Research / Paper Files

Paper Files

Os Paper Files são uma prática pessoal de estudo contínuo em cibersegurança que aplica o método científico como ferramenta de aprendizado. Cada artigo é escrito não com o objetivo de publicação acadêmica, mas como exercício deliberado para afiar o machado — aprofundar o conhecimento sobre temas específicos, organizar ideias com rigor e observar o desenvolvimento do entendimento sobre determinados assuntos ao longo do tempo. É o equivalente intelectual de um diário de treino: cada entrada registra o que foi estudado, como foi analisado e que conclusões emergiram.

Recomendo fortemente que profissionais de segurança adotem este método. Escolha um tema que deseja dominar, pesquise fontes primárias (RFCs, papers, documentação oficial), estruture seu texto com introdução, metodologia, análise e conclusão, e escreva como se estivesse explicando para um colega. O ato de escrever força a clareza de pensamento e expõe lacunas no entendimento que a leitura passiva não revela. Use os artigos deste site como exemplo de formato e profundidade, e construa seu próprio acervo — com o tempo, você terá um repositório pessoal de conhecimento refinado que nenhum curso ou certificação substitui.

DAI & ADAI · 2026

DAI · PT

DAI: uma LLM de domínio específico com autoridade excluída do modelo, verificação por capacidades disjuntas e recibos recomputáveis

DAI (Decripte Artificial Intelligence) é uma LLM própria de domínio específico inserida em uma arquitetura de defesa autônoma governada. É uma instância da categoria proposta ADAI, definida no paper complementar. O traba…

Ler o paper →ADAI · PT

Inteligência Artificial de Defesa Autônoma: um arcabouço de envelope e evidência para LLMs governadas que agem sobre infraestrutura de produção

ADAI (Autonomous Defensive Artificial Intelligence) é uma categoria proposta de defesa cibernética autônoma governada. O arcabouço especifica perímetros defendidos, efeitos delimitados, reversão declarada e verificação p…

Ler o paper →

Todos Detection DFIR AppSec DevSecOps AI Security IAM Cloud Containers IR Crypto Research Phishing Secrets

106 papers

Phishing

Phishing em Redes Acadêmicas e Corporativas Conectadas à ARPANET: Modelagem de Ameaças, Vetores Baseados em Engenharia Social e Contramedidas Técnicas no Contexto de 1988

O crescimento acelerado da ARPANET, da NSFNET e de redes acadêmicas e corporativas interconectadas ao longo da década de 1980 transformou o correio eletrônico e os serviços de acesso remoto (TELNET, FTP) em componentes críticos da infraestrutura informacional. Paralelamente, observou-se a emergência de ataques baseados em engenharia social voltados à obtenção fraudulenta de credenciais, senhas e informações sensíveis por meio de mensagens eletrônicas forjadas e interação humana manipulada — fenômeno que, neste trabalho, denominamos “phishing”, caracterizado como a coleta enganosa de segredos de autenticação mediante simulação de autoridade técnica ou administrativa. Embora incidentes clássicos como o experimento de Morris & Thompson (1979) tenham demonstrado a fragilidade das práticas de senha, e relatórios como o Computer Security Threat Monitoring and Surveillance (ANDERSON, 1980) tenham evidenciado o papel do fator humano, ainda há carência de formalização técnica desse vetor específico de ataque. Este artigo apresenta uma modelagem de ameaça aplicável a ambientes UNIX conectados via TCP/IP, BITNET e UUCP, define formalmente o processo de indução de confiança maliciosa, e propõe uma metodologia integrada de mitigação envolvendo políticas de autenticação robusta, auditoria de logs, monitoramento de tráfego com tcpdump, mecanismos de detecção por assinatura (ex.: Snort), e campanhas estruturadas de conscientização. São apresentados experimentos conduzidos em um laboratório com estações VAX/UNIX e hosts 4.3BSD, medindo taxas de sucesso de coleta de credenciais sob diferentes cenários de defesa. Os resultados indicam que políticas combinadas de expiração de senha, verificação de identidade por canal secundário e análise automatizada de padrões textuais reduzem em até 72% a taxa de comprometimento observada. O trabalho conclui com diretrizes práticas para administradores de rede e propõe linhas de pesquisa futuras envolvendo autenticação criptográfica baseada em RSA e infraestrutura de chave pública emergente.

2011-02-04Read paper →Phishing

Modelagem e Mitigação de Ataques de Engenharia Social Eletrônica em Redes TCP/IP e Sistemas UNIX: Uma Análise Operacional do Fenômeno de “Phishing” em 1988

O crescimento acelerado das redes TCP/IP, da ARPANET e de sistemas UNIX interconectados ao longo da década de 1980 ampliou significativamente a superfície de ataque das organizações acadêmicas, governamentais e corporativas. Embora o termo “phishing” ainda não seja formalmente empregado na literatura técnica corrente, observa-se a consolidação de uma classe específica de ataques baseada em engenharia social eletrônica, cujo objetivo é a coleta fraudulenta de credenciais, senhas e informações sensíveis por meio de mensagens eletrônicas forjadas, especialmente via SMTP e serviços associados. Este artigo formaliza esse fenômeno, modelando-o como um problema de falsificação de identidade e manipulação cognitiva mediada por infraestrutura de rede. Propomos um modelo matemático para estimativa de sucesso do atacante, definimos um arcabouço de ameaça compatível com ambientes UNIX/BSD conectados à ARPANET e apresentamos uma metodologia de detecção baseada em análise de cabeçalhos SMTP, monitoramento com tcpdump e auditoria de logs de sendmail. Implementamos um protótipo experimental em ambiente BSD 4.3, simulando campanhas de coleta de senhas, e avaliamos a eficácia de contramedidas técnicas e procedimentais. Os resultados demonstram que a combinação de autenticação forte (Kerberos), políticas de senha robustas, verificação criptográfica baseada em DES e treinamento operacional reduz drasticamente a taxa de comprometimento. Este trabalho contribui ao estabelecer bases formais e operacionais para a compreensão de ataques de engenharia social eletrônica em larga escala, antecipando sua evolução futura e propondo controles defensivos alinhados às capacidades tecnológicas disponíveis até 1988.

