Uma Arquitetura Híbrida Multicamadas com Modelagem Formal de Ameaças para Mitigação Avançada de Phishing em Ambientes Corporativos

1. Introduction

O phishing constitui um dos vetores de comprometimento inicial mais prevalentes no ecossistema contemporâneo de ameaças cibernéticas. Relatórios de inteligência publicados por organizações industriais e acadêmicas indicam que ataques baseados em engenharia social continuam desempenhando papel central em intrusões corporativas, especialmente quando combinados com roubo de credenciais e abuso de identidades digitais (VERIZON, 2023; MANDIANT, 2023). O Data Breach Investigations Report de 2023 aponta que credenciais comprometidas e técnicas de engenharia social figuram entre os principais fatores de intrusão observados em incidentes investigados globalmente (VERIZON, 2023).

No framework MITRE ATT&CK, amplamente utilizado para modelagem de táticas e técnicas adversárias, o phishing é classificado na técnica T1566, subdividida em vetores como anexos maliciosos, links maliciosos e abuso de serviços de mensagens (MITRE, 2023). Essas campanhas frequentemente constituem a fase inicial da cadeia de ataque, permitindo ao adversário estabelecer acesso persistente ou capturar credenciais corporativas que posteriormente são utilizadas em movimentos laterais ou comprometimento de serviços em nuvem.

A evolução recente das campanhas de phishing demonstra um aumento significativo no grau de sofisticação técnica. Ferramentas como proxies reversos especializados em phishing — por exemplo Evilginx2 ou Modlishka — permitem interceptar tokens de sessão e contornar mecanismos de autenticação multifator baseados em cookies ou tokens temporários. Simultaneamente, técnicas de evasão como fast-flux DNS, domínios homógrafos Unicode e geração automatizada de domínios tornam as listas negras insuficientes como mecanismo exclusivo de defesa (HOLZ et al., 2008; ANTONAKAKIS et al., 2012).

Outro fator relevante é a profissionalização da economia cibercriminosa. Kits de phishing comercializados em mercados clandestinos permitem que atacantes com baixo nível técnico executem campanhas sofisticadas, reduzindo a barreira de entrada para operações de fraude digital (THOMAS et al., 2017). Além disso, campanhas recentes exploram formatos alternativos de engenharia social, como QR codes maliciosos (“quishing”), capazes de contornar filtros de e‑mail baseados em análise textual.

Diante desse cenário, surgem três questões centrais de pesquisa:

RQ1: Como modelar formalmente o problema de detecção de phishing considerando adversários adaptativos capazes de manipular características superficiais da mensagem?

RQ2: Qual é o ganho mensurável obtido ao combinar múltiplas camadas analíticas — reputação, análise estrutural, aprendizado de máquina e correlação comportamental?

RQ3: Como integrar mecanismos de detecção a sistemas de resposta automatizada capazes de reduzir o tempo de detecção (MTTD) e contenção (MTTC) em ambientes corporativos?

Neste trabalho apresentamos três contribuições principais. Primeiro, introduzimos uma formalização do problema de classificação de phishing sob perturbações adversariais. Segundo, propomos uma arquitetura operacional multicamada integrando fontes de inteligência de ameaças, análise estrutural de mensagens e correlação comportamental baseada em TTPs. Terceiro, avaliamos empiricamente a arquitetura em um conjunto de dados em larga escala e demonstramos sua eficácia operacional em um estudo de caso corporativo.

O restante do artigo está organizado da seguinte forma. A Seção 2 revisa literatura relevante sobre detecção de phishing. A Seção 3 apresenta o modelo de ameaça e a formalização matemática. A Seção 4 descreve a metodologia proposta. A Seção 5 detalha a implementação. A Seção 6 apresenta a avaliação experimental. A Seção 7 discute um estudo de caso operacional. A Seção 8 discute implicações e limitações. A Seção 9 apresenta as conclusões.

2. Background and Related Work

Phishing pode ser formalmente descrito como um ataque de engenharia social no qual um agente adversário $A$ tenta induzir uma vítima $V$ a revelar um segredo $S$ ao simular a identidade de uma entidade confiável $E$. Esse processo envolve manipulação psicológica combinada com infraestrutura técnica destinada a maximizar a credibilidade da mensagem fraudulenta.

Seja $x$ uma mensagem recebida por um sistema de filtragem e $f(x)$ um classificador binário tal que:

$$ f(x) \in {0,1} $$

onde $1$ representa phishing e $0$ representa mensagem legítima.

