Research / Paper Files
Paper Files
Os Paper Files são uma prática pessoal de estudo contínuo em cibersegurança que aplica o método científico como ferramenta de aprendizado. Cada artigo é escrito não com o objetivo de publicação acadêmica, mas como exercício deliberado para afiar o machado — aprofundar o conhecimento sobre temas específicos, organizar ideias com rigor e observar o desenvolvimento do entendimento sobre determinados assuntos ao longo do tempo. É o equivalente intelectual de um diário de treino: cada entrada registra o que foi estudado, como foi analisado e que conclusões emergiram.
Recomendo fortemente que profissionais de segurança adotem este método. Escolha um tema que deseja dominar, pesquise fontes primárias (RFCs, papers, documentação oficial), estruture seu texto com introdução, metodologia, análise e conclusão, e escreva como se estivesse explicando para um colega. O ato de escrever força a clareza de pensamento e expõe lacunas no entendimento que a leitura passiva não revela. Use os artigos deste site como exemplo de formato e profundidade, e construa seu próprio acervo — com o tempo, você terá um repositório pessoal de conhecimento refinado que nenhum curso ou certificação substitui.
DAI & ADAI · 2026
DAI: uma LLM de domínio específico com autoridade excluída do modelo, verificação por capacidades disjuntas e recibos recomputáveis
DAI (Decripte Artificial Intelligence) é uma LLM própria de domínio específico inserida em uma arquitetura de defesa autônoma governada. É uma instância da categoria proposta ADAI, definida no paper complementar. O traba…
Ler o paper →ADAI · PTInteligência Artificial de Defesa Autônoma: um arcabouço de envelope e evidência para LLMs governadas que agem sobre infraestrutura de produção
ADAI (Autonomous Defensive Artificial Intelligence) é uma categoria proposta de defesa cibernética autônoma governada. O arcabouço especifica perímetros defendidos, efeitos delimitados, reversão declarada e verificação p…
Ler o paper →106 papers
Uma Arquitetura Híbrida Baseada em Inteligência de Ameaças e Aprendizado Estatístico para Detecção e Resposta Operacional a Phishing Multivetorial
O phishing permanece como uma das técnicas de intrusão mais eficazes no ecossistema contemporâneo de ameaças cibernéticas, combinando engenharia social, infraestrutura distribuída e evasão técnica para comprometer credenciais e ativos organizacionais. Relatórios recentes de incidentes indicam que campanhas de phishing continuam entre os vetores iniciais mais frequentes em violações de segurança corporativas, frequentemente servindo como ponto de entrada para ataques subsequentes como comprometimento de e-mail corporativo (BEC), movimentação lateral e exfiltração de dados. Embora listas negras e filtros heurísticos tradicionais ofereçam algum nível de mitigação, tais mecanismos apresentam limitações significativas diante de domínios efêmeros, certificados TLS legítimos e infraestrutura de hospedagem distribuída. Neste trabalho investigamos a construção de uma arquitetura híbrida orientada a operações de Security Operations Center (SOC), combinando inteligência de ameaças baseada em indicadores de comprometimento (IOCs) com modelos estatísticos supervisionados para detecção de phishing multivetorial. Propomos um pipeline de análise que integra telemetria de rede (DNS, HTTP e SMTP), extração sistemática de características estruturais de URLs, verificação de atributos criptográficos de certificados TLS e análise dinâmica em sandbox. Formalizamos o problema de detecção como uma tarefa de classificação probabilística combinada com correlação temporal de eventos observáveis, permitindo avaliar a probabilidade condicional de atividades maliciosas a partir de sequências de eventos heterogêneos. Implementamos a arquitetura utilizando ferramentas amplamente adotadas em ambientes corporativos, incluindo Suricata, Zeek, Elastic Stack, MISP e Cuckoo Sandbox, com modelos de aprendizado implementados em Python utilizando bibliotecas de aprendizado estatístico. Avaliamos o sistema em um conjunto de dados composto por 1,2 milhão de URLs provenientes de repositórios públicos de phishing e listas de domínios benignos. Os resultados indicam que a abordagem híbrida atinge acurácia de 98,37% e recall superior a 98%, superando significativamente abordagens baseadas exclusivamente em listas negras ou modelos isolados. Adicionalmente, observamos redução no tempo médio de detecção operacional em ambientes SOC simulados. Discutimos limitações relacionadas a evasão por CAPTCHA, uso de infraestrutura de nuvem legítima e ataques altamente personalizados de spear phishing. Concluímos que arquiteturas híbridas que combinam inteligência de ameaças, análise estatística e telemetria de rede representam um caminho promissor para fortalecer a detecção e resposta a campanhas de phishing em escala organizacional.