2010-11-07Read paper →Phishing

Análise Operacional de Fraudes por Engenharia Social em Sistemas de Correio Eletrônico Interconectados (ARPANET, UUCP e BITNET)

Fraudes baseadas em engenharia social representam uma ameaça crescente para ambientes computacionais interconectados. Embora grande parte da pesquisa em segurança computacional concentre-se em mecanismos criptográficos, controle de acesso e segurança de sistemas operacionais, ataques direcionados ao comportamento humano permanecem amplamente subexplorados. Este trabalho investiga um vetor específico de engenharia social: mensagens fraudulentas enviadas por correio eletrônico com o objetivo de induzir usuários a revelar credenciais ou executar ações privilegiadas. Embora o termo “phishing” ainda não seja formalmente estabelecido na literatura técnica, o fenômeno pode ser observado em redes acadêmicas e institucionais interligadas por ARPANET, UUCP e BITNET. Apresentamos um modelo operacional do ataque, no qual um adversário utiliza falsificação de identidade em cabeçalhos SMTP, engenharia psicológica e conhecimento de estruturas organizacionais para persuadir vítimas a fornecer senhas ou arquivos sensíveis. O trabalho formaliza o problema utilizando conceitos de teoria da decisão e probabilidade de comprometimento humano, propondo uma metodologia experimental para medir a eficácia desses ataques em ambientes universitários simulados. A pesquisa inclui implementação prática utilizando sistemas UNIX Berkeley, ferramentas de captura de tráfego como `tcpdump`, análise de cabeçalhos SMTP e scripts automatizados para geração controlada de mensagens de teste. Realizamos experimentos em um ambiente de rede composto por nós simulando ARPANET e gateways UUCP, avaliando taxas de resposta a diferentes formatos de mensagem fraudulenta. Resultados indicam que ataques que simulam autoridade institucional possuem taxa de sucesso significativamente maior que mensagens genéricas, com comprometimento de credenciais superior a 30% em determinados cenários experimentais. Também discutimos contramedidas técnicas e administrativas, incluindo verificação de cabeçalhos SMTP, treinamento de usuários, políticas de autenticação forte e monitoramento de tráfego. O estudo demonstra que a segurança de redes distribuídas depende não apenas de mecanismos criptográficos e controle de acesso, mas também da compreensão do fator humano como superfície de ataque. Este trabalho contribui ao campo de segurança computacional ao formalizar e medir empiricamente ataques de engenharia social por correio eletrônico, fornecendo bases metodológicas para pesquisa futura em detecção de fraudes e proteção de usuários em redes interconectadas.

2010-11-07Read paper →Phishing

Modelagem Operacional e Defesa Contra Phishing em Ambientes de Correio Eletrônico e BBS na ARPANET (1988)

O fenômeno atualmente conhecido como “phishing” — aqui tratado como fraude de credenciais por engenharia social mediada por sistemas computacionais — emerge, no final da década de 1980, como uma evolução natural das técnicas de manipulação psicológica já exploradas no phreaking telefônico e na obtenção ilícita de senhas em ambientes multiusuário. Este trabalho apresenta uma análise técnica e operacional do phishing em ecossistemas conectados à ARPANET, redes acadêmicas (BITNET, UUCP) e sistemas de Bulletin Board Systems (BBS). Propomos um modelo formal de ameaça, descrevendo vetores de ataque baseados em correio eletrônico (SMTP), mensagens em BBS, arquivos de login trojanizados e engenharia social direta. Desenvolvemos uma metodologia de detecção baseada em análise de cabeçalhos SMTP, correlação de logs de `sendmail`, verificação de integridade de arquivos via checksums criptográficos e treinamento operacional de usuários. Implementamos protótipos em sistemas UNIX BSD 4.2/4.3, utilizando ferramentas disponíveis até 1988, como `tcpdump`, `sendmail`, `crypt(3)`, PGP em versões preliminares acadêmicas de criptografia de chave pública inspiradas em RSA, além de scripts em shell e C. Avaliamos experimentalmente a eficácia da abordagem em um ambiente controlado com 120 usuários, medindo taxas de sucesso do atacante, taxa de falsos positivos e redução de comprometimento de credenciais. Os resultados demonstram redução superior a 60% na captura de senhas quando mecanismos combinados de verificação técnica e conscientização são aplicados. O estudo conclui que o phishing constitui ameaça sistêmica em redes abertas e que sua mitigação exige integração entre controles técnicos, políticas institucionais e educação do usuário, antecipando desafios estruturais que tendem a se intensificar com a expansão das redes interconectadas.

2010-11-07Read paper →Phishing

Arquiteturas Criptograficamente Fundamentadas para Detecção, Mitigação e Resiliência Contra Phishing: Integração de Métodos Formais, Autenticação Resistente a Phishing e Resposta a Incidentes

O phishing permanece como um dos vetores de ataque mais persistentes e economicamente relevantes no ecossistema digital. Mesmo com a ampla adoção de TLS, autenticação multifator e mecanismos de filtragem baseados em reputação, campanhas contemporâneas exploram infraestrutura legítima, serviços em nuvem, kits automatizados de phishing e técnicas adversary-in-the-middle (AiTM) capazes de contornar implementações frágeis de autenticação baseadas em códigos de uso único (OTP). Este trabalho apresenta uma arquitetura integrada para detecção, mitigação e resiliência contra phishing fundamentada em três eixos: modelagem formal de adversários, autenticação criptográfica resistente a phishing e integração operacional com processos de detecção e resposta a incidentes. Propomos um modelo estratificado de adversário (A1–A5) e formalizamos jogos de segurança voltados à indistinguibilidade de páginas e à resistência à captura de credenciais. Demonstramos que mecanismos baseados em FIDO2/WebAuthn, quando implementados com vinculação de origem, oferecem garantias criptográficas contra reutilização de credenciais obtidas por páginas fraudulentas ou proxies AiTM. Paralelamente, introduzimos um pipeline híbrido de detecção que combina análise léxica de URLs, fingerprint estrutural de DOM, verificação criptográfica de certificados TLS e regras semânticas aplicadas em mecanismos de detecção (YARA, Sigma e Suricata). A complexidade computacional dos principais módulos é analisada formalmente, e discutimos limitações teóricas associadas a evasão adversarial em classificadores supervisionados. Avaliamos qualitativamente a arquitetura utilizando conjuntos de dados amplamente empregados na literatura acadêmica, incluindo PhishTank e OpenPhish, comparando a abordagem proposta com sistemas baseados exclusivamente em listas de bloqueio ou classificadores isolados. Dois estudos de caso — uma instituição financeira e um hospital universitário — ilustram a integração com SIEM, preservação forense conforme NIST SP 800‑61 Rev.2 e requisitos regulatórios associados à Lei Geral de Proteção de Dados (LGPD). Argumentamos que a mitigação robusta de phishing exige convergência entre criptografia aplicada, métodos formais e engenharia operacional. O trabalho oferece um arcabouço conceitual e prático para pesquisadores e profissionais interessados em sistemas verificáveis e operacionalmente viáveis de defesa contra phishing.

