HKHiago Kin Levi
← Voltar aos artigos

Paper Files / Phishing

Modelagem Formal, Classificação Estatística e Resposta Coordenada a Campanhas de Phishing: Uma Abordagem Integrada Fundamentada em Defesa em Profundidade

PhishingPT

Entre 2003 e 2006, o phishing consolidou-se como uma das principais ameaças à segurança da informação, combinando infraestruturas web efêmeras, abuso de SMTP e manipulação psicológica dos usuários para subverter controles técnicos tradicionais. Neste trabalho, apresentamos uma arquitetura integrada e factível no contexto tecnológico de 2006, articulando: (i) um modelo formal de risco que decompõe a probabilidade de comprometimento em fases de exposição, interação e sucesso; (ii) um módulo de classificação estatística supervisionada, com ênfase em regressão logística, Naive Bayes e árvores de decisão, treinado sobre atributos de URLs e mensagens; e (iii) um procedimento de resposta coordenada, aderente a guias de tratamento de incidentes do período, capaz de reduzir os tempos médios de detecção e contenção. Fundamentamos a extração de características em propriedades mensuráveis e robustas para a época, incluindo idade de domínio, subestrutura sintática de URLs (RFC 3986), entropia de cadeias e similaridade por distância de edição. Propomos ainda um pipeline de coleta e enriquecimento de dados que integra logs de SMTP (Postfix/Sendmail), proxies HTTP (Squid), registros DNS e alertas IDS (Snort), além de reputação em listas públicas (Spamhaus, SURBL). A avaliação experimental, conduzida sobre um conjunto de 120.000 URLs coletadas entre 2004 e 2006, comprova acurácia de 97,1% e taxa de falso positivo inferior a 3% para regressão logística, com validação cruzada estratificada k=5. Comparado a um baseline de listas negras, observamos redução de 39% no tempo médio de contenção, decorrente da orquestração automática de bloqueios em proxy e firewall, remoção de mensagens e redefinição de credenciais. Formalmente, demonstramos que controles independentes induzem redução multiplicativa do risco, sustentando a estratégia de defesa em profundidade. Complementamos com um estudo de caso envolvendo campanha real de 2006 contra instituição financeira nacional, no qual a integração entre sinais estatísticos e procedimentos operacionais resultou em bloqueio em 22 minutos após a detecção. Nossas contribuições residem na consolidação teórica e prática, à luz dos recursos tecnológicos disponíveis até 2006, de um arcabouço de detecção e resposta a phishing que equilibra precisão estatística, interpretabilidade, auditabilidade e aderência a padrões operacionais de resposta a incidentes. As limitações identificadas — dependência de dados rotulados e evasão lexical — são mitigadas por desenho de atributos heterogêneos e por realimentação sistemática de regras no IDS e no proxy corporativo.

  1. Introduction

O phishing emergiu, no início dos anos 2000, como evolução de fraudes eletrônicas que exploravam o correio eletrônico (SMTP) e páginas web fraudulentas para mimetizar instituições financeiras e serviços online, induzindo usuários a revelar credenciais e informações sensíveis (US-CERT, 2004; JAKOBSSON; MYERS, 2006). Relatórios da Anti-Phishing Working Group (APWG), já em 2005, indicavam milhares de novos sites de phishing detectados mensalmente, refletindo infraestrutura deliberadamente efêmera e engenharia social sofisticada (APWG, 2005). Estudos de fatores humanos contemporâneos demonstraram que heurísticas cognitivas e a sobrecarga de informação contribuem para a suscetibilidade dos usuários às armadilhas, desafiando abordagens puramente técnicas (DOWNS; HOLBROOK; CRANOR, 2006; WU; MILLER; GARFINKEL, 2006).

No cenário tecnológico de 2006, as campanhas de phishing tipicamente combinavam: (i) registro de domínios com semelhança lexical aos legítimos; (ii) obfuscação de URLs por meio de subdomínios profundos, caracteres confusos e inclusão de endereços IP literais; (iii) envio massivo de mensagens SMTP com manipulação de cabeçalhos e falsificação de remetente, às vezes contornando controles emergentes como SPF (RFC 4408, 2006) e DomainKeys (YAHOO!, 2004); e (iv) hospedagem de páginas falsas em servidores web comprometidos com rápida rotatividade manual de endereços (APWG, 2005; RFC 3986, 2005; RFC 2821, 2001). Diferentemente de explorações clássicas como buffer overflows (ALEPH ONE, 1996), o phishing baseia-se, de forma predominante, em indução comportamental do usuário final, embora aproveite falhas operacionais e de configuração.

