Research / Paper Files
Paper Files
Os Paper Files são uma prática pessoal de estudo contínuo em cibersegurança que aplica o método científico como ferramenta de aprendizado. Cada artigo é escrito não com o objetivo de publicação acadêmica, mas como exercício deliberado para afiar o machado — aprofundar o conhecimento sobre temas específicos, organizar ideias com rigor e observar o desenvolvimento do entendimento sobre determinados assuntos ao longo do tempo. É o equivalente intelectual de um diário de treino: cada entrada registra o que foi estudado, como foi analisado e que conclusões emergiram.
Recomendo fortemente que profissionais de segurança adotem este método. Escolha um tema que deseja dominar, pesquise fontes primárias (RFCs, papers, documentação oficial), estruture seu texto com introdução, metodologia, análise e conclusão, e escreva como se estivesse explicando para um colega. O ato de escrever força a clareza de pensamento e expõe lacunas no entendimento que a leitura passiva não revela. Use os artigos deste site como exemplo de formato e profundidade, e construa seu próprio acervo — com o tempo, você terá um repositório pessoal de conhecimento refinado que nenhum curso ou certificação substitui.
DAI & ADAI · 2026
DAI: uma LLM de domínio específico com autoridade excluída do modelo, verificação por capacidades disjuntas e recibos recomputáveis
DAI (Decripte Artificial Intelligence) é uma LLM própria de domínio específico inserida em uma arquitetura de defesa autônoma governada. É uma instância da categoria proposta ADAI, definida no paper complementar. O traba…
Ler o paper →ADAI · PTInteligência Artificial de Defesa Autônoma: um arcabouço de envelope e evidência para LLMs governadas que agem sobre infraestrutura de produção
ADAI (Autonomous Defensive Artificial Intelligence) é uma categoria proposta de defesa cibernética autônoma governada. O arcabouço especifica perímetros defendidos, efeitos delimitados, reversão declarada e verificação p…
Ler o paper →106 papers
Arquiteturas Ofensivas e Defensivas em Campanhas de Phishing: Modelagem Formal de Ameaças, Detecção Multicamadas e Resiliência Organizacional
smtpd_recipient_restrictions = permit_mynetworks, reject_unauth_destination, check_client_access hash:/etc/postfix/rbl_override, reject_rhsbl_sender dbl.spamhaus.org, check_policy_service unix:private/policy ``` - SpamAssassin com regras personalizadas: ``` body HAS_IP_URL /\bhttps?:\/\/\d{1,3}(\.\d{1,3}){3}\// describe HAS_IP_URL URL com endereço IP literal score HAS_IP_URL 2.5 uri URIBL_BLACK uribl:multi.uribl.com describe URIBL_BLACK Domínio listado em URIBL score URIBL_BLACK 4.0 ``` - SEC para correlação de múltiplos eventos: ``` type=
Read paper →PhishingModelagem Formal, Classificação Estatística e Resposta Coordenada a Campanhas de Phishing: Uma Abordagem Integrada Fundamentada em Defesa em Profundidade
Entre 2003 e 2006, o phishing consolidou-se como uma das principais ameaças à segurança da informação, combinando infraestruturas web efêmeras, abuso de SMTP e manipulação psicológica dos usuários para subverter controles técnicos tradicionais. Neste trabalho, apresentamos uma arquitetura integrada e factível no contexto tecnológico de 2006, articulando: (i) um modelo formal de risco que decompõe a probabilidade de comprometimento em fases de exposição, interação e sucesso; (ii) um módulo de classificação estatística supervisionada, com ênfase em regressão logística, Naive Bayes e árvores de decisão, treinado sobre atributos de URLs e mensagens; e (iii) um procedimento de resposta coordenada, aderente a guias de tratamento de incidentes do período, capaz de reduzir os tempos médios de detecção e contenção. Fundamentamos a extração de características em propriedades mensuráveis e robustas para a época, incluindo idade de domínio, subestrutura sintática de URLs (RFC 3986), entropia de cadeias e similaridade por distância de edição. Propomos ainda um pipeline de coleta e enriquecimento de dados que integra logs de SMTP (Postfix/Sendmail), proxies HTTP (Squid), registros DNS e alertas IDS (Snort), além de reputação em listas públicas (Spamhaus, SURBL). A avaliação experimental, conduzida sobre um conjunto de 120.000 URLs coletadas entre 2004 e 2006, comprova acurácia de 97,1% e taxa de falso positivo inferior a 3% para regressão logística, com validação cruzada estratificada k=5. Comparado a um baseline de listas negras, observamos redução de 39% no tempo médio de contenção, decorrente da orquestração automática de bloqueios em proxy e firewall, remoção de mensagens e redefinição de credenciais. Formalmente, demonstramos que controles independentes induzem redução multiplicativa do risco, sustentando a estratégia de defesa em profundidade. Complementamos com um estudo de caso envolvendo campanha real de 2006 contra instituição financeira nacional, no qual a integração entre sinais estatísticos e procedimentos operacionais resultou em bloqueio em 22 minutos após a detecção. Nossas contribuições residem na consolidação teórica e prática, à luz dos recursos tecnológicos disponíveis até 2006, de um arcabouço de detecção e resposta a phishing que equilibra precisão estatística, interpretabilidade, auditabilidade e aderência a padrões operacionais de resposta a incidentes. As limitações identificadas — dependência de dados rotulados e evasão lexical — são mitigadas por desenho de atributos heterogêneos e por realimentação sistemática de regras no IDS e no proxy corporativo.
Read paper →PhishingArquiteturas Ofensivas e Defensivas contra Phishing: Modelagem Formal de Ameaças, Detecção Multicamadas e Avaliação Empírica em Ambientes Corporativos (2006)
O phishing consolidou-se, entre 2003 e 2006, como uma das principais modalidades de fraude eletrônica, explorando a interseção entre engenharia social e fragilidades técnicas de infraestrutura de correio e web. Este trabalho apresenta uma formulação rigorosa do problema de detecção de phishing em ambientes corporativos, um modelo de ameaça aderente ao período até 2006 e uma arquitetura defensiva multicamadas construída unicamente com tecnologias e práticas disponíveis à época: autenticação de domínio (SPF, Sender ID e Yahoo DomainKeys), filtragem heurístico-bayesiana de e-mail (SpamAssassin), análise controlada de anexos em sandbox (VMware Workstation), monitoramento de rede por IDS baseado em assinaturas (Snort) e gestão de vulnerabilidades (Nessus). Modelamos a decisão de classificação como função $f: M \to \{0,1\}$ e minimizamos o risco esperado $R = P(FN)\,C_{incidente} + P(FP)\,C_{operacional}$ por meio de um limiar derivado do teste de razão de verossimilhanças. A avaliação empírica, conduzida com 275.000 mensagens rotuladas (25.000 phishing; 250.000 legítimas), emprega validação cruzada estratificada, definição precisa de acurácia, precisão, revocação e medida-$F_1$, e análise ROC. Reportamos resultados consistentes com a literatura de 2004–2006: precisão de 95,4%, revocação de 94,9%, medida-$F_1$ de 95,1% e acurácia global de 99,1% para a pilha completa; listas negras isoladas alcançam revocação de 78,2%. Mostramos, adicionalmente, ganhos de detecção ao combinar autenticação de domínio e filtragem bayesiana, e redução de risco operacional mediante calibração sensível a custos. Apresentamos um estudo de caso de 2005 envolvendo campanha contra instituição financeira, evidenciando como falhas em SPF, padrões léxicos e sinalizações do Snort, combinadas, preveniram a exfiltração de credenciais. Nossas contribuições incluem: (i) um modelo formal de risco para phishing alinhado a restrições realistas de 2006; (ii) a especificação completa, reproduzível, de uma arquitetura multicamadas factível naquele contexto tecnológico; (iii) métricas e metodologia de avaliação com caracterização de erros, ablação por camadas e análise de desempenho; (iv) diretrizes operacionais para implantação corporativa, integrando correlação de logs via syslog e processos de resposta a incidentes segundo o NIST SP 800-61 (2004). Os resultados sustentam a tese de que, mesmo sem mecanismos comportamentais avançados, uma defesa em profundidade, cuidadosamente calibrada e suportada por autenticação de domínio e filtragem estatística, reduz substancialmente o risco esperado de ataques de phishing em ambientes corporativos de 2006.
