Soluções de segurança de e-mail: Acronis Email Security & Sophos

O e-mail é um dos pontos de entrada mais comuns para ataques cibernéticos, e as proteções integradas não são mais suficientes para lidar com ameaças direcionadas. Testamos três plataformas de segurança de e-mail em nuvem (Acronis Email Security, Sophos Email Security e Barracuda Email Protection) com 100 testes em 11 categorias de ameaças.

Resultados do benchmark de soluções de segurança de e-mail em nuvem

Leia a metodologia de benchmark das soluções de segurança de e-mail para saber como testamos essas ferramentas e medimos os resultados.

Comparação de soluções de segurança de e-mail com base em categorias de veredicto

Acronis Email Security

• Acronis tem a maior pontuação geral de detecção (122/200) e apresenta o melhor desempenho contra phishing GenAI, com 100%. Todos os dez pretextos comerciais refinados foram bloqueados, incluindo pré-leituras falsas de conselho, fluxos de novo consentimento do Microsoft 365 e NDAs jurídicos fictícios.
  • Essa foi a categoria mais difícil do benchmark, com dificuldade média de 8.2/10. Ter capturado todos os dez sugere que a Acronis lidou bem com pistas semânticas e contextuais de phishing neste benchmark, em vez de depender apenas de sinais óbvios de gramática ou formatação.
• A Categoria F e a Categoria D também corroboram esse cenário: a Acronis obteve 89% em impersonação de marca/domínio e 90% em phishing de URL, incluindo um BLOCK no teste de injeção de cabeçalho authentication-results. Os resultados agregados sugerem um forte tratamento de casos de impersonação e análise de URL.
• O histórico limpo de falsos positivos é operacionalmente significativo. Nenhuma das oito mensagens de controle foi bloqueada, o que significa que a taxa de detecção de 61% não acarreta custo compensatório em perda de e-mails legítimos.
• Os pontos negativos concentram-se em níveis de dificuldade mais baixos. O spam básico (Categoria A, 44%) é inferior ao de outras ferramentas, com falhas em spam farmacêutico, golpes de loteria e um golpe romântico básico nos níveis de dificuldade 1 a 2. A lacuna sugere que a Acronis prioriza ataques sofisticados em detrimento de tráfego em massa e de baixo esforço.

Sophos Email Security

• A Sophos tem a segunda maior pontuação geral (105.5/200). Ela alcançou 100% na Categoria B (variantes de malware EICAR), detectando todas as variantes de aninhamento de arquivo, ZIP protegido por senha e teste de tolerância a deslocamento.
• As fraquezas mais visíveis da Sophos são o phishing de URL (Categoria D, 58%) e as técnicas de evasão (Categoria J, 22%). A lacuna no phishing de URL é notável porque os links estão entre os mecanismos de entrega de phishing mais comuns, e a Categoria D testa várias maneiras realistas pelas quais os invasores os ocultam ou roteiam.
• A pontuação de 58% da Sophos, em comparação com os 90% da Acronis, sugere que sua camada de análise de URL foi menos consistente em redirecionamentos, ofuscação e posicionamentos de URL fora do corpo.

Barracuda Email Protection

• A pontuação de detecção de 60/200 da Barracuda é inferior à dos outros dois produtos. A Categoria I (phishing GenAI) retornou 0% de detecção, e a Categoria A (Spam: 33%) tem a pontuação mais baixa entre os concorrentes. Isso sugere que a Barracuda foi menos eficaz nessa configuração contra os cenários de spam, phishing GenAI e engenharia social do benchmark.
• A Categoria B (detecção de malware conhecido por meio de strings de teste EICAR, 89%) e a Categoria C (tipos de arquivos portadores, como PDFs com JavaScript incorporado, HTML smuggling e atalhos LNK, 70%) são competitivas em relação a outros fornecedores.
• Os resultados da Barracuda na Categoria J (técnicas de evasão, 44%) mostram o melhor desempenho entre os três fornecedores. Isso sugere que o mecanismo subjacente de inspeção de conteúdo consegue lidar razoavelmente bem com recursos como caracteres de largura zero, assuntos codificados e homóglifos.
• As fraquezas são mais proeminentes nas categorias que mais importam para a proteção moderna contra ameaças. Phishing por QR code (Categoria E, 13%), impersonação de marca (Categoria F, 11%), BEC (Categoria G, 11%) e extorsão (Categoria H, 22%) estão todas bem abaixo da comparação.
• Nos onze testes de nível difícil, a Barracuda bloqueou um e perdeu os dez restantes.

As 3 principais soluções de segurança de e-mail em nuvem

Análise detalhada do Acronis Email Security

Acronis Cyber Protect

Email Security console

Ao selecionarmos Acronis Email Security no menu à esquerda na interface do Acronis Cyber Protect Cloud, vemos a tela a seguir. Em seguida, clicamos para acessar o console de Email Security.

Como ainda não concluímos nenhuma configuração, nosso painel exibe os seguintes itens de menu:

• Incidentes: Incidentes de segurança detectados e atividade de ataques.
  • Resposta a incidentes: Ferramentas para investigar e responder a incidentes.
  • Tráfego: Visibilidade sobre os padrões de e-mail ou tráfego web verificados.
  • Relatórios periódicos: Relatórios agendados de segurança e proteção.
• Operações de segurança: Controles operacionais de segurança e ferramentas de monitoramento.
• Configuração de detecção: Configuração de regras de detecção, verificação e definições de proteção.

No menu Configurações à esquerda, acessamos Ativos de E-mail Protegidos.

Como ainda não há ativos, o sistema nos redireciona para o fluxo de configuração. Clicamos em Configurar proteção de e-mail. O sistema solicita um endereço de e-mail de escalonamento para reportar problemas e pergunta qual serviço de e-mail usamos.

Acronis Cyber Protect

Email service configuration

Para este teste, prosseguiremos com um provedor personalizado via MX. Fazemos isso para comparar os fornecedores diretamente, sem sermos afetados pelas proteções integradas do Microsoft 365 ou do Google Workspace.

Selecionamos o serviço de e-mail e escolhemos o método de conexão Inline. Isso significa que o Acronis verifica e bloqueia e-mails maliciosos antes de serem entregues.

Também adicionamos um contato de escalonamento que a Acronis pode usar para problemas de comprometimento de conta, segurança ou conexão. A próxima etapa é habilitar o aplicativo Google Workspace, que oferece suporte à integração, contagem precisa de usuários para cobrança e ações de correção, como remover e-mails maliciosos entregues por engano.

Adicionamos o domínio conectado, aimultiple.com, e o sistema recupera automaticamente os registros MX.

Também definimos o método de cálculo de licença como “De acordo com os assentos informados” e inserimos 100 assentos. Após essas configurações, avançamos clicando em Avançar para continuar a configuração do MX.

O sistema nos pede para adicionar um registro TXT para verificar a propriedade do domínio. Adicionamos o registro e aguardamos a verificação.

Também podemos gerenciar os servidores de destino SMTP configurados, confirmar que o TLS está habilitado e usar a ação Verificar para comprovar que o registro TXT foi publicado corretamente. Esta página também permite editar as configurações de servidor e TLS ou excluir o domínio, se necessário.

Enviamos um total de 100 e-mails que poderiam ser considerados maliciosos ou spam. O painel agora mostra estatísticas como quantos e-mails foram verificados, quantos foram classificados como spam, quantos foram classificados como maliciosos e quantos e-mails foram recebidos por tipo de ataque. Também há uma estatística que mostra quais endereços de e-mail foram atacados com mais frequência.

No menu Verificações, podemos ver as estatísticas de verificação de todos os e-mails recebidos. A discriminação por tipo de arquivo também é um detalhe útil. Além disso, em todo o aplicativo, podemos ajustar o intervalo de datas clicando em Último Dia no topo da página.