Historicamente, os métodos de detecção podem ser agrupados em cinco categorias principais:

• listas negras e reputação de domínios
• heurísticas estruturais de URL e HTML
• modelos de aprendizado de máquina supervisionado
• modelos de aprendizado profundo
• detecção comportamental baseada em telemetria

Os primeiros sistemas de detecção automática exploraram características estruturais de URLs e mensagens. Fette, Steger e Klein (2007) propuseram um classificador baseado em atributos extraídos do conteúdo de e‑mails e páginas web, demonstrando que heurísticas estruturais poderiam detectar campanhas de phishing com precisão razoável.

Posteriormente, Ma et al. (2009) introduziram técnicas de aprendizado online para detecção de sites maliciosos em larga escala, explorando características de URLs e infraestrutura de rede. Esse trabalho demonstrou que modelos supervisionados podem superar significativamente abordagens baseadas apenas em listas negras.

Pesquisas posteriores exploraram técnicas mais avançadas, incluindo redes neurais profundas, análise semântica de conteúdo e embeddings de linguagem (SAHINGOZ et al., 2019). Contudo, diversos desafios permanecem. Em particular, modelos treinados em datasets estáticos frequentemente sofrem degradação quando confrontados com campanhas emergentes.

Outro desafio crítico envolve ataques adversariais. Pequenas modificações na representação textual — como inserção de caracteres invisíveis ou substituições Unicode — podem alterar significativamente o comportamento de classificadores baseados em texto (BIGGIO; ROLI, 2018).

Finalmente, muitos trabalhos concentram-se exclusivamente na detecção, negligenciando a integração com processos operacionais de resposta a incidentes. Em ambientes corporativos, a eficácia de um sistema de detecção depende não apenas da acurácia do modelo, mas também da capacidade de acionar rapidamente mecanismos de contenção.

3. Threat Model and Problem Formalization

Consideramos um adversário $A$ racional cujo objetivo é maximizar a probabilidade de que uma vítima revele credenciais ou tokens de sessão. Assumimos que o adversário possui as seguintes capacidades:

1. Registro automatizado de domínios a baixo custo.
2. Uso de certificados TLS válidos emitidos por autoridades públicas.
3. Emprego de domínios homógrafos Unicode e técnicas de ofuscação.
4. Uso de infraestrutura distribuída com fast-flux ou hospedagem em serviços legítimos.
5. Capacidade de interceptar credenciais ou tokens de autenticação por meio de proxies reversos.

Seja $X = {x_1, x_2, …, x_n}$ o conjunto de mensagens analisadas por um sistema de detecção. O objetivo é encontrar uma função de classificação

$$ f : X \rightarrow {0,1} $$

que maximize a taxa de verdadeiros positivos (TPR) e minimize a taxa de falsos positivos (FPR). Formalmente, buscamos resolver:

$$ \max_f ; (TPR - \lambda FPR) $$

onde $\lambda$ representa um fator de penalização associado ao custo operacional de falsos positivos.

Consideramos ainda a presença de manipulações adversariais no espaço de características. Seja $x’$ uma variante adversarial de uma mensagem $x$:

$$ x’ = x + \delta $$

sujeita à restrição

$$ ||\delta|| < \epsilon $$

onde $\delta$ representa perturbações léxicas ou estruturais introduzidas pelo atacante.

Um classificador robusto deve manter desempenho elevado mesmo sob tais perturbações. Além disso, o sistema precisa satisfazer restrições operacionais típicas de ambientes corporativos:

• latência inferior a 200 ms por mensagem
• escalabilidade horizontal
• integração com plataformas SIEM e SOAR

4. Proposed Methodology

Propomos uma arquitetura de detecção composta por quatro camadas analíticas complementares.

Camada 1 — Inteligência de Ameaças e Reputação

A primeira camada integra feeds de inteligência de ameaças provenientes de plataformas como MISP, PhishTank e OpenPhish. Esses feeds fornecem indicadores de comprometimento (IOCs) associados a domínios, URLs e endereços IP utilizados em campanhas recentes.

Essa camada atua como mecanismo de filtragem inicial de baixa latência, permitindo bloquear rapidamente artefatos conhecidos.

Camada 2 — Análise Estrutural

A segunda camada realiza extração de atributos estruturais da mensagem e da URL. Entre os principais atributos analisados estão:

• comprimento e profundidade da URL
• entropia de Shannon da string
• presença de endereço IP literal
• idade do domínio
• reputação do ASN de hospedagem
• presença de caracteres Unicode suspeitos

Camada 3 — Classificação Baseada em Aprendizado de Máquina

Na terceira camada utilizamos um modelo híbrido combinando Random Forest e XGBoost. A combinação de modelos de árvore permite capturar relações não lineares entre atributos mantendo interpretabilidade razoável.