Read paper →PhishingArquiteturas Ofensivas e Defensivas contra Phishing: Modelagem de Ameaças, Detecção Estatística Supervisionada e Operações de Resposta a Incidentes
Este trabalho, datado de 2007, investiga o phishing como vetor proeminente de fraude on-line e acesso indevido, articulando uma visão integrada que abrange modelagem de ameaças, detecção estatística supervisionada e práticas de resposta a incidentes coerentes com o estado da arte até 2007. Partimos de evidências empíricas reportadas pelo Anti-Phishing Working Group (APWG) e por estudos acadêmicos de 2006–2007, que demonstram a eficácia de campanhas tanto genéricas quanto dirigidas (spear phishing), bem como as limitações intrínsecas de listas de bloqueio e filtros puramente baseados em assinaturas. Formalizamos o problema como uma tarefa de classificação binária sobre um espaço de atributos léxicos e de conteúdo, com custos diferenciados para erros de classificação. Adotamos algoritmos de aprendizado supervisionado disponíveis e amplamente empregados no período, tais como máquinas de vetores de suporte (SVM via LIBSVM/SMO), árvores de decisão (C4.5/J48) e regressão logística, inspirando-nos em abordagens contemporâneas como CANTINA (2007) para conteúdo e trabalhos de detecção de phishing em e-mails e páginas web. Propomos uma arquitetura em três camadas: (i) análise léxica de URL (comprimento, uso de subdomínios, presença de caracteres especiais, entropia de Shannon e sinais de homógrafos/IDN), (ii) análise de conteúdo HTML (formularios, iframes, scripts de ofuscação, e similaridade TF-IDF com páginas legítimas), e (iii) integração com inteligência de ameaças disponível à época (PhishTank, SURBL, Spamhaus e Google Safe Browsing/Netcraft Toolbar). Desenvolvemos um protótipo com ferramentas compatíveis com 2007 (Weka 3.x, LIBSVM, Python 2.5 com BeautifulSoup) e avaliamos empiricamente sobre um conjunto de dados composto por URLs maliciosas coletadas no PhishTank e amostras legítimas do Alexa Top Sites/DMOZ. Reportamos métricas de acurácia, precisão, revocação, F1 e AUC-ROC, além de uma análise do custo esperado de decisão sob diferentes limiares, com ênfase no controle da taxa de falso positivo. Complementamos com um estudo de caso de 2007 envolvendo uma campanha contra clientes bancários, no qual detalhamos indicadores, técnicas de hospedagem e nossas ações de contenção (Snort, SpamAssassin, ACLs de Squid, bloqueios via iptables e procedimentos de take-down). As contribuições residem na formalização matemática rigorosa do problema sob hipóteses de 2007, na demonstração de que métodos supervisionados e heurísticos de baixo custo superam listas de bloqueio isoladas, e na documentação operacional de resposta integrada e tempestiva. Concluímos com limitações e direções práticas de curto prazo para aprimorar robustez, rotinas de coleta/rotulagem e integração com autenticação de e-mail (SPF/DKIM), sem recorrer a paradigmas tecnológicos posteriores a 2007.
Read paper →PhishingArquiteturas Ofensivas e Defensivas contra Phishing: Modelagem de Ameaças, Detecção Baseada em Aprendizado de Máquina e Resiliência Organizacional
Phishing permanece como o vetor de acesso inicial mais prevalente em campanhas de intrusão cibernética, sustentando desde fraudes financeiras massivas até operações avançadas de espionagem e ransomware. Relatórios recentes indicam que mais de 80% das violações corporativas envolvem engenharia social como etapa inicial, frequentemente explorando credenciais via páginas fraudulentas, anexos maliciosos ou abuso de protocolos legítimos. Este trabalho apresenta uma análise técnica aprofundada do ecossistema de phishing sob uma perspectiva operacional, integrando modelagem formal de ameaças, técnicas ofensivas observadas em operações reais e mecanismos defensivos baseados em aprendizado de máquina, inteligência de ameaças e hardening organizacional. Propomos uma metodologia híbrida que combina análise estática e dinâmica de URLs, inspeção de conteúdo HTML/JavaScript, extração de características comportamentais e correlação com indicadores de comprometimento (IoCs) alinhados ao MITRE ATT&CK. Implementamos um pipeline experimental utilizando ferramentas como Python, Scikit-learn, XGBoost, Selenium, Suricata e MISP, avaliando um conjunto de dados com mais de 150.000 URLs rotuladas. Os resultados demonstram acurácia superior a 96%, com taxa de falso positivo inferior a 2,3% quando combinadas técnicas heurísticas e modelos supervisionados. Também apresentamos um estudo de caso real envolvendo comprometimento de credenciais Microsoft 365 via kit Evilginx2, analisando logs, artefatos e resposta a incidentes. Concluímos que a defesa eficaz contra phishing requer abordagem multicamada: autenticação forte (FIDO2), DMARC/DKIM/SPF rigorosos, detecção comportamental, treinamento contínuo e capacidade de resposta operacional estruturada segundo NIST SP 800-61. O trabalho contribui com uma visão integrada e prática para pesquisadores e profissionais que atuam na linha de frente da segurança cibernética.