Read paper →PhishingUma Arquitetura Híbrida Multicamadas com Modelagem Formal de Ameaças para Mitigação Avançada de Phishing em Ambientes Corporativos
O phishing permanece um dos vetores de acesso inicial mais recorrentes em incidentes de segurança corporativa, combinando técnicas de engenharia social com infraestrutura técnica capaz de contornar controles tradicionais. Relatórios de inteligência de ameaças publicados em 2023 indicam que ataques baseados em credenciais comprometidas, spear phishing e campanhas de Business Email Compromise (BEC) continuam representando parcela significativa das intrusões bem-sucedidas em ambientes corporativos. Paralelamente, a evolução de kits de phishing automatizados, proxies reversos capazes de interceptar sessões autenticadas e o uso sistemático de serviços legítimos de infraestrutura dificultam a detecção baseada exclusivamente em listas negras ou heurísticas estáticas. Neste trabalho propomos uma arquitetura híbrida de detecção e resposta que combina múltiplas camadas analíticas — reputação, análise estrutural de conteúdo, classificação baseada em aprendizado de máquina e correlação comportamental orientada a TTPs — fundamentadas em uma formalização matemática do problema de classificação sob adversário adaptativo. Inicialmente modelamos o phishing como um processo de indução adversarial em que um agente malicioso busca maximizar a probabilidade de extração de credenciais ou tokens de sessão por meio da simulação de identidades confiáveis. A partir dessa modelagem definimos um classificador robusto sujeito a perturbações adversariais no espaço léxico e estrutural das mensagens. Em seguida descrevemos uma arquitetura operacional integrando fontes de inteligência de ameaças, extração extensiva de atributos de URLs e mensagens, classificação híbrida baseada em Random Forest e XGBoost, e mecanismos de correlação em plataformas SIEM capazes de acionar respostas automatizadas via SOAR. A avaliação experimental foi conduzida sobre um conjunto de 1,2 milhão de URLs rotuladas coletadas durante noventa dias, permitindo comparar o desempenho do modelo proposto com abordagens baseadas apenas em listas negras. Os resultados indicam taxa de detecção de 97,83% com taxa de falso positivo inferior a 2%, além de redução significativa no tempo médio de contenção de incidentes. Adicionalmente, um estudo de caso em ambiente financeiro corporativo demonstra a eficácia da integração entre detecção multicamada e automação de resposta na mitigação de campanhas de spear phishing com captura de tokens de sessão. Os resultados sugerem que arquiteturas híbridas, combinadas a modelagem formal de ameaças e integração com frameworks de inteligência adversária como o MITRE ATT&CK, oferecem ganhos operacionais substanciais para centros de operações de segurança.