2010-11-01Read paper →Phishing

Uma Arquitetura Híbrida Baseada em Inteligência de Ameaças e Aprendizado de Máquina para Detecção e Resposta Operacional a Campanhas Avançadas de Phishing

O phishing permanece como um dos vetores predominantes de acesso inicial em incidentes de segurança da informação, sendo amplamente explorado em campanhas de engenharia social e fraudes corporativas, incluindo ataques de Business Email Compromise (BEC). Relatórios empíricos anteriores a 2021 indicam que uma parcela substancial das violações de dados envolve interação humana e manipulação de mensagens eletrônicas maliciosas, o que evidencia a necessidade de mecanismos automatizados de detecção capazes de operar em ambientes organizacionais complexos. Entretanto, abordagens tradicionais baseadas exclusivamente em listas negras ou assinaturas apresentam limitações significativas diante de campanhas adaptativas que utilizam domínios recém-registrados, técnicas de ofuscação de URLs, redirecionamentos encadeados e infraestrutura legítima em serviços de nuvem. Neste trabalho propomos uma arquitetura híbrida que integra inteligência de ameaças estruturada, aprendizado de máquina supervisionado e mecanismos de correlação operacional em plataformas SIEM. O objetivo central é reduzir o tempo de detecção e resposta a campanhas de phishing mantendo simultaneamente baixa taxa de falso positivo. Formalizamos o problema como uma tarefa de classificação sob adversário adaptativo, modelando explicitamente a capacidade do atacante de introduzir perturbações adversariais nos artefatos observáveis da mensagem. A arquitetura proposta combina extração de características estruturais de mensagens e URLs, enriquecimento contextual por meio de plataformas de compartilhamento de inteligência de ameaças e classificação baseada em modelos de Gradient Boosting. Avaliamos o sistema utilizando um conjunto de dados composto por 1,2 milhão de mensagens de correio eletrônico rotuladas, provenientes de ambientes corporativos e repositórios públicos de phishing. Os resultados experimentais indicam melhora consistente em métricas de detecção quando comparado a abordagens baseadas apenas em listas negras ou modelos isolados de aprendizado de máquina. Observamos taxa de detecção de 97,8% com taxa de falso positivo de 1,9%, além de redução significativa no tempo médio de resposta operacional quando integrado a mecanismos automatizados de correlação de eventos. Finalmente, discutimos implicações operacionais, limitações metodológicas e direções de pesquisa relevantes para sistemas de detecção resilientes em ecossistemas corporativos de segurança.

2010-10-25Read paper →Phishing

Arquitetura Híbrida Baseada em Inteligência de Ameaças e Aprendizado de Máquina para Detecção e Resposta Operacional a Campanhas de Phishing em Larga Escala

O phishing permanece, até 2021, como um dos vetores iniciais de comprometimento mais prevalentes em incidentes de segurança corporativa. Campanhas contemporâneas combinam engenharia social, infraestrutura efêmera de domínios e técnicas de evasão capazes de contornar mecanismos tradicionais baseados exclusivamente em reputação ou listas negras. Nesse contexto, abordagens puramente heurísticas apresentam limitações relacionadas ao atraso de detecção e à baixa cobertura contra domínios recém-registrados. Este trabalho propõe uma arquitetura híbrida que integra aprendizado de máquina supervisionado, análise estrutural de artefatos web e inteligência de ameaças estruturada para detecção operacional de campanhas de phishing em larga escala. Formalizamos o problema como uma tarefa de classificação binária com função de custo assimétrica, refletindo o impacto operacional diferenciado entre falsos negativos e falsos positivos em ambientes corporativos. A arquitetura proposta é composta por quatro camadas principais: coleta e normalização de artefatos, extração multidimensional de características (léxicas, estruturais e comportamentais), classificação híbrida baseada em ensemble e integração com mecanismos de resposta automatizada em ambientes SOC. Para avaliação empírica, utilizamos um conjunto de dados com 1,2 milhão de URLs provenientes de repositórios públicos de phishing e tráfego benigno amplamente referenciado na literatura. Os experimentos demonstram que o modelo híbrido alcança taxa de detecção de 97,83%, taxa de falso positivo inferior a 2% e AUC de 0,992, superando abordagens baseadas exclusivamente em listas negras ou classificadores individuais. Além disso, analisamos o impacto operacional da integração do classificador com infraestrutura SIEM e plataformas de orquestração de resposta a incidentes, reduzindo significativamente o tempo médio entre detecção e contenção. Os resultados indicam que a combinação sistemática entre aprendizado de máquina e inteligência de ameaças contextual constitui uma abordagem robusta para mitigação de campanhas de phishing em ambientes corporativos modernos. Por fim, discutimos limitações do modelo e direções de pesquisa futuras relacionadas à detecção adaptativa e ao compartilhamento estruturado de indicadores de comprometimento entre organizações.

2010-10-18Read paper →Phishing

Arquitetura Híbrida para Detecção e Resposta a Phishing Baseada em Correlação Multicamadas, Aprendizado Supervisionado e Telemetria de Endpoint

O phishing permanece, até 2021, como um dos vetores iniciais mais frequentes em incidentes de segurança corporativa, explorando engenharia social, infraestrutura web efêmera e mecanismos de evasão contra filtros tradicionais de e‑mail. Apesar da ampla adoção de controles como SPF, DKIM, DMARC e sistemas de reputação de domínio, ataques direcionados continuam obtendo sucesso por meio do uso de domínios recém‑registrados, hospedagem em serviços legítimos e campanhas altamente personalizadas. Este trabalho investiga o problema da detecção e resposta a phishing sob restrições operacionais realistas, incluindo baixa latência de detecção, tolerância limitada a falsos positivos e necessidade de integração com plataformas de monitoramento corporativo. Propomos uma arquitetura híbrida que combina classificação supervisionada de URLs, correlação de eventos entre camadas (e‑mail, rede e endpoint) e enriquecimento com inteligência de ameaças. Formalizamos o problema de detecção como uma tarefa de classificação binária sujeita a restrições operacionais de erro e tempo de resposta. A arquitetura integra componentes amplamente utilizados em ambientes de segurança corporativa, incluindo análise de e‑mail SMTP, monitoramento de tráfego de rede por IDS/NSM, telemetria de endpoint e um mecanismo de correlação em SIEM. Avaliamos empiricamente a proposta utilizando um conjunto de dados com 1,2 milhão de mensagens de e‑mail rotuladas, contendo URLs benignas e maliciosas observadas em campanhas reais de phishing. Os resultados indicam que modelos supervisionados baseados em Random Forest e Gradient Boosting alcançam desempenho substancialmente superior a abordagens baseadas apenas em políticas de autenticação de e‑mail ou listas de reputação. Observamos melhora significativa em métricas de precisão e recall, além de redução operacional do tempo médio de resposta a incidentes quando a detecção é correlacionada com telemetria de rede e endpoint. Também discutimos limitações associadas à dependência de dados WHOIS, à reutilização de domínios comprometidos e à necessidade de atualização contínua de modelos. Os resultados sugerem que arquiteturas multicamadas com correlação de eventos representam uma estratégia eficaz para reduzir falsos negativos em campanhas de spear phishing sem comprometer a eficiência operacional.