A filtragem na seção Verificações é altamente detalhada. Veja algumas das opções:

• Endereço de remetente/domínio/IP: Os principais indicadores para identificar remetentes maliciosos ou falsificados.
• Nome de exibição impersonado: Ataca diretamente uma das técnicas de phishing mais comuns, na qual o nome visível parece legítimo, mas o endereço real não é.
• Endereço de resposta (reply-to): Outro sinal importante de phishing. Quando o reply-to é diferente do endereço do remetente, isso geralmente indica uma tentativa de redirecionar as respostas para uma caixa de entrada controlada pelo invasor.
• Ação (colocado em quarentena/entregue): Essencial para entender se uma ameaça foi detida ou chegou ao destinatário.
• Assunto: Para identificar campanhas de phishing que usam linhas de assunto idênticas ou quase idênticas em vários alvos.
• Endereço do destinatário: Crítico para determinar o alcance de um ataque. Mostra quantos usuários foram alvos e se indivíduos de alto valor (executivos, finanças) estavam entre eles.
• Carga útil (anexos/URLs): Restringe a busca a e-mails que transportam os mecanismos mais comuns de entrega de malware.

Ao acessarmos Operações de Segurança no menu à esquerda, chegamos à seção Verificações. Nesta tela, podemos acessar detalhes relacionados às verificações. Todas as verificações são listadas aqui, e também podemos ver as categorizações resultantes, como limpo, spam e malicioso.

Ao abrirmos os detalhes de um e-mail, podemos ver como o sistema o avaliou e seu status atual. Também podemos alterar seu status para:

• Aprovar veredicto (Handle): Aceitar o veredicto atual e processar o e-mail de acordo.
• Marcar e-mail como restrito: Classificar o e-mail como restrito ou violador de políticas.
• Marcar e-mail como Spam: Classificar o e-mail como indesejado ou não solicitado.
• Marcar e-mail como suspeito: Sinalizar o e-mail como potencialmente arriscado e que requer cautela.
• Marcar e-mail como limpo (FP): Marcar o e-mail como seguro e indicar que foi um falso positivo.

A visualização abaixo é a visão compacta. Ao clicarmos na guia Detalhado no canto superior direito, podemos ver muitos detalhes adicionais.

Na visão compacta, podemos ver os detalhes da verificação de um e-mail de phishing malicioso que foi colocado em quarentena pela Acronis. Inclui uma visão geral gerada por IA explicando por que o e-mail é considerado malicioso e mostrando indicadores como um domínio de remetente suspeito, comportamento de e-mail bombing e uma URL arriscada. Na seção Detalhes, podemos verificar o canal, a ação tomada, o horário da verificação, o tempo de processamento, a organização e o status de IR.

Acronis Cyber Protect

Scan details compact view

No Email Inspector, podemos revisar os metadados da mensagem, incluindo assunto, remetente, destinatário, horário, caminho de retorno e IP de origem. O corpo do e-mail também é exibido, para que possamos avaliar diretamente a tentativa de engenharia social.

Os critérios de avaliação de incidentes são claros e transparentes. Para um incidente, também podemos clicar no botão Solicitar investigação, selecionar “Acho que este e-mail é limpo” e enviá-lo à equipe da Acronis para revisão. Podemos ver verificações anteriores relacionadas ao mesmo e-mail.

Com o botão Capturas de tela, podemos ver a versão renderizada do e-mail, um recurso útil. Vale destacar que o sistema não renderiza o e-mail como HTML no navegador, de modo que nenhuma vulnerabilidade não detectada no e-mail pode provocar uma violação durante a revisão.

As ações dos usuários observadas neste teste estavam disponíveis no Audit log no menu à esquerda. Alguns desses registros são:

• Visualizar capturas de tela da verificação
• Processar verificação
• Ação da interface

Cada registro guarda o carimbo de data/hora, a ação, a descrição, o admin ou equipe, a organização de destino e o e-mail ou objeto alvo relacionado.

No menu Configuração de detecção à esquerda, podemos gerenciar listas de permissões e listas de bloqueio em detalhes, um recurso extremamente útil:

• Lista de permissões de endereço de e-mail/domínio do remetente: E-mails de endereços ou domínios desta lista são sempre confiáveis e ignoram os filtros de spam/ameaças. Isso pode ser útil para liberar parceiros conhecidos ou sistemas internos que, de outra forma, poderiam gerar falsos positivos.
• Lista de permissões de endereço de e-mail do destinatário: Especifica endereços internos de destinatários que devem receber todos os e-mails de entrada sem filtragem. Isso garante que determinados usuários (por exemplo, uma caixa de entrada catch-all) sempre recebam e-mails, mesmo de remetentes desconhecidos.
• Lista de bloqueio de endereço de e-mail/domínio do remetente: E-mails de endereços ou domínios desta lista são automaticamente rejeitados ou colocados em quarentena. Pode ser usada para bloquear permanentemente fontes de spam conhecidas, domínios maliciosos ou remetentes em massa indesejados.
• Lista de permissões de IP do remetente: Servidores de e-mail com IPs nesta lista são considerados confiáveis, e seus e-mails pulam as verificações de reputação baseadas em IP. Pode ser usada para serviços de e-mail de terceiros confiáveis ou relays de e-mail locais.
• Lista de bloqueio de IP do remetente: Conexões desses IPs são bloqueadas, independentemente do endereço do remetente. Isso pode ser eficaz contra servidores de e-mail maliciosos conhecidos ou infraestrutura comprometida.

• Lista de permissões de URL: Links que correspondem a essas URLs ou domínios no corpo do e-mail são considerados seguros e não serão sinalizados.
• Lista de bloqueio de URL: E-mails que contêm essas URLs são sinalizados, bloqueados ou colocados em quarentena.
• Lista de permissões de hash: Anexos de arquivos que correspondem a esses hashes criptográficos são tratados como seguros e passam sem alertas de verificação.
• Lista de bloqueio de hash: Anexos cujo hash corresponde a uma entrada nesta lista são bloqueados imediatamente. Isso proporciona bloqueio preciso e baseado em assinatura de arquivos maliciosos conhecidos, mesmo que sejam renomeados ou disfarçados.

Alguns recursos que valem a pena mencionar, mas que não testamos especificamente, são:

Em configuração de detecção:

• Inteligência de ameaças: Obtém indicadores de fontes externas de inteligência de ameaças. Esse recurso ajuda a detectar malware comum disseminado, URLs maliciosas e campanhas de ataque ativas.
• Banners: Adiciona banners personalizáveis aos e-mails recebidos com base em políticas e regras.
• Usuários VIP: Permite que administradores mantenham uma lista de usuários de alto valor (executivos, equipe financeira etc.).

Em operações de segurança:

Comprometimento de conta (ATO): Detecta sinais de caixas de correio Microsoft 365 comprometidas.

O mecanismo sinaliza regras suspeitas de caixa de correio (encaminhar, redirecionar, mover ou excluir e-mails), logins de viagem impossível e entradas de locais ou dispositivos desconhecidos. Ao detectar um desses sinais, ele abre um caso no console, e a equipe de resposta a incidentes entra em contato com o administrador para investigar juntos.

Análise detalhada do Sophos Email Security

Sophos Secure Email Gateway

Account activation

Para começar com a Sophos, criamos um link de avaliação e somos direcionados para a tela a seguir. Assim como a Barracuda, a Sophos pede que selecionemos uma região.

Em seguida, o sistema pergunta qual produto queremos instalar. Selecionamos Email Security. Outros produtos que podem ser configurados incluem Endpoint Protection, Server Protection, Phish Threat, DNS Protection, Zero Trust Network Access, Protected Browser, Mobile, Wireless, Device Encryption, Firewall Management, Cloud Optix e Switches.