Read paper →PhishingArquiteturas Ofensivas e Defensivas contra Phishing: Modelagem de Ameaças, Detecção Multicamadas e Avaliação Empírica em Ambientes Corporativos
O phishing permanece como o vetor de intrusão inicial mais prevalente no ecossistema de ameaças digitais, sendo responsável por uma parcela significativa de incidentes envolvendo ransomware, comprometimento de e-mails corporativos (BEC) e exfiltração de credenciais. Este artigo apresenta uma análise técnica aprofundada do fenômeno do phishing sob a perspectiva ofensiva e defensiva, integrando modelagem formal de ameaças, mapeamento de TTPs (Tactics, Techniques and Procedures) segundo o framework MITRE ATT&CK, e avaliação empírica de mecanismos de detecção baseados em múltiplas camadas. Propomos uma metodologia estruturada para análise e mitigação de campanhas de phishing que combina inteligência de ameaças, análise estática e dinâmica de URLs, aprendizado de máquina supervisionado, detecção comportamental em gateway de e-mail e instrumentação de endpoints. Implementamos um ambiente experimental composto por um cluster ELK (Elasticsearch, Logstash e Kibana), integração com MISP para compartilhamento de indicadores de comprometimento (IoCs), sandboxing via Cuckoo Sandbox e classificação de URLs por meio de modelos Random Forest e XGBoost. Avaliamos nossa abordagem com um conjunto de dados composto por 120.000 mensagens reais coletadas ao longo de 12 meses, incluindo campanhas que exploraram vulnerabilidades conhecidas como CVE-2023-23397 (Microsoft Outlook) e técnicas como T1566 (Phishing) e T1204 (User Execution). Os resultados demonstram uma taxa de detecção superior a 97,3% com taxa de falsos positivos inferior a 1,8% quando combinadas camadas heurísticas e comportamentais. Além disso, analisamos um estudo de caso real envolvendo uma campanha BEC direcionada a uma instituição financeira latino-americana, destacando falhas operacionais e pontos críticos de melhoria. Concluímos que a defesa eficaz contra phishing exige arquitetura em profundidade, integração contínua de inteligência e simulações regulares de engenharia social, além de sugerir linhas futuras de pesquisa envolvendo Large Language Models para detecção contextual e análise semântica avançada.
Read paper →PhishingArquiteturas, Técnicas Ofensivas e Estratégias Defensivas contra Phishing: Modelagem de Ameaças, Avaliação Experimental e Estudos de Caso em Ambientes Corporativos
Phishing permanece como o vetor inicial de intrusão mais prevalente em campanhas de ciberataques direcionados e oportunistas, servindo como mecanismo primário para roubo de credenciais, distribuição de malware, comprometimento de e-mails corporativos (BEC) e movimentação lateral em redes empresariais. Este artigo apresenta uma análise técnica aprofundada do ecossistema de phishing contemporâneo, integrando modelagem formal de ameaças, taxonomia de técnicas ofensivas alinhadas ao MITRE ATT&CK, experimentação controlada em laboratório e estudo de caso realista em ambiente corporativo híbrido. Propomos uma metodologia sistemática de avaliação de resiliência organizacional baseada em três pilares: (i) detecção multicanal (SMTP, HTTP/S, DNS e endpoint), (ii) análise comportamental com aprendizado supervisionado e não supervisionado, e (iii) resposta automatizada orientada a playbooks compatíveis com NIST SP 800-61. Implementamos um ambiente experimental composto por Postfix, Microsoft 365 Defender, Zeek, Suricata, Elastic Stack e ferramentas de simulação de adversário como GoPhish, Evilginx2 e SET (Social-Engineer Toolkit), avaliando 12.500 amostras de e-mails e 3.200 URLs maliciosas. Demonstramos que abordagens baseadas exclusivamente em reputação apresentam taxa de falso negativo de até 18,7% em campanhas com domínios recém-registrados (NRDs), enquanto modelos híbridos reduziram esse índice para 4,3%. O estudo de caso evidencia como um ataque de phishing com proxy reverso (Adversary-in-the-Middle) permitiu a captura de tokens OAuth e bypass de MFA baseado em OTP, resultando em acesso não autorizado a dados sensíveis. Discutimos implicações operacionais, métricas de risco ($R = P \times I$) e recomendações práticas alinhadas a frameworks como NIST CSF, CIS Controls v8 e ISO/IEC 27001. Concluímos com diretrizes para arquiteturas resilientes, incluindo DMARC com política p=reject, FIDO2/WebAuthn e monitoramento contínuo de indicadores de comprometimento.
Read paper →PhishingAnálise Operacional de Campanhas de Phishing na Internet: Modelagem de Ameaças, Infraestrutura de Ataque e Estratégias de Detecção (Contexto Tecnológico de 2008)
Phishing tornou-se, ao longo da primeira década dos anos 2000, um dos vetores de ataque mais eficazes contra sistemas financeiros e infraestruturas de autenticação baseadas na web. Diferentemente de vulnerabilidades puramente técnicas, campanhas de phishing exploram simultaneamente fragilidades humanas, arquiteturais e operacionais, combinando engenharia social, abuso de protocolos de correio eletrônico e hospedagem fraudulenta. Em 2007 e 2008, relatórios do Anti‑Phishing Working Group (APWG) indicaram crescimento contínuo no número de sites fraudulentos ativos e na sofisticação das infraestruturas utilizadas por atacantes, incluindo redes de máquinas comprometidas (botnets), registradores de domínio permissivos e serviços de hospedagem comprometidos. Este trabalho apresenta uma análise técnica aprofundada de campanhas de phishing sob a perspectiva de operações ofensivas e defensivas no estado da arte de 2008. Primeiramente, descrevemos a arquitetura operacional típica de campanhas de phishing, incluindo geração e distribuição de mensagens fraudulentas, provisionamento de páginas falsas e mecanismos de coleta de credenciais. Em seguida, formalizamos um modelo de ameaça que considera agentes maliciosos, vetores de entrega, superfícies de ataque e mecanismos de detecção. A partir desse modelo, propomos uma metodologia experimental baseada na coleta de amostras reais de mensagens, análise de cabeçalhos SMTP, inspeção de URLs e monitoramento de infraestrutura de hospedagem maliciosa. A implementação experimental utiliza ferramentas amplamente disponíveis em ambientes de segurança em 2008, incluindo Nmap, Wireshark, Snort, SpamAssassin e scripts de análise automatizada de cabeçalhos de e‑mail. Experimentos controlados são conduzidos com um conjunto de dados composto por campanhas documentadas entre 2006 e 2008, permitindo avaliar indicadores técnicos como padrões de domínio, características de URL, distribuição geográfica de servidores e assinaturas de tráfego. Os resultados demonstram que ataques de phishing frequentemente apresentam artefatos técnicos detectáveis em múltiplas camadas da pilha de rede, incluindo inconsistências em registros DNS, uso de domínios recentemente registrados e padrões recorrentes em cabeçalhos SMTP. Mostramos também que sistemas baseados apenas em listas negras apresentam atraso significativo na identificação de novas campanhas, enquanto abordagens híbridas combinando análise heurística e monitoramento de tráfego oferecem melhor capacidade de detecção precoce. Este estudo contribui com uma análise operacional detalhada do ecossistema de phishing em 2008, fornecendo técnicas práticas para identificação de campanhas e discutindo limitações de mecanismos de defesa amplamente implantados na época, incluindo filtros de spam, listas negras de URL e treinamento de usuários.
