Soluções de Segurança de E-mail: Acronis, Sophos & Barracuda

O e-mail é um dos pontos de entrada mais comuns para ataques cibernéticos, e as proteções integradas não são mais suficientes para lidar com ameaças direcionadas. Testamos três plataformas de segurança de e-mail em nuvem (Acronis, Sophos e Barracuda) com 100 testes em 11 categorias de ameaça.

Resultados do benchmark de soluções de segurança de e-mail em nuvem

Leia a metodologia do benchmark de soluções de segurança de e-mail para saber como testamos essas ferramentas e medimos os resultados.

Comparação de soluções de segurança de e-mail com base em categorias de veredicto

Acronis Advanced Email Security

• Acronis tem a maior pontuação geral de detecção (122/200) e tem o desempenho mais forte contra phishing com GenAI, com 100%. Todos os dez pretextos empresariais refinados foram bloqueados, incluindo pré-leituras falsas do conselho, fluxos de re-consentimento do Microsoft 365 e NDAs jurídicos fictícios.
  • Esta é a categoria mais difícil do benchmark, com dificuldade média de 8.2/10. Capturar todas as dez sugere que o Acronis lidou bem com os sinais semânticos e contextuais de phishing neste benchmark, em vez de depender de sinais óbvios de gramática ou formatação.
• A Categoria F e a Categoria D também apoiam esse cenário: o Acronis marcou 89% em falsificação de marca/domínio e 90% em phishing de URL, incluindo um BLOQUEIO no teste de injeção de cabeçalho authentication-results. Os resultados agregados sugerem um forte tratamento de casos de falsificação e de análise de URL.
• O histórico limpo de falsos positivos é operacionalmente significativo. Nenhuma das oito mensagens de controle foi bloqueada, o que significa que a taxa de detecção de 67% não acarreta nenhum custo compensatório em perda de e-mail legítimo.
• Os pontos negativos concentram-se nos níveis de dificuldade mais baixos. O spam básico (Categoria A, 44%) é inferior ao de outras ferramentas, com falhas em spam farmacêutico, golpes de loteria e um golpe romântico básico nos níveis de dificuldade 1 a 2. A lacuna sugere que o Acronis prioriza ataques sofisticados em detrimento do tráfego em massa e de baixo esforço.

Sophos Email Security

• O Sophos tem a segunda maior pontuação geral (105.5/200). Alcançou 100% na Categoria B (variantes de malware EICAR), capturando todas as variantes de aninhamento de arquivo, ZIP protegido por senha e testes de tolerância de deslocamento.
• Os pontos fracos mais visíveis do Sophos são phishing de URL (Categoria D, 58%) e técnicas de evasão (Categoria J, 22%). A lacuna em phishing de URL é notável porque os links estão entre os mecanismos de entrega de phishing mais comuns, e a Categoria D testa várias maneiras realistas por meio das quais os atacantes os ocultam ou roteiam.
• A pontuação de 58% do Sophos, em comparação com os 90% do Acronis, sugere que sua camada de análise de URL foi menos consistente em redirecionamentos, ofuscação e posicionamentos de URL fora do corpo.

Barracuda Email Protection

• A pontuação de detecção de 60/200 do Barracuda é inferior à dos outros dois produtos. A Categoria I (phishing com GenAI) obteve 0% de detecção, e a Categoria A (Spam: 33%) tem a pontuação mais baixa entre os concorrentes. Isso sugere que o Barracuda foi menos eficaz nessa configuração contra os cenários de spam, phishing com GenAI e engenharia social do benchmark.
• A Categoria B (detecção de malware conhecido por meio das strings de teste EICAR, 89%) e a Categoria C (tipos de arquivo portadores, como PDFs com JavaScript incorporado, HTML smuggling e atalhos LNK, 70%) são competitivas em relação a outros fornecedores.
• Os resultados da Categoria J do Barracuda (técnicas de evasão, 44%) mostram o melhor desempenho entre os três fornecedores. Isso sugere que o mecanismo subjacente de inspeção de conteúdo consegue lidar razoavelmente bem com recursos como caracteres de largura zero, assuntos codificados e homoglifos.
• Os pontos fracos são mais proeminentes nas categorias que mais importam para a proteção moderna contra ameaças. Phishing por QR code (Categoria E, 13%), falsificação de marca (Categoria F, 11%), BEC (Categoria G, 11%) e extorsão (Categoria H, 22%) estão todos bem abaixo da comparação.
• Nos onze testes de nível difícil, o Barracuda bloqueou um e errou os dez restantes.

