Research / Paper Files

Paper Files

Os Paper Files são uma prática pessoal de estudo contínuo em cibersegurança que aplica o método científico como ferramenta de aprendizado. Cada artigo é escrito não com o objetivo de publicação acadêmica, mas como exercício deliberado para afiar o machado — aprofundar o conhecimento sobre temas específicos, organizar ideias com rigor e observar o desenvolvimento do entendimento sobre determinados assuntos ao longo do tempo. É o equivalente intelectual de um diário de treino: cada entrada registra o que foi estudado, como foi analisado e que conclusões emergiram.

Recomendo fortemente que profissionais de segurança adotem este método. Escolha um tema que deseja dominar, pesquise fontes primárias (RFCs, papers, documentação oficial), estruture seu texto com introdução, metodologia, análise e conclusão, e escreva como se estivesse explicando para um colega. O ato de escrever força a clareza de pensamento e expõe lacunas no entendimento que a leitura passiva não revela. Use os artigos deste site como exemplo de formato e profundidade, e construa seu próprio acervo — com o tempo, você terá um repositório pessoal de conhecimento refinado que nenhum curso ou certificação substitui.

DAI & ADAI · 2026

DAI · PT

DAI: uma LLM de domínio específico com autoridade excluída do modelo, verificação por capacidades disjuntas e recibos recomputáveis

DAI (Decripte Artificial Intelligence) é uma LLM própria de domínio específico inserida em uma arquitetura de defesa autônoma governada. É uma instância da categoria proposta ADAI, definida no paper complementar. O traba…

Ler o paper →ADAI · PT

Inteligência Artificial de Defesa Autônoma: um arcabouço de envelope e evidência para LLMs governadas que agem sobre infraestrutura de produção

ADAI (Autonomous Defensive Artificial Intelligence) é uma categoria proposta de defesa cibernética autônoma governada. O arcabouço especifica perímetros defendidos, efeitos delimitados, reversão declarada e verificação p…

Ler o paper →

Todos Detection DFIR AppSec DevSecOps AI Security IAM Cloud Containers IR Crypto Research Phishing Secrets

106 papers

Phishing

Arquitetura Híbrida de Detecção e Resposta a Phishing Baseada em Correlação Multicamadas, Modelagem Formal de Ameaças e Inteligência Operacional (2012)

O phishing consolidou-se, no período compreendido entre 2007 e 2012, como um dos vetores iniciais predominantes em incidentes de segurança, incluindo campanhas direcionadas associadas a ameaças persistentes avançadas (APTs). Diferentemente das primeiras ondas massivas de spam, observamos a crescente sofisticação de ataques de spear phishing, caracterizados por personalização contextual, uso de domínios recentemente registrados, exploração de vulnerabilidades em navegadores e leitores de documentos PDF, além de técnicas de evasão como fast-flux DNS e kits automatizados de phishing. Neste trabalho, propomos uma arquitetura híbrida de detecção e resposta a phishing baseada na correlação multicamadas entre artefatos de correio eletrônico (SMTP), atributos léxicos de URLs, metadados DNS/WHOIS e telemetria de rede coletada por sensores IDS e logs corporativos. Formalizamos o problema como uma tarefa de classificação binária probabilística com restrições explícitas sobre taxa de falsos positivos (FPR) e latência operacional, estabelecendo limites superiores para $P(\hat{y}=1 \mid y=0)$. A arquitetura proposta integra mecanismos consolidados até 2012, como Postfix, SpamAssassin, Suricata/Snort, Zeek (Bro), Elastic Stack, YARA, Metasploit e Volatility, em um fluxo de decisão incremental. Avaliamos experimentalmente a solução em um conjunto de 1,2 milhão de mensagens coletadas em ambiente corporativo real, comparando-a com abordagens baseadas exclusivamente em listas negras e modelos textuais baseados em Random Forest. Os resultados indicam taxa de detecção (TPR) de 98,7% com FPR de 1,9% e latência média de 143 ms, respeitando as restrições operacionais definidas. Demonstramos, ainda, por meio de estudo de caso, a redução de 37% no número de contas comprometidas após implantação da arquitetura. Concluímos que a correlação temporal e contextual entre múltiplas camadas é decisiva para mitigar campanhas de phishing zero-day no cenário tecnológico de 2012, particularmente em organizações expostas a ameaças direcionadas.

2019-04-16Read paper →Phishing

Arquitetura Híbrida Baseada em Inteligência de Ameaças e Aprendizado de Máquina para Detecção e Resposta Operacional a Campanhas de Phishing Multiestágio

O phishing consolidou-se, no início da década de 2010, como um dos principais vetores de comprometimento inicial em incidentes corporativos, frequentemente servindo como mecanismo de entrega para trojans bancários, backdoors e, mais recentemente, campanhas emergentes de ransomware como o CryptoLocker (2013). Relatórios da Anti-Phishing Working Group (APWG) e do Verizon Data Breach Investigations Report (2013) indicam crescimento sustentado no volume e na sofisticação das campanhas, incluindo uso de infraestrutura de fast-flux, domínios recém-registrados e páginas de coleta de credenciais com forte similaridade visual a marcas legítimas. Nesse contexto, abordagens baseadas exclusivamente em listas negras ou assinaturas estáticas mostram-se insuficientes frente a ataques de curta duração (zero-hour). Neste artigo, propomos e avaliamos uma arquitetura híbrida que integra análise léxica e estrutural de URLs, inspeção dinâmica de conteúdo em sandbox (Cuckoo Sandbox), correlação com inteligência de ameaças estruturada (STIX/TAXII) e um classificador supervisionado baseado em Gradient Boosting. Formalizamos o problema como uma tarefa de classificação binária sob adversário adaptativo, modelando explicitamente o custo de evasão e o impacto operacional de falsos positivos em ambientes de alto volume. A arquitetura é projetada para integração com um Security Operations Center (SOC), utilizando componentes disponíveis até 2013, como Postfix milter, Suricata, YARA, Elasticsearch e MISP. Avaliamos empiricamente a proposta sobre um conjunto de 1.200.000 mensagens de correio eletrônico e 48.000 URLs, comparando-a com SpamAssassin e Random Forest. Os resultados indicam acurácia de 0,978, recall de 0,989 e redução significativa de incidentes não detectados, com latência média inferior a 200 ms por artefato. Discutimos ainda implicações operacionais, limitações relacionadas à evasão de sandbox e perspectivas de evolução dentro do panorama tecnológico de 2013, enfatizando integração com feeds de inteligência e modelos de correlação de campanhas.