Read paper →PhishingModelagem Operacional, Detecção Multicamadas e Mitigação Adaptativa de Campanhas de Phishing: Uma Abordagem Baseada em TTPs do MITRE ATT&CK e Evidências Empíricas
O phishing permanece como o vetor inicial predominante em incidentes de segurança cibernética, sustentando cadeias de ataque que culminam em comprometimento de credenciais, implantações de malware e violações massivas de dados. Este trabalho apresenta uma abordagem operacional e experimental para modelagem, detecção e mitigação de campanhas de phishing, integrando inteligência de ameaças, análise comportamental, detecção baseada em aprendizado de máquina e controles técnicos alinhados a frameworks como MITRE ATT&CK, NIST SP 800-61 e CIS Controls. Inicialmente, formalizamos o problema sob uma perspectiva de teoria de jogos e análise de risco, modelando a interação atacante-defensor e o impacto financeiro esperado. Propomos uma arquitetura multicamadas composta por: (i) detecção estática de URLs e domínios com extração de características léxicas e WHOIS; (ii) análise dinâmica de conteúdo via sandboxing e inspeção de DOM; (iii) correlação comportamental baseada em eventos de autenticação e telemetria de endpoint (EDR); e (iv) mecanismos de resposta automatizada via SOAR. Implementamos um protótipo utilizando ferramentas como Elastic Stack, Zeek, MISP, GoPhish, OpenPhish, VirusTotal API e integração com Microsoft Defender for Endpoint. Avaliamos experimentalmente o sistema sobre um conjunto de 1,2 milhão de URLs (legítimas e maliciosas), atingindo AUC de 0,982 na classificação inicial e redução de 63% no tempo médio de detecção (MTTD). Um estudo de caso envolvendo uma campanha real de phishing com abuso de OAuth e páginas clonadas do Microsoft 365 demonstra a eficácia da abordagem na interrupção da cadeia de ataque nas fases T1566 (Phishing) e T1078 (Valid Accounts). Discutimos limitações, evasões (ex.: uso de Cloudflare Workers, Fast Flux, QR phishing) e perspectivas futuras, incluindo detecção de deepfake voice phishing e integração com modelos de linguagem para análise semântica contextual. Concluímos que a combinação de telemetria rica, modelagem formal e automação orquestrada é essencial para reduzir a superfície de ataque associada ao phishing contemporâneo.
Read paper →PhishingArquiteturas Ofensivas e Defensivas em Campanhas de Phishing: Modelagem de Ameaças, Engenharia de Ataques e Estratégias de Mitigação Baseadas em Evidências
O phishing permanece como o vetor inicial predominante em incidentes de segurança cibernética, servindo como porta de entrada para ransomware, comprometimento de e-mails corporativos (BEC), espionagem e fraude financeira. Relatórios recentes indicam que mais de 80% das violações de dados envolvem engenharia social ou credenciais comprometidas, com prejuízos globais superiores a bilhões de dólares anuais (VERIZON, 2023). Este trabalho apresenta uma análise abrangente e operacional do fenômeno do phishing, integrando modelagem formal de ameaças, engenharia de campanhas ofensivas, mecanismos de evasão e estratégias defensivas baseadas em inteligência de ameaças. Propomos uma metodologia estruturada para detecção e mitigação de phishing que combina análise estática e dinâmica de URLs, inspeção de cabeçalhos SMTP, correlação com TTPs do MITRE ATT&CK (T1566, T1598, T1204), classificação supervisionada baseada em aprendizado de máquina e integração com plataformas SIEM/SOAR. Demonstramos experimentalmente a eficácia de um pipeline de detecção que alcança taxa de detecção superior a 96% com taxa de falsos positivos inferior a 2,5% em um conjunto de dados composto por feeds públicos (PhishTank, OpenPhish) e tráfego corporativo anonimizado. Incluímos ainda um estudo de caso detalhado de uma campanha real de BEC utilizando domínios homográficos e infraestrutura distribuída, com análise de indicadores de comprometimento (IOCs), fluxos de kill chain e técnicas de evasão. A discussão final aborda limitações estruturais das abordagens tradicionais baseadas apenas em blacklist, desafios de detecção frente a phishing-as-a-service (PhaaS) e perspectivas futuras envolvendo autenticação forte (FIDO2), DMARC estrito, isolamento de navegador e análise comportamental baseada em grafos. O artigo contribui com uma visão integrada, técnica e operacional, orientada tanto à pesquisa acadêmica quanto à prática em ambientes corporativos de alta criticidade.
Read paper →PhishingModelagem, Detecção e Resiliência contra Phishing: Uma Abordagem Operacional Baseada em TTPs do MITRE ATT&CK e Engenharia de Defesa em Profundidade
O phishing permanece como o vetor inicial de comprometimento mais prevalente em incidentes cibernéticos globais, sendo responsável por uma parcela significativa de violações de dados, ransomware e fraudes financeiras. Este artigo apresenta uma análise técnica aprofundada do fenômeno do phishing sob a perspectiva operacional, integrando modelagem de ameaças, engenharia de detecção e mecanismos de resiliência organizacional. Propomos um modelo formal de ataque baseado em Táticas, Técnicas e Procedimentos (TTPs) mapeados ao framework MITRE ATT&CK, além de uma metodologia estruturada de mitigação composta por camadas complementares: autenticação robusta (SPF, DKIM, DMARC, BIMI), detecção baseada em machine learning, sandboxing de URLs, análise comportamental e treinamento adaptativo de usuários. Implementamos um pipeline experimental utilizando ferramentas como GoPhish, Evilginx2, ModSecurity, Zeek, MISP e Elastic Stack, avaliando sua eficácia em um ambiente controlado com 1.200 usuários simulados. Os resultados demonstram redução de 78% na taxa de cliques maliciosos após intervenções de conscientização adaptativa e bloqueio automático de 96,4% das URLs maliciosas por análise combinada estática e dinâmica. Apresentamos ainda um estudo de caso real envolvendo campanha de spear phishing com exploração de OAuth consent phishing (MITRE T1566.002) e uso de infraestrutura comprometida via CVE-2021-41773 (Apache HTTP Server). Discutimos implicações estratégicas para CISOs, SOCs e equipes de Red Team/Blue Team, destacando a importância de integração entre inteligência de ameaças, automação de resposta e métricas quantitativas de risco. Concluímos com direções futuras envolvendo detecção de deepfake phishing, modelagem probabilística bayesiana de risco humano e aplicação de Large Language Models defensivos para classificação contextual de e-mails.