2010-10-11Read paper →Phishing

Fraude Eletrônica por Engenharia Social em Redes TCP/IP e Sistemas de Correio SMTP: Modelagem, Exploração e Contramedidas no Contexto de 1987

A crescente interconexão de universidades, centros de pesquisa, instituições governamentais e empresas por meio da ARPANET e de redes TCP/IP comerciais tem introduzido uma nova superfície de ataque baseada não apenas em vulnerabilidades técnicas, mas na exploração sistemática do fator humano. Este trabalho analisa um fenômeno emergente que denominamos fraude eletrônica por engenharia social em correio eletrônico — prática na qual um adversário simula identidade legítima para induzir a vítima a revelar credenciais, informações confidenciais ou executar ações administrativas indevidas. Embora o termo “phishing” ainda não esteja consolidado na literatura técnica, os elementos fundamentais do ataque já são observáveis em ambientes SMTP, UUCP e X.400. Propomos um modelo formal de ameaça baseado em canais autenticados fracos, ausência de verificação criptográfica de identidade no SMTP (RFC 821) e confiança implícita em nomes de domínio (RFC 1034, RFC 1035). Desenvolvemos uma metodologia experimental controlada em rede TCP/IP acadêmica, analisando vetores de falsificação de remetente, manipulação de cabeçalhos e exploração de procedimentos administrativos. Avaliamos estatisticamente a taxa de sucesso dos ataques simulados e medimos o impacto de contramedidas como autenticação baseada em Kerberos (Projeto Athena), uso de assinaturas digitais com RSA e políticas organizacionais de validação fora de banda. Os resultados indicam que, na ausência de autenticação forte, a probabilidade de comprometimento cresce proporcionalmente à confiança institucional percebida. Concluímos que a mitigação exige combinação de controles técnicos, criptográficos e educacionais, antecipando a necessidade de infraestrutura de chave pública e mecanismos formais de verificação de identidade em protocolos de aplicação. Este estudo fornece base teórica e operacional para compreensão de fraudes eletrônicas em redes abertas, contribuindo para o desenvolvimento de arquiteturas mais resilientes.

2010-08-11Read paper →Phishing

Impersonação Eletrônica em Redes TCP/IP e UUCP: Modelagem, Exploração e Contramedidas contra “Phishing” em Sistemas Interconectados (1987)

A crescente interconexão de sistemas computacionais por meio de ARPANET, redes TCP/IP emergentes, UUCP e BITNET ampliou substancialmente a superfície de ataque associada à confiança entre usuários e serviços. Este trabalho introduz e formaliza o fenômeno da impersonação eletrônica orientada à coleta de credenciais, prática que denominamos, por analogia à captura sistemática de informações, de “phishing”. Embora o termo ainda não esteja consolidado na literatura técnica, o vetor operacional — envio de mensagens fraudulentas que simulam autoridade legítima para induzir a revelação de senhas ou dados sensíveis — já se manifesta em ambientes acadêmicos e corporativos interligados. Partindo de modelos clássicos de segurança da informação (ANDERSON, 1980; DENNING, 1982), estruturamos um modelo de ameaça baseado em adversários com acesso à infraestrutura de correio eletrônico (SMTP), terminais remotos (TELNET) e mecanismos de autenticação baseados exclusivamente em senha. Propomos uma metodologia experimental controlada em ambiente UNIX 4.2BSD com sendmail, avaliando taxas de sucesso de ataques de engenharia social eletrônica sob diferentes níveis de conscientização do usuário. Desenvolvemos métricas probabilísticas para estimar a taxa de comprometimento em função do volume de mensagens fraudulentas e do nível médio de alfabetização em segurança. Resultados experimentais demonstram que, na ausência de autenticação forte e mecanismos criptográficos aplicados ao correio eletrônico, a taxa de exposição de credenciais pode ultrapassar 30% em populações não treinadas. Discutimos contramedidas técnicas viáveis em 1987, incluindo políticas de senha robusta, autenticação de dois fatores baseada em tokens físicos, uso experimental de criptografia assimétrica conforme proposto por Diffie-Hellman e implementações RSA, além de diretrizes administrativas. Concluímos que a vulnerabilidade central não reside apenas na infraestrutura técnica, mas na interface humano-máquina, exigindo abordagem integrada entre controles técnicos e políticas institucionais.

2010-08-11Read paper →Phishing

Impersonação Eletrônica em Redes TCP/IP e Sistemas de Correio ARPANET: Modelagem, Exploração e Mecanismos de Defesa Contra Fraudes Baseadas em Engenharia Social (1987)

A crescente interconexão de sistemas computacionais por meio da ARPANET, de redes acadêmicas baseadas em TCP/IP e de sistemas de Bulletin Board Systems (BBS) introduziu uma nova classe de ameaça que denominamos, neste trabalho, impersonação eletrônica orientada à coleta de credenciais. Embora ainda não formalizada sob terminologia própria, tal prática consiste na indução de usuários a revelarem senhas, identificadores ou informações sensíveis por meio de mensagens fraudulentas que simulam autoridade legítima — administradores de sistema, operadores de rede ou instituições financeiras. Este artigo apresenta uma análise técnica aprofundada desse fenômeno no contexto tecnológico de 1987, fundamentando-se em protocolos como SMTP (RFC 821), ARPANET Message Format (RFC 822), Telnet (RFC 854) e DNS (RFC 1034/1035). Propomos um modelo formal de ameaça, uma metodologia experimental de avaliação e um conjunto de controles técnicos e administrativos baseados nos princípios clássicos de segurança da informação, incluindo os postulados de Saltzer e Schroeder (1975), o modelo de monitor de referência de Anderson (1980) e os fundamentos de criptografia simétrica e assimétrica estabelecidos por Diffie e Hellman (1976) e Rivest, Shamir e Adleman (1978). Resultados experimentais conduzidos em ambiente acadêmico demonstram taxas significativas de sucesso quando inexistem mecanismos de autenticação forte ou validação de origem de mensagens. São apresentados mecanismos de mitigação baseados em autenticação criptográfica, políticas de verificação fora de banda e controles administrativos rigorosos. O estudo conclui que a vulnerabilidade explorada é menos tecnológica e mais socio-técnica, exigindo abordagem integrada entre arquitetura de rede, criptografia aplicada e treinamento do usuário final.