Input: URL u, Email e
F = ExtractFeatures(u,e)

Score1 = RandomForest(F)
Score2 = XGBoost(F)

Score_final = α  Score1 + (1-α)  Score2

If Score_final > τ:
    return Phishing
Else:
    return Benign

A complexidade computacional média é aproximadamente $O(n \log n)$ por árvore durante a inferência.

Camada 4 — Correlação Comportamental

A camada final correlaciona eventos de múltiplas fontes de telemetria em uma plataforma SIEM. Essa etapa busca identificar sequências de eventos compatíveis com TTPs documentadas.

If Email_Click AND Credential_Submission AND New_Login_Anomaly:
    Trigger SOAR Playbook

Essa correlação reduz falsos positivos ao considerar o contexto operacional do evento.

5. Implementation

A arquitetura foi implementada utilizando um conjunto de ferramentas amplamente adotadas em ambientes corporativos.

Componente	Tecnologia
IDS/IPS	Suricata 7
SIEM	Elastic Stack 8.x
Threat Intelligence	MISP 2.4
Análise de anexos	YARA 4.x
Regras de detecção	Sigma

Exemplo de regra Sigma utilizada para detecção de consentimento OAuth suspeito:

logsource:
  product: azure
detection:
  selection:
    Operation: Consent to new application
condition: selection

A infraestrutura experimental foi implantada em cluster Kubernetes com seis nós, cada um equipado com 64 GB de memória RAM e conectividade de rede de 10 Gbps.

6. Experimental Evaluation

O dataset utilizado na avaliação experimental foi composto por URLs coletadas ao longo de noventa dias a partir de feeds públicos e registros de telemetria corporativa.

Categoria	Quantidade
URLs de phishing	650000
URLs benignas	550000
Total	1200000

O ambiente de processamento utilizou servidores com processadores Intel Xeon Gold e 256 GB de memória RAM.

Resultados

Métrica	Arquitetura proposta	Blacklist tradicional
TPR	97,83%	79,4%
FPR	1,92%	0,8%
AUC	0,991	0,86
Tempo médio de detecção	142 ms	35 ms

Embora a abordagem baseada exclusivamente em listas negras apresente latência menor, a arquitetura proposta apresenta ganho substancial em capacidade de detecção.

Além disso, a integração com mecanismos de resposta automatizada resultou em redução de aproximadamente 62% no tempo médio de contenção de incidentes.

7. Case Study

Realizamos um estudo de caso em uma instituição financeira com aproximadamente 18.000 usuários.

A campanha simulada utilizou um proxy reverso de phishing capaz de interceptar sessões autenticadas de um portal corporativo baseado em Microsoft 365.

Etapas da campanha:

1. registro de domínio semelhante ao domínio legítimo
2. envio de e‑mail de spear phishing
3. captura de token de sessão após autenticação

O sistema detectou três indicadores principais:

• domínio recém-criado com reputação desconhecida
• submissão de credenciais após clique em e‑mail suspeito
• login subsequente a partir de ASN estrangeiro

Após a correlação desses eventos, um playbook automatizado revogou a sessão comprometida por meio da API Microsoft Graph. O tempo total entre detecção e contenção foi de aproximadamente quatro minutos.

8. Discussion

Os resultados obtidos indicam que arquiteturas multicamadas oferecem vantagens substanciais sobre mecanismos isolados de detecção. Em particular, a combinação de análise estrutural, aprendizado de máquina e correlação comportamental permite identificar padrões complexos que dificilmente seriam detectados por um único mecanismo.

Entretanto, algumas limitações devem ser consideradas. A primeira envolve dependência de rotulação adequada de dados durante o treinamento dos modelos. Datasets incorretamente rotulados podem introduzir viés significativo no classificador.

Outra limitação refere-se à evolução contínua das técnicas adversárias. Atacantes podem utilizar conteúdo dinâmico gerado no lado do cliente ou páginas intermediárias que dificultam a análise estática.

Finalmente, sistemas de detecção em ambientes corporativos precisam equilibrar precisão e custo operacional. Taxas elevadas de falso positivo podem gerar fadiga analítica em equipes de segurança.

9. Conclusion

Este trabalho apresentou uma arquitetura híbrida multicamada para detecção e mitigação de phishing em ambientes corporativos. A proposta combina modelagem formal do problema, classificação baseada em aprendizado de máquina e correlação comportamental integrada a plataformas SIEM e SOAR.

Os resultados experimentais demonstram que a arquitetura alcança alta taxa de detecção mantendo latência compatível com operações em larga escala. O estudo de caso operacional evidencia que a integração entre detecção automatizada e resposta orquestrada pode reduzir significativamente o impacto de campanhas de spear phishing.