2019-01-17Read paper →Phishing

Modelagem, Detecção e Mitigação Operacional de Campanhas de Phishing: Uma Abordagem Baseada em Threat Intelligence, MITRE ATT&CK e Experimentação Controlada (2013)

O phishing permanece, em 2013, como um dos vetores predominantes de comprometimento inicial em ambientes corporativos e governamentais, figurando de forma recorrente em relatórios de incidentes e estatísticas de violações de dados. A sofisticação crescente das campanhas — incluindo spear phishing direcionado, uso de infraestruturas distribuídas com fast-flux DNS, abuso de certificados TLS válidos e kits automatizados de ataque — impõe desafios significativos aos Centros de Operações de Segurança (SOCs). Neste trabalho, propomos uma abordagem integrada para modelagem, detecção e mitigação operacional de campanhas de phishing, combinando fundamentos formais de classificação supervisionada com inteligência de ameaças estruturada (STIX/TAXII), mapeamento tático baseado na matriz MITRE ATT&CK (2013) e experimentação controlada em ambiente corporativo simulado. Formalizamos o problema como uma função de decisão binária com custo assimétrico, privilegiando a minimização de falsos negativos, dada a elevada externalidade negativa associada ao comprometimento de credenciais. Implementamos um pipeline operacional compatível com o estado da prática em 2013, integrando Postfix, SpamAssassin, Zeek (Bro), Logstash, Elasticsearch, Kibana e Splunk, com extração de atributos léxicos, DNS, TLS e de conteúdo HTML. Avaliamos modelos Random Forest, Support Vector Machines e Gradient Boosting, utilizando validação cruzada estratificada em um conjunto de 120.000 URLs coletadas de PhishTank, OpenPhish e Alexa Top Sites. Os resultados indicam acurácia de 97,2%, AUC-ROC de 0,989 e redução estatisticamente significativa do tempo médio de resposta (MTTR) em 38% ($p < 0,01$). Complementarmente, conduzimos estudo de caso com campanha simulada de spear phishing, observando taxa de clique de 34% e captura de credenciais em 18% dos usuários expostos, com detecção em 19 minutos por correlação multicamada. Demonstramos que a integração entre modelagem formal, inteligência estruturada de ameaças e telemetria de rede proporciona ganhos substanciais de robustez operacional, superando abordagens puramente léxicas ou baseadas exclusivamente em listas de reputação.

2019-01-11Read paper →Phishing

Arquitetura Híbrida Baseada em Inteligência de Ameaças, Análise Comportamental e Modelagem Formal para Detecção e Mitigação de Phishing Multivetorial em Ambientes Corporativos (2014)

O phishing consolidou-se, até 2014, como um dos principais vetores iniciais de intrusão em ambientes corporativos, viabilizando comprometimento de credenciais, fraude financeira, espionagem industrial e a disseminação de malware, incluindo as primeiras campanhas de ransomware em larga escala, como o CryptoLocker (2013). Este trabalho propõe e avalia uma arquitetura híbrida de detecção e mitigação de phishing multivetorial que integra inteligência de ameaças estruturada (STIX/TAXII), análise comportamental em rede e endpoint, inspeção dinâmica em sandbox e modelagem formal do processo de classificação sob adversário adaptativo. Formalizamos o problema como uma tarefa de classificação binária $f: X \rightarrow \{0,1\}$ com função de custo assimétrica $C = \alpha FP + \beta FN$, incorporando restrições operacionais de latência e limites de taxa de falso positivo. Modelamos o adversário com capacidades realistas para 2014, incluindo registro ágil de domínios, uso de certificados TLS válidos, ofuscação léxica e comprometimento de contas legítimas. A arquitetura proposta integra Postfix, Amavis, SpamAssassin, Suricata, Bro (atual Zeek), MISP, YARA, Cuckoo Sandbox, Elastic Stack e classificador supervisionado (Gradient Boosting), correlacionando indicadores técnicos com táticas descritas no modelo Cyber Kill Chain. Avaliamos a solução em um conjunto de 12.500 e-mails rotulados, comparando-a com abordagens baseadas exclusivamente em blacklist e Naive Bayes. Os resultados indicam melhoria significativa de desempenho, com $F1 = 0{,}964$, redução de falsos positivos para 3,8% e latência média inferior a 200 ms, mantendo alta capacidade de detecção de fraudes do tipo Business Email Compromise (BEC). Discutimos implicações práticas, limitações metodológicas e diretrizes operacionais alinhadas ao estado da arte até 2014, demonstrando que a integração sistemática de múltiplas camadas técnicas, aliada a fundamentação formal rigorosa, produz ganhos mensuráveis de robustez e eficiência em cenários corporativos adversariais.

2018-02-24Read paper →Phishing

Arquiteturas Ofensivas e Defensivas no Combate ao Phishing em 2014: Modelagem de Ameaças, Detecção Baseada em Evidências e Resposta Operacional

O phishing consolidou-se, até 2014, como um dos principais vetores iniciais de comprometimento em incidentes de segurança corporativa, figurando de maneira recorrente em relatórios técnicos e investigações forenses. Diferentemente das primeiras campanhas massivas baseadas em spam genérico, as operações contemporâneas passaram a incorporar técnicas de engenharia social direcionada (spear phishing), infraestrutura distribuída com fast-flux DNS, uso de kits automatizados e hospedagem resistente a denúncias. Paralelamente, a literatura científica avançou em métodos de detecção baseados em análise lexical de URLs, extração de atributos estruturais de páginas HTML e aplicação de algoritmos de aprendizado de máquina supervisionado. Neste trabalho, propomos uma arquitetura integrada de defesa contra phishing adequada ao estado da arte até 2014, combinando verificação de autenticidade de e-mail (SPF, DKIM e DMARC), inteligência de ameaças estruturada (STIX/TAXII), análise estática e dinâmica de URLs e anexos (incluindo sandboxing com Cuckoo), além de classificação baseada em Random Forest. Formalizamos o problema como uma tarefa de classificação binária com minimização de risco ponderado por custos assimétricos entre falsos positivos e falsos negativos, refletindo o impacto operacional do comprometimento inicial. Implementamos um protótipo utilizando Postfix, SpamAssassin, Suricata, Elastic Stack e Scikit-learn, avaliando-o sobre um conjunto de 1,2 milhão de mensagens coletadas entre 2012 e 2014. Os resultados indicam precisão de 98,2%, recall de 97,6% e redução significativa de falsos negativos em comparação ao baseline baseado exclusivamente em heurísticas. Discutimos ainda um estudo de caso real envolvendo spear phishing contra credenciais corporativas de webmail, detalhando o ciclo de resposta a incidentes segundo boas práticas consolidadas. Concluímos que uma abordagem multicamadas, fundamentada em evidências técnicas e integrada a processos operacionais, é essencial para mitigar o risco sistêmico associado ao phishing no contexto tecnológico vigente em 2014.