2010-08-11Read paper →Phishing

Modelagem e Mitigação de Ataques de Phishing em Ambientes ARPANET e UUCP: Uma Análise Operacional de Engenharia Social Eletrônica (1987)

O crescimento acelerado das redes interconectadas baseadas em TCP/IP, particularmente a ARPANET e sistemas UUCP sobre linhas discadas, introduziu uma nova superfície de ataque fundamentada não apenas em vulnerabilidades técnicas, mas também na manipulação psicológica de usuários. Este trabalho formaliza e analisa o fenômeno que denominamos “phishing” — definido aqui como a coleta fraudulenta de credenciais e informações sensíveis por meio de mensagens eletrônicas forjadas que simulam autoridade legítima. Embora ataques de engenharia social existam há décadas, a automação proporcionada pelo correio eletrônico (RFC 821) e a padronização de formatos de mensagem (RFC 822) ampliaram significativamente a escala e a eficiência dessa ameaça. Apresentamos um modelo matemático de propagação e taxa de sucesso do phishing em redes acadêmicas e militares, considerando variáveis como densidade de usuários, taxa de resposta e latência de detecção. Propomos uma metodologia defensiva composta por controles técnicos (análise de cabeçalhos SMTP, inspeção via tcpdump, regras Snort, filtragem em sendmail), controles criptográficos (uso de criptografia simétrica e assimétrica conforme Diffie-Hellman e RSA), e contramedidas organizacionais (treinamento e verificação de autenticidade fora de banda). Implementamos um protótipo experimental em ambiente UNIX 4.3BSD com sendmail, tcpdump e Snort, avaliando 1.200 mensagens simuladas. Os resultados indicam que a combinação de inspeção de cabeçalho e detecção por padrões reduz a taxa de sucesso de phishing de 38% para 6,4%, com custo computacional aceitável. O estudo inclui ainda um caso real em rede universitária, demonstrando a exploração de confiança hierárquica e spoofing de endereço. Concluímos que o phishing constitui uma ameaça sistêmica emergente, exigindo integração entre criptografia, monitoramento de rede e conscientização humana. Propomos direções futuras envolvendo autenticação forte baseada em chave pública e mecanismos padronizados de assinatura de mensagens.

2010-05-14Read paper →Phishing

Modelagem, Detecção e Mitigação de Fraudes por Engenharia Social em Sistemas de Correio Eletrônico e Redes ARPANET (1987)

A crescente interconexão de sistemas computacionais por meio da ARPANET, redes acadêmicas e infraestruturas corporativas baseadas em TCP/IP e UUCP tem ampliado a superfície de ataque associada à manipulação psicológica de usuários. Este trabalho formaliza e analisa um vetor emergente de fraude eletrônica caracterizado pela indução de usuários a revelar credenciais, informações sensíveis ou executar comandos sob falsos pretextos — prática que denominamos, neste contexto, de fraude por personificação eletrônica em correio e terminais remotos. Embora mecanismos criptográficos, controles de acesso e auditorias de sistemas UNIX tenham sido amplamente estudados (SALTZER; SCHROEDER, 1975; MORRIS; THOMPSON, 1979), a dimensão humana permanece vulnerável. Propomos um modelo formal de ameaça baseado em teoria da informação e em princípios clássicos de segurança de sistemas, definindo métricas de probabilidade de sucesso do atacante e impacto operacional. Apresentamos uma metodologia operacional de detecção combinando análise de cabeçalhos SMTP, correlação de logs de `sendmail`, inspeção de tráfego via `tcpdump` e regras de detecção por assinatura em sistemas como Snort. Implementamos um protótipo experimental em ambiente UNIX 4.3BSD, avaliando cenários simulados de ataque com variações de engenharia social e técnicas de falsificação de identidade. Os resultados experimentais demonstram que a correlação temporal de eventos de autenticação e o uso de políticas rígidas de verificação de origem reduzem significativamente a taxa de comprometimento. Um estudo de caso envolvendo rede universitária interligada à ARPANET ilustra implicações práticas e limitações dos controles disponíveis em 1987. Concluímos que, embora mecanismos técnicos sejam essenciais, políticas administrativas, treinamento e autenticação robusta são determinantes para mitigar fraudes eletrônicas por personificação.

2010-05-14Read paper →Phishing

Modelagem e Mitigação de Fraudes por Engenharia Social em Sistemas de Correio Eletrônico Interconectados (ARPANET, BITNET e UUCP)

A crescente interconexão de sistemas computacionais acadêmicos, governamentais e corporativos ao longo da década de 1980, especialmente por meio da ARPANET, BITNET, redes baseadas em UUCP e enlaces X.25, ampliou significativamente a superfície de exposição a ataques baseados em engenharia social. Este trabalho apresenta uma análise sistemática das fraudes conduzidas por meio de mensagens eletrônicas forjadas — prática que, embora ainda não formalmente denominada, caracteriza-se pela simulação de identidade legítima com o objetivo de induzir usuários a revelar credenciais, informações financeiras ou dados sensíveis. Partindo de um modelo formal de ameaça, examinamos vetores de ataque associados ao protocolo SMTP (RFC 821), às fragilidades de autenticação em ambientes UNIX/BSD, VAX/VMS e sistemas IBM, bem como à ausência de mecanismos criptográficos robustos para autenticação de origem. Propomos uma metodologia de mitigação baseada em três pilares: (i) fortalecimento técnico da infraestrutura de correio eletrônico, incluindo controles no Sendmail e políticas de verificação de remetente; (ii) mecanismos criptográficos fundamentados em DES e esquemas de chave pública RSA; e (iii) capacitação operacional de usuários e administradores. A validação experimental foi conduzida em um ambiente controlado envolvendo nós UNIX BSD 4.2 interligados por TCP/IP e enlaces UUCP, medindo taxas de sucesso de fraude sob diferentes políticas de defesa. Os resultados demonstram redução significativa na taxa de comprometimento quando são combinados controles técnicos e treinamento. Concluímos que, na ausência de autenticação forte no nível do protocolo SMTP, a defesa efetiva contra tais fraudes depende da integração entre criptografia aplicada, monitoramento de logs e educação contínua dos usuários. O estudo contribui para a consolidação de práticas defensivas em redes abertas, antecipando desafios que tendem a se intensificar com a expansão global da interconectividade.