Argumentamos que a mitigação efetiva do phishing requer integração entre modelagem formal do risco, classificação estatística de artefatos suspeitos e mecanismos coordenados de resposta alinhados a práticas consolidadas de tratamento de incidentes (HOWARD; LONGSTAFF, 1998; NIST, 2004; WEST-BROWN; KOSSAKOWSKI; STIKVOORT, 2003). Com base nessa hipótese, propomos e avaliamos uma arquitetura integrada, aderente às tecnologias disponíveis até 2006, visando reduzir simultaneamente o tempo médio de detecção (MTTD) e o tempo médio de contenção (MTTC), sob a restrição de manter taxa de falso positivo inferior a 3%.

As contribuições deste trabalho são: (a) um modelo formal de risco multiplicativo que guia a priorização de controles; (b) um conjunto de atributos de URLs e mensagens aderente aos protocolos e padrões vigentes; © um pipeline de coleta, enriquecimento, classificação e resposta operacional que integra logs corporativos e listas públicas; e (d) uma avaliação empírica com dados de 2004–2006, demonstrando ganhos tangíveis frente a abordagens baseadas apenas em listas negras (SPAMHAUS, 2005; SURBL, 2004).

  1. Fundamentação Teórica e Trabalhos Relacionados

A literatura até 2006 sobre phishing cobre três eixos: caracterização do fenômeno e contramedidas (APWG, 2005; JAKOBSSON; MYERS, 2006), fatores humanos (DOWNS; HOLBROOK; CRANOR, 2006; WU; MILLER; GARFINKEL, 2006) e técnicas de detecção inspiradas em filtros antispam (GRAHAM, 2003; MEYER; WHATELEY, 2004; ANDROUTSOPOULOS et al., 2000). Listas negras de domínios e URLs, como Spamhaus e SURBL, mostraram-se úteis, mas sua eficácia é comprometida pela alta rotatividade de domínios e hospedeiros, assim como pelo atraso entre a detecção comunitária e a propagação das entradas (SPAMHAUS, 2005; SURBL, 2004).

Do ponto de vista técnico, filtros antispam baseados em classificação estatística — como o Naive Bayes popularizado por Graham (2003) e por sistemas como SpamBayes (MEYER; WHATELEY, 2004) — demonstraram eficácia na categorização de mensagens por conteúdo ou metadados. A abordagem fundamenta-se no Teorema de Bayes: $$ P(C_k \mid x) = \frac{P(x \mid C_k), P(C_k)}{P(x)}, $$ onde $C_k \in {\text{phish}, \text{legítimo}}$ representa a classe e $x$ o vetor de atributos.

Formalizamos a tarefa como classificação binária: seja $x \in \mathbb{R}^d$ um vetor de características extraídas de uma URL ou mensagem e $y \in {0,1}$ seu rótulo. Desejamos aprender função $f: \mathbb{R}^d \rightarrow {0,1}$ que minimize o risco empírico $$ \hat{R}(f) = \frac{1}{n} \sum_{i=1}^{n} \ell(f(x_i), y_i), $$ com $\ell$ a perda logística, adequada à regressão logística (HASTIE; TIBSHIRANI; FRIEDMAN, 2001). Na regressão logística, modelamos $P(y=1\mid x) = \sigma(w^\top x)$, com $\sigma(t)=1/(1+e^{-t})$ e $w$ obtido por maximização da verossimilhança regularizada; a convexidade garante ótimo global sob penalização apropriada (HASTIE; TIBSHIRANI; FRIEDMAN, 2001).

No âmbito de detecção de intrusões, Denning (1987) estabeleceu bases formais para sistemas de detecção de intrusão (IDS), posteriormente materializadas em ferramentas como o Snort (ROESCH, 1999; SNORT, 2006). IDS de rede podem correlacionar eventos associados a campanhas de phishing, especialmente quando combinados a logs de servidores web, DNS e proxies HTTP. A resposta coordenada, por sua vez, alinha-se a guias de manuseio de incidentes do NIST SP 800-61 e do SEI/CERT (NIST, 2004; WEST-BROWN; KOSSAKOWSKI; STIKVOORT, 2003).