Read paper →PhishingArquitetura Operacional para Detecção e Mitigação de Campanhas de Phishing Multivetoriais Baseada em Inteligência de Ameaças e Modelagem Comportamental
O phishing consolidou-se, ao longo da última década, como um dos principais vetores de comprometimento inicial em ambientes corporativos e governamentais. Diferentemente de ataques puramente exploratórios baseados em vulnerabilidades técnicas, campanhas de phishing exploram predominantemente fatores humanos e falhas de processo, combinando engenharia social, registro dinâmico de domínios e hospedagem temporária de conteúdo malicioso. Neste trabalho, propomos uma arquitetura operacional integrada para detecção e mitigação de campanhas de phishing multivetoriais, adequada ao contexto tecnológico de 2009, caracterizado pela consolidação de gateways de e-mail corporativos, sistemas de detecção de intrusão baseados em rede, virtualização em data centers e crescimento inicial de serviços de computação em nuvem. Modelamos formalmente o problema como uma tarefa de classificação binária com função de risco ponderada, considerando custos assimétricos de falsos negativos e falsos positivos. A arquitetura proposta integra múltiplas fontes de telemetria — logs SMTP, DNS, HTTP proxy e IDS — e combina heurísticas léxicas, análise de conteúdo baseada em TF-IDF e algoritmos clássicos de aprendizado supervisionado, como Random Forest. Adicionalmente, introduzimos um mecanismo de correlação por grafos para identificar campanhas coordenadas por meio da análise de componentes conexas em grafos direcionados que relacionam domínios, endereços IP e hashes de artefatos. A avaliação experimental foi conduzida sobre um conjunto de 120.000 mensagens de e-mail rotuladas, demonstrando AUC de 0,982, taxa de detecção de 96,3% e redução significativa do tempo médio de detecção quando comparado a listas negras tradicionais. Discutimos ainda limitações operacionais, como latência em consultas WHOIS e evasões baseadas em hospedagem comprometida. Concluímos que a integração de modelagem formal de risco, correlação multivetorial e aprendizado supervisionado constitui abordagem eficaz e operacionalmente viável para o cenário de ameaças observado até 2009.
Read paper →PhishingArquitetura Ofensiva e Defensiva de Phishing em 2009: Modelagem Formal de Ameaças, Infraestrutura de Ataque, Detecção Multicamadas e Resiliência Organizacional
O phishing consolidou-se, ao longo da década de 2000, como um dos principais vetores de comprometimento inicial em incidentes de segurança da informação, especialmente no contexto de fraudes financeiras e invasões direcionadas por meio de spear phishing. Neste trabalho, apresentamos uma análise sistemática da arquitetura ofensiva e defensiva de campanhas de phishing, considerando o estado da arte até 2009. Partimos de uma modelagem formal do problema como tarefa de classificação binária sob adversário adaptativo, estabelecendo funções de risco e estratégias de evasão. Em seguida, descrevemos a cadeia operacional típica do ataque, incluindo reconhecimento, registro de domínios, hospedagem maliciosa, desenvolvimento de kits de phishing, entrega via SMTP e exploração de credenciais. Propomos uma arquitetura defensiva multicamadas composta por: (i) análise de cabeçalhos e autenticação de e-mail (SPF e DomainKeys/DKIM); (ii) reputação de IP e análise DNS; (iii) filtragem de conteúdo baseada em aprendizado de máquina supervisionado (Naive Bayes e Random Forest); e (iv) monitoramento comportamental de rede por meio de IDS e análise de logs. Implementamos um protótipo experimental utilizando Postfix, SpamAssassin, Snort, Metasploit para simulação controlada e bibliotecas de aprendizado de máquina em Python. Avaliamos o sistema em um conjunto de 50.000 mensagens balanceadas, obtendo acurácia de 96,1% e redução significativa de falsos positivos em relação a um baseline puramente bayesiano. Discutimos limitações relacionadas à evasão por ofuscação lexical e registro dinâmico de domínios, bem como a importância de treinamento organizacional para mitigação de spear phishing. Concluímos que a integração de múltiplas camadas técnicas e controles administrativos constitui abordagem mais robusta diante da natureza adaptativa do adversário.
Read paper →PhishingArquitetura Operacional para Detecção, Mitigação e Resposta a Campanhas de Spear Phishing Baseada em Correlação Multi-Camada e Inteligência de Ameaças
O phishing, particularmente em sua modalidade direcionada (spear phishing), consolidou-se até 2010 como vetor inicial predominante em campanhas avançadas de intrusão, notadamente em operações caracterizadas como Advanced Persistent Threats (APT), a exemplo da Operação Aurora e do incidente Stuxnet. Tais campanhas exploram engenharia social, anexos maliciosos e links para páginas fraudulentas com o objetivo de obter credenciais, instalar malware ou estabelecer pontos de apoio iniciais em redes corporativas. Neste trabalho propomos uma arquitetura operacional integrada para detecção, mitigação e resposta a campanhas de spear phishing, fundamentada em correlação multi-camada (e-mail, DNS, HTTP e host), enriquecimento com inteligência de ameaças disponível publicamente até 2010 e modelagem comportamental estatística baseada em perfis históricos. Formalizamos o problema como uma tarefa de classificação binária sujeita a restrições de latência operacional e custo de falsos positivos, discutindo métricas como $TPR$ e $FPR$ sob perspectiva probabilística. A arquitetura proposta integra logs SMTP, sensores de rede como Snort e Bro (atual Zeek), análise de tráfego HTTP, ferramentas de análise forense de memória como Volatility e mecanismos de reputação como PhishTank e listas negras DNS. Demonstramos, por meio de experimento controlado com conjunto de e-mails reais e sintéticos, que a correlação multi-camada reduz significativamente a taxa de falsos positivos quando comparada a abordagens unidimensionais baseadas apenas em conteúdo de e-mail. O estudo inclui ainda análise de caso inspirada em campanhas reais observadas em 2009–2010, evidenciando a eficácia da arquitetura na detecção precoce de domínios recém-registrados e anexos explorando vulnerabilidades conhecidas. Concluímos que uma abordagem integrada, alinhada às recomendações de defesa em profundidade do NIST, constitui estratégia viável e eficaz para organizações que enfrentam ameaças direcionadas no cenário de 2010.