Enviaremos 100 e-mails, e a imagem abaixo mostra o painel. Inclui estatísticas como o número total de e-mails recebidos verificados, ameaças em potencial e tipos de ameaças detectados. Também há estatísticas de e-mails de saída, mas não estamos testando a segurança de e-mails de saída neste benchmark.

Também podemos ver outros elementos do painel, como tendências de atividade de e-mail, resumos de ameaças e indicadores de status de segurança.

Clicamos em Configurar definições do gateway de e-mail. O sistema nos pede para verificar nosso domínio. Em seguida, observamos uma configuração útil na qual podemos escolher somente entrada ou entrada e saída. Ela também verifica e-mails enviados para evitar problemas de segurança.

O sistema mostra o registro DNS que precisamos inserir. Em seguida, nós o adicionamos e prosseguimos.

Adicionamos o registro TXT ao DNS público do domínio. O valor TXT é um token de verificação de domínio da Sophos, e o TTL é definido como 600. Após adicionar o registro DNS, aguardamos a propagação e clicamos em Verificar para que a Sophos confirme que somos os proprietários do domínio.

Adicionamos o registro e verificamos nosso domínio. Para o destino de entrada, selecionamos MX e inserimos o registro MX do Google Workspace: aspmx.l.google.com.

Como a Barracuda, a Sophos exige roteamento MX. Ao contrário da Sophos e da Barracuda, a Acronis concluiu esse processo de forma limpa por meio de uma API, e não precisamos alterar nenhuma configuração.

Concluímos as configurações de MX e enviamos um e-mail de teste, mas ele não foi encaminhado. Após alguma investigação, vimos que o erro era: “Este endereço de e-mail não foi encontrado”, o que foi inesperado.

Precisamos entrar no painel, abrir a seção Mailboxes no menu à esquerda e adicionar manualmente os usuários um a um. Esse é um problema de usabilidade que prejudica a experiência geral, pois tanto a Acronis quanto a Barracuda funcionaram imediatamente. Para o teste, adicionamos nosso próprio endereço de e-mail e continuamos os testes por meio dessa conta.

A seção de relatórios está no menu à esquerda. Aqui estão alguns dos relatórios que podemos criar:

• Resumo de mensagens: Volume geral e status de e-mails.
• Relatório de análise SophosLabs: Veredictos de mensagens reportados por usuários/admins.
• Resumo de ameaças Intelix: Análise de ameaças para e-mails de entrada.
• Resumo de horário de clique: Relatório de atividade de cliques em links.
• Usuários em risco: Funcionários mais vulneráveis.
• Resumo de controle de dados: Correspondências com políticas de prevenção de perda de dados.
• Resumo pós-entrega: E-mails removidos após a entrega.
• Resumo de uso de licença: Uso de licença de segurança de e-mail.

Ao acessarmos Email Security > Message History, podemos ver todos os e-mails recebidos e como cada um foi classificado. Este relatório de Message History lista os e-mails individuais processados pelo Sophos Email Security. Alguns campos principais são:

• Remetente: De quem o e-mail parecia ser.
• Destinatários: Quem recebeu a mensagem.
• Tipo: Como o e-mail entrou no sistema, geralmente Gateway.
• Assunto: A linha de assunto do e-mail.
• Último status: O que a Sophos fez com ele, como Entregue, Excluído ou Quarentena.
• Data: Quando o e-mail foi processado.
• Categoria: Classificação da Sophos, como Legítimo, Spam, Malware, ameaça Intelix ou Autenticação.

Alguns exemplos das categorias são:

• Legítimo: E-mails normais que foram liberados.
• Spam: E-mails suspeitos ou indesejados; muitos são colocados em quarentena.
• Malware: E-mails perigosos que contêm conteúdo malicioso; eles são excluídos.
• Ameaça Intelix: E-mails analisados pelo Sophos Intelix considerados suspeitos ou ameaçadores.
• Em quarentena: O e-mail foi bloqueado e colocado em quarentena para revisão.
• Excluído: O e-mail foi removido em vez de entregue.

Os filtros abaixo permitem que os usuários restrinjam o log de e-mails por categoria de mensagem:

• Legítimo: E-mails normais liberados.
• Mensagem segura: E-mails criptografados ou protegidos.
• Controle de dados: E-mails que correspondem a regras de perda/segurança de dados.
• Falha de autenticação: Falhas nas verificações de SPF, DKIM ou DMARC.
• Impersonação: Possível spoofing de remetente ou fraude de identidade.
• Em massa: E-mails de marketing em massa ou automatizados.
• Spam: E-mails indesejados ou suspeitos.
• URL/QR Code: E-mails com links arriscados ou QR codes.
• Ameaça Intelix: E-mails sinalizados pela análise de ameaças da Sophos.
• Não verificável: E-mails que a Sophos não pôde inspecionar completamente.
• Malware: E-mails que contêm arquivos ou conteúdo malicioso.
• Bloqueado pela empresa: E-mails bloqueados por política da empresa.

O menu Mailboxes mostra as caixas de correio monitoradas. Ao abrir uma caixa de correio, podemos selecionar quais políticas aplicar. Em Base Policy – Email Security, as seguintes configurações estão disponíveis:

Sophos Secure Email Gateway

Base Policy & Email Security,

Autenticação inclui verificações de autenticação de e-mail para mensagens de entrada. Podemos configurar como a Sophos lida com falhas de DMARC, SPF e DKIM, incluindo ações como obedecer à política do remetente ou marcar a linha de assunto com um aviso.

• Também inclui verificações de remetente para anomalias de cabeçalho e de domínio, o que ajuda a detectar e-mails que parecem vir do seu próprio domínio ou de domínios suspeitos sem registros DNS adequados. Também podemos habilitar banners para o usuário final para mostrar aos destinatários o nível de confiança das mensagens de entrada e nos ajudar a decidir se permitimos ou bloqueamos remetentes.

Antimalware gerencia a verificação antimalware de entrada para mensagens de e-mail. Podemos escolher a ação padrão para detecções de malware, como Excluir, e habilitar a verificação aprimorada de malware para análises mais profundas de conteúdo e arquivos.

• Também permite controle sobre e-mails não verificados e a Análise de Ameaças Intelix, na qual a Sophos pode usar análise estática e dinâmica para classificar mensagens suspeitas. Com base no veredicto, podemos definir ações como excluir, entregar ou tratar e-mails maliciosos e suspeitos de forma diferente.

Antispam gerencia como a Sophos lida com spam e e-mails em massa. Podemos definir ações para categorias como Spam Confirmado e Em Massa, incluindo colocar mensagens em quarentena e decidir se elas aparecem na quarentena do usuário final. Também inclui um controle deslizante personalizável de taxa de captura de spam, onde níveis mais altos aumentam a agressividade da detecção de spam.

Novo domínio/remetente inclui proteções para domínios recém-registrados e novos remetentes. Podemos habilitar verificações para e-mails enviados de domínios criados recentemente, que costumam ser usados em campanhas de phishing. Também permite exibir um banner de Novo Remetente quando um destinatário nunca recebeu e-mails daquele remetente antes.

O país de origem permite controlar e-mails com base no país do remetente. Países específicos podem ser selecionados em uma lista, e os e-mails correspondentes podem ser colocados em quarentena ou tratados de outra forma, de acordo com a política.

• Também há uma opção para verificar cada salto de mensagem, o que ajuda a inspecionar o caminho que um e-mail percorreu antes de chegar ao destinatário.

Idioma gerencia a filtragem por idioma da mensagem. Podemos selecionar idiomas específicos que queremos desautorizar e escolher a ação que a Sophos deve tomar, como colocar mensagens correspondentes em quarentena.

A proteção contra impersonação permite verificações de tentativas de impersonação de VIPs, marcas e impersonação em geral.