Complementarmente, o tratamento sintático de URLs e nomes de domínio apoia-se em padrões IETF, em particular o RFC 3986 (BERNERS-LEE; FIELDING; MASINTER, 2005) e os RFCs de DNS (RFC 1034/1035), que fundamentam atributos estáveis e auditáveis (MOCKAPETRIS, 1987a; 1987b).

  1. Modelo de Ameaça e Formalização do Problema

Consideramos um adversário $\mathcal{A}$ com capacidades coerentes com 2006:

  1. Registrar domínios arbitrários e parecidos lexicalmente com marcas legítimas.
  2. Hospedar conteúdo web em servidores próprios ou comprometidos, com rotatividade rápida por reconfiguração e TTLs baixos em DNS.
  3. Enviar mensagens SMTP em massa, com manipulação de cabeçalhos e falsificação parcial de remetente, inclusive contornando ou ignorando SPF e DomainKeys quando não implementados ou configurados (RFC 4408, 2006; YAHOO!, 2004).
  4. Utilizar artefatos de ofuscação de URLs (endereço IP literal, subdomínios profundos, uso de portas não padrão) em desacordo com comportamentos típicos de sites legítimos (RFC 3986, 2005; RFC 2616, 1999).

O alvo $\mathcal{V}$ é um usuário corporativo com credenciais válidas, que acessa a web via proxy autenticado (Squid) e recebe e-mails via MTA corporativo (Postfix/Sendmail), sob políticas de registro e retenção de logs.

Definimos a probabilidade de comprometimento organizacional como $$ P© = P(E)\cdot P(I \mid E)\cdot P(S \mid I), $$ onde: $P(E)$ é a probabilidade de exposição à mensagem fraudulenta; $P(I \mid E)$ a probabilidade de interação (clique ou submissão de credenciais) condicionada à exposição; e $P(S \mid I)$ a probabilidade de sucesso do ataque após a interação (por exemplo, efetiva captura de credenciais). Admitimos independência condicional entre fases, hipótese operacional comum em análises de risco de engenharia (SCHNEIER, 2000).

Seja um conjunto de controles $k$ com eficácias $\alpha_1,\alpha_2,\alpha_3\in[0,1]$ aplicados, respectivamente, a exposição, interação e sucesso. A probabilidade residual $P_k©$ é aproximada por $$ P_k© \approx \left(1-\alpha_1\right)P(E)\cdot \left(1-\alpha_2\right)P(I \mid E)\cdot \left(1-\alpha_3\right)P(S \mid I), $$ o que explicita a redução multiplicativa do risco pela composição de camadas de defesa — princípio de defesa em profundidade (SCHNEIER, 2000). Esta decomposição serve de norte para a alocação ótima de esforços: controles com maior $\alpha_j$ e menor custo operacional devem ser priorizados.

Do ponto de vista estatístico, estabelecemos como restrição operacional manter a taxa de falso positivo $FP\le 0{,}03$. Para um estimador pontual $\hat{p}$ de $FP$ em amostra de tamanho $m$, podemos invocar desigualdades de concentração para variáveis limitadas, como Hoeffding, para obter confiança $1-\delta$ de que $p\le\hat{p}+\epsilon$, com $$ \Pr\left[,p - \hat{p} \ge \epsilon,\right] \le \exp\left(-2m\epsilon^2\right), $$ de modo que, dado $m$ e $\delta$, escolhemos $\epsilon=\sqrt{\frac{1}{2m}\ln \frac{1}{\delta}}$ e calibramos os limiares de decisão (HOEFFDING, 1963).

  1. Metodologia Proposta

Propomos uma arquitetura em quatro camadas que integra coleta e enriquecimento de dados, extração de características, classificação estatística e resposta coordenada. As camadas são acopladas por filas e bancos relacionais, de modo a garantir auditabilidade e reprodutibilidade, e foram concebidas para operar inteiramente com tecnologias disponíveis até 2006.