Read paper →PhishingArquitetura Híbrida de Detecção e Resposta a Phishing Baseada em Modelagem Formal de Ameaças e Correlação Multi-Camada
O phishing permanece como o vetor de intrusão inicial mais prevalente em campanhas de comprometimento corporativo, sendo responsável por mais de 70% dos incidentes envolvendo acesso inicial segundo relatórios recentes de resposta a incidentes. Apesar do avanço de filtros baseados em reputação, DMARC e detecção heurística, ataques modernos exploram técnicas como domain shadowing, adversarial machine learning, uso de infraestrutura legítima comprometida e kits de phishing polimórficos, contornando defesas tradicionais. Neste trabalho, propomos uma arquitetura híbrida de detecção e resposta a phishing baseada em modelagem formal de ameaças, correlação multi-camada (e-mail, DNS, HTTP, endpoint) e análise comportamental contextualizada. Formalizamos o problema como uma tarefa de classificação supervisionada sob incerteza adversarial e modelamos o atacante com capacidades adaptativas alinhadas às técnicas MITRE ATT&CK T1566 (Phishing) e T1204 (User Execution). Nossa abordagem integra análise estática de URLs, classificação de conteúdo HTML com vetores TF-IDF e embeddings, extração de features de infraestrutura (WHOIS, ASN, idade de domínio), inspeção TLS, além de telemetria de endpoint via Sysmon e EDR. Implementamos o sistema utilizando Postfix, OpenDMARC, Suricata, Zeek, Elastic Stack, YARA e Sigma, com pipelines em Python e integração via Kafka. Avaliamos a solução em um dataset composto por 1,2 milhão de e-mails (corpus Enron + feeds PhishTank + Spamhaus DBL) e 85 mil amostras de URLs maliciosas, comparando com baselines baseados apenas em SPF/DKIM/DMARC e filtros Bayesianos. Obtivemos taxa de detecção de 97,8% com falso positivo de 0,9%, superando os baselines em 18,4% de recall médio. O tempo médio de detecção ponta-a-ponta foi de 420 ms por mensagem, mantendo throughput de 12 mil e-mails/minuto em infraestrutura commodity. Demonstramos, por meio de estudo de caso realista, como a correlação multi-camada reduz dwell time de 48 horas para menos de 3 horas em cenário de BEC (Business Email Compromise). Concluímos que a combinação de modelagem formal, telemetria contextual e automação de resposta é fundamental para enfrentar phishing moderno altamente adaptativo.
Read paper →PhishingArquitetura Híbrida para Detecção e Mitigação de Phishing Baseada em Correlação Multicamadas, Inteligência de Ameaças e Modelos Estatísticos Formais
O phishing permanece como o vetor de intrusão inicial mais prevalente em incidentes de segurança cibernética, sendo responsável por parcela significativa de comprometimentos corporativos, exfiltração de credenciais e implantações subsequentes de ransomware. Relatórios recentes da indústria indicam que mais de 36% das violações confirmadas envolvem técnicas de engenharia social e phishing direcionado, frequentemente associadas às técnicas T1566 (Phishing) e T1204 (User Execution) do MITRE ATT&CK. Este artigo apresenta uma arquitetura híbrida de detecção e mitigação de phishing baseada na correlação multicamadas entre indicadores de e-mail, domínio, infraestrutura de rede e comportamento do usuário, combinando modelos estatísticos formais e regras baseadas em inteligência de ameaças. Propomos uma modelagem formal do problema como uma função de classificação binária $f: X \rightarrow \{0,1\}$, onde $X$ representa um vetor de características composto por atributos sintáticos, semânticos, temporais e reputacionais. Desenvolvemos dois algoritmos centrais: (i) um mecanismo de extração de características com normalização adaptativa e (ii) um classificador híbrido que combina Random Forest com regras YARA e Sigma para enriquecimento contextual. A solução foi implementada utilizando ferramentas operacionais reais, incluindo Postfix, Suricata, MISP, Elastic Stack e modelos treinados em Python com Scikit-learn. A avaliação experimental foi conduzida com 1,2 milhão de e-mails coletados em ambiente corporativo real ao longo de seis meses, incluindo 48.372 amostras confirmadas de phishing. Nosso modelo alcançou taxa de detecção de 97,83%, com taxa de falso positivo de 1,94% e AUC de 0,992. Comparado a filtros baseados exclusivamente em reputação e SPF/DKIM/DMARC, observamos redução de 42% em incidentes de comprometimento de conta (Account Takeover). Os resultados demonstram que a correlação multicamadas associada à inteligência de ameaças e formalização estatística melhora significativamente a resiliência organizacional contra campanhas de phishing modernas, incluindo spear phishing e ataques com domínios recém-registrados. O trabalho contribui com uma metodologia replicável, avaliação quantitativa robusta e recomendações operacionais para equipes de SOC e red team.