As 3 principais soluções de segurança de e-mail em nuvem

Acronis Advanced Email Security análise detalhada

Quando selecionamos Acronis Email Security no menu do lado esquerdo na interface do Acronis Cyber Protect Cloud, vemos a tela a seguir. Em seguida, clicamos para acessar o console de Email Security.

Como ainda não concluímos nenhuma configuração, nosso painel exibe os itens de menu:

• Incidentes: Incidentes de segurança detectados e atividade de ataque.
  • Resposta a Incidentes: Ferramentas para investigar e responder a incidentes.
  • Tráfego: Visibilidade sobre os padrões de tráfego de e-mail ou web verificados.
  • Relatórios Periódicos: Relatórios de segurança e proteção agendados.
• Operações de Segurança: Controles operacionais de segurança e ferramentas de monitoramento.
• Configuração de Detecção: Configuração de regras de detecção, varredura e configurações de proteção.

No menu Configurações à esquerda, vamos para Ativos de E-mail Protegidos.

Como ainda não há ativos, o sistema nos redireciona para o fluxo de configuração. Clicamos em Configurar proteção de e-mail. O sistema solicita um endereço de e-mail de escalonamento para relatar problemas e pergunta qual serviço de e-mail usamos.

Para este teste, prosseguiremos com um provedor personalizado via MX. Fazemos isso para comparar os fornecedores diretamente, sem sermos afetados pelas proteções integradas do Microsoft 365 ou do Google Workspace.

Selecionamos o serviço de e-mail e escolhemos o método de conexão Inline. Isso significa que o Acronis verifica e bloqueia e-mails maliciosos antes de serem entregues.

Também adicionamos um contato de escalonamento que o Acronis pode usar para problemas de sequestro de conta, segurança ou conexão. O próximo passo é habilitar o app do Google Workspace, que oferece suporte à integração, contagem precisa de usuários para cobrança e ações de remediação, como remover e-mails maliciosos entregues por engano.

Adicionamos o domínio conectado, aimultiple.com, e o sistema recupera automaticamente os registros MX.

Também definimos o método de cálculo de licenças como "De acordo com os assentos informados" e inserimos 100 assentos. Após essas configurações, prosseguimos clicando em Avançar para continuar a configuração MX.

O sistema pede para adicionarmos um registro TXT para verificar a propriedade do domínio. Adicionamos o registro e aguardamos a verificação.

Também podemos gerenciar os servidores de destino SMTP configurados, confirmar que o TLS está habilitado e usar a ação Verificar para confirmar que o registro TXT foi publicado corretamente. Esta página também permite editar as configurações do servidor e do TLS ou excluir o domínio, se necessário.

Enviamos um total de 100 e-mails que poderiam ser considerados maliciosos ou spam. O painel agora mostra estatísticas como quantos e-mails foram verificados, quantos foram classificados como spam, quantos foram classificados como maliciosos e quantos e-mails foram recebidos por tipo de ataque. Há também uma estatística que mostra quais endereços de e-mail foram atacados com mais frequência.

No menu Verificações, podemos ver as estatísticas de varredura de todos os e-mails recebidos. A divisão por tipo de arquivo também é um detalhe útil. Além disso, em todo o aplicativo, podemos ajustar o intervalo de datas clicando em Último Dia no topo da página.

A filtragem na seção Verificações é altamente detalhada. Aqui estão algumas das opções:

• Endereço/domínio/IP do remetente: Os principais indicadores para identificar remetentes maliciosos ou falsificados.
• Nome de exibição falsificado: Ataca diretamente uma das técnicas de phishing mais comuns, em que o nome visível parece legítimo, mas o endereço real não é.
• Endereço de resposta (Reply-to): Outro sinal de alerta importante de phishing. Quando o reply-to difere do endereço do remetente, isso geralmente sinaliza uma tentativa de redirecionar as respostas para uma caixa de entrada controlada pelo atacante.
• Ação (quarentena/entregue): Essencial para entender se uma ameaça foi capturada ou chegou ao destinatário.
• Assunto: Para identificar campanhas de phishing que usam linhas de assunto idênticas ou quase idênticas em vários alvos.
• Endereço do destinatário: Crítico para determinar o escopo de um ataque. Mostra quantos usuários foram alvo e se indivíduos de alto valor (executivos, finanças) estavam entre eles.
• Carga útil (anexos/URLs): Restringe a busca a e-mails que transportam os mecanismos de entrega de malware mais comuns.