Para proteção de URL e QR code, podemos verificar e-mails em busca de URLs maliciosas e QR codes. A Sophos pode verificar links e extrair URLs de QR codes para detectar ameaças antes que os usuários interajam com eles. Também gerencia a Time of Click URL Protection, em que os links são reescritos e verificados quando o usuário clica neles.

No menu à esquerda, a seção Quarentena mostra todos os e-mails nos quais uma ameaça foi detectada. Podemos filtrar por:

• Antimalware: E-mails sinalizados durante a verificação de malware. Inclui mensagens com anexos perigosos, conteúdo malicioso ou itens que a Sophos não pôde inspecionar completamente:
  • Malware: E-mails confirmados com arquivos, links ou conteúdo malicioso. Geralmente são excluídos ou colocados em quarentena.
  • Não verificável: E-mails que a Sophos não pôde inspecionar adequadamente, por exemplo, devido a criptografia, corrupção, anexos protegidos por senha ou tipos de arquivo não suportados.
• Antispam: E-mails classificados por regras de detecção de spam:
  • Em massa: E-mails enviados em massa, como boletins informativos, campanhas de marketing ou notificações automatizadas.
  • Spam confirmado: E-mails identificados com segurança como spam. Normalmente são colocados em quarentena ou bloqueados.
  • Spam suspeito: E-mails que parecem suspeitos, mas não são spam confirmado. Podem ser colocados em quarentena, marcados ou entregues, dependendo da política.
  • Impersonação: E-mails que podem estar fingindo ser de uma pessoa, marca, domínio ou remetente interno confiável.
  • País não permitido: E-mails bloqueados ou em quarentena por terem origem em um país restrito por política.
  • Idioma não permitido: E-mails bloqueados ou em quarentena porque o idioma detectado não é permitido pela política.
  • BATV: E-mails relacionados à Bounce Address Tag Validation, usada para ajudar a detectar mensagens de bounce falsificadas ou spam de backscatter.
  • Novo domínio/NRD: E-mails de domínios recém-registrados, frequentemente usados em phishing ou campanhas de ataque de curta duração.
• Autenticação: E-mails filtrados com base em verificações de autenticação do remetente, como falhas de SPF, DKIM ou DMARC.

Ao clicarmos em um e-mail, podemos ver as mensagens que explicam por que ele foi colocado em quarentena. Podemos excluí-lo e bloquear o remetente, liberar a mensagem da quarentena ou liberá-la e permitir mensagens semelhantes no futuro.

Sophos

Raw Header

Na seção Raw Header, podemos visualizar todas as informações de cabeçalho do e-mail. Também podemos ver seus anexos e as URLs contidas na mensagem. Isso não pareceu suficientemente detalhado em nossa avaliação. A Acronis e a Barracuda proporcionaram uma experiência mais abrangente e informativa nesse aspecto.

Na guia Message, podemos ver o conteúdo e-mail como ele é, o que pode ser inseguro. Seria melhor podermos ver o conteúdo e-mail como uma captura de tela, como observamos na Acronis.

Há 23 e-mails aqui porque estes foram marcados como spam, enquanto alguns outros foram rejeitados diretamente. Em resumo, o sistema coloca em quarentena os e-mails marcados como spam.

Quando queremos exportar todos os e-mails recebidos, não conseguimos fazer isso diretamente nas telas de relatórios. Precisamos criar um relatório personalizado em Logs de e-mail, abri-lo, selecionar Gerar relatório, escolher CSV e, por fim, exportar tudo como CSV. Esse fluxo de trabalho parece desnecessariamente indireto e pouco amigável.

Análise detalhada do Barracuda Email Protection

Após obter uma avaliação da Barracuda, navegamos até o painel, clicamos em Abrir para Email Protection e prosseguimos.

Em Disponível na sua avaliação, podemos ver os principais produtos incluídos:

• Proteção de e-mail: Previne ameaças por e-mail, protege o e-mail antes e depois da entrega e automatiza a resposta a incidentes de e-mail.
• Backup cloud-to-cloud: Faz backup de dados do Microsoft 365.
• Inspetor de dados: Encontra dados confidenciais e malware não detectado no OneDrive e no SharePoint.
• Treinamento de conscientização em segurança: Treina funcionários sobre ameaças à segurança de e-mail.
• Serviço de arquivamento em nuvem: Aplica retenção de e-mail para conformidade e descoberta eletrônica.

Barracuda Cloud Archiving Service

Trail dashboard

Como ainda não havíamos configurado nenhum domínio ou definições relacionadas, o sistema nos levou diretamente ao assistente de configuração, um recurso útil para definir as configurações de e-mail.

Quando clicamos em Avançar, o sistema nos obrigou a conectar uma conta do Microsoft 365. No entanto, usamos o Google Workspace e estamos avaliando o serviço para esse ambiente.

Mais tarde, descobrimos que a Barracuda oferece suporte ao Google Workspace. Continuamos com a configuração padrão.

Barracuda Cloud Archiving Service

Data region selection

O sistema nos pediu para selecionar uma região de dados. Esse é um recurso importante para conformidade com o GDPR, por isso selecionamos Alemanha e continuamos.

Mais tarde, a Barracuda pediu que inseríssemos um endereço de e-mail pertencente ao nosso domínio e verificássemos nossos registros MX. Clicamos no botão de verificação e não executamos nenhuma ação adicional. O sistema verificou os registros com sucesso.

Nas etapas posteriores da nossa configuração, descobrimos que a Barracuda não tinha integração nativa com o Google Workspace. Em vez disso, ela nos forneceu novos registros MX para substituir os existentes. Quando atualizamos esses registros MX, os e-mails recebidos passam a chegar primeiro à Barracuda.

Em seguida, a Barracuda filtra e-mails inadequados e encaminha os aceitáveis. Exigir alterações nos registros MX para a integração com o Google Workspace é uma abordagem ruim.

Depois disso, atualizamos os registros MX e os verificamos. Concluímos a configuração e começamos a enviar e-mails.

Durante o envio dos e-mails, observamos que a Barracuda rejeitou algumas solicitações SMTP e recusou alguns anexos. Quando realizamos o mesmo teste com a Acronis, todos os e-mails foram entregues e ficaram visíveis no sistema. Aqui, a Barracuda rejeita alguns e-mails antes que eles apareçam no painel.

Embora ela os rejeite porque são genuinamente maliciosos, perdemos visibilidade como resultado desse processo automatizado. Em outras palavras, talvez nem saibamos se um ataque chegou e foi rejeitado. Isso é um desafio para o uso da Barracuda na segurança de e-mail, pois a visibilidade é tudo em contextos de segurança. Se um produto rejeita incidentes arbitrariamente e os torna invisíveis, isso prejudica a equipe de segurança.

Apesar desses desafios, todos os e-mails de teste foram enviados. No painel da Barracuda, somos direcionados à tela Message Log, onde todos os e-mails verificados são listados.

A seção Message Log inclui uma área de filtragem no topo. Aqui estão as opções de filtragem:

• Pesquisar: Pesquisa de texto em mensagens, destinatários, remetentes e outros campos.
• Domínios: Filtra os resultados pelo domínio selecionado.
• Direção: Filtra pela direção do e-mail; Entrada ou Saída.
• Intervalo de data/hora: Limita os resultados a uma janela de tempo específica.
• Ação tomada: Filtra pela ação tomada, por exemplo, Permitido, Bloqueado, Adiado.
• Status de entrega: Filtra por se o e-mail foi entregue, falhou, foi colocado em quarentena etc.
• Motivo: Filtra pelo motivo de detecção que acionou uma ação (por exemplo, Score, DMARC, Antivírus, Conteúdo Protegido).
• Resultados: Controla quantos registros são exibidos por página.