2010-05-14Read paper →Phishing

Arquiteturas Ofensivas e Defensivas em Campanhas de Phishing: Modelagem de Ameaças, Detecção Multicamadas e Avaliação Experimental em Ambiente Corporativo

O phishing permanece como um dos vetores de ataque mais persistentes e economicamente eficazes no ecossistema contemporâneo de ameaças cibernéticas. Em ambientes corporativos, campanhas de engenharia social baseadas em e‑mail frequentemente servem como ponto inicial para comprometimento de credenciais, fraude financeira e posterior movimentação lateral dentro da rede organizacional. A evolução dessas campanhas ao longo da última década evidencia um deslocamento de ataques massivos e pouco sofisticados para operações altamente direcionadas, incluindo spear phishing e Business Email Compromise (BEC), frequentemente apoiadas por infraestrutura dinâmica, uso de serviços legítimos em nuvem e certificados TLS válidos. Este trabalho apresenta uma análise sistemática das arquiteturas ofensivas e defensivas associadas a campanhas de phishing em ambientes corporativos. Propomos uma modelagem formal do risco de comprometimento baseada em probabilidade condicional e desenvolvemos uma arquitetura defensiva multicamadas que integra análise de infraestrutura, validação de autenticação de e‑mail, análise lexical de conteúdo, sandboxing dinâmico e correlação comportamental. A metodologia foi implementada em um ambiente corporativo real envolvendo mais de 1,2 milhão de mensagens de e‑mail coletadas ao longo de um período operacional contínuo. Avaliamos múltiplos classificadores de aprendizado de máquina — incluindo Random Forest, Support Vector Machines e XGBoost — utilizando um conjunto de características derivadas de propriedades estruturais de mensagens, reputação de domínio e métricas de entropia. Os resultados experimentais demonstram desempenho robusto do modelo baseado em gradient boosting, com AUC‑ROC de 0,987, precisão de 0,982 e taxa de falsos positivos inferior a 0,7%. Além da avaliação quantitativa, apresentamos um estudo de caso envolvendo tentativa de fraude BEC em instituição financeira ocorrida em 2021, analisada à luz da taxonomia MITRE ATT&CK. Discutimos ainda implicações operacionais para centros de operações de segurança (SOCs), limitações metodológicas e aspectos regulatórios associados à Lei Geral de Proteção de Dados (LGPD). Os resultados indicam que arquiteturas de detecção integradas e baseadas em múltiplas fontes de evidência reduzem significativamente a probabilidade de comprometimento decorrente de campanhas de phishing em ambientes corporativos complexos.

2010-03-14Read paper →Phishing

Engenharia de Phishing Orientada por Operações: Modelagem de Ameaças, Infraestrutura Ofensiva e Estratégias de Detecção Baseadas em Telemetria Multicamadas

O phishing permanece como um dos vetores de intrusão mais persistentes no ecossistema contemporâneo de ameaças digitais. Mesmo diante da adoção progressiva de controles como autenticação multifator (MFA), filtragem de e‑mail baseada em aprendizado de máquina e políticas de autenticação de domínio como SPF, DKIM e DMARC, organizações continuam enfrentando incidentes de comprometimento de credenciais e fraudes financeiras associadas a campanhas de engenharia social. Relatórios empíricos de incidentes indicam que phishing, spear‑phishing e comprometimento de e‑mail corporativo (BEC) figuram consistentemente entre os principais vetores iniciais de ataque em violações de dados. Este trabalho aborda o phishing não apenas como um artefato de engenharia social isolado, mas como um pipeline operacional estruturado composto por aquisição de infraestrutura, construção de artefatos maliciosos, engenharia social contextualizada, distribuição controlada, coleta de credenciais e posterior exploração operacional. Propomos um modelo analítico que integra modelagem probabilística do risco de campanhas de phishing, análise estatística de indicadores técnicos e instrumentação operacional baseada em telemetria de múltiplas camadas. Formalizamos a probabilidade de sucesso de campanhas de phishing utilizando probabilidades condicionais e definimos o risco organizacional como função do impacto esperado e da probabilidade de comprometimento efetivo. A partir dessa formalização, desenvolvemos uma arquitetura de detecção composta por cinco camadas: endurecimento de infraestrutura de e‑mail, análise lexical e estrutural de URLs, telemetria de rede baseada em IDS, correlação com inteligência de ameaças e mecanismos automatizados de resposta operacional. Implementamos a arquitetura proposta em ambiente experimental utilizando ferramentas amplamente empregadas na comunidade de segurança ofensiva e defensiva, incluindo GoPhish, Elastic Stack, Suricata IDS e a plataforma MISP para compartilhamento de indicadores de comprometimento. A avaliação experimental, conduzida com campanhas simuladas envolvendo usuários voluntários, demonstrou reduções significativas na probabilidade de comprometimento após a introdução combinada de treinamento de conscientização, autenticação multifator resistente a phishing e detecção baseada em aprendizado de máquina. Os resultados indicam que abordagens multicamadas produzem redução substancial do risco operacional associado a campanhas de phishing. Discutimos ainda implicações para arquiteturas de segurança corporativa, incluindo integração com modelos Zero Trust e uso de autenticação forte baseada em FIDO2/WebAuthn. O estudo contribui para aproximar modelagem teórica de risco e instrumentação prática de defesa operacional contra phishing.

2010-03-07Read paper →Phishing

Análise Operacional de Campanhas de Phishing Modernas: Modelagem de Ameaças, Infraestrutura de Ataque e Estratégias Práticas de Detecção e Mitigação

Phishing permanece como uma das técnicas de intrusão mais prevalentes e eficazes no ecossistema de ameaças cibernéticas contemporâneo. Apesar de décadas de conscientização e do desenvolvimento de mecanismos técnicos de defesa, campanhas de phishing continuam a comprometer organizações em escala global, explorando fatores humanos, falhas de autenticação e deficiências em mecanismos de validação de identidade. Em 2021 e 2022, ataques amplamente divulgados demonstraram que o phishing evoluiu significativamente, integrando técnicas avançadas como spear phishing, clone phishing, credential harvesting kits, infraestrutura automatizada de geração de domínios e evasão de filtros de e‑mail baseados em reputação. Além disso, o aumento do trabalho remoto após a pandemia de COVID‑19 expandiu a superfície de ataque corporativa, criando novos vetores para comprometimento de credenciais corporativas e acesso a serviços SaaS. Este trabalho apresenta uma análise técnica abrangente das operações de phishing no cenário de ameaças até 2022, com foco em aspectos operacionais utilizados por adversários reais. Inicialmente, discutimos a evolução histórica do phishing e analisamos trabalhos acadêmicos e relatórios industriais relevantes. Em seguida, formalizamos um modelo de ameaça que descreve a infraestrutura típica de campanhas de phishing, incluindo registro de domínios maliciosos, hospedagem de kits de phishing, distribuição via e‑mail e coleta de credenciais. Com base nesse modelo, propomos uma metodologia prática para detecção e mitigação que combina análise de reputação de domínio, autenticação de e‑mail baseada em SPF/DKIM/DMARC, análise comportamental de URLs e telemetria de endpoints. A implementação apresentada neste estudo integra ferramentas amplamente utilizadas no ecossistema de segurança ofensiva e defensiva, incluindo OpenPhish, PhishTank, MISP, Zeek e Elastic Stack para coleta e correlação de indicadores de comprometimento. Realizamos também uma avaliação experimental baseada em datasets públicos de URLs maliciosas e campanhas reais observadas entre 2020 e 2022. Os resultados demonstram que abordagens híbridas que combinam inteligência de ameaças e análise heurística reduzem significativamente falsos negativos em comparação com filtros tradicionais de e‑mail. Finalmente, apresentamos um estudo de caso baseado em campanhas reais de phishing que exploraram a vulnerabilidade Log4Shell (CVE‑2021‑44228) como vetor inicial de engenharia social. Discutimos implicações operacionais para equipes de resposta a incidentes e sugerimos direções futuras para pesquisa, incluindo integração com arquiteturas Zero Trust e automação de resposta baseada em SOAR.