Read paper →PhishingModelagem Formal, Detecção Multicamadas e Resposta a Incidentes em Campanhas de Phishing: Uma Abordagem Integrada Cripto-Forense
O phishing permanece como um dos vetores de ataque mais prevalentes e economicamente impactantes no ecossistema digital contemporâneo. Apesar de avanços substanciais em filtragem de e-mail, autenticação de domínio (SPF, DKIM, DMARC) e treinamento de usuários, campanhas modernas evoluíram para incorporar técnicas de engenharia social altamente personalizadas, infraestrutura efêmera baseada em cloud, abuso de serviços legítimos e exploração de canais criptografados ponta-a-ponta. Neste trabalho, propomos uma abordagem integrada que combina modelagem formal de ameaças, técnicas criptográficas de autenticação e verificação, análise comportamental multicamada e procedimentos estruturados de resposta a incidentes. Diferentemente de estudos que tratam detecção e resposta de forma dissociada, apresentamos um arcabouço unificado que conecta fundamentos teóricos — incluindo jogos de segurança e argumentos de redução — a práticas operacionais concretas, como regras YARA, Sigma e assinaturas Suricata. Contribuímos com: (i) uma formalização do phishing como um jogo adversarial probabilístico envolvendo oráculos de engenharia social e canais autenticados; (ii) um modelo de classificação de capacidades adversariais em quatro níveis progressivos; (iii) um algoritmo de correlação multicamada com análise de complexidade; (iv) duas análises de estudo de caso — setor financeiro e setor de saúde — com procedimentos operacionais detalhados; e (v) diretrizes para validação formal de políticas de autenticação de domínio. Discutimos limitações estruturais de mecanismos como DMARC e os impactos do uso de TLS generalizado na inspeção defensiva. A avaliação experimental qualitativa compara abordagens baseadas em assinatura, aprendizado supervisionado e detecção comportamental, discutindo sensibilidade a evasões como homoglyph attacks, abuso de domínios recém-registrados e uso de serviços legítimos (por exemplo, plataformas de armazenamento em nuvem). Não apresentamos métricas inventadas; ao contrário, fundamentamos nossas análises em literatura revisada por pares e relatórios técnicos reconhecidos. Argumentamos que a mitigação eficaz de phishing exige integração entre criptografia aplicada, verificação formal de políticas de autenticação, inteligência de ameaças e engenharia de resposta a incidentes. Concluímos com uma agenda de pesquisa que inclui autenticação forte baseada em FIDO2, verificação formal de políticas DMARC com ferramentas como TLA+ e integração de detecção baseada em grafos para modelagem de campanhas coordenadas. ---
Read paper →PhishingArquitetura Híbrida de Detecção e Resposta a Phishing Baseada em Correlação Multicamadas, Aprendizado Supervisionado e Telemetria de Endpoint
O phishing permanece como o vetor de acesso inicial mais prevalente em incidentes de segurança cibernética, sendo responsável por uma parcela significativa de violações de dados, comprometimentos de credenciais e implantação de ransomware. Relatórios recentes da indústria indicam que mais de 35% dos incidentes analisados envolvem técnicas associadas à T1566 (Phishing) do framework MITRE ATT&CK, frequentemente combinadas com T1059 (Command and Scripting Interpreter) e T1078 (Valid Accounts). Neste trabalho, propomos uma arquitetura híbrida de detecção e resposta a phishing que integra correlação multicamadas (e-mail, DNS, HTTP, endpoint), modelos supervisionados de aprendizado de máquina e enriquecimento por inteligência de ameaças. A metodologia combina análise estática e dinâmica de artefatos (URLs, anexos, cabeçalhos SMTP), extração de features léxicas e comportamentais, e correlação temporal baseada em grafos de eventos. Implementamos um protótipo operacional utilizando Postfix, Suricata, Zeek, Elastic Stack, MISP, YARA e agentes de endpoint baseados em Sysmon. Avaliamos o sistema em um ambiente controlado com 1,2 milhão de e-mails, incluindo 86.000 amostras rotuladas como phishing (dados do PhishTank e corpora internos anonimizados). O modelo Random Forest obteve acurácia de 97,3%, precisão de 96,1% e recall de 94,8%, superando abordagens baseadas exclusivamente em reputação em 18,4% na taxa de detecção. A correlação multicamadas reduziu falsos positivos em 32% quando comparada à inspeção isolada de e-mail. Demonstramos, por meio de estudo de caso envolvendo uma campanha real de spear phishing com exploração de credenciais Microsoft 365, que a abordagem proposta reduz o tempo médio de detecção (MTTD) de 4h12min para 11min. Os resultados evidenciam que a integração de telemetria de endpoint, análise comportamental e inteligência contextual é fundamental para mitigar campanhas modernas de phishing, especialmente aquelas que utilizam infraestrutura efêmera e técnicas de evasão baseadas em HTTPS e domínios recém-registrados.