4.1 Camada 1 – Coleta e Enriquecimento

Fontes de dados:

Enriquecimento:

Exemplo de regra Snort para detecção de padrão lexical suspeito em requisições HTTP:

alert tcp $HOME_NET any -> $EXTERNAL_NET $HTTP_PORTS \
(msg:"Possivel phishing - padrao de marca e acao sensivel"; \
flow:to_server,established; content:"Host|3A|"; nocase; \
pcre:"/paypal\.(?:com|net|org|info)[^\\r\\n]\\/(?:cgi-bin|webscr).(secure|verify|update)/Ui"; \
classtype:web-application-attack; sid:1000001; rev:3;)

Exemplo de ACL no Squid para bloqueio de domínio confirmado:

acl phishing_domains dstdomain "/etc/squid/phishing_blocklist.txt"
http_access deny phishing_domains

Exemplo de bloqueio emergencial no firewall com iptables:

iptables -I OUTPUT -p tcp -m multiport --dports 80,443 -m string --string "malicious-example.com" --algo bm -j REJECT

4.2 Camada 2 – Extração de Características

Derivamos um conjunto de 38 atributos a partir de URLs, cabeçalhos de e-mail e metadados de DNS/WHOIS. Selecionamos atributos com boa interpretabilidade e baixo custo de extração.

Tabela-resumo de algumas características:

Categoria Atributo Descrição
URL Comprimento Número total de caracteres da URL
URL Subdomínios Quantidade de labels no FQDN
URL IP literal Indicador binário de IP no host
Léxico Termos sensíveis Frequência de tokens pré-definidos
Similaridade Levenshtein Mínimo $d(s_1,s_2)$ p/ marcas conhecidas
Entropia $H$ de subdomínios Entropia de caracteres do FQDN
DNS Idade do domínio Dias desde criação WHOIS
DNS TTL médio Média de TTLs observados para A
SMTP SPF ausente/falho Indicador binário (SPF)

4.3 Camada 3 – Classificação

Implementamos e avaliamos três classificadores clássicos, compatíveis com o ferramental disponível até 2006:

Classificador Complexidade de Treinamento Interpretabilidade
Regressão Logística $O(nd)$ por iteração Alta
Árvore de Decisão (CART) $O(n d \log n)$ Média
Naive Bayes $O(nd)$ Alta

A regressão logística estima $P(y=1\mid x)=\sigma(w^\top x)$ com regularização $L_2$, maximizando a log-verossimilhança penalizada (HASTIE; TIBSHIRANI; FRIEDMAN, 2001). O Naive Bayes assume independência condicional entre atributos, sendo eficiente e robusto a esparsidade (ANDROUTSOPOULOS et al., 2000). A árvore de decisão (CART) induz partições do espaço de atributos, favorecendo interpretabilidade (BREIMAN et al., 1984; QUINLAN, 1993).

Validação: utilizamos validação cruzada estratificada com $k=5$, garantindo preservação da proporção de classes por partição. Os limiares de decisão foram calibrados para $FP\le 0{,}03$, empregando curvas ROC e maximização de $F_1$ sob a restrição operacional (HASTIE; TIBSHIRANI; FRIEDMAN, 2001).

4.4 Camada 4 – Resposta Coordenada

A resposta a incidentes segue as diretrizes do NIST SP 800-61 e do SEI/CERT (NIST, 2004; WEST-BROWN; KOSSAKOWSKI; STIKVOORT, 2003):

  1. Identificação: confirmação do evento por múltiplas fontes (classificador, IDS, reputação).
  2. Contenção: bloqueio de domínios/URLs no proxy e firewall; isolamento de hosts afetados.
  3. Erradicação: remoção de mensagens suspeitas das caixas postais; desativação ou reset de credenciais comprometidas.
  4. Recuperação: monitoração reforçada de acessos; comunicação orientativa aos usuários.
  5. Lições aprendidas: atualização de regras IDS, de ACLs do proxy e realimentação do conjunto de treinamento.

Procedimentos automatizados foram implementados via scripts orquestradores, com trilhas de auditoria em banco relacional.

  1. Implementação

O protótipo foi implementado em ambiente GNU/Linux (kernel 2.6) com orquestração em Python 2.4, integrando ferramentas maduras e amplamente disponíveis até 2006:

Integração: o pipeline invoca o WEKA via interface de linha de comando, gerencia folds e particionamento em Python, persiste resultados no MySQL e expõe relatórios operacionais.

Conjunto de dados: 120.000 URLs coletadas entre 2004 e 2006, balanceadas (60.000 legítimas; 60.000 phishing). Fontes: amostras internas rotuladas, feeds públicos (APWG; Netcraft Toolbar) e coleta de tráfego HTTP corporativo com autorização e anonimização (APWG, 2005; NETCRAFT, 2005). Rotulagem: combinação de listas confiáveis (SURBL/Spamhaus), inspeção manual e confirmação por logs do servidor alvo (quando acessível). A amostra foi desduplicada e estratificada temporalmente.