Read paper →PhishingArquiteturas Ofensivas e Defensivas em Campanhas de Phishing na Era das Ameaças Persistentes Avançadas (APT): Modelagem de Ameaças, Engenharia de Ataque e Mecanismos de Detecção Baseados em Inteligência de Ameaças (2010)
O phishing consolidou-se, ao longo da década de 2000, como um dos principais vetores de comprometimento inicial em incidentes de segurança, tanto em campanhas oportunistas quanto em intrusões direcionadas associadas a Ameaças Persistentes Avançadas (APT). Relatórios contemporâneos indicam crescimento contínuo no volume e na sofisticação de ataques, com uso intensivo de engenharia social, domínios fraudulentos de curta duração e infraestrutura distribuída. Neste trabalho, analisamos arquiteturas ofensivas e defensivas em campanhas de phishing à luz do contexto tecnológico vigente em 2010, caracterizado pela consolidação de serviços de webmail corporativo, expansão do comércio eletrônico, surgimento de plataformas móveis como Android e iOS, e incidentes emblemáticos como a Operação Aurora e o Stuxnet. Propomos uma formalização probabilística do comprometimento inicial, modelando a probabilidade de sucesso como função da eficácia da engenharia social, da capacidade de evasão técnica e da robustez dos mecanismos defensivos. Descrevemos a cadeia de ataque típica, incluindo registro de domínios, hospedagem em bulletproof hosting, uso de kits de phishing e exfiltração de credenciais via HTTP ou SMTP. No eixo defensivo, apresentamos uma arquitetura multicamada baseada em inteligência de ameaças, análise lexical de URLs, reputação de domínios, correlação de dados de WHOIS e DNS passivo, e classificação supervisionada utilizando algoritmos como Random Forest e Support Vector Machines. Avaliamos experimentalmente o modelo proposto em um conjunto balanceado de 50.000 URLs, obtendo acurácia de 95,8% e F1-score de 0,954. Discutimos ainda um estudo de caso representativo de fraude corporativa por comprometimento de contas de e-mail, analisando vetores técnicos e falhas de controle. Concluímos que a mitigação efetiva do phishing exige integração entre controles técnicos (SPF, DKIM, filtros heurísticos), processos organizacionais e conscientização de usuários, especialmente no contexto de ameaças direcionadas emergentes até 2010.
Read paper →PhishingModelagem Operacional e Detecção Multicamada de Campanhas de Phishing Baseadas em Infraestruturas Dinâmicas e Engenharia Social Direcionada
O phishing consolidou-se, ao longo da década de 2000, como um dos principais vetores de comprometimento inicial em incidentes de segurança da informação, particularmente no contexto de campanhas direcionadas associadas a operações persistentes avançadas (APTs). Diferentemente das ondas massivas de spam observadas no início da década, as campanhas recentes caracterizam-se por engenharia social personalizada (spear phishing), uso de domínios recém-registrados, hospedagem distribuída em provedores comerciais e rápida rotatividade de infraestrutura. Neste trabalho, propomos uma modelagem formal e operacional de campanhas de phishing com foco em detecção multicamada baseada na correlação de evidências heterogêneas observáveis em 2010: características léxicas de URLs, idade e padrões de registro de domínios, reputação de endereços IP, análise de certificados TLS, e artefatos de rede coletados por sensores como Bro e Snort. Formalizamos o problema como inferência probabilística do evento de comprometimento condicional a um conjunto de evidências extraídas do fluxo de e-mails e da navegação HTTP/HTTPS, definindo um escore agregado calibrado por regressão logística. Implementamos um pipeline experimental composto por Postfix, SpamAssassin, scripts em Python, consultas WHOIS, enriquecimento com dados públicos de reputação e análise de tráfego via Bro, com armazenamento estruturado para correlação temporal de campanhas. Avaliamos a abordagem em um conjunto de 1,2 milhão de mensagens coletadas entre 2009 e 2010 em ambiente corporativo, combinadas com amostras do PhishTank. Os resultados indicam aumento significativo de recall em comparação com filtros baseados exclusivamente em conteúdo textual, mantendo taxa de falsos positivos controlada. Discutimos ainda um estudo de caso envolvendo campanha de spear phishing com infraestrutura dinâmica e uso de HTTPS válido, evidenciando limitações de mecanismos puramente baseados em listas negras. Concluímos que a detecção eficaz de phishing em 2010 requer integração de múltiplas camadas técnicas e análise contínua da infraestrutura adversária, em consonância com o cenário emergente de ameaças persistentes avançadas.
Read paper →PhishingAnálise Formal e Empírica de Ataques de Phishing no Contexto das Ameaças Persistentes Avançadas (2005–2010)
Este artigo apresenta uma análise abrangente, formal e empiricamente fundamentada dos ataques de phishing no período de 2005 a 2010, contexto marcado pela consolidação das Ameaças Persistentes Avançadas (APTs), pela emergência de campanhas direcionadas (spear phishing) e pela expansão dos serviços bancários e comerciais na Web. Investigamos os fundamentos técnicos do phishing, seus vetores de entrega, modelos econômicos subjacentes e mecanismos de defesa disponíveis até 2010, incluindo filtros baseados em heurísticas, listas negras, autenticação reforçada e análise forense de memória. Formalizamos o phishing como um protocolo adversarial interativo entre atacante, vítima e provedor de serviço, modelando-o como um jogo de informação imperfeita no qual o sucesso do adversário depende da assimetria informacional e da engenharia social. A partir de relatórios da Anti-Phishing Working Group (APWG), estudos empíricos e incidentes relevantes como Operation Phish Phry e campanhas associadas a spear phishing corporativo, examinamos tendências quantitativas e qualitativas do fenômeno. Avaliamos contramedidas como SPF, DKIM, TLS, autenticação multifator baseada em tokens, filtros bayesianos e listas negras colaborativas, discutindo suas limitações estruturais. Apresentamos ainda experimentos controlados utilizando ferramentas amplamente empregadas até 2010, como Metasploit Framework, Burp Suite, IDA Pro e Volatility, com o objetivo de compreender a cadeia completa de ataque, desde a preparação da infraestrutura até a exfiltração de credenciais. Demonstramos que, apesar de avanços incrementais em filtragem e autenticação, o phishing permanece eficaz devido à exploração sistemática de vulnerabilidades humanas e organizacionais. Concluímos propondo um arcabouço formal de mitigação baseado na redução da superfície de engenharia social, na modelagem probabilística de risco e na integração de mecanismos técnicos e políticas institucionais. Todas as referências utilizadas são anteriores ou contemporâneas a 2010, assegurando coerência temporal com o período analisado.
Read paper →PhishingArquitetura Híbrida Baseada em Inteligência de Ameaças e Aprendizado Supervisionado para Detecção e Resposta Operacional a Campanhas de Phishing Multivetoriais
O phishing consolidou-se, ao longo da última década, como um dos vetores de intrusão mais relevantes tanto em campanhas cibercriminosas quanto em operações avançadas persistentes (APT), como evidenciado por incidentes emblemáticos envolvendo spear phishing direcionado a setores governamentais e corporativos estratégicos. Em 2010 e 2011, eventos como a Operação Aurora e o comprometimento da RSA demonstraram que ataques baseados em engenharia social podem servir como ponto inicial para compromissos em larga escala, com impactos estratégicos. Nesse contexto, soluções baseadas exclusivamente em listas de bloqueio e assinaturas estáticas mostraram-se insuficientes frente à rápida rotatividade de domínios maliciosos e à crescente sofisticação das páginas fraudulentas. Neste trabalho, propomos uma arquitetura híbrida que integra inteligência de ameaças contextual (CTI) e aprendizado supervisionado para detecção de URLs e páginas HTML associadas a campanhas de phishing multivetoriais. Formalizamos o problema como uma tarefa de classificação binária sobre um espaço vetorial de 147 atributos léxicos, estruturais e contextuais, incluindo características de WHOIS, DNS passivo e similaridade lexical. Avaliamos empiricamente a proposta sobre um conjunto de 2,4 milhões de amostras coletadas entre 2009 e 2011, comparando-a com abordagens heurísticas e com classificadores SVM tradicionais. Os resultados indicam melhoria superior a 20% em F1-score em relação a métodos heurísticos, mantendo taxa de falso positivo inferior a 1% e latência média inferior a 400 ms por requisição. Demonstramos ainda, por meio de estudo de caso real em ambiente corporativo do setor financeiro, redução significativa no tempo médio de resposta (MTTR) quando a arquitetura é integrada a ferramentas operacionais como Snort, MISP, Elastic Stack e Metasploit. Discutimos implicações práticas, limitações e direções futuras compatíveis com o estado da arte até 2011, enfatizando a necessidade de integração entre análise estatística, inteligência contextual e processos de resposta a incidentes.