2018-02-17Read paper →Phishing

Arquiteturas Ofensivas e Defensivas contra Phishing: Modelagem Formal de Ameaças, Detecção Multicamadas e Avaliação Experimental em Ambientes Corporativos (2014)

O phishing consolidou-se, ao longo da última década, como um dos principais vetores de comprometimento inicial em incidentes de segurança corporativa, combinando engenharia social, automação e exploração de infraestrutura web efêmera. Em 2013 e 2014, relatórios industriais indicaram crescimento contínuo de campanhas direcionadas (spear phishing), frequentemente associadas a exfiltração de credenciais corporativas, fraudes financeiras e instalação de malware, inclusive ransomware emergente como CryptoLocker. Neste trabalho, propomos uma arquitetura integrada de detecção multicamadas para mitigação de phishing em ambientes corporativos, fundamentada em modelagem probabilística formal e alinhada a frameworks contemporâneos, como o Cyber Kill Chain e as primeiras versões públicas do MITRE ATT&CK. Formalizamos o problema de classificação como a estimação de uma variável binária sob função de custo assimétrica, refletindo o impacto desproporcional de falsos negativos. A arquitetura combina: (i) análise léxica de URLs; (ii) verificação reputacional com base em feeds estruturados STIX/TAXII e bases como PhishTank; (iii) inspeção de certificados TLS; (iv) classificação de conteúdo textual via TF-IDF e algoritmos supervisionados; e (v) correlação comportamental em logs de autenticação e proxy. Implementamos um protótipo utilizando ferramentas amplamente disponíveis até 2014, incluindo Python 2.7, scikit-learn, Cuckoo Sandbox, YARA, Suricata e Elastic Stack. Avaliamos a solução sobre um conjunto balanceado de 250.000 URLs, demonstrando acurácia de 98,1% e recall de 97,2%, superando abordagens baseadas exclusivamente em listas negras. Discutimos ainda limitações frente a técnicas de evasão, implicações operacionais e integração com processos de resposta a incidentes conforme NIST SP 800-61r2. Nossos resultados evidenciam que a combinação de sinais heterogêneos, sob modelagem formal adequada, oferece ganhos substanciais de robustez frente à natureza adaptativa do phishing no cenário de 2014.

2018-02-11Read paper →Phishing

Arquiteturas Ofensivas e Defensivas contra Phishing: Modelagem Formal, Detecção Multicamadas e Avaliação Empírica em Ambientes Corporativos (2014)

O phishing consolidou-se, até 2014, como um dos principais vetores de intrusão em ambientes corporativos, explorando vulnerabilidades humanas, falhas de autenticação de e-mail e lacunas na visibilidade operacional. Diferentemente de ataques puramente técnicos, campanhas de phishing articulam engenharia social, infraestrutura distribuída, técnicas de evasão e monetização por meio de roubo de credenciais, fraude financeira (Business E-mail Compromise – BEC) e distribuição de malware, incluindo as primeiras ondas de ransomware moderno, como o CryptoLocker (2013). Neste trabalho, propomos uma arquitetura integrada de defesa baseada em quatro camadas complementares: (i) validação de autenticidade de mensagens com SPF, DKIM e DMARC; (ii) análise estática de características léxicas, estruturais e de reputação de URLs e cabeçalhos; (iii) classificação supervisionada com modelos de aprendizado de máquina adequados ao estado da arte até 2014; e (iv) análise dinâmica em sandbox com instrumentação comportamental. Formalizamos o problema como uma tarefa de classificação binária sob risco assimétrico, modelando explicitamente os custos de falsos negativos e falsos positivos. Incorporamos conceitos da Cyber Kill Chain (LOCKHEED MARTIN, 2011) e das primeiras versões do MITRE ATT&CK (MITRE, 2013) para estruturar o modelo de ameaça. A arquitetura foi implementada com tecnologias amplamente disponíveis até 2014, incluindo Postfix, SpamAssassin, Suricata, Cuckoo Sandbox, Splunk e Elastic Stack (ELK), além de integração com feeds de inteligência como PhishTank e Abuse.ch. Avaliamos empiricamente a solução em ambiente corporativo simulado com 5.000 usuários ao longo de 30 dias, processando 4,2 milhões de mensagens. Os resultados indicam melhora substancial em relação a filtros baseados exclusivamente em regras, alcançando $Recall = 0{,}987$, $Precision = 0{,}979$ e redução significativa do tempo médio de resposta. Discutimos limitações, vetores de evasão como fast-flux e DGA, e implicações práticas para organizações de médio e grande porte no contexto tecnológico de 2014.

2018-02-04Read paper →Phishing

Arquitetura Híbrida de Detecção e Mitigação de Phishing Baseada em Modelagem Formal de Ameaças, Inteligência de Tráfego e Análise Comportamental Multicamadas

O phishing consolidou-se, até 2014, como um dos principais vetores iniciais de comprometimento em incidentes de segurança, estando associado a campanhas de fraude financeira, espionagem cibernética e distribuição de malware, incluindo as primeiras ondas significativas de ransomware como o CryptoLocker (2013). Neste trabalho, propomos uma arquitetura híbrida para detecção e mitigação de phishing fundamentada em modelagem formal de ameaças, integração de inteligência de tráfego e correlação comportamental multicamadas. Diferentemente de abordagens exclusivamente baseadas em listas de bloqueio ou heurísticas lexicais, estruturamos o problema como uma tarefa de classificação binária sob deriva adversarial, na qual um classificador $f: \mathcal{F} \rightarrow \{0,1\}$ deve minimizar o risco empírico sujeito a restrições operacionais de latência e taxa de falsos positivos. A arquitetura integra sensores de rede (Suricata e Bro), análise estática com YARA, sandboxing dinâmico via Cuckoo, extração de atributos DNS e TLS, e correlação em SIEM (Splunk/ELK), alinhada ao modelo Cyber Kill Chain (Lockheed Martin, 2011) e às táticas de engenharia social documentadas na literatura clássica de phishing. Avaliamos experimentalmente a proposta em um conjunto de 1,2 milhão de URLs balanceadas, comparando-a com listas de reputação e modelos supervisionados tradicionais (Random Forest). Os resultados indicam taxa de detecção (TPR) de 96,1%, com taxa de falso positivo (FPR) de 1,8%, superando abordagens isoladas de reputação e reduzindo o tempo médio de resposta (MTTR) em 31% no ambiente analisado. Discutimos ainda limitações relacionadas a ofuscação HTML, fast-flux DNS e uso de infraestruturas comprometidas, bem como implicações operacionais para centros de operações de segurança (SOC) em 2014. Concluímos que a integração formal de múltiplas camadas de evidência, aliada a mecanismos de inteligência compartilhada como STIX/TAXII, fornece ganhos mensuráveis de robustez contra campanhas evasivas de phishing.