Barracuda Cloud Archiving Service

Incorrectly classified email

Podemos reportá-lo como classificado incorretamente. Por exemplo, um e-mail é seguro, mas classificado incorretamente como prejudicial. Reportamos o e-mail como seguro.

Outro e-mail é bloqueado, mas o painel não fornece nenhum detalhe adicional. Portanto, a Barracuda deixa a desejar nessa área. Seria mais útil podermos ver mais informações sobre por que a mensagem foi bloqueada, além da pontuação de bloqueio.

Na seção Domínios à esquerda, podemos visualizar, adicionar e excluir os domínios que queremos incluir na proteção de e-mail, funções padrão.

Dentro do menu Entrada à esquerda, a Barracuda fornece os filtros usados para esses controles. Podemos configurar esses filtros.

Por exemplo, em configurações de Antispam/antivírus, podemos configurar:

• Usar lista de bloqueio de reputação da Barracuda: Verifica os e-mails recebidos em relação ao banco de dados da Barracuda de remetentes maliciosos conhecidos. Pode ser definido como Block, Quarentena ou Desativado.
• Verificar e-mails em busca de vírus: Habilita ou desabilita a verificação de vírus em todos os e-mails recebidos.
• Usar sistema em tempo real da Barracuda: Cruza os e-mails com o feed de inteligência de ameaças ao vivo da Barracuda. Pode ser bloqueado, colocado em quarentena ou desativado. Opcionalmente, envia conteúdo suspeito para a Barracuda Central para análise adicional.
• Habilitar cloudscan: Transfere a pontuação de spam para o mecanismo de nuvem da Barracuda. As pontuações variam de 1 a 10; e-mails que excedem o limite acionam a ação configurada.
• Categorização de e-mail: Classifica os e-mails recebidos por tipo e aplica uma ação por categoria. As categorias incluem E-mail Corporativo, E-mail Transacional, Materiais de Marketing e Boletins Informativos, Listas de E-mail e Mídias Sociais, cada uma definida independentemente como Permitir, Quarentena, Block ou Desativado.
• Detecção de e-mails em massa: Detecta e age sobre e-mails enviados em massa. Quando está definido como Off, os e-mails em massa não são filtrados separadamente.
• Isenções de e-mails em massa: Permite que endereços de e-mail ou domínios específicos ignorem a detecção de e-mails em massa, definidos por remetente ou destinatário.

Barracuda Cloud Archiving Service

Rate Limit

As páginas de Limite de Taxa definem quantos e-mails um endereço IP de remetente pode enviar em cada período de 30 minutos, uma configuração útil. Isso pode evitar abuso de e-mail e ataques repentinos de alto volume a partir de um único IP de remetente.

Ao limitar quantos e-mails um endereço IP pode enviar em um período de 30 minutos, o sistema pode reduzir o impacto de:

• Campanhas de spam
• Picos de phishing
• Distribuição de malware
• Contas ou servidores de remetente comprometidos
• Inundação de e-mails no estilo negação de serviço

Na página Lista de Permissões/Bloqueio de IP, podemos ignorar a verificação de e-mails vindos de endereços IP específicos ou bloqueá-los diretamente.

Em Políticas Regionais, podemos aplicar bloqueio ou lista de permissões geográficas. Também podemos bloquear ou permitir e-mails com base no idioma do conteúdo.

Em Políticas de Destinatários, podemos configurar regras de verificação ou exceção com base no endereço de e-mail do destinatário.

A Barracuda também oferece políticas semelhantes para remetentes. Podemos aplicar exceções com base no remetente.

Também há um painel onde podemos definir exceções com base em controles padrão de segurança de e-mail, como DMARC, DKIM e SPF.

Em Políticas de Conteúdo, podemos configurar se devemos verificar ou ignorar e-mails com base no nome ou no tipo do arquivo. Também podemos definir regras de verificação ou exceção com base no conteúdo corpo da mensagem usando expressões regulares.

A Barracuda oferece Advanced Threat Protection como assinatura, além do verificador de vírus comum. O Advanced Threat Protection (ATP) é um serviço de verificação baseado em nuvem que analisa anexos de e-mail em um ambiente de nuvem seguro para detectar ameaças que os verificadores de vírus padrão podem não perceber. Aplica-se a mensagens de entrada e oferece suporte à maioria dos tipos de arquivo MIME.

Há três modos no ATP:

1. Entregar Primeiro, Depois Verificar tenta verificar o anexo em tempo real conforme o e-mail chega. Se a verificação terminar a tempo e uma ameaça for detectada, o e-mail é bloqueado. Se a verificação não terminar a tempo, o e-mail é entregue imediatamente, sem esperar o resultado. A verificação continua em segundo plano e, se uma ameaça for encontrada depois, o destinatário é notificado, mas o e-mail já chegou à caixa de entrada. Isso significa que o destinatário pode abrir um anexo infectado antes de a ameaça ser identificada.
2. Verificar Primeiro, Depois Entregar verifica o anexo antes da entrega. Se uma ameaça for detectada, o e-mail é bloqueado. Se estiver limpo, é entregue. E-mails com verificação pendente aparecem no Message Log com “Pending Scan” como motivo. Se uma mensagem permanecer adiada por mais de quatro horas, ela é colocada em quarentena. Esse modo é mais seguro, mas pode atrasar a entrega.
3. Desativado: o ATP é totalmente desligado.

A principal compensação aqui é entre velocidade e segurança. “Entregar Primeiro” prioriza a velocidade de entrega, mas introduz uma janela de risco. “Verificar Primeiro” elimina esse risco, mas pode atrasar ou adiar mensagens com anexos.

Na seção Relatórios, a Barracuda cria relatórios detalhados sobre segurança de e-mail:

• Resumo de tráfego de entrada/saída: Visão geral de toda a atividade de e-mails de entrada e saída, discriminada por adiados, bloqueados, em quarentena e permitidos.
• Discriminação de e-mails de entrada bloqueados: Discriminação detalhada dos motivos pelos quais os e-mails de entrada foram bloqueados.
• Principais remetentes/destinatários de e-mails de entrada: Mostra os remetentes/destinatários mais frequentes de e-mails de entrada.
• Discriminação dos principais remetentes de entrada bloqueados: Lista os remetentes cujos e-mails são bloqueados com mais frequência, com as razões.
• Discriminação dos principais destinatários de entrada bloqueados: Mostra os destinatários internos que são alvos mais frequentes de e-mails bloqueados.
• Principais remetentes de e-mails de saída: Visão geral dos usuários internos que enviam o maior volume de e-mails de saída.
• Principais remetentes de saída bloqueados: Mostra os usuários internos cujos e-mails de saída são bloqueados com mais frequência.

Além disso, podemos agendar relatórios automatizados, o que é um recurso útil. Em vez de entrar repetidamente para verificar painéis, podemos receber resumos regulares de ameaças, mensagens em quarentena, tendências de spam, detecções de malware, tentativas de impersonação, ações de política e risco do usuário. Relatórios agendados também podem ajudar os usuários a identificar padrões precocemente, como um aumento de e-mails de phishing, ataques repetidos contra usuários específicos ou um crescimento de anexos maliciosos bloqueados.

O menu Syslog à esquerda nos permite encaminhar todos esses registros para um servidor de log de nossa escolha. Esse é um recurso útil para integrações SIEM.

No geral, o produto oferece uma ampla variedade de recursos, mas tem desempenho inferior na detecção de ameaças neste teste. Uma parte significativa da configuração é deixada para o usuário, levantando a questão de saber se o valor agregado justifica a sobrecarga, especialmente para organizações que usam o Google Workspace ou o Centro de Conformidade do Microsoft 365.

Principais recursos das soluções de segurança de e-mail em nuvem

Recursos diferenciadores das plataformas de segurança de e-mail em nuvem

Segurança centrada no usuário (camada humana)

Muitos incidentes começam com uma ação do usuário. É por isso que as plataformas modernas de segurança de e-mail incluem ferramentas que orientam o comportamento em vez de depender apenas da filtragem.