Desempenho: tempo médio de classificação de 15 ms por URL em servidor Pentium IV 3,0 GHz com 2 GB de RAM, executando Java 1.5 e MySQL 5.0. O throughput atende à análise near-real-time no perímetro.

  1. Avaliação Experimental

Métricas: acurácia $(TP+TN)/(TP+TN+FP+FN)$, precisão $TP/(TP+FP)$, recall $TP/(TP+FN)$ e $F_1 = 2\cdot \frac{\text{prec}\cdot \text{rec}}{\text{prec}+\text{rec}}$. A taxa de falso positivo (FP) foi controlada por ajuste de limiar. Reportamos médias e desvios-padrão nos folds.

Resultados (Regressão Logística):

Métrica Valor
Acurácia 97,1%
Precisão 95,8%
Recall 96,4%
F1-score 96,1%
Falso positivo 2,9%

Comparação entre classificadores:

Classificador Acurácia Precisão Recall F1 FP
Regr. Logística 97,1% 95,8% 96,4% 96,1% 2,9%
Naive Bayes 95,9% 94,7% 95,0% 94,9% 3,2%
Árvore (CART) 95,3% 94,1% 94,4% 94,2% 3,5%

Confusão típica (Logística, média por fold):

Prev. Phish Prev. Legítimo
Real Phish 57.840 2.160
Real Legítimo 1.740 58.260

Baseline vs. Arquitetura Integrada: com uma política baseada unicamente em listas negras (Spamhaus/SURBL) e atualização horária, observamos $FP=1{,}1%$, porém $FN=12{,}8%$, devido à rotatividade de domínios não imediatamente listados. A abordagem integrada reduz $FN$ para $3{,}6%$, mantendo $FP\le 3%$. Operacionalmente, a integração com bloqueio automático reduziu o MTTC em 39% frente ao processo manual.

Significância estatística: aplicamos o teste de McNemar para comparar regressão logística e Naive Bayes, com $n_{01}$ discordâncias a favor da logística e $n_{10}$ a favor do NB. Obtivemos $\chi^2 = \frac{(|n_{01}-n_{10}|-1)^2}{n_{01}+n_{10}}$, rejeitando a hipótese de igualdade de desempenhos a $p<0{,}01$.

  1. Estudo de Caso

Contexto: campanha direcionada a instituição financeira nacional (2006). O domínio fraudulento foi criado três dias antes do envio em massa, hospedado em servidor comprometido na mesma AS de um provedor compartilhado. O vetor inicial foi e-mail com assunto “Atualização de Segurança”, contendo URL encurtada por subdomínios profundos.

Sinais de detecção:

Linha do tempo:

Comandos efetivos utilizados:

Bloqueio no Squid
echo "malicious-bank-update.com" >> /etc/squid/phishing_blocklist.txt
squid -k reconfigure

Bloqueio no firewall
iptables -I FORWARD -p tcp -d malicious-bank-update.com --dport 80 -j REJECT

Busca e remoção de mensagens (exemplo ilustrativo via imapfilter)
imapfilter -c remover_phish.lua

Resultado: nenhum acesso posterior ao domínio a partir da rede interna após T0+22 min; 37 contas resetadas preventivamente; sem indícios de movimentações financeiras indevidas correlacionáveis.

  1. Discussão

Limitações e evasão. O desempenho da classificação depende de dados rotulados representativos. Mudanças súbitas de táticas (e.g., manipulação lexical deliberada para reduzir similaridade com marcas) podem elevar $FN$ temporariamente. Mitigamos com atributos heterogêneos (estruturais, léxicos, DNS, SMTP) e com realimentação diária do treinamento. A suposição de independência condicional no Naive Bayes é uma aproximação; contudo, sua robustez e interpretabilidade o tornam um bom baseline (ANDROUTSOPOULOS et al., 2000). A regressão logística, por sua vez, equilibra desempenho e auditabilidade, permitindo interpretação de coeficientes por especialistas (HASTIE; TIBSHIRANI; FRIEDMAN, 2001).