2017-03-20Read paper →Phishing

Arquitetura Híbrida para Detecção e Resposta a Phishing Multicanal Baseada em Correlação Semântica, Telemetria de Rede e Inteligência de Ameaças (2015)

O phishing permanece, em 2015, como um dos vetores de ataque mais prevalentes contra organizações públicas e privadas, explorando vulnerabilidades técnicas e, sobretudo, cognitivas. A evolução de campanhas massivas para modalidades direcionadas, como spear phishing e Business Email Compromise (BEC), evidencia a necessidade de abordagens que transcendam filtros estáticos e listas de reputação. Neste trabalho, propomos e avaliamos uma arquitetura híbrida para detecção e resposta a phishing multicanal, fundamentada na correlação semântica de conteúdo, telemetria de rede (DNS e HTTP) e inteligência de ameaças estruturada (STIX/TAXII). Formalizamos o problema como uma tarefa de classificação binária com enriquecimento temporal, definindo uma função de risco agregada que combina probabilidades condicionais provenientes de três domínios observáveis. Demonstramos que a incorporação de correlação temporal entre eventos de e-mail e resoluções DNS/fluxos HTTP reduz significativamente falsos negativos quando comparada a abordagens exclusivamente léxicas ou baseadas em blacklist. Implementamos um protótipo operacional integrando Postfix, Suricata 3.x, Elastic Stack 2.x, MISP e regras YARA, compatível com o estado da arte até 2015. A avaliação empírica, conduzida sobre 350 mil URLs (PhishTank e OpenPhish) e 1,2 milhão de e-mails corporativos rotulados, indica aumento de F1-score de 0,91 (baseline léxico) para 0,964 na abordagem proposta, além de redução de 42% no tempo médio de resposta (MTTR). Discutimos implicações operacionais para Security Operations Centers (SOC), limitações inerentes à dependência de telemetria abrangente e desafios de escalabilidade. Concluímos que a integração sistemática entre análise de conteúdo, contexto temporal e inteligência compartilhada constitui estratégia eficaz e viável para mitigação de phishing no cenário tecnológico de 2015.

2017-03-14Read paper →Phishing

Arquitetura Híbrida e Modelo Formal para Detecção e Resposta Automatizada a Campanhas de Phishing Multivetor Baseadas em Infraestrutura Dinâmica (2015)

O phishing consolidou-se, até 2015, como um dos principais vetores de comprometimento inicial em incidentes corporativos, figurando de forma recorrente em relatórios de investigação de violações de dados e campanhas direcionadas. A crescente profissionalização do cibercrime, aliada à disponibilidade de kits de phishing, serviços de hospedagem resiliente e técnicas de fast-flux, ampliou a escala e a sofisticação dessas campanhas. Este trabalho propõe uma arquitetura híbrida e um modelo formal probabilístico para detecção e resposta automatizada a campanhas de phishing multivetor baseadas em infraestrutura dinâmica, considerando explicitamente o comportamento adaptativo do adversário. Diferentemente de abordagens restritas a listas negras ou classificadores léxicos, integramos análise estrutural de páginas (DOM e similaridade visual), atributos de infraestrutura (IP, ASN, certificados X.509, dados WHOIS e Passive DNS) e telemetria de rede coletada por sensores como Zeek (Bro) e Suricata. Formalizamos o problema como uma função de decisão $h: F \rightarrow \{0,1\}$ sob restrição de taxa de falso positivo e demonstramos que a incorporação de correlação em grafos reduz significativamente a latência de identificação de campanhas coordenadas. Implementamos dois algoritmos centrais: (i) detecção estrutural baseada em similaridade de DOM e hashing perceptual; e (ii) clusterização espectral de infraestrutura para identificação de clusters maliciosos. Avaliamos empiricamente a proposta em um conjunto de 1.200.000 URLs rotuladas, obtendo AUC de 0,978 e redução substancial de FPR em comparação com baselines léxicos e visuais isolados. Um estudo de caso em ambiente corporativo do setor financeiro evidencia redução de 78% na taxa de cliques em campanha ativa após correlação preventiva de domínios recém-registrados. Concluímos que a integração multicamada, aliada a formalização probabilística rigorosa, constitui abordagem robusta e operacionalmente viável para o contexto tecnológico e de ameaças vigente em 2015.

2017-03-07Read paper →Phishing

Arquitetura Operacional Híbrida para Detecção e Resposta a Phishing Baseada em Correlação Multicamadas, Modelagem Formal de Ameaças e Integração com MITRE ATT&CK (2013)

O phishing consolidou-se, ao longo da última década, como um dos vetores primários de comprometimento inicial em incidentes de segurança corporativa, combinando engenharia social, abuso de infraestrutura web e exploração de falhas de configuração em sistemas de correio eletrônico. Em 2015, o cenário de ameaças caracteriza-se pela profissionalização de campanhas de spear phishing, uso de fast-flux DNS, registro massivo de domínios efêmeros e encadeamento com malware bancário e ransomware emergente, como CryptoLocker. Neste trabalho, propomos uma arquitetura operacional híbrida para detecção e resposta a phishing que integra análise estática de URLs, análise de infraestrutura, execução dinâmica em sandbox e correlação comportamental com telemetria de rede e endpoint. Fundamentamos nossa abordagem em modelagem formal do problema de decisão sob risco contextual, definindo uma função de agregação ponderada com limiar adaptativo dependente da criticidade do ativo e da carga operacional do SOC. A arquitetura é alinhada às táticas e técnicas descritas no MITRE ATT&CK (versões públicas iniciais, 2013–2015) e ao modelo Cyber Kill Chain, permitindo rastreabilidade entre detecção e estágio do ataque. Implementamos o protótipo com ferramentas amplamente utilizadas até 2015, incluindo Suricata, Zeek (Bro), Cuckoo Sandbox, Elastic Stack, YARA e Volatility, integradas por meio de pipelines de enriquecimento. Avaliamos empiricamente a solução em um conjunto balanceado de 1,2 milhão de URLs (phishing e benignas), obtidas de fontes como PhishTank e Alexa Top 1M. Os resultados indicam aumento significativo de taxa de detecção (TPR de 93,5%) com redução de falsos positivos (1,4%) quando comparado a listas negras tradicionais. Observamos ainda redução substancial do tempo médio para contenção (MTTC), evidenciando ganhos operacionais. Discutimos limitações, ameaças à validade e implicações práticas para equipes de resposta a incidentes em 2015.