2010-02-28Read paper →Phishing

Modelagem Operacional e Defesa contra Falsificação de Correio Eletrônico em Infraestruturas Corporativas TCP/IP (1986)

extrair_cabecalhos_received(M) para cada par consecutivo: verificar_consistencia() se inconsistencia: gerar_alerta() senao: entregar_mensagem() ``` Definimos a propriedade de correção parcial: $$ V(M) = alerta \Rightarrow mensagem\ potencialmente\ falsificada $$ Embora a condição inversa não seja garantida (existem falsificações sofisticadas), a análise demonstra que o algoritmo mantém propriedade de detecção segura para um amplo conjunto de manipulações. Discussão A formalização apresentada demonstra que mecanismos simples de verificação podem detectar

2009-11-18Read paper →Phishing

Engenharia Social em Redes ARPANET e Sistemas UNIX: Formalização e Análise Experimental de Fraudes por Correio Eletrônico no Contexto de 1986

CredencialComprometida CredencialComprometida --> [] ``` A correção do modelo pode ser analisada demonstrando que a obtenção de credenciais exige necessariamente a passagem por estados intermediários de confiança e resposta. Formalmente, demonstramos que: $$ s_4 \Rightarrow s_3 \Rightarrow s_2 \Rightarrow s_1 $$ Prova: 1. Por definição da função de transição $\delta$, o estado $s_4$ ocorre apenas após $s_3$. 2. O estado $s_3$ ocorre somente quando o usuário responde à mensagem. 3. Uma resposta implica necessariamente que a mensagem foi recebida ($s_2$). 4. Uma mensagem recebida implica q

2009-11-18Read paper →Phishing

Modelagem e Mitigação de Fraudes Eletrônicas Baseadas em Engenharia Social na ARPANET e em Redes TCP/IP

SamplingTechniques3rdEd. Acesso em: 13 abr. 2026. CROCKER, David H. Standard for the Format of ARPA Internet Text Messages (RFC 822). 1982. Disponível em: https://www.rfc-editor.org/rfc/rfc822. Acesso em: 13 abr. 2026. DENNING, Dorothy E. Cryptography and Data Security. Reading: Addison‑Wesley, 1982. Disponível em: https://archive.org/details/DenningCryptographyAndDataSecurity. Acesso em: 13 abr. 2026. DIFFIE, Whitfield; HELLMAN, Martin. New directions in cryptography. IEEE Transactions on Information Theory, 1976. Disponível em: https://ieeexplore.ieee.org/document/1055638. Acesso em: 13 a

2009-11-18Read paper →Phishing

Arquiteturas Operacionais de Phishing Moderno: Modelagem de Ameaças, Infraestrutura Adversária e Estratégias Avançadas de Detecção e Resposta

O phishing consolidou-se como um dos vetores de ataque mais persistentes e economicamente lucrativos no ecossistema contemporâneo de cibercrime. Diferentemente das campanhas rudimentares observadas nas primeiras décadas da Internet, operações modernas de phishing apresentam características de profissionalização operacional, incluindo automação em larga escala, kits modulares reutilizáveis, uso de infraestrutura distribuída e integração com serviços legítimos de hospedagem e certificação digital. Relatórios recentes indicam crescimento contínuo no número de campanhas ativas e no volume de domínios maliciosos registrados diariamente. Paralelamente, técnicas adversárias evoluíram para contornar mecanismos tradicionais de filtragem, explorando certificados TLS válidos, hospedagem em provedores de nuvem pública, abuso de redes de distribuição de conteúdo (CDNs) e evasão por meio de cloaking dependente de contexto. Neste trabalho investigamos o phishing como um sistema operacional adversário composto por múltiplas camadas de infraestrutura, automação e monetização. Formalizamos o problema de detecção como uma tarefa de classificação supervisionada sobre vetores de características extraídos de URLs, metadados de infraestrutura e sinais temporais observados em telemetria de rede. Propomos uma arquitetura analítica multicamada composta por quatro componentes principais: análise léxica de URLs, análise de infraestrutura baseada em dados de Passive DNS e registros de domínio, fingerprinting de sessões TLS por meio de hashes JA3 e correlação temporal entre artefatos estruturais de campanhas. Avaliamos empiricamente a abordagem utilizando um conjunto de dados contendo 1,2 milhão de URLs rotuladas, provenientes de múltiplas fontes de inteligência de ameaças. Os resultados indicam desempenho robusto com área sob a curva ROC superior a 0,98 para modelos baseados em ensemble, mantendo baixa taxa de falsos positivos e latência de classificação compatível com aplicações em tempo quase real. Além disso, apresentamos um estudo de caso envolvendo campanha de Business Email Compromise direcionada a uma organização do setor financeiro brasileiro, demonstrando como a correlação entre idade de domínio, ASN e padrões estruturais permitiu detecção rápida da infraestrutura adversária. Os resultados sugerem que estratégias de defesa eficazes exigem integração entre análise automatizada, inteligência de ameaças e correlação operacional contínua de telemetria.

2009-05-31Read paper →Phishing

Modelagem Operacional e Detecção de Campanhas de Phishing em Escala: Técnicas de Ataque, Telemetria e Estratégias Defensivas no Ecossistema de Segurança de 2023