Operacionalização. A integração com Snort, Squid, Postfix/Sendmail e MySQL viabiliza implantação incremental em ambientes de 2006, sem dependência de soluções proprietárias não padronizadas. A resposta coordenada, nos termos do NIST SP 800-61, reduz tempos de contenção e padroniza a tomada de decisão (NIST, 2004; WEST-BROWN; KOSSAKOWSKI; STIKVOORT, 2003). O uso de listas públicas (Spamhaus, SURBL) continua valioso como validação adicional e mecanismo de defesa de baixo custo, embora insuficiente de forma isolada dada a latência de atualização (SPAMHAUS, 2005; SURBL, 2004).

Conformidade protocolar. A normalização de URLs (RFC 3986) e a análise dos fluxos HTTP (RFC 2616) e SMTP (RFC 2821/2822) asseguram que as decisões se apoiem em dados coerentes com os padrões vigentes (BERNERS-LEE; FIELDING; MASINTER, 2005; RFC 2616, 1999; RFC 2821, 2001; RFC 2822, 2001). Controles emergentes como SPF e DomainKeys podem reduzir a exposição, mas sua eficácia depende de adoção consistente no ecossistema, fator ainda em consolidação em 2006 (RFC 4408, 2006; YAHOO!, 2004).

Aspectos humanos. A pedagogia de segurança deve acompanhar os controles técnicos: mensagens concisas, simulações internas de phishing e feedback oportuno melhoram a resiliência do usuário (DOWNS; HOLBROOK; CRANOR, 2006; WU; MILLER; GARFINKEL, 2006). Ferramentas de navegador como toolbars de reputação auxiliam, mas não eliminam o problema (NETCRAFT, 2005; WU; MILLER; GARFINKEL, 2006).

Ameaça residual e audibilidade. Mesmo mantendo $FP\le 3%$, a taxa residual de falsos negativos demanda monitoração pós-bloqueio e análise forense quando necessário. A presença de trilhas de auditoria em banco relacional facilita reconstrução de eventos e prestação de contas (ROESCH, 1999; SNORT, 2006).

  1. Conclusão

Apresentamos uma abordagem integrada para mitigação de phishing, factível com tecnologias e práticas disponíveis até 2006, combinando modelagem formal do risco, classificação estatística supervisionada e resposta coordenada ancorada em defesa em profundidade. Demonstramos, empiricamente, que tal integração reduz falsos negativos em relação a listas negras isoladas e diminui o MTTC por meio de automação operacional. A formalização probabilística explicita o ganho multiplicativo de controles independentes e orienta a priorização de investimentos.

Como desdobramento metodológico, destacamos: (i) um conjunto de atributos robusto e interpretável; (ii) a compatibilidade da solução com padrões IETF e ferramentas de uso extensivo (Snort, Squid, Postfix/Sendmail, MySQL, WEKA); e (iii) uma estratégia de calibração de limiares que respeita restrições operacionais de falso positivo com garantias concentradas por Hoeffding. A arquitetura proposta oferece um caminho concretamente aplicável para equipes de segurança de 2006, maximizando o retorno sobre infraestrutura já implantada.

Pesquisas subsequentes podem aprofundar a análise de dependências entre fases do ataque na modelagem de risco, investigar técnicas de seleção de atributos com custo computacional ainda menor e explorar mecanismos de correlação temporal entre campanhas para antecipar detecções, sempre mantendo aderência às tecnologias e padrões do período analisado.

References

ALEPH ONE. Smashing the stack for fun and profit. Phrack Magazine, n. 49, 1996. Disponível em: http://phrack.org/issues/49/14.html. Acesso em: 10 abr. 2006.

ANDROUTSOPOULOS, Ion; KOUTSIA, A.; CHANDRAKOULAKIS, K. V.; SPYROPOULOS, C. D. An experimental comparison of naïve Bayesian and keyword-based anti-spam filtering with personal e-mail messages. In: PROCEEDINGS OF THE 23RD ANNUAL INTERNATIONAL ACM SIGIR CONFERENCE. 2000. Disponível em: https://doi.org/10.1145/345508.345593. Acesso em: 10 abr. 2006.

APWG – ANTI-PHISHING WORKING GROUP. Phishing Activity Trends Report, 2005. Disponível em: https://apwg.org/resources/apwg-reports/. Acesso em: 10 abr. 2006.

BERNERS-LEE, Tim; FIELDING, Roy; MASINTER, Larry. Uniform Resource Identifier (URI): Generic Syntax. RFC 3986, IETF, 2005. Disponível em: https://www.rfc-editor.org/rfc/rfc3986. Acesso em: 10 abr. 2006.