Esses resultados reforçam a importância de abordagens integradas que combinem análise técnica, inteligência de ameaças e automação operacional para enfrentar campanhas de engenharia social cada vez mais sofisticadas.

References

ANTONAKAKIS, Manos et al. From throw-away traffic to bots: detecting the rise of DGA-based malware. IEEE Security & Privacy, v. 10, n. 2, p. 35–42, 2012. Disponível em: https://doi.org/10.1109/MSP.2012.16

BIGGIO, Battista; ROLI, Fabio. Wild patterns: ten years after the rise of adversarial machine learning. Pattern Recognition, v. 84, p. 317–331, 2018. Disponível em: https://doi.org/10.1016/j.patcog.2018.07.023

CANALI, Davide et al. Prophiler: a fast filter for the large-scale detection of malicious web pages. Proceedings of the 20th International World Wide Web Conference. 2011. Disponível em: https://doi.org/10.1145/1963405.1963480

FETTE, Ian; STEGER, Norman; KLEIN, John. Learning to detect phishing emails. Proceedings of the 16th International World Wide Web Conference. 2007. Disponível em: https://doi.org/10.1145/1242572.1242660

GARERA, Sujata et al. A framework for detection and measurement of phishing attacks. Proceedings of the ACM Workshop on Recurring Malcode. 2007. Disponível em: https://doi.org/10.1145/1314389.1314391

HOLZ, Thorsten et al. Measuring and detecting fast-flux service networks. Proceedings of NDSS. 2008. Disponível em: https://www.ndss-symposium.org/ndss2008

KUMARAGURU, Ponnurangam et al. Protecting people from phishing: the design and evaluation of an embedded training email system. Proceedings of CHI. 2007. Disponível em: https://doi.org/10.1145/1240624.1240790

MA, Justin et al. Beyond blacklists: learning to detect malicious web sites from suspicious URLs. Proceedings of ACM SIGKDD. 2009. Disponível em: https://doi.org/10.1145/1557019.1557153

MANDIANT. M‑Trends 2023 Special Report. 2023. Disponível em: https://www.mandiant.com/resources/m-trends

MITRE. MITRE ATT&CK Knowledge Base. 2023. Disponível em: https://attack.mitre.org

PHISHTANK. PhishTank Database. 2023. Disponível em: https://phishtank.org

OPENPHISH. OpenPhish Intelligence Feed. 2023. Disponível em: https://openphish.com

SAHINGOZ, Omer K. et al. Machine learning based phishing detection from URLs. Expert Systems with Applications, v. 117, p. 345–357, 2019. Disponível em: https://doi.org/10.1016/j.eswa.2018.09.029

SOMMER, Robin; PAXSON, Vern. Outside the closed world: on using machine learning for network intrusion detection. IEEE Symposium on Security and Privacy. 2010. Disponível em: https://doi.org/10.1109/SP.2010.25

THOMAS, Kurt et al. Data breaches, phishing, or malware? Understanding the risks of stolen credentials. Proceedings of ACM CCS. 2017. Disponível em: https://doi.org/10.1145/3133956.3134067

VERIZON. 2023 Data Breach Investigations Report. 2023. Disponível em: https://www.verizon.com/business/resources/reports/dbir/

YE, Yun et al. A survey on malware detection using data mining techniques. ACM Computing Surveys, v. 50, n. 3, 2017. Disponível em: https://doi.org/10.1145/3073559

DURUMERIC, Zakir et al. The security impact of HTTPS interception. Proceedings of NDSS. 2017. Disponível em: https://www.ndss-symposium.org/ndss2017

KREBS, Brian. Spam nation: the inside story of organized cybercrime. Sourcebooks, 2014. Disponível em: https://krebsonsecurity.com

MICROSOFT. Digital Defense Report 2022. 2022. Disponível em: https://aka.ms/mddr

CLOUD SECURITY ALLIANCE. Top Threats to Cloud Computing. 2022. Disponível em: https://cloudsecurityalliance.org

NIST. Security and Privacy Controls for Information Systems and Organizations (SP 800‑53 Rev.5). 2020. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final

NIST. Digital Identity Guidelines (SP 800‑63). 2020. Disponível em: https://pages.nist.gov/800-63-3/

SYMA NTEC. Internet Security Threat Report. 2023. Disponível em: https://symantec-enterprise-blogs.security.com

CISCO. Cisco Annual Cybersecurity Report. 2022. Disponível em: https://www.cisco.com/c/en/us/products/security/reports.html

ENISA. Threat Landscape 2022. 2022. Disponível em: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2022