2017-02-28Read paper →Phishing

Arquitetura Híbrida Baseada em Correlação Multicamadas para Detecção e Resposta Automatizada a Phishing Orientado a Credenciais (2015)

O phishing orientado a credenciais consolidou-se, até 2015, como um dos principais vetores de comprometimento inicial em incidentes corporativos, especialmente em campanhas direcionadas (spear phishing) e fraudes financeiras. Relatórios setoriais indicam que uma parcela significativa das violações de dados envolve engenharia social e interação humana, reforçando a necessidade de mecanismos de detecção que transcendam filtros baseados exclusivamente em reputação estática. Neste trabalho, propomos e avaliamos uma arquitetura híbrida de correlação multicamadas para detecção e resposta automatizada a phishing, fundamentada em modelagem probabilística bayesiana e integração de múltiplas fontes de telemetria. A arquitetura combina análise de cabeçalhos SMTP, extração de atributos lexicais e estruturais de URLs, enriquecimento com dados WHOIS e reputação, execução controlada em sandbox (Cuckoo Sandbox) e correlação em plataforma SIEM (Elastic Stack). Formalizamos o problema como classificação binária $P(Phishing|X)$, onde $X$ representa um vetor de características heterogêneas, e definimos critério de decisão parametrizado por limiar $\theta$ otimizado via curva ROC. Implementamos protótipo operacional integrando Postfix, SpamAssassin, Suricata, YARA e Elastic, com orquestração automatizada de respostas (quarentena, bloqueio de domínio e revogação de credenciais em Active Directory). Avaliamos o modelo em conjunto de 1.235.000 e-mails rotulados, obtendo acurácia de 97,91%, recall de 98,47% e AUC de 0,993, superando filtros isolados. Observamos redução significativa no tempo médio de detecção (MTTD) e na taxa de comprometimento em estudo de caso real. Discutimos limitações relacionadas a evasão por comprometimento de domínios legítimos e dependência de dados de registro, bem como implicações operacionais e de governança. Concluímos que a correlação probabilística multicamadas constitui abordagem viável e eficaz no contexto tecnológico disponível até 2015.

2016-04-20Read paper →Phishing

Análise Operacional de Campanhas de Phishing e Estratégias Práticas de Detecção e Mitigação em Infraestruturas Corporativas (2015)

O phishing consolidou-se como um dos vetores de intrusão mais eficazes no ecossistema de ameaças cibernéticas contemporâneo. Diferentemente de ataques puramente técnicos, campanhas de phishing exploram simultaneamente vulnerabilidades tecnológicas e cognitivas humanas, permitindo que adversários obtenham credenciais, distribuam malware ou iniciem movimentos laterais dentro de redes corporativas. Em 2015, relatórios de inteligência de ameaças como o Verizon Data Breach Investigations Report (DBIR) e os relatórios da Anti‑Phishing Working Group (APWG) indicam que ataques baseados em engenharia social continuam sendo responsáveis por uma proporção significativa de comprometimentos iniciais em incidentes de segurança. Este artigo apresenta uma análise operacional aprofundada do phishing no contexto corporativo, considerando tanto o ponto de vista ofensivo quanto defensivo. Inicialmente, revisamos a evolução histórica do phishing, desde as primeiras campanhas em serviços online nos anos 1990 até campanhas altamente direcionadas de spear‑phishing observadas em operações de espionagem e cibercrime organizado. Em seguida, formalizamos um modelo de ameaça baseado na Cyber Kill Chain da Lockheed Martin, identificando etapas críticas do ciclo de ataque onde controles defensivos podem ser aplicados. Propomos uma metodologia prática de detecção e mitigação baseada em correlação de telemetria de e‑mail, análise de indicadores de compromisso (IOCs), sandboxing automatizado de anexos e análise comportamental de usuários. A implementação experimental integra ferramentas disponíveis até 2015, incluindo SpamAssassin, YARA, Cuckoo Sandbox e análise de logs via ELK Stack. Para avaliar a eficácia da abordagem, conduzimos experimentos controlados utilizando campanhas simuladas geradas com o Social‑Engineer Toolkit (SET) e infraestrutura de coleta de telemetria. Os resultados demonstram que a correlação de múltiplas camadas de detecção pode reduzir significativamente a taxa de sucesso de campanhas de phishing, especialmente quando combinada com inteligência de ameaças e treinamento de usuários. Finalmente, apresentamos um estudo de caso inspirado em incidentes reais de spear‑phishing utilizados em operações de intrusão avançada, discutindo implicações operacionais e limitações das abordagens atuais. O trabalho contribui com uma perspectiva prática para equipes de resposta a incidentes e operações de segurança, enfatizando a necessidade de integração entre controles técnicos, monitoramento contínuo e conscientização organizacional.

2016-04-13Read paper →Phishing

Arquitetura Híbrida de Detecção e Resposta a Phishing Baseada em Análise Multicamadas de URLs, Conteúdo e Telemetria de Endpoint (2015)

O phishing permanece, em 2015, como um dos principais vetores de acesso inicial explorados por agentes maliciosos, incluindo grupos criminosos organizados e atores patrocinados por Estados. Relatórios industriais e acadêmicos indicam que campanhas de engenharia social baseadas em e-mail continuam a desempenhar papel central na distribuição de malware, no roubo de credenciais e na propagação de ransomware emergente, como CryptoLocker e suas variantes. Embora abordagens tradicionais baseadas em listas negras e heurísticas estáticas apresentem utilidade operacional, sua eficácia é limitada diante de domínios recém-registrados, comprometimento de sites legítimos e técnicas de evasão baseadas em ofuscação JavaScript e redirecionamentos condicionais. Neste trabalho, propomos uma arquitetura híbrida de detecção e resposta a phishing fundamentada em análise multicamadas que integra (i) características léxicas e estruturais de URLs, (ii) inspeção estática e dinâmica de conteúdo HTML/JavaScript, e (iii) correlação com telemetria de endpoint proveniente de agentes de monitoramento e registros de rede. Formalizamos o problema como uma tarefa de classificação supervisionada sob adversário adaptativo e definimos propriedades desejáveis de desempenho, incluindo baixa taxa de falso positivo, latência operacional reduzida e robustez a manipulações sintáticas. Implementamos um protótipo utilizando ferramentas amplamente disponíveis em 2015, como Scikit-learn, YARA, Cuckoo Sandbox, Suricata e a pilha ELK para agregação de logs. Avaliamos a proposta em um conjunto de 1.200.000 URLs coletadas de fontes públicas e feeds de inteligência estruturados em STIX/TAXII. Os resultados experimentais indicam acurácia de 98,4%, com taxa de falso positivo inferior a 1% e latência média de 167 ms por URL. Demonstramos ainda que a correlação com eventos de endpoint aumenta significativamente a capacidade de identificar comprometimentos reais de credenciais, reduzindo alarmes espúrios associados a cliques inofensivos. Concluímos que a integração sistemática de múltiplas camadas analíticas constitui abordagem promissora e operacionalmente viável no contexto tecnológico de 2015.