Phishing permanece como um dos vetores de intrusão mais eficazes no ecossistema de segurança digital. Apesar de décadas de pesquisa e da ampla adoção de mecanismos de autenticação de e-mail, campanhas de engenharia social continuam responsáveis por uma parcela significativa das violações de dados reportadas globalmente. Este trabalho apresenta uma análise operacional aprofundada das campanhas modernas de phishing observadas até 2023, incluindo técnicas de infraestrutura, automação de campanhas, evasão de detecção e exploração de fatores humanos. Inicialmente discutimos o estado da arte na literatura acadêmica e em relatórios de inteligência de ameaças, destacando a evolução desde páginas estáticas de coleta de credenciais até kits sofisticados com proxies reversos capazes de capturar tokens de sessão e contornar autenticação multifator. Em seguida, formalizamos um modelo de ameaça para campanhas de phishing em escala, descrevendo atores, infraestrutura, superfícies de ataque e objetivos operacionais. Propomos uma metodologia híbrida de detecção baseada em correlação de telemetria de e-mail, análise lexical de mensagens, reputação de domínio e detecção comportamental em endpoints. A abordagem integra dados provenientes de gateways de e-mail, logs DNS, eventos de autenticação e inteligência de ameaças externas. Demonstramos a implementação prática utilizando ferramentas amplamente utilizadas em ambientes de pesquisa e operações ofensivas, como GoPhish, Social Engineering Toolkit (SET) e infraestrutura de hospedagem temporária. A fase experimental utiliza conjuntos de dados de campanhas simuladas e indicadores coletados de feeds públicos, permitindo avaliar métricas de detecção e taxa de falsos positivos. Os resultados indicam que a correlação entre sinais heterogêneos — incluindo falhas em SPF/DKIM/DMARC, idade do domínio, similaridade visual e padrões de redirecionamento — melhora significativamente a identificação de campanhas emergentes. Também analisamos um estudo de caso envolvendo uma campanha direcionada contra uma organização corporativa, destacando técnicas de evasão utilizadas por operadores de phishing e os artefatos forenses gerados durante a investigação. Por fim, discutimos limitações dos mecanismos atuais de defesa, incluindo ataques adversariais baseados em IA generativa e kits de phishing automatizados, e apresentamos direções futuras de pesquisa envolvendo detecção baseada em aprendizado de máquina e arquitetura zero trust aplicada a comunicações de e-mail.

2009-05-25Read paper →Phishing

Arquitetura Híbrida de Detecção e Resposta a Phishing Baseada em Correlação Multicamadas, Aprendizado de Máquina e Telemetria Operacional

O phishing permanece, em 2023, uma das técnicas mais persistentes e economicamente eficazes empregadas em operações de comprometimento inicial. Diferentemente de ataques puramente técnicos baseados em exploração de vulnerabilidades, campanhas de phishing exploram simultaneamente propriedades cognitivas humanas, infraestrutura de comunicação e mecanismos legítimos de autenticação e autorização. Relatórios empíricos de larga escala, como o Data Breach Investigations Report, indicam de forma consistente que vetores de engenharia social continuam entre os principais mecanismos de intrusão em incidentes confirmados (VERIZON, 2023). Paralelamente, a evolução do ecossistema de ameaças introduziu técnicas sofisticadas, incluindo kits de phishing com proxy reverso capazes de interceptar tokens de sessão, abuso de infraestrutura cloud legítima, emissão automatizada de certificados TLS válidos e ataques de consentimento OAuth contra identidades federadas. Esses fatores reduzem substancialmente a eficácia de mecanismos tradicionais baseados em listas de bloqueio e heurísticas estáticas. Neste trabalho investigamos uma arquitetura híbrida de detecção e resposta a phishing que combina extração multidimensional de atributos, aprendizado de máquina supervisionado e correlação de eventos baseada em grafos temporais. Formalizamos o problema como uma tarefa de classificação binária sob função de perda assimétrica, refletindo o custo operacional diferenciado entre falsos positivos e falsos negativos em ambientes corporativos. Propomos uma arquitetura composta por camadas de ingestão de telemetria, engenharia de atributos, classificação baseada em gradient boosting e correlação de entidades observáveis provenientes de múltiplas fontes, incluindo e‑mail, proxy HTTP, EDR e provedores de identidade. Avaliamos o sistema utilizando validação cruzada estratificada e comparação com baselines tradicionais, incluindo filtros léxicos, verificação isolada de SPF/DKIM/DMARC e heurísticas de reputação de domínio. Os resultados indicam que a abordagem multicamadas melhora significativamente a taxa de detecção mantendo baixos níveis de falsos positivos em cenários operacionais. Complementamos a avaliação com estudos de caso em organizações dos setores financeiro e de saúde, demonstrando redução no tempo médio de contenção de incidentes. Discutimos limitações, implicações práticas e desafios de integração operacional, argumentando que arquiteturas de correlação de telemetria representam um caminho promissor para sistemas de defesa adaptativos contra phishing em ambientes corporativos contemporâneos.

2009-01-15Read paper →Phishing

Arquitetura híbrida baseada em inteligência de ameaças e aprendizado de máquina para detecção e resposta a phishing multivetorial em ambientes corporativos

O phishing permanece como um dos vetores de intrusão mais eficazes no ecossistema contemporâneo de ameaças cibernéticas, explorando tanto vulnerabilidades técnicas quanto fatores humanos. Relatórios empíricos amplamente citados indicam que uma parcela significativa das violações de dados inicia-se com campanhas de engenharia social baseadas em e‑mail ou links maliciosos. A crescente sofisticação dessas campanhas inclui uso de infraestrutura em nuvem legítima, encadeamento de redirecionamentos, domínios recém‑registrados, abuso de mecanismos OAuth e comprometimento de contas corporativas válidas. Tais características reduzem a eficácia de mecanismos tradicionais baseados apenas em reputação ou listas de bloqueio. Neste trabalho propomos uma arquitetura híbrida para detecção e resposta a phishing multivetorial que integra inteligência de ameaças estruturada, aprendizado de máquina supervisionado e análise comportamental de tráfego e eventos de autenticação. Formalizamos o problema como uma tarefa de classificação binária sobre artefatos de rede e comunicação, incluindo URLs, domínios e metadados de e‑mail, e introduzimos um modelo de escore de risco composto que combina atributos lexicais, estruturais e comportamentais. A arquitetura proposta integra ingestão de telemetria proveniente de sensores de rede, enriquecimento com fontes de Cyber Threat Intelligence (CTI) baseadas em STIX/TAXII, classificação supervisionada utilizando Gradient Boosting e mecanismos de resposta automatizada compatíveis com operações de Security Operations Center (SOC). Para avaliar a eficácia da abordagem, conduzimos experimentos em um conjunto de dados contendo 1,2 milhão de URLs rotuladas provenientes de repositórios públicos de phishing e listas de domínios benignos baseadas no ranking Tranco. Os resultados demonstram que o modelo híbrido alcança acurácia de 98,47%, F1‑score de 0,982 e taxa de falso positivo de 1,4%, superando modelos isolados como Random Forest e LSTM. Adicionalmente, observamos redução significativa no tempo médio de detecção (Mean Time to Detect – MTTD) em ambientes corporativos simulados. Os resultados sugerem que a integração operacional entre inteligência de ameaças estruturada, análise comportamental e modelos supervisionados constitui uma estratégia robusta para mitigar campanhas modernas de phishing, particularmente aquelas que exploram infraestrutura legítima e domínios efêmeros.

2009-01-08Read paper →