesso em: 13 abr. 2006.

SAHAMI, M. et al. A Bayesian Approach to Filtering Junk E-Mail. In: AAAI-98 WORKSHOP ON LEARNING FOR TEXT CATEGORIZATION. Madison: AAAI, 1998. Disponível em: https://www.aaai.org/Papers/Workshops/1998/WS-98-05/WS98-05-006.pdf. Acesso em: 13 abr. 2006.

STANIFORD, S.; PAXSON, V.; WEAVER, N. How to 0wn the Internet in Your Spare Time. In: PROCEEDINGS OF USENIX SECURITY 2002. San Francisco: USENIX, 2002. Disponível em: https://www.icir.org/vern/papers/cdc-usenix-sec02.pdf. Acesso em: 13 abr. 2006.

VMWARE. VMware Workstation 5 User’s Manual. VMware, 2005. Disponível em: https://www.vmware.com/support/pubs/ws_pubs.html. Acesso em: 13 abr. 2006.

WANG, X.; YIN, Y. L.; YU, H. Finding Collisions in the Full SHA-1. IACR ePrint, 2005. Disponível em: https://eprint.iacr.org/2005/010.pdf. Acesso em: 13 abr. 2006.

WONG, M.; SCHLITT, W. RFC 4408: Sender Policy Framework (SPF) for Authorizing Use of Domains in E-Mail. IETF, 2006. Disponível em: https://www.rfc-editor.org/rfc/rfc4408. Acesso em: 13 abr. 2006.

YAHOO. DomainKeys: Proving and Protecting E-mail Sender Identity. Yahoo! Inc., 2004. Disponível em: https://web.archive.org/web/20041210065722/http://antispam.yahoo.com/domainkeys. Acesso em: 13 abr. 2006.