2016-04-07Read paper →Phishing

Arquitetura Híbrida Multicamadas para Detecção e Resposta a Phishing Baseada em Correlação de Telemetria, Aprendizado de Máquina e TTPs do MITRE ATT&CK (2013)

O phishing consolidou-se, até 2015, como o principal vetor de acesso inicial em incidentes corporativos, combinando engenharia social, exploração de infraestrutura legítima e rápida rotatividade de domínios maliciosos. Relatórios da Anti-Phishing Working Group (APWG) e do Verizon Data Breach Investigations Report (DBIR) indicam crescimento consistente de campanhas direcionadas, incluindo spear phishing com anexos maliciosos e links para páginas de coleta de credenciais. Nesse contexto, mecanismos tradicionais baseados exclusivamente em listas negras revelam-se insuficientes frente ao curto tempo de vida dos domínios e à adoção de certificados TLS válidos e hospedagem comprometida. Propomos, neste trabalho, uma arquitetura híbrida multicamadas para detecção e resposta a phishing, integrando análise lexical de URLs, inspeção estrutural de HTML em sandbox, correlação de telemetria de rede (Suricata), regras comportamentais mapeadas ao MITRE ATT&CK (versão inicial pública de 2013) e classificação supervisionada por ensemble (Random Forest e Gradient Boosting). Formalizamos o problema sob modelo adversarial adaptativo, definindo função de risco ponderada por custos diferenciados de falsos negativos e falsos positivos. Avaliamos a solução em ambiente corporativo real com 12,4 milhões de eventos e 38.742 URLs maliciosas confirmadas entre 2014 e 2015. Os resultados demonstram taxa de detecção (TPR) de 96,2% com taxa de falso positivo (FPR) de 1,8% e latência média inferior a 200 ms por evento, superando abordagens isoladas baseadas em blacklist, SVM e Random Forest individual. Adicionalmente, a integração com fluxos de resposta automatizados alinhados ao NIST SP 800-61 resultou em redução de 38% no tempo médio de resposta (MTTR). Concluímos que a correlação multicamadas, aliada à modelagem explícita de TTPs e à integração operacional com SIEM, constitui abordagem robusta e operacionalmente viável para mitigação de campanhas de phishing adaptativas no cenário tecnológico até 2015.

2016-03-31Read paper →Phishing

Arquitetura Multicamadas Baseada em Modelagem Formal e Telemetria Operacional para Detecção e Resposta a Campanhas de Phishing Orientadas por Ameaças Avançadas (2016)

O phishing permanece, até 2016, como um dos vetores predominantes de comprometimento inicial em ambientes corporativos e governamentais, frequentemente associado a campanhas de espionagem, fraude financeira e distribuição de malware, incluindo ransomware emergente como CryptoLocker e CryptoWall. A crescente profissionalização de grupos criminosos, aliada à utilização de infraestrutura dinâmica (Fast-Flux DNS), certificados TLS válidos e hospedagem em serviços legítimos, impõe desafios significativos aos mecanismos tradicionais de detecção baseados exclusivamente em listas negras. Neste trabalho, propomos uma arquitetura multicamadas fundamentada em modelagem formal do problema de detecção sob perspectiva adversarial, integrando análise lexical de URLs, inteligência DNS e TLS, similaridade estrutural de páginas HTML, correlação com telemetria de rede e endpoint, e compartilhamento de indicadores por meio de padrões STIX/TAXII. Formalizamos o phishing como um problema de classificação binária com restrições operacionais explícitas, minimizando função de perda ponderada por custos assimétricos de falso positivo e falso negativo. A arquitetura proposta é implementada com ferramentas amplamente adotadas até 2016, incluindo Suricata, Bro (Zeek), Elastic Stack, YARA e MISP, garantindo viabilidade prática. Avaliamos o sistema em um conjunto balanceado de 1,2 milhão de URLs, demonstrando acurácia de 98,7%, taxa de falso positivo de 1,1% e redução do tempo médio de contenção de 14 para 5 minutos em cenários simulados. Discutimos limitações, ameaças à validade e implicações operacionais, situando a contribuição no contexto de frameworks como o Cyber Kill Chain e o MITRE ATT&CK (versões iniciais). Concluímos que a integração sistemática entre modelagem formal e telemetria operacional constitui abordagem eficaz para redução de risco em campanhas de phishing direcionado.

2015-06-05Read paper →Phishing

Arquitetura Híbrida Multicamadas para Detecção e Resposta a Phishing Baseada em Correlação de Telemetria de Rede, Conteúdo e Comportamento do Usuário

O phishing consolidou-se, até 2016, como um dos principais vetores de acesso inicial em incidentes de segurança, frequentemente associado à instalação de malware bancário, trojans de acesso remoto e, mais recentemente, ransomware como CryptoLocker. Abordagens tradicionais baseadas exclusivamente em reputação de domínio, listas de bloqueio ou filtros bayesianos de conteúdo demonstram limitações diante do uso de domínios recém-registrados, certificados TLS válidos e técnicas de ofuscação em JavaScript. Neste trabalho, propomos uma arquitetura híbrida multicamadas para detecção e resposta a phishing que integra telemetria de rede (DNS, fluxos HTTP/TLS, fingerprints JA3), análise estrutural de conteúdo HTML/JavaScript com YARA e correlação comportamental baseada em anomalias de autenticação e acesso. Formalizamos o problema como uma tarefa de classificação binária sob restrição explícita de taxa de falso positivo inferior a 1%, modelando o risco esperado e o comportamento adaptativo do adversário. Implementamos um protótipo operacional utilizando Suricata, Bro (atual Zeek), Elastic Stack, MISP e STIX/TAXII para enriquecimento de inteligência de ameaças. A avaliação empírica foi conduzida sobre um conjunto de 1,2 milhão de e-mails corporativos e 48 mil URLs rotuladas ao longo de seis meses. Comparada a baselines de reputação e análise de conteúdo isolado, a abordagem híbrida alcançou taxa de detecção de 96,4%, AUC de 0,978 e FPR de 0,82%, mantendo latência média inferior a 4 segundos. Observamos ainda redução significativa no tempo médio de contenção quando integrada a mecanismos automatizados de resposta. Os resultados indicam que a correlação multicamada, aliada a inteligência de ameaças estruturada e monitoramento comportamental, constitui estratégia eficaz e operacionalmente viável para ambientes corporativos em 2016.