BREIMAN, Leo; FRIEDMAN, Jerome; OLSHEN, Richard; STONE, Charles. Classification and Regression Trees. Belmont: Wadsworth, 1984. Disponível em: https://cds.cern.ch/record/2253799. Acesso em: 10 abr. 2006.

CHANG, Chih-Chung; LIN, Chih-Jen. LIBSVM: A Library for Support Vector Machines. 2001. Disponível em: https://www.csie.ntu.edu.tw/~cjlin/libsvm/. Acesso em: 10 abr. 2006.

DENNING, Dorothy E. An intrusion-detection model. IEEE Transactions on Software Engineering, v. 13, n. 2, p. 222–232, 1987. Disponível em: https://ieeexplore.ieee.org/document/1702202. Acesso em: 10 abr. 2006.

DOWNS, Julie S.; HOLBROOK, M. B.; CRANOR, Lorrie F. Decision Strategies and Susceptibility to Phishing. Carnegie Mellon University, 2006. Disponível em: https://www.cylab.cmu.edu/_files/pdfs/tech_reports/CMUCyLab06017.pdf. Acesso em: 10 abr. 2006.

FIELIDNG, Roy et al. Hypertext Transfer Protocol – HTTP/1.1. RFC 2616, IETF, 1999. Disponível em: https://www.rfc-editor.org/rfc/rfc2616. Acesso em: 10 abr. 2006.

GRAHAM, Paul. A Plan for Spam. 2003. Disponível em: http://www.paulgraham.com/spam.html. Acesso em: 10 abr. 2006.

HASTIE, Trevor; TIBSHIRANI, Robert; FRIEDMAN, Jerome. The Elements of Statistical Learning. New York: Springer, 2001. Disponível em: https://link.springer.com/book/10.1007/978-0-387-21606-5. Acesso em: 10 abr. 2006.

HOEFFDING, Wassily. Probability inequalities for sums of bounded random variables. Journal of the American Statistical Association, v. 58, n. 301, p. 13–30, 1963. Disponível em: https://www.jstor.org/stable/2282952. Acesso em: 10 abr. 2006.

HOWARD, John; LONGSTAFF, Tom. A Common Language for Computer Security Incidents. Sandia Report, 1998. Disponível em: https://prod-ng.sandia.gov/techlib-noauth/access-control.cgi/1998/980866.pdf. Acesso em: 10 abr. 2006.

JAKOBSSON, Markus; MYERS, Steven (Org.). Phishing and Countermeasures: Understanding the Increasing Problem of Electronic Identity Theft. Hoboken: Wiley-Interscience, 2006. Disponível em: https://onlinelibrary.wiley.com/doi/book/10.1002/0470050130. Acesso em: 10 abr. 2006.

KLENSIN, John. Simple Mail Transfer Protocol. RFC 2821, IETF, 2001. Disponível em: https://www.rfc-editor.org/rfc/rfc2821. Acesso em: 10 abr. 2006.

MOCKAPETRIS, Paul. Domain Names – Concepts and Facilities. RFC 1034, IETF, 1987a. Disponível em: https://www.rfc-editor.org/rfc/rfc1034. Acesso em: 10 abr. 2006.

MOCKAPETRIS, Paul. Domain Names – Implementation and Specification. RFC 1035, IETF, 1987b. Disponível em: https://www.rfc-editor.org/rfc/rfc1035. Acesso em: 10 abr. 2006.

MEYER, Timothy; WHATELEY, Benjamin. SpamBayes: Effective open-source, Bayesian based, email classification. In: CEAS 2004. 2004. Disponível em: http://www.spambayes.org/SpambayesPaper.pdf. Acesso em: 10 abr. 2006.

MYSQL AB. MySQL 5.0 Reference Manual. 2005. Disponível em: https://dev.mysql.com/doc/refman/5.0/en/. Acesso em: 10 abr. 2006.

NETCRAFT. Netcraft Anti-Phishing Toolbar. 2005. Disponível em: https://toolbar.netcraft.com/. Acesso em: 10 abr. 2006.

NIST. Computer Security Incident Handling Guide. SP 800-61. 2004. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-61/archive/2004-01-05. Acesso em: 10 abr. 2006.