• Banners de aviso contextuais podem alertar os usuários quando uma mensagem parece suspeita.
• O treinamento também está se tornando mais adaptativo. Em vez de simulações genéricas, os usuários recebem orientação personalizada de acordo com seus padrões de interação.

Segurança unificada e integração de plataforma

A integração com sistemas de endpoint e identidade permite respostas coordenadas. Por exemplo, se um e-mail levar ao roubo de credenciais, o sistema poderá acionar ações além da caixa de entrada.

Painéis centralizados dão às equipes uma visão mais clara de sua postura geral de segurança, reduzindo falhas de comunicação entre ferramentas.

Proteção de dados, criptografia e conformidade

O e-mail frequentemente transporta contratos, detalhes financeiros e outros dados confidenciais. Proteger essas informações exige mais do que detecção de ameaças.

• A criptografia garante que as mensagens permaneçam privadas em trânsito e em repouso. Políticas de prevenção de perda de dados ajudam a evitar o compartilhamento não autorizado, seja acidental ou intencional.
• Recursos de conformidade atendem a requisitos regulatórios, incluindo trilhas de auditoria e políticas de retenção. Isso é especialmente relevante para organizações que operam além-fronteiras e lidam com dados sujeitos a regras legais ou setoriais rígidas.

Não perca os nossos benchmarks e insights baseados em dados. O botão abre o Google; selecionar a AIMultiple confirma que deseja ver a AIMultiple com mais frequência nos resultados de pesquisa do Google.

Adicionar como fonte preferencial

Metodologia de benchmark de segurança de e-mail em nuvem

Fizemos o benchmark de três produtos de segurança de e-mail: Acronis Email Security (com tecnologia da Perception Point), Sophos Email Security e Barracuda Email Protection.

O benchmark incluiu 100 testes de ponta a ponta e seguiu quatro princípios.

1. Orientado por cobertura: Cada teste corresponde a uma capacidade que o fornecedor declara publicamente oferecer.
2. Ponderado por dificuldade: Perder um teste simples de 1/10 indica uma lacuna séria no produto. Perder um teste de 9/10 é mais compreensível, pois esses casos refletem problemas de detecção em nível especialista. O método de pontuação separa esses casos em vez de tratar todas as falhas igualmente.
3. Reproduzível: O benchmark é executado com um ambiente de teste PHP autocontido e verificado por uma suíte de verificação separada. Antes de qualquer e-mail de teste ser enviado, o verificador executa mais de 1.800 verificações para confirmar que as cargas de teste estão completas, válidas e configuradas corretamente.
4. Ético: Os testes de malware usam a string de teste de antivírus EICAR. As URLs de phishing apontam para infraestrutura canário inerte ou inexistente. Todas as caixas de correio de teste pertencem à equipe de testes.

Selecionamos testes para que as alegações públicas de cada fornecedor fossem exercitadas pelo menos uma vez. Priorizamos ameaças que os três fornecedores afirmam detectar para manter a comparação direta justa. Também incluímos um número menor de casos específicos de fornecedores quando relevantes. Por exemplo, sequestro de conversas é uma alegação central da Barracuda, e iscas GenAI no estilo deepfake são mais frequentemente promovidas por fornecedores que priorizam IA.

O benchmark está organizado em onze categorias. Cada categoria testa um mecanismo de detecção diferente. As quantidades de testes são mostradas entre parênteses, com 100 testes no total.

Categoria A: Spam (9 testes)

Esta categoria cobre anúncios farmacêuticos em massa, e-mails de pump and dump de criptomoedas, golpes de loteria, empréstimos de dia de pagamento, mensagens iniciais de plataformas de namoro e prospecção fria de B2B SEO.

A maioria dos testes nesta categoria é intencionalmente fácil. Dois testes, marketing de graymail e prospecção fria B2B, ficam mais próximos do limite de falso positivo, pois a filtragem agressiva pode bloquear e-mails comerciais legítimos.

Categoria B: Malware conhecido usando a string de teste EICAR (9 testes)

Esta categoria testa a entrega do EICAR em formatos de anexo comuns e aninhados:

• Anexo .txt simples,
• ZIP comum,
• ZIP protegido por senha com a senha incluída no corpo do e-mail,
• ZIP aninhado dentro de outro ZIP,
• EICAR com extensão .exe para testar o tratamento de incompatibilidade entre extensão e conteúdo,
• .tar.gz, arquivo recursivo de três níveis,
• .gz de arquivo único sem invólucro tar,
• EICAR com quatro kilobytes de lixo anexado no início para testar a tolerância a deslocamento.

Esses testes exercitam a extração de arquivos, o suporte a formatos e a extração de senha do corpo do e-mail. Essas são capacidades básicas para gateways de e-mail modernos.

Categoria C: Tipos de arquivo portadores (10 testes)

Esta categoria testa formatos de arquivo comumente usados para transportar ou acionar comportamentos maliciosos. O conjunto inclui:

• PDF com JavaScript incorporado e um gatilho OpenAction,
• HTML smuggling usando URL.createObjectURL em um blob codificado em Base64,
• SVG com um script onload e XHR remoto,
• Atalho .lnk do Windows com payload do PowerShell no bloco de argumentos,
• Arquivo poliglota PDF/ZIP,
• Aplicativo HTML .hta com VBScript,
• Dropper em JavaScript do Windows Script Host usando XMLHTTP e ADODB.Stream,
• Imagem ISO 9660 contendo EICAR,
• Arquivo .url de Atalho da Internet,
• Arquivo .iqy de Consulta da Internet do Excel.

Esta é uma das categorias mais discriminantes porque os resultados dos produtos variam bastante entre esses tipos de portadores.

Categoria D: Phishing de URL (10 testes)

Esta categoria mede a análise de URL em links diretos, redirecionamentos, ofuscação e locais fora do corpo. Inclui:

• URL de phishing direta em um TLD suspeito,
• Destino encurtado pelo Bitly,
• Cadeia de redirecionamento de múltiplos saltos pelo redirecionador aberto do Google e t.co,
• Homóglifo IDN punycode usando “а” cirílico em раypal.com,
• URL oculta em HTML usando caracteres de largura zero e texto branco de um pixel,
• URL presente dentro de uma anotação de PDF,
• URI que transporta HTML codificado em Base64 com um link de phishing,
• URL extremamente longa com o host real enterrado na string de consulta,
• Parâmetro de redirecionamento aberto em um host de aparência legítima,
• URL de cache AMP do Google que esconde o destino de phishing atrás de google.com/amp/s/.

Categoria E: Phishing por QR code (8 testes)

Esta categoria testa se os produtos conseguem extrair e inspecionar URLs de phishing ocultas dentro de QR codes. O conjunto inclui:

• QR codes PNG embutidos para recadastramento de MFA,
• Assinatura do DocuSign,
• Acesso a holerite,
• Aviso de reentrega de encomenda
• Acesso a correio de voz
• Redefinição de 2FA bancário.

Também inclui variantes de evasão: um QR code incorporado em um PDF sem conteúdo de QR no corpo do e-mail, um QR code entregue como imagem embrulhada em SVG e um QR code definido como um data URI de background-image CSS em vez de uma tag <img>.

Esses casos testam se o scanner examina imagens fora dos contêineres HTML mais óbvios.