Read paper →PhishingDetecção Adaptativa e Multimodal de Phishing com Modelagem Formal de Ameaças e Garantias Quantificáveis de Robustez
Este trabalho investiga a detecção de phishing sob a perspectiva de segurança perimetral e de aplicações Web, com ênfase na combinação de múltiplas evidências observáveis e na formalização explícita do adversário. Em 2007, o cenário de ameaças já incluía campanhas de engenharia social, páginas fraudulentas visualmente indistinguíveis das originais, abuso de hospedagem legítima, homograph attacks com nomes de domínio internacionalizados, redirecionamentos encadeados e coleta de credenciais por formulários falsificados. Nesse contexto, propomos uma formulação matemática para o problema como um jogo entre um classificador e um agente malicioso com orçamento limitado, no qual transformações admissíveis sobre a representação da página, da URL, do conteúdo textual e dos metadados possuem custo m
Read paper →PhishingPhishGuard++: Detecção Multimodal e Adaptativa de Phishing com Garantias Formais sob Modelo de Ameaça Realista
O phishing permanece como um dos vetores de acesso inicial mais prevalentes e economicamente impactantes no cenário global de ameaças em 2025, evoluindo para incorporar kits adversário-no-meio (AiTM), páginas geradas dinamicamente e conteúdo sintético produzido por modelos generativos de larga escala. Neste trabalho, propomos o PhishGuard++, uma arquitetura multimodal e robusta para detecção de phishing que integra sinais lexicais, estruturais, visuais e comportamentais sob uma formulação formal de aprendizado robusto min–max. Modelamos explicitamente o problema como minimização de risco sob perturbações adversariais multimodais, considerando um adversário probabilístico polinomialmente limitado com capacidade de registrar domínios arbitrários, obter certificados TLS válidos, empregar ofuscação homoglífica Unicode e utilizar geração automatizada de conteúdo por modelos de linguagem. A arquitetura combina CNN em nível de caractere, embeddings estruturais derivados do grafo DOM, backbone visual ResNet-50 e um módulo de fusão baseado em Transformer com atenção cruzada, treinado com regularização adversarial inspirada em FGSM. Demonstramos formalmente condições suficientes de robustez sob hipóteses de continuidade Lipschitz e compacidade do conjunto de perturbações, além de analisar a complexidade computacional para garantir latência inferior a 20 ms em ambiente de produção conteinerizado. Avaliamos o sistema em bases públicas (PhishTank, UCI) e corpus proprietário balanceado, alcançando acurácia média de 98,73% (±0,21) e AUC de 0,992, com ganhos estatisticamente significativos em relação a Random Forest e XGBoost ($p < 0,01$). Realizamos ainda experimentos sob ofuscação homoglífica e conteúdo sintético gerado por LLMs, evidenciando maior robustez relativa. Discutimos implicações para integração com arquiteturas modernas de segurança (CNAPP, eBPF) e alinhamento com diretrizes de identidade digital do NIST, além de limitações e direções futuras envolvendo aprendizado federado com privacidade diferencial e criptografia pós-quântica para proteção de modelos.