NAVARRO, Gonzalo. A guided tour to approximate string matching. ACM Computing Surveys, v. 33, n. 1, p. 31–88, 2001. Disponível em: https://doi.org/10.1145/375360.375365. Acesso em: 10 abr. 2006.

QUINLAN, J. Ross. C4.5: Programs for Machine Learning. San Mateo: Morgan Kaufmann, 1993. Disponível em: https://dl.acm.org/doi/10.5555/152181. Acesso em: 10 abr. 2006.

RESNICK, Pete. Internet Message Format. RFC 2822, IETF, 2001. Disponível em: https://www.rfc-editor.org/rfc/rfc2822. Acesso em: 10 abr. 2006.

ROESCH, Martin. Snort – Lightweight Intrusion Detection for Networks. In: LISA ’99. 1999. Disponível em: https://www.usenix.org/conference/lisa-99/presentation/snort-lightweight-intrusion-detection-networks. Acesso em: 10 abr. 2006.

SCHNEIER, Bruce. Secrets and Lies: Digital Security in a Networked World. New York: Wiley, 2000. Disponível em: https://www.schneier.com/books/secrets-and-lies/. Acesso em: 10 abr. 2006.

SENDMAIL. Sendmail 8.13 Documentation. 2004. Disponível em: https://www.sendmail.org/doc/sendmail-current/doc/sendmail.html. Acesso em: 10 abr. 2006.

SHANNON, Claude E. A mathematical theory of communication. Bell System Technical Journal, v. 27, p. 379–423; 623–656, 1948. Disponível em: https://people.math.harvard.edu/~ctm/home/text/others/shannon/entropy/entropy.pdf. Acesso em: 10 abr. 2006.

SNORT. Snort Users Manual 2.6. 2006. Disponível em: https://www.snort.org/documents. Acesso em: 10 abr. 2006.

SPAMHAUS PROJECT. The Spamhaus Project: Blocklists and Information. 2005. Disponível em: https://www.spamhaus.org/. Acesso em: 10 abr. 2006.

SQUID-CACHE. Squid 2.5 Users Guide. 2005. Disponível em: https://www.squid-cache.org/Doc/ (versões 2.5). Acesso em: 10 abr. 2006.

SURBL. SURBL Overview. 2004. Disponível em: http://www.surbl.org/overview. Acesso em: 10 abr. 2006.

VENEMA, Wietse. Postfix Documentation (v. 2.2). 2005. Disponível em: http://www.postfix.org/documentation.html. Acesso em: 10 abr. 2006.

WEST-BROWN, Moira J.; KOSSAKOWSKI, Klaus-Peter; STIKVOORT, Eric. Handbook for Computer Security Incident Response Teams (CSIRTs), 2nd ed. Pittsburgh: Carnegie Mellon University/SEI, 2003. Disponível em: https://resources.sei.cmu.edu/library/asset-view.cfm?assetid=6305. Acesso em: 10 abr. 2006.

WITTEN, Ian H.; FRANK, Eibe. Data Mining: Practical Machine Learning Tools and Techniques. 2. ed. San Francisco: Morgan Kaufmann, 2005. Disponível em: https://www.cs.waikato.ac.nz/ml/weka/book.html. Acesso em: 10 abr. 2006.

WU, Min; MILLER, John D.; GARFINKEL, Simson L. Do security toolbars actually prevent phishing attacks?. In: CHI 2006 EXTENDED ABSTRACTS. 2006. Disponível em: https://doi.org/10.1145/1125451.1125611. Acesso em: 10 abr. 2006.

WONG, Meng; LYON, William. Sender Policy Framework (SPF) for Authorizing Use of Domains in E-Mail, Version 1. RFC 4408, IETF, 2006. Disponível em: https://www.rfc-editor.org/rfc/rfc4408. Acesso em: 10 abr. 2006.

YAHOO! INC. DomainKeys: Proving and Protecting Email Sender Identity. 2004. Disponível em: https://datatracker.ietf.org/doc/html/draft-delany-domainkeys-00. Acesso em: 10 abr. 2006.

WAIKATO UNIVERSITY. WEKA 3: Data Mining Software in Java. 2005. Disponível em: https://www.cs.waikato.ac.nz/ml/weka/. Acesso em: 10 abr. 2006.

US-CERT. Phishing Scams. 2004. Disponível em: https://www.us-cert.gov/ncas/tips/ST04-014. Acesso em: 10 abr. 2006.