Categoria F: Impersonação de marca e domínio (9 testes)

Esta categoria testa impersonação de remetente, domínio, marca e cabeçalho e inclui:

• Spoofing de nome de exibição de uma conta genérica do Gmail,
• Domínio typosquat usando m1crosoft-account.com,
• Homóglifo IDN punycode para Apple
• Abuso de subdomínio por meio de microsoft.support-team-portal.tk
• Imitação do kit de marca da Microsoft usando o logotipo real e o estilo Segoe UI
• Incompatibilidade entre os cabeçalhos Sender e From
• Impersonação de banco local
• Typosquatting de uma empresa de comércio eletrônico
• Injeção de cabeçalho Authentication-Results em que o invasor adiciona valores forjados spf=pass, dkim=pass e dmarc=pass à mensagem.

O último caso testa se os parsers downstream confiam em cabeçalhos de autenticação fornecidos pelo invasor em vez de validar os resultados reais de upstream.

Categoria G: BEC e spear phishing sem payloads (9 testes)

Esta categoria se concentra em engenharia social sem anexos ou links maliciosos e inclui:

• Solicitação de transferência bancária do CEO enviada de uma conta do Gmail,
• Pretexto de alteração bancária de Vendor Email Compromise,
• Redirecionamento de salário de autoatendimento do funcionário,
• Golpe on-line de cartão-presente de um impostor do CFO
• Sequestro de conversa usando assunto Re:Re: e cabeçalhos In-Reply-To forjados,
• Solicitação confidencial de provas de um escritório de advocacia falso,
• Contato externo de head-hunter com currículo anexado,
• Pretexto de tomada de controle de autenticação de dois fatores do WhatsApp,
• Pretexto de insider de M&A que combina linguagem de confidencialidade com urgência.

Categoria H: Extorsão e golpes (9 testes)

Esta categoria cobre padrões comuns de golpes e extorsão. Os testes incluem:

• E-mail usando uma senha antiga vazada,
• Fatura falsa com link de pagamento malicioso em um PDF,
• Carta de taxa antecipada,
• Ameaça de confisco da autoridade tributária,
• Extorsão de DDoS contra um site,
• Aviso falso de bloqueio do iCloud da Apple com link de desbloqueio,
• Golpe de taxa alfandegária de transportadora
• Extorsão por doxing,
• Golpe do parente preso na alfândega.

Categoria I: Phishing de qualidade GenAI (10 testes)

Esta categoria testa e-mails de phishing refinados que eliminam as pistas óbvias nas quais sistemas mais antigos costumam se basear. O conjunto inclui:

• E-mail de reverificação do helpdesk de TI com etapas estruturadas e botão da marca,
• Pré-leitura falsa do conselho com linguagem de confidencialidade e link de workspace,
• Atualização de política de tenant do Microsoft 365 exigindo novo consentimento em até sete dias,
• Solicitação de assinatura eletrônica do Código de Conduta de RH,
• Acompanhamento de customer success após uma reunião fictícia,
• Impersonação de resumo de reunião,
• NDA jurídico de uma contraparte fictícia,
• Aviso crítico de CVE no estilo CISO,
• Prévia de resultados de relações com investidores com linguagem de embargo,
• Resolvedor de conflito de calendário exigindo login único (SSO).

Todos os e-mails desta categoria foram escritos para parecer uma mensagem comercial competente de inglês nativo. Os testes evitam deliberadamente indícios antigos de phishing, como gramática quebrada, frases estranhas e incompatibilidades óbvias de marca.

Categoria J: Técnicas de evasão (9 testes)

Esta categoria testa ofuscações que podem quebrar a inspeção superficial de conteúdo e inclui:

• Caracteres Unicode de largura zero dentro de palavras-gatilho,
• Evasão de OCR em que toda a mensagem de phishing é renderizada como PNG sem texto corporal escaneável,
• Caractere de substituição da direita para a esquerda no nome do arquivo de anexo,
• Nome de arquivo com extensão dupla,
• Isca oculta por CSS onde o texto renderizado parece benigno enquanto o DOM contém o conteúdo de phishing,
• Assunto com palavra codificada RFC 2047,
• URL com caracteres codificados em hexadecimal no host,
• Homóglifo no assunto usando “е” cirílico para “e” latino,
• URL oculta em um atributo HTML data-* e recuperada no momento do clique por JavaScript embutido.

Categoria K: Conjunto de controle e teste de falsos positivos (8 testes)

O conjunto de controle contém e-mails comerciais legítimos que deveriam passar sem aviso e inclui:

• Notificações internas da equipe,
• Relatórios mensais de despesas,
• Acompanhamentos de reuniões,
• Resumos semanais,
• Arquivos ZIP protegidos por senha usados para compartilhamento interno legítimo,
• Lembretes de treinamento,
• Avisos de manutenção de TI,
• E-mails de agendamento individual.

Qualquer produto que sinalize uma dessas mensagens recebe uma penalidade de falso positivo.

Limitações do benchmark de segurança de e-mail

Excluímos várias categorias porque exigem infraestrutura ou condições além de um benchmark pontual:

• Troca de URL no momento do clique: Esse ataque entrega uma URL que parece benigna no momento da entrega e depois redireciona para um destino de phishing. Testá-lo exigiria um servidor HTTP com estado que altere seu conteúdo, além de uma ação de clique do lado do usuário.
• Comprometimento de conta e phishing lateral: Isso exigiria o controle de uma caixa de correio interna, o que estava fora da configuração do benchmark.
• Malware dinâmico com detecção de sandbox: Amostras polimórficas reais que detectam virtualização e evitam a detonação foram excluídas por razões éticas.
• Páginas de destino de kits de phishing ativos: Todas as URLs apontam para hosts inertes. O benchmark não testa a experiência pós-clique.

O remetente do Grupo S exige um relay SMTP que permita cabeçalhos From desalinhados. Serviços SMTP em nuvem geralmente rejeitam esses testes no nível de rede. Quando um relay permissivo não está disponível, o benchmark é degradado para o Grupo L, o que deixa 38 testes orientados por conteúdo.

Arquitetura de dois remetentes

Muitos testes de segurança de e-mail ignoram uma distinção importante entre ataques orientados por conteúdo e ataques orientados por identidade do remetente. Algumas ameaças são perigosas por causa do corpo da mensagem ou dos anexos, independentemente de quem as envia. Outras são perigosas porque o e-mail afirma vir de alguém que ele não representa. Essas duas classes exigem configurações de envio diferentes.

Dividimos o benchmark em dois grupos de remetentes.

• Grupo L, Legítimo, 38 testes: Esses e-mails são enviados de um serviço SMTP autenticado. SPF, DKIM e DMARC se alinham corretamente para o domínio de envio. O nome de exibição muda conforme o teste, como Finance, TI Helpdesk ou o nome real do testador, mas o endereço From permanece o endereço autenticado do remetente.
  • O Grupo L é usado para categorias orientadas por conteúdo: K, B, C, J e os dois testes de phishing de URL, em que a URL é a ameaça independentemente do remetente.
• Grupo S, Spoof, 62 testes: Esses e-mails são enviados por meio de um relay SMTP permissivo que não impõe alinhamento do domínio From. O endereço From é o que o caso de teste especificar, portanto, o alinhamento de SPF e DMARC falha por design.
  • O Grupo S é usado para categorias orientadas por identidade do remetente: A, a maior parte de D, E, F, G, H e I.

Essa divisão reflete o comportamento real dos invasores. Os operadores de phishing geralmente usam servidores virtuais baratos e domínios descartáveis porque os serviços SMTP em nuvem convencionais, como Gmail, Office 365 e AWS SES, com domínios verificados, impedem o envio de e-mail com cabeçalho From desalinhado.

Figura 1: Figura mostrando como um servidor de relay SMTP funciona. Um servidor de relay SMTP é um servidor de e-mail de terceiros que recebe e-mails de um remetente e os encaminha para servidores de destinatários fora do domínio do provedor de e-mail do remetente.

Ponderação por dificuldade

Cada teste tem uma classificação de dificuldade de 1 a 10. A classificação indica o quão difícil um produto competente de segurança de e-mail deve achar o teste.