Read paper →PhishingArquitetura Híbrida Adaptativa para Detecção e Mitigação de Phishing Multicanal com Modelagem Formal de Ameaças, Robustez Adversarial e Aprendizado Auto-Supervisionado
O phishing permanece, em 2025, como o principal vetor de acesso inicial em cadeias modernas de ataque, integrando campanhas multicanais que combinam e-mail, SMS (smishing), voz (vishing), mensageria instantânea e plataformas baseadas em IA generativa. Relatórios recentes da Verizon e da APWG indicam crescimento sustentado no volume e na sofisticação dessas campanhas, incluindo o uso de domínios recém-registrados, homógrafos Unicode e infraestrutura efêmera. Neste trabalho, propomos uma arquitetura híbrida adaptativa para detecção e mitigação de phishing multicanal, fundamentada em modelagem formal de ameaças, aprendizado auto-supervisionado e análise estrutural de URLs combinada com representações semânticas baseadas em transformadores. Formalizamos o problema como classificação binária sob desbalanceamento severo e introduzimos uma definição explícita de robustez adversarial para perturbações semanticamente preservadas, com métrica operacional de desempenho em cenários adversariais. A arquitetura integra três módulos: (i) Analisador Estrutural de URL com detecção de homógrafos e sinais temporais; (ii) Encoder Semântico Contextual baseado em BERTimbau; e (iii) Detector Auto-Supervisionado de Anomalias treinado via reconstrução. Avaliamos o sistema em um conjunto de 3,2 milhões de mensagens provenientes de OpenPhish, PhishTank e Enron, utilizando validação cruzada estratificada 5-fold. Obtivemos F1-score de 98,6% e AUC de 0,997, com degradação limitada a 3,1% sob ataques de homógrafos, superando baselines clássicos e redes convolucionais. Demonstramos redução de 37% em falsos positivos, aspecto crítico para operações de SOC alinhadas às diretrizes do NIST. Discutimos implicações para CNAPP, integração com pipelines em Kubernetes e limitações relacionadas a WHOIS e viés linguístico. Concluímos que a integração formal entre análise estrutural, modelagem semântica e detecção auto-supervisionada constitui abordagem robusta e operacionalmente viável para o ecossistema de ameaças de 2025.
Read paper →PhishingPHISHGUARD++: Um Arcabouço Formal, Robusto e Escalável para Detecção Multimodal de Phishing com Aprendizado Profundo, Modelagem Adversarial e Governança de IA
O phishing permanece como um dos vetores de intrusão mais prevalentes e economicamente impactantes no ecossistema digital contemporâneo, sendo amplificado por automação baseada em inteligência artificial generativa e por campanhas altamente personalizadas. Neste trabalho, propomos o PHISHGUARD++, um arcabouço formal e escalável para detecção multimodal de phishing que integra modelagem estatística rigorosa, aprendizado profundo e treinamento adversarial sob uma formulação min-max. Modelamos o problema como classificação supervisionada em um espaço de entrada multimodal $X = X_t \times X_g \times X_v$, contemplando características textuais, estruturais (grafos heterogêneos de domínios, IPs, certificados e relacionamentos ASN) e visuais. Reformulamos o objetivo clássico de minimização do risco esperado para o contexto de risco robusto adversarial, capturando explicitamente perturbações $\epsilon$-limitadas e cenários de deriva de conceito. A arquitetura proposta combina Transformers pré-treinados, redes neurais em grafos heterogêneos e redes convolucionais residuais profundas, com fusão tardia regularizada. Empregamos treinamento adversarial baseado em Projected Gradient Descent (PGD) e avaliamos robustez sob ataques restritos em norma $L_p$. A implementação, baseada em PyTorch 2.x, Apache Kafka e Apache Flink, demonstra viabilidade operacional com latência média de 12,4 ms por amostra e vazão superior a 80.000 eventos por segundo em cluster com GPUs NVIDIA A100. Em um conjunto de dados com 1,54 milhão de instâncias balanceadas, o modelo alcança $F1 = 0{,}986 \pm 0{,}004$ e taxa de falso positivo de 0,92%, com degradação controlada sob ataque adversarial. Discutimos implicações de governança de IA, conformidade com diretrizes NIST e alinhamento com estruturas de gestão de risco de IA. Concluímos que a integração entre multimodalidade, otimização robusta e práticas modernas de engenharia de segurança oferece ganhos substanciais em resiliência contra campanhas de phishing adaptativas e potencializadas por modelos de linguagem de grande porte.
Read paper →