Read paper →PhishingArquitetura Híbrida de Detecção e Resposta a Phishing Baseada em Modelagem Formal de Ameaças e Correlação Multi-Camada em Ambientes Corporativos (2011)
O phishing consolidou-se, ao longo da última década, como um dos vetores de ataque mais prevalentes e economicamente vantajosos no cenário de ameaças digitais. Relatórios da Anti-Phishing Working Group e análises de incidentes amplamente divulgados entre 2008 e 2011 demonstram crescimento sustentado no número de campanhas, sofisticação técnica e impacto financeiro. Neste trabalho propomos uma arquitetura híbrida de detecção e resposta a phishing fundamentada em modelagem formal de ameaças e correlação multi-camada, adequada ao contexto tecnológico de 2011, caracterizado por campanhas de spear phishing, exploração de vulnerabilidades em navegadores e plugins, uso de infraestrutura fast-flux e consolidação de ataques persistentes avançados (APTs), como evidenciado pelos casos Operation Aurora e Stuxnet. Formalizamos o problema de detecção como tarefa de classificação binária sob restrições adversariais explícitas, modelando o atacante como entidade racional que busca maximizar probabilidade de sucesso e minimizar probabilidade de detecção. A arquitetura proposta integra múltiplas fontes e mecanismos disponíveis à época, incluindo SpamAssassin, Snort, Bro (atual Zeek), YARA, análise estática e dinâmica de anexos, reputação baseada em PhishTank e correlação de eventos em SIEM corporativo. Avaliamos experimentalmente a abordagem utilizando conjunto de dados composto por URLs de phishing reportadas ao PhishTank e domínios legítimos extraídos do Alexa Top Sites, além de amostras reais de e-mails corporativos anonimizados. Os resultados indicam aumento estatisticamente significativo na taxa de detecção em comparação a listas negras isoladas, com redução relevante do tempo médio de resposta (MTTR). Concluímos que a integração de modelagem formal com correlação multi-camada constitui estratégia eficaz e operacionalmente viável no contexto tecnológico de 2011, contribuindo para maior resiliência organizacional frente a campanhas de phishing direcionado.
Read paper →PhishingUma Arquitetura Híbrida Baseada em Aprendizado Supervisionado, Inteligência de Ameaças e Telemetria de Rede para Detecção e Resposta Proativa a Campanhas Avançadas de Phishing
O phishing consolidou-se, ao longo da última década, como o principal vetor inicial em campanhas de intrusão direcionadas, incluindo operações classificadas como Ameaças Persistentes Avançadas (APT). Incidentes amplamente documentados entre 2009 e 2011, como a Operação Aurora e o comprometimento da RSA Security, evidenciam o papel central do spear phishing na obtenção de credenciais e na instalação inicial de malware em ambientes corporativos. Nesse contexto, mecanismos tradicionais baseados exclusivamente em listas negras e filtragem heurística demonstram limitações estruturais, especialmente frente à curta vida útil de domínios maliciosos e à rápida rotatividade de infraestrutura adversária. Neste trabalho, propomos e avaliamos uma arquitetura híbrida multi-camada que integra aprendizado supervisionado, inteligência de ameaças baseada em indicadores técnicos e telemetria de rede para detecção e resposta quase em tempo real a campanhas avançadas de phishing. Formalizamos o problema como uma tarefa de classificação binária com minimização de risco empírico ponderado, considerando custos assimétricos de erros. A arquitetura combina extração de características léxicas de URLs, atributos estruturais de mensagens eletrônicas, informações de DNS e WHOIS, além de correlação com fluxos de rede monitorados por sistemas de detecção de intrusão. Implementamos um protótipo utilizando ferramentas amplamente disponíveis até 2011, incluindo Python, scikit-learn, Snort, Bro IDS, SpamAssassin e Metasploit, integrados a um SIEM corporativo. Avaliamos o sistema em um conjunto de dados composto por 1,2 milhão de mensagens eletrônicas e 350 mil URLs, obtendo AUC de 0,982, taxa de detecção de 96,4% e taxa de falso positivo inferior a 2%. Adicionalmente, observamos redução significativa no tempo médio de resposta a incidentes. Os resultados demonstram que a integração estruturada de múltiplas fontes de evidência supera abordagens isoladas e constitui estratégia viável para defesa organizacional no cenário de ameaças vigente em 2011.
Read paper →PhishingArquitetura Híbrida Baseada em Aprendizado Supervisionado e Inteligência de Ameaças para Detecção e Resposta a Phishing Multi‑Canal em Ambientes Corporativos (2011)
O phishing consolidou-se, no período de 2007 a 2011, como o principal vetor inicial de comprometimento em campanhas direcionadas contra organizações públicas e privadas, frequentemente associado a operações avançadas persistentes (APTs), como evidenciado nos incidentes Aurora (2009–2010) e Stuxnet (2010). Neste artigo, propomos e avaliamos uma arquitetura híbrida para detecção e resposta a phishing multi‑canal em ambientes corporativos, combinando aprendizado supervisionado, análise heurística, correlação contextual e integração com fontes de inteligência de ameaças disponíveis até 2011. Formalizamos o problema de classificação de URLs e mensagens como uma função $f : (u_i, x_i) \mapsto y_i \in \{0,1\}$ sob restrições explícitas de latência operacional, impondo $T_{class}(u_i) \leq 300ms$ para viabilidade em gateways de correio eletrônico e proxies HTTP corporativos. O modelo de ameaça considera adversários capazes de registrar domínios recém-criados, empregar kits de phishing amplamente distribuídos, explorar vulnerabilidades em navegadores e plug-ins (por exemplo, Java e Adobe Reader) e utilizar spear phishing como vetor inicial de intrusão. Implementamos um classificador híbrido combinando Support Vector Machines (SVM) e árvores de decisão com mecanismos de pontuação heurística, integrados a sandboxing dinâmico e correlação com logs de rede e endpoint. A avaliação experimental, conduzida sobre um conjunto de 312.000 URLs rotuladas, demonstra TPR de 0,972, FPR de 0,018 e AUC de 0,981, superando abordagens baseadas exclusivamente em listas negras ou SVM isolado. Observamos redução média de 39% no tempo de contenção de incidentes (MTTC) quando integrada a mecanismos automatizados de bloqueio em gateway e atualização de listas internas. Discutimos limitações relacionadas à evasão por conteúdo altamente personalizado e ao uso de infraestrutura efêmera. Concluímos que a integração formalmente estruturada entre aprendizado supervisionado, análise dinâmica e inteligência de ameaças constitui abordagem eficaz e operacionalmente viável para mitigação de phishing corporativo no contexto tecnológico de 2011.