2015-05-29Read paper →Phishing

Arquitetura Híbrida Multicamadas para Detecção e Resposta a Phishing com Modelagem Formal de Ameaças e Integração Operacional ao SOC

O phishing consolidou-se, no período até 2015, como um dos principais vetores de comprometimento inicial em ambientes corporativos, servindo de porta de entrada para fraude financeira, espionagem industrial e instalação de malware, inclusive famílias de ransomware como o CryptoLocker. Neste trabalho, propomos uma arquitetura híbrida multicamadas para detecção e resposta a phishing, articulada com um centro de operações de segurança (SOC) e fundamentada em modelagem formal de ameaça, análise estatística de conteúdo e correlação de inteligência de ameaças. A pesquisa parte da hipótese de que a combinação de assinaturas, reputação, heurísticas e classificação supervisionada proporciona melhor equilíbrio entre precisão, robustez e latência operacional do que abordagens isoladas. Formalizamos o

2015-05-22Read paper →Phishing

Arquitetura Híbrida Baseada em Aprendizado de Máquina e Inteligência de Ameaças para Detecção e Resposta Operacional a Campanhas de Phishing em Escala

O phishing consolidou-se, ao longo da última década, como um dos principais vetores de comprometimento inicial em incidentes de segurança corporativa, frequentemente precedendo fraudes financeiras, comprometimento de contas corporativas (Business Email Compromise – BEC) e implantação de ransomware emergente como CryptoLocker. Relatórios técnicos e estudos acadêmicos até 2016 indicam que a engenharia social por meio de correio eletrônico permanece dominante em violações de dados. Neste trabalho, propomos e avaliamos uma arquitetura híbrida para detecção e resposta a campanhas de phishing em larga escala, integrando aprendizado de máquina supervisionado, análise comportamental e inteligência de ameaças estruturada (STIX/TAXII), sob restrições explícitas de latência e taxa de falsos positivos. Formalizamos o problema como uma tarefa de classificação binária com função de perda ponderada $\mathcal{L} = \alpha FP + \beta FN$, sujeita à restrição $Latency(f) < 50ms$, refletindo requisitos operacionais de ambientes de alto volume. A arquitetura proposta combina extração de características léxicas e estruturais de URLs, cabeçalhos SMTP, conteúdo textual e sinais de DNS passivo, alimentando um classificador ensemble baseado em Random Forest e Gradient Boosting, complementado por enriquecimento contextual via MISP e correlação com indicadores de comprometimento. Implementamos o sistema utilizando Postfix, SpamAssassin, Suricata, Zeek, Elasticsearch e TheHive, todos consolidados até 2016. Avaliamos o modelo em um conjunto de 2,4 milhões de mensagens rotuladas, obtendo AUC de 0,988, precisão de 96,9% e taxa de falso positivo de 0,52%, com latência média de 37 ms. Observamos redução de 41% no tempo médio de contenção (MTTC) em comparação a um baseline baseado exclusivamente em regras e listas de bloqueio. Discutimos implicações operacionais, limitações relativas a concept drift e evasão adversarial, e delineamos direções futuras consistentes com o estado da arte até 2016, incluindo aprendizado online e compartilhamento estruturado de inteligência.

2015-05-15Read paper →Phishing

Arquitetura Híbrida de Detecção e Resposta a Phishing Baseada em Correlação Multi-Camada, Modelagem Probabilística e Telemetria Operacional

O phishing permanece, em 2017, como uma das principais vetores de comprometimento inicial em incidentes de segurança, combinando engenharia social, abuso de infraestrutura legítima e técnicas de evasão baseadas em TLS válido e domínios recentemente registrados. Relatórios industriais indicam crescimento consistente de campanhas direcionadas (spear phishing) e fraudes do tipo Business Email Compromise (BEC), impondo desafios significativos aos centros de operações de segurança (SOC). Neste trabalho, propomos uma arquitetura híbrida de detecção e resposta a phishing fundamentada em correlação multi-camada de telemetria (DNS, SMTP, HTTP e endpoint) e fusão probabilística de evidências via inferência bayesiana incremental. Formalizamos o problema como a estimação de $P(P \mid E)$, onde $P$ representa a hipótese de phishing e $E$ o conjunto de evidências observadas, demonstrando que a agregação log-verossimilhança melhora substancialmente a discriminação quando comparada a classificadores isolados baseados apenas em URL. Implementamos um protótipo integrando sensores Suricata e Zeek, Elastic Stack como SIEM, compartilhamento de inteligência via MISP/STIX, e classificadores supervisionados implementados em scikit-learn. Avaliamos empiricamente a solução em um conjunto de dados composto por 600 mil URLs maliciosas (PhishTank), 400 mil URLs benignas (Alexa Top 1M) e 200 mil eventos de tráfego corporativo real, empregando validação cruzada estratificada. Os resultados indicam AUC de 0,982 e redução de 43% no Mean Time To Detect (MTTD) quando comparado a abordagens baseadas exclusivamente em listas negras. Discutimos implicações operacionais, limitações associadas à dependência de telemetria completa e riscos de evasão por comprometimento de domínios antigos. Concluímos que a fusão probabilística multi-camada constitui estratégia robusta e operacionalmente viável para mitigação de phishing em ambientes corporativos contemporâneos.

2014-07-26Read paper →Phishing

Análise Formal e Empírica de Ataques de Phishing no Ecossistema Digital até 2017

O phishing consolidou-se, até 2017, como uma das principais ameaças à segurança da informação no ecossistema digital, afetando usuários individuais, instituições financeiras, empresas e infraestruturas governamentais. Este trabalho apresenta uma análise sistemática, teórica e empírica dos ataques de phishing, considerando sua evolução histórica desde o início dos anos 2000, seus vetores técnicos predominantes, seus fundamentos de engenharia social e os mecanismos formais de defesa disponíveis até 2017. Propomos uma modelagem abstrata do ataque de phishing como um protocolo interativo adversarial, no qual o atacante explora assimetrias informacionais e limitações cognitivas do usuário para induzir a revelação de credenciais ou execução de ações indevidas. A partir dessa modelagem, discutimos propriedades de segurança como autenticidade, integridade de canal e não repúdio, evidenciando como falhas na validação de identidade e na usabilidade de indicadores de segurança contribuem para o sucesso dos ataques. Apresentamos uma taxonomia estruturada de phishing tradicional, spear phishing, whaling, pharming e ataques baseados em kits automatizados, correlacionando tais modalidades com dados empíricos divulgados por relatórios internacionais até 2017. Também analisamos contramedidas técnicas, incluindo filtros baseados em aprendizado de máquina, autenticação multifator, protocolos de e-mail como SPF, DKIM e DMARC, e mecanismos criptográficos como TLS e certificados digitais. Avaliamos formalmente a eficácia dessas defesas sob modelos probabilísticos de detecção, discutindo taxas de falso positivo e falso negativo. Concluímos que o phishing permanece eficaz devido à combinação de fatores técnicos e humanos, exigindo abordagem integrada que combine mecanismos criptográficos robustos, políticas organizacionais e educação do usuário. Todas as análises e referências consideram exclusivamente tecnologias e eventos disponíveis até 2017, assegurando coerência histórica e rigor acadêmico.

