Resumo Técnico: PHANTOM – Adaptação de Honeytoken Polimórfico com Mimetismo Organizacional Sob Medida Narrativa

1. Declaração do Problema

Honeytokens — ativos digitais isca projetados para detectar acesso não autorizado — são um primitivo estabelecido na decepção cibernética. No entanto, as ferramentas de geração existentes (por exemplo, Canarytokens, HoneyBadger) dependem de métodos estáticos baseados em modelos que carecem de especificidade organizacional. Embora esses tokens sejam frequentemente sintaticamente válidos, são semanticamente vazios. Atacantes habilidosos e scanners automatizados (como trufflehog, gitleaks e classificadores baseados em ML) podem identificá-los facilmente, pois falham em mimetizar os nomes de domínio específicos, convenções de nomenclatura de serviços, idiomatismos de pilha tecnológica e distribuições de valores secretos de uma organização-alvo.

O artigo identifica três lacunas críticas nas abordagens atuais:

1. Contexto Ausente: Credenciais reais estão profundamente embutidas no contexto organizacional (por exemplo, nomes de função IAM correspondendo a arquiteturas de serviço específicas), o que está ausente em modelos genéricos.
2. A Lacuna Semântica: Evidências empíricas sugerem que, embora tokens baseados em modelos alcancem alta validade sintática, eles falham significativamente na coerência semântica, que é o principal diferenciador entre credenciais reais e iscas.
3. Resistência à Detecção: Mesmo tokens ricos em contexto falham se scanners automatizados os sinalizarem antes que um atacante os encontre. As ferramentas atuais não evadem adequadamente as heurísticas modernas de detecção baseadas em estatística e aprendizado de máquina.

2. Metodologia: O Framework PHANTOM

PHANTOM (Adaptação de Honeytoken Polimórfico com Mimetismo Organizacional Sob Medida Narrativa) é um framework que gera honeytokens contextualmente convincentes ao codificar conhecimento específico da organização em um pipeline de geração multi-componente.

2.1 Perfil Organizacional

O sistema opera sobre um Perfil Organizacional ($O$) estruturado contendo:

• Nomes de domínio e nomes curtos.
• Listas de serviços e tipos/hosts de banco de dados.
• Regiões de nuvem e detalhes de organização Git.
• Emissores e públicos de JWT.

2.2 Pipeline de Geração Contextual

Diferentemente de geradores estáticos, o PHANTOM emprega geradores dedicados ($G_t$) para oito tipos diferentes de tokens (incluindo chaves AWS, arquivos de ambiente, JWTs e tokens de bot Slack). O princípio central de design é a injeção de contexto em nível de valor:

• Cada campo nomeado (nomes de usuário IAM, nomes de banco de dados, hostnames Redis, URLs de remoto Git) é derivado diretamente do perfil organizacional.
• O pipeline evita chamadas de API externas, garantindo que possa ser implantado em ambientes isolados ou classificados.
• Design Consciente de Scanner: Os geradores são explicitamente projetados para evadir três heurísticas primárias de scanner:
  • Regex/Padrão ($S_1$): Substitui strings genéricas de bandeira vermelha (por exemplo, "example.com") por valores derivados da organização.
  • Análise de Entropia ($S_2$): Mimetiza o perfil de entropia mista de arquivos reais (segredos de alta entropia ao lado de valores legíveis por humanos de baixa entropia) em vez de alta entropia uniforme.
  • Classificadores ML ($S_3$): Incorpora impressões digitais específicas da organização (domínios, nomes de serviços) para contrapor classificadores treinados para detectar a falta de contexto.

2.3 Métricas de Avaliação

O artigo formaliza a qualidade do token através de uma Pontuação de Credibilidade ($B$) e uma Pontuação Composta de Honeytoken ($H$):

• Pontuação de Credibilidade ($B$): Uma composição ponderada de quatro componentes:
  1. Validade Sintática ($S_v$): Formato correto para o tipo de token.
  2. Coerência Semântica ($S_c$): Ajuste contextual com o perfil organizacional.
  3. Normalidade Estatística ($S_n$): Propriedades de entropia e distribucionais correspondendo a credenciais reais.
  4. Aceitação Humana ($S_h$): Fração de avaliadores especialistas que classificam o token como genuíno.
• Resistência à Detecção ($DR$): Definida como $1 - P_d$, onde $P_d$ é a probabilidade de detecção por um ensemble ponderado de modelos de scanner ($S_1, S_2, S_3$).
• Pontuação Composta ($H$): Equilibra credibilidade e resistência à detecção ($H = B^\lambda \cdot DR^\mu$).