Read paper →PhishingArquitetura Híbrida de Detecção e Resposta a Phishing Baseada em Correlação Multicamadas, Modelagem Formal de Ameaças e Integração com SOC
O phishing consolidou-se, ao longo da década de 2000, como o principal vetor de comprometimento inicial em incidentes corporativos, especialmente no contexto de campanhas direcionadas e APTs evidenciadas por eventos como a Operação Aurora (2009) e a violação da RSA (2011). Neste trabalho, propomos uma arquitetura híbrida de detecção e resposta a phishing baseada na correlação multicamadas de evidências, modelagem formal do problema como tarefa de classificação supervisionada com restrições operacionais e integração estruturada com centros de operações de segurança (SOC). Diferentemente de abordagens isoladas — como filtros bayesianos, listas negras de URL ou mecanismos puramente reputacionais — nossa proposta integra extração léxica e estrutural de mensagens, análise de reputação de domínios e endereços IP, inspeção de anexos com YARA e correlação de alertas em grafos para identificação de campanhas. Formalizamos o modelo de ameaça assumindo adversários com capacidade de registro massivo de domínios, uso de botnets para envio de spam e exploração de vulnerabilidades em leitores de PDF e documentos Office, cenário compatível com o período 2009–2012. A arquitetura foi implementada com Postfix, Amavis, SpamAssassin, Suricata, Neo4j, SIEM baseado em ElasticSearch e classificadores supervisionados (Random Forest e Gradient Boosting) em Python. Avaliamos o sistema sobre um conjunto de 1.200.000 mensagens reais coletadas entre 2010 e 2012, contendo 184.327 amostras confirmadas de phishing. Os resultados demonstram Taxa de Verdadeiros Positivos de 98,37% e Taxa de Falsos Positivos de 0,62%, superando significativamente filtros bayesianos tradicionais e abordagens puramente reputacionais. O tempo médio de detecção foi reduzido de 4h12 para 17 minutos. Concluímos que a combinação de modelagem formal, classificação supervisionada e correlação estrutural de alertas oferece ganhos mensuráveis de precisão e eficiência operacional em SOCs corporativos no contexto tecnológico vigente em 2012.
Read paper →PhishingArquitetura Híbrida de Detecção e Resposta a Phishing Baseada em Modelagem Formal de Ameaças e Correlação de Telemetria de Rede em Tempo Real
O phishing consolidou-se, no período 2008–2012, como um dos principais vetores de comprometimento inicial em incidentes de segurança corporativa, estando frequentemente associado a campanhas de espionagem direcionada (APT), fraudes financeiras e distribuição de malware. Incidentes amplamente documentados, como a Operação Aurora (2009–2010) e a violação da RSA (2011), evidenciaram o papel do spear phishing como mecanismo de acesso inicial a ambientes corporativos de alto valor. Nesse contexto, mecanismos tradicionais baseados exclusivamente em listas negras mostraram-se insuficientes diante da rápida rotatividade de domínios maliciosos e do uso de técnicas como fast-flux DNS e domain shadowing. Neste trabalho, propomos uma arquitetura híbrida para detecção e resposta a phishing que combina modelagem formal do problema sob adversário adaptativo, classificação supervisionada baseada em características léxicas e de infraestrutura, e correlação com telemetria de rede em tempo real proveniente de IDS e proxies HTTP. Formalizamos a detecção como um problema de minimização de risco sob distribuição adversarial e analisamos propriedades de robustez frente a domínios recém-registrados. A arquitetura integra fontes como PhishTank, Google Safe Browsing e dados WHOIS, empregando classificadores como Random Forest e Support Vector Machines, além de mecanismos heurísticos. Implementamos um protótipo em ambiente corporativo controlado, utilizando Snort, Bro (atual Zeek) e ElasticSearch para correlação de eventos. Avaliamos o sistema em um conjunto de 1,2 milhão de URLs (600 mil maliciosas e 600 mil benignas), obtendo AUC de 0,971 no modelo híbrido, com redução observada de 58% no tempo médio de detecção (MTTD) em comparação a listas negras isoladas. Demonstramos que a integração entre modelagem formal, aprendizado supervisionado e telemetria de rede constitui abordagem eficaz e operacionalmente viável no cenário tecnológico de 2012.
Read paper →PhishingArquitetura Híbrida de Detecção e Resposta a Phishing Baseada em Correlação Multicamadas, Modelagem Formal de Ameaças e Inteligência Operacional (Contexto 2012)
O phishing consolidou-se, no período de 2008 a 2012, como principal vetor de acesso inicial em campanhas direcionadas e operações de espionagem digital, incluindo incidentes amplamente documentados como Operation Aurora e o comprometimento da RSA em 2011. Diferentemente de ataques puramente técnicos, o phishing combina engenharia social, infraestrutura web maliciosa e técnicas de evasão, explorando tanto vulnerabilidades cognitivas quanto fragilidades em sistemas de correio eletrônico e navegação web. Neste trabalho propomos uma arquitetura híbrida de detecção e resposta a phishing fundamentada em modelagem formal de ameaças, correlação multicamadas e integração operacional entre gateway de e-mail, sistemas de detecção de intrusão em rede (NIDS), análise de anexos e inteligência de ameaças baseada em reputação. Formalizamos o problema como uma função de classificação binária $f: M \rightarrow \{0,1\}$, minimizando uma função de perda ponderada $\mathcal{L} = \alpha FP + \beta FN$, com $\alpha > \beta$ em razão do impacto operacional de falsos positivos em ambientes corporativos de grande escala. Introduzimos ainda um modelo probabilístico baseado em grafos bipartidos remetente-destinatário para estimativa de risco condicional $P(phishing|s,r)$. A implementação foi realizada com tecnologias disponíveis até 2012, incluindo Postfix, SpamAssassin, ClamAV, Snort, Suricata (versões iniciais), Volatility, Metasploit e YARA, integradas por mecanismos de correlação em SIEM. A avaliação empírica, conduzida sobre um conjunto de 1.200.000 mensagens, demonstrou acurácia de 97,8%, taxa de falso positivo de 0,61% e redução de 58% no tempo médio de resposta (MTTR). Nossos resultados indicam que a correlação operacional entre múltiplas camadas reduz significativamente falsos positivos e amplia a visibilidade pós-clique, constituindo abordagem robusta para o cenário de ameaças vigente em 2012.
Read paper →