• 1 a 2, trivial: São assinaturas de manual, sem ofuscação significativa. Perdê-las indica uma lacuna fundamental de detecção. Exemplos são spam farmacêutico, EICAR simples em ZIP e uma carta nigeriana 419.
• 3 a 4, bem conhecido: São padrões familiares que produtos modernos devem capturar. Exemplos incluem JavaScript em PDF, sextorsão com senha vazada e spoofing de nome de exibição de CEO.
• 5 a 6, intermediário: Esses casos exigem análises mais fortes, como IA moderna, sandboxing ou visão computacional, incluindo HTML smuggling, URLs de homóglifos IDN e phishing de QR code embutido.
• 7 a 8, avançado: São casos extremos que produtos mais fortes tratam de forma consistente, como poliglotas PDF/ZIP, cadeias de redirecionamento de múltiplos saltos, impersonação visual de kit de marca e iscas de evasão de OCR somente com imagem.
• 9 a 10, especialista: São casos genuinamente difíceis em que capturar é um resultado forte e não capturar é comum em todo o setor. Exemplos incluem sequestro de conversas com thread forjado, acompanhamento de customer success de qualidade GenAI e um NDA jurídico falso de uma contraparte previamente desconhecida.
• Testes de controle: Mensagens da categoria K devem passar. Qualquer detecção nesta categoria conta como falso positivo.

As médias das categorias seguem a curva de dificuldade pretendida: o spam A tem média de 2.2/10, o EICAR B tem média de 2.8/10, a extorsão H tem média de 3.8/10, os arquivos portadores C têm média de 5.0/10, a impersonação de marca F e a evasão J têm média de 5.6/10, o phishing de URL D tem média de 5.8/10, o phishing de QR code E tem média de 6.8/10, o BEC G tem média de 6.8/10 e o phishing GenAI I tem média de 8.2/10.

Pontuação do benchmark

Cada produto recebe um dos cinco veredictos por teste:

• BLOCK: A mensagem é colocada em quarentena ou rejeitada (2 pontos).
• WARN: O produto injeta um banner, envia o e-mail para o lixo eletrônico ou remove o anexo (0.5 pontos).
• LATE: A mensagem é entregue primeiro e depois removida após a entrega (1 ponto).
• MISS: A mensagem chega à caixa de entrada sem aviso (0 pontos).
• FP: Uma mensagem do conjunto de controle é sinalizada incorretamente (penalidade de -2 pontos).

A taxa de detecção é calculada como o total de pontos dividido pela pontuação máxima possível dos testes de ataque e, em seguida, expressa em porcentagem. A pontuação máxima possível é igual ao número de testes de ataque multiplicado por dois.

A taxa de falsos positivos é relatada separadamente. Um produto que atinge 90% de detecção bloqueando e-mails legítimos representa mais risco operacional do que um que atinge 80% de detecção sem falsos positivos.

Reprodutibilidade e ferramentas

O benchmark é executado a partir de um único script PHP autocontido. O script constrói 100 mensagens MIME em memória com um construtor multipart personalizado. Ele gera as cargas localmente, incluindo ZIPs, ZIPs criptografados com AES-256, arquivos tar.gz, arquivos .gz de arquivo único, PDFs com ações JavaScript, amostras de HTML smuggling, arquivos SVG com JavaScript onload, arquivos .lnk do Windows com o CLSID Shell Link correto e bloco de argumentos UTF-16LE, além de uma imagem de disco ISO 9660 mínima.

O script envia cada teste pelo caminho SMTP correto com base em seu grupo de remetentes.

Cada mensagem inclui cabeçalhos de rastreamento: X-Bench-Id, X-Bench-Run, X-Bench-Product, X-Bench-Category, X-Bench-Case e X-Bench-Group. Esses cabeçalhos tornam cada teste rastreável em caixas de entrada, consoles de quarentena e logs de produtos.

Um ambiente de verificação separado executa mais de 1.800 verificações de sanidade antes da transmissão. Ele valida que cada teste tenha os campos obrigatórios, que cada classificação de dificuldade esteja dentro de [1, 10] ou zero para controles, e que o EICAR esteja presente e recuperável em todos os anexos da categoria B, incluindo arquivos protegidos por senha e aninhados triplamente.

O verificador também confere se os PDFs contêm cabeçalhos %PDF- válidos e marcadores %%EOF, se os PNGs contêm assinaturas válidas e chunks IEND, se os SVGs analisam como XML bem formado, se o arquivo LNK tem o CLSID Shell Link correto e a string de argumento PowerShell esperada, se o Primary Volume Descriptor ISO 9660 aparece no setor 16 com a assinatura \x01CD001 correta e se a inferência de grupo corresponde à divisão documentada entre Grupo L e Grupo S.

Um terceiro script processa os CSVs por produto após a entrada manual dos veredictos. Ele produz um relatório comparativo com uma tabela de veredictos lado a lado por teste, taxas de detecção por categoria, pontuações totais, percentuais de taxa de detecção, contagens de falsos positivos e três subtabelas forenses:

1. casos triviais mas não detectados, definidos como dificuldade ≤ 2 com pelo menos um MISS
2. casos de alta dificuldade, porém capturados, definidos como dificuldade ≥ 8 com pelo menos um BLOCK
3. todos os incidentes de falso positivo

Restrições éticas e operacionais

Nenhum malware real foi criado ou transmitido. Os anexos maliciosos usam a string de teste de antivírus EICAR, um documento de teste de 68 caracteres definido pelo European Institute for Computer Antivirus Research, ou demonstradores benignos. Exemplos incluem um PDF cujo JavaScript chama app.alert, uma página HTML que usa URL.createObjectURL na string EICAR e um SVG cujo onload chama um endpoint inexistente.

Nenhuma infraestrutura de phishing ativa foi usada. As URLs de teste apontam para um de três destinos seguros: o TLD reservado .invalid definido na RFC 2606, domínios .tk de placeholder sob nosso controle que servem um 404, ou hosts de paródia como m1crosoft-account.com e xn--pple-43d.com registrados para o benchmark e que não servem conteúdo.

Nenhuma página de coleta de credenciais foi implantada. Todas as caixas de correio de teste pertencem e são monitoradas pela equipe de testes. As credenciais SMTP têm escopo limitado ao benchmark e são rotacionadas após cada engajamento.

Cite este benchmark

Escolha o formato adequado ao local onde você vai publicar. Colar a versão com link no seu CMS preserva o backlink.

@misc{dogan2026,
  author = {Dogan, Sedat},
  title  = {{Soluções de segurança de e-mail: Acronis Email Security & Sophos}},
  year   = {2026},
  month  = sep,
  howpublished    = {\url{https://aimultiple.com/email-security-solutions}},
  note   = {AIMultiple. Acessado em 30 setembro 2026}
}

Sedat Dogan

CTO

Siga-nos

Sedat é um líder em tecnologia e segurança da informação com 20 anos de experiência em desenvolvimento de software, infraestrutura de rede e cibersegurança. Sedat:
- Tem 20 anos de experiência como hacker de chapéu branco e guru de desenvolvimento, com ampla experiência em linguagens de programação e arquiteturas de servidores.
- É conselheiro de administração em uma VC que investe em empresas de tecnologia em estágio inicial e na Ödeal, uma plataforma regional de pagamentos digitais que atende 125.000 comerciantes.
- Liderou a infraestrutura tecnológica e a cibersegurança de sete eleições nacionais e foi reconhecido no Hall da Fama da cibersegurança por líderes globais de tecnologia, incluindo o Twitter.

Ver perfil completo

Seja o primeiro a comentar

Seu endereço de e-mail não será publicado. Todos os campos são obrigatórios. Os comentários são deixados em seu idioma original.

Nome

Endereço de email

Comentário

0/450

Postar comentário