3. Configuração Experimental

• Conjunto de Dados: 32 tokens PHANTOM e 32 tokens de linha de base baseados em modelos gerados em 8 tipos de tokens e 4 contextos organizacionais (FinTech, Saúde, Defesa, E-commerce).
• Linha de Base: Um gerador de modelo estático usando valores secretos aleatórios, mas sem contexto organizacional (equivalente a Canarytokens).
• Avaliação:
  • Automatizada: Três modelos de scanner (Regex, Entropia, Classificador ML) aplicados a todos os tokens.
  • Humana: Avaliadores especialistas classificaram tokens como genuínos ou isca.
  • Estatística: Testes t de Welch de duas amostras com correção de Bonferroni; tamanhos de efeito relatados como Cohen's $d$.

4. Resultados Chave

O PHANTOM supera significativamente a linha de base baseada em modelos em todas as métricas primárias:

Métrica	Linha de Base de Modelo	PHANTOM	$\Delta$	Significância
Credibilidade ($B$)	$0.576 \pm 0.058$	$0.778 \pm 0.057$	$+0.203$	$p < 0.001$ ($d=3.52$)
Validade Sintática ($S_v$)	$0.842$|$0.876$|$+0.034$	Não Significativa
Coerência Semântica ($S_c$)	$0.396$|$0.705$|$+0.309$|$p < 0.001$($d=4.52$)
Aceitação Humana ($S_h$)	$6.2\%$	$100.0\%$	$+93.8\%$	$p < 0.001$
**Resistência à Detecção ($DR$)** |$0.609$|$0.870$|$+0.261$|$p < 0.001$($d=7.49$)

• Coerência Semântica como Motor: A maior melhoria foi na coerência semântica ($\Delta S_c = +0.309$), confirmando que o contexto organizacional é o ingrediente crítico ausente. A validade sintática não mostrou diferença significativa, indicando que a correção de formato é uma condição necessária, mas insuficiente, para a decepção.
• Aceitação Humana: 100% dos tokens PHANTOM passaram pelo limiar de especialista humano ($B \ge 0.65$), comparado a apenas 6.2% dos modelos.
• Resistência à Detecção: Os tokens PHANTOM foram significativamente mais difíceis de detectar em todos os três modelos de scanner, com a melhoria mais dramática contra classificadores baseados em ML (a probabilidade de detecção caiu de 54.1% para 16.2%).
• Optimalidade de Pareto: 100% dos tokens PHANTOM caíram dentro da "zona ideal" ($B \ge 0.70$ e $DR \ge 0.70$), enquanto apenas 6.2% dos tokens de modelo o fizeram.

5. Significância e Alegações

O artigo alega que o PHANTOM aborda a limitação fundamental da geração atual de honeytokens: a ausência de especificidade organizacional.

• Contribuição Primária: A introdução de um framework formal de Pontuação de Credibilidade que integra dimensões sintáticas, semânticas, estatísticas e humanas, demonstrando que a coerência semântica é o motor dominante da qualidade da decepção.
• Vantagem Operacional: Ao operar sem chamadas de API externas, o PHANTOM é totalmente implantável em ambientes isolados (por exemplo, redes governamentais classificadas, sistemas de controle industrial) onde o acesso a APIs de nuvem é proibido, oferecendo um nível de qualidade comparável a abordagens baseadas em LLM sem a dependência de rede.
• Impacto Estratégico: O framework fornece o componente de "isca" de alta qualidade necessário para um pipeline completo de decepção e atribuição pós-exfiltração, complementando sistemas existentes como Passive Hack-Back e sistemas de reidentificação longitudinal.

Os autores concluem que os futuros esforços de qualidade de geradores devem mudar o foco da correção de formato (validade sintática) para incorporação semântica, pois este último é o fator primário que determina se um honeytoken é indistinguível de uma credencial legítima.