2014-07-19Read paper →Phishing

Arquitetura Multicamadas para Detecção e Resposta a Phishing Baseada em Modelagem Formal de Ameaças, Análise Comportamental e Integração com MITRE ATT&CK

O phishing consolidou-se, até 2017, como o principal vetor de acesso inicial em incidentes corporativos, sendo responsável por parcela significativa das violações de dados reportadas em relatórios industriais e acadêmicos. A crescente sofisticação das campanhas — incluindo spear phishing, business email compromise (BEC) e exploração de vulnerabilidades como CVE-2017-11882 — evidencia limitações de abordagens baseadas exclusivamente em assinaturas ou listas de reputação. Neste trabalho, propomos uma arquitetura multicamadas para detecção e resposta a phishing fundamentada em modelagem formal de ameaças, análise híbrida (estática e dinâmica) e integração operacional com o framework MITRE ATT&CK, amplamente adotado pela comunidade até 2017. Formalizamos campanhas de phishing como Processos de Decisão de Markov Parcialmente Observáveis (POMDP), permitindo representar incerteza, adaptação adversarial e decisões ótimas de resposta sob restrições operacionais. A arquitetura integra validação de autenticação de e-mail (SPF, DKIM, DMARC), análise léxica e semântica, sandboxing de anexos, correlação de eventos em IDS/IPS (Suricata) e mecanismos de orquestração baseados em playbooks alinhados às táticas de Acesso Inicial e Execução. Avaliamos empiricamente a solução em um conjunto de dados composto por 1,32 milhão de mensagens rotuladas, combinando corpora públicos (Nazario, PhishTank) e tráfego corporativo anonimizado. O classificador híbrido proposto, combinando Random Forest e heurísticas especializadas, alcançou acurácia de 98,2%, taxa de falso positivo de 0,95% e redução de 41% no Mean Time To Detect (MTTD). Demonstramos, ainda, por meio de estudo de caso envolvendo cenário BEC com typosquatting, que a integração entre detecção e resposta automatizada reduz significativamente o impacto operacional. Concluímos que a modelagem formal associada a mecanismos multicamadas proporciona ganhos mensuráveis de robustez e eficiência, oferecendo base metodológica rigorosa para sistemas de defesa adaptativos no contexto tecnológico de 2017.

2014-07-13Read paper →Phishing

Arquitetura Híbrida de Detecção e Resposta a Phishing Baseada em Correlação Multicamadas, Modelagem Formal do Adversário e Integração com SIEM

O phishing consolidou-se, até 2017, como um dos principais vetores de comprometimento inicial em ambientes corporativos, explorando engenharia social, spoofing de identidade e hospedagem maliciosa distribuída. A evolução de campanhas direcionadas (spear phishing) e fraudes do tipo business email compromise (BEC) evidenciou limitações de abordagens baseadas exclusivamente em listas negras, reputação de domínio ou análise superficial de conteúdo. Neste trabalho, propomos uma arquitetura híbrida de detecção e resposta a phishing fundamentada em três pilares: (i) modelagem formal do problema como decisão estatística sob adversário adaptativo com restrição explícita de falso positivo; (ii) correlação multicamadas envolvendo telemetria de e-mail, URL/DOM, DNS, rede e endpoint; e (iii) integração operacional com plataformas SIEM para redução do tempo de resposta a incidentes. Formalizamos o adversário como entidade estratégica com orçamento computacional limitado e capacidade de variação semântica, e definimos o problema defensivo como minimização de risco esperado sujeita a restrições operacionais. A arquitetura combina extração estruturada de atributos, aprendizado supervisionado em ensemble e regras correlacionadas em mecanismos de análise de logs (ELK Stack), alinhando-se às recomendações do NIST SP 800-61. Avaliamos a proposta em um conjunto de 1,2 milhão de e-mails rotulados, demonstrando melhoria estatisticamente significativa em acurácia (98,7%), F1-score (98,1%) e redução de 42% no tempo médio de resposta (MTTR) quando comparada a abordagens isoladas. Discutimos ainda implicações operacionais, limitações metodológicas e ameaças à validade. Os resultados indicam que a integração multicamadas e a formalização explícita do adversário aumentam substancialmente a robustez contra evasões e domínios recém-registrados, constituindo contribuição relevante para a prática de segurança corporativa em 2017.

2014-07-06Read paper →Phishing

Arquitetura Adaptativa Multicamadas para Detecção e Mitigação de Phishing Baseada em Modelagem Formal de Ameaças e Correlação Operacional de Telemetria

O phishing consolidou-se, até 2018, como o principal vetor inicial de intrusões corporativas, frequentemente associado a campanhas de ransomware e comprometimento de credenciais em larga escala. Relatórios de incidentes demonstram que ataques direcionados exploram engenharia social, registro dinâmico de domínios, uso de certificados TLS válidos e hospedagem em infraestruturas legítimas, dificultando abordagens tradicionais baseadas exclusivamente em listas de bloqueio. Neste trabalho, propomos uma arquitetura adaptativa multicamadas para detecção e mitigação de phishing fundamentada em modelagem formal de ameaças e correlação probabilística de telemetria operacional. Modelamos o problema como classificação binária sob distribuição não estacionária $P_t(X,Y)$ e formalizamos a interação atacante-defensor como jogo assimétrico em que o adversário busca maximizar evasão enquanto o defensor minimiza risco agregado sob restrição de falso positivo $\alpha < 0{,}02$. Introduzimos um grafo bipartido identidade-infraestrutura $G=(U,I,E)$ para estimar a probabilidade de comprometimento $P(C_u)$ por meio de composição probabilística. A arquitetura integra coleta de telemetria (SMTP, DNS, HTTP), extração de atributos léxicos e de infraestrutura, classificador híbrido (Random Forest ponderado por heurísticas) e mecanismos automatizados de resposta orquestrados via SIEM/SOAR. Avaliamos o sistema com 1,52 milhão de artefatos (URLs e e-mails), obtendo $F1=0{,}972$ e $AUC=0{,}989$, superando abordagens isoladas. Em estudo de caso em ambiente corporativo com 4.800 usuários, observamos redução de 63% no tempo médio de contenção (MTTC). Demonstramos que a integração formal entre modelagem probabilística e automação operacional oferece ganhos mensuráveis de resiliência organizacional frente a adversários adaptativos, mantendo controle rigoroso de falsos positivos e aderência a boas práticas como SPF, DKIM, DMARC e autenticação multifator baseada em FIDO U2F.

2013-08-06Read paper →