Quando vamos para Operações de Segurança no menu do lado esquerdo, chegamos à seção Verificações. Nesta tela, podemos acessar detalhes relacionados às verificações. Todas as verificações são listadas aqui, e também podemos ver as categorizações resultantes, como limpo, spam e malicioso.

Quando abrimos os detalhes de um e-mail, podemos ver como o sistema o avaliou e seu status atual. Também podemos alterar seu status para:

• Aprovar veredicto (Tratar): Aceitar o veredicto atual e processar o e-mail de acordo.
• Marcar e-mail como restrito: Classificar o e-mail como restrito ou violador de política.
• Marcar e-mail como Spam: Classificar o e-mail como indesejado ou não solicitado.
• Marcar e-mail como Suspeito: Sinalizar o e-mail como potencialmente arriscado e que requer cautela.
• Marcar e-mail como Limpo (FP): Marcar o e-mail como seguro e indicar que foi um falso positivo.

A visualização abaixo é a visualização compacta. Quando clicamos na aba Detalhado no canto superior direito, podemos ver muitos detalhes adicionais.

Na visualização compacta, podemos ver os detalhes da verificação de um e-mail de phishing malicioso que foi colocado em quarentena pelo Acronis. Inclui uma visão geral gerada por IA explicando por que o e-mail é considerado malicioso e mostrando indicadores como domínio do remetente suspeito, comportamento de email bombing e uma URL arriscada. Na seção Detalhes, podemos verificar o canal, a ação tomada, o tempo de verificação, o tempo de processamento, a organização e o status de IR.

No Email Inspector, podemos revisar os metadados da mensagem, incluindo assunto, remetente, destinatário, hora, caminho de retorno e IP de origem. O corpo do e-mail também é exibido, para que possamos avaliar diretamente a tentativa de engenharia social.

Os critérios de avaliação de incidentes são claros e transparentes. Em um incidente, também podemos clicar no botão Solicitar investigação, selecionar "Acho que este e-mail está limpo" e enviá-lo à equipe do Acronis para revisão. Podemos visualizar verificações anteriores relacionadas ao mesmo e-mail.

Com o botão Capturas de tela, podemos ver a versão renderizada do e-mail, um recurso útil. Notavelmente, o sistema não renderiza o e-mail como HTML no navegador, portanto, qualquer vulnerabilidade não detectada no e-mail não pode causar uma violação durante a revisão.

Todas as ações do usuário podem ser registradas, e podemos visualizar esses registros no Log de auditoria no menu do lado esquerdo. Alguns desses registros são:

• Ver capturas de tela da verificação
• Tratar verificação
• Ação da IU

Cada registro registra o carimbo de data/hora, ação, descrição, administrador ou equipe, organização-alvo e o e-mail ou objeto de destino relacionado.

Em Configuração de Detecção no menu do lado esquerdo, podemos gerenciar listas de permissões e bloqueios em detalhes, um recurso altamente útil:

• Lista de permissões de endereço/domínio do remetente: E-mails de endereços ou domínios nesta lista são sempre confiáveis e ignorarão os filtros de spam/ameaças. Isso pode ser útil para colocar na lista de permissões parceiros conhecidos ou sistemas internos que, de outra forma, poderiam gerar falsos positivos.
• Lista de permissões de endereço de e-mail do destinatário: Especifica endereços internos de destinatários que devem receber todo o e-mail de entrada sem filtragem. Isso garante que certos usuários (por exemplo, uma caixa de entrada catch-all) sempre recebam e-mails, mesmo de remetentes desconhecidos.
• Lista de bloqueios de endereço/domínio do remetente: E-mails de endereços ou domínios nesta lista são automaticamente rejeitados ou colocados em quarentena. Pode ser usada para bloquear permanentemente fontes de spam conhecidas, domínios maliciosos ou remetentes em massa indesejados.
• Lista de permissões de IP do remetente: Servidores de e-mail com IPs desta lista são considerados confiáveis, e seus e-mails ignoram as verificações de reputação baseadas em IP. Pode ser usada para serviços de e-mail de terceiros confiáveis ou relays de e-mail locais.
• Lista de bloqueios de IP do remetente: Conexões desses IPs são bloqueadas, independentemente do endereço do remetente. Isso pode ser eficaz contra servidores de e-mail maliciosos conhecidos ou infraestrutura comprometida.

• Lista de permissões de URL: Links que correspondem a essas URLs ou domínios no corpo do e-mail são considerados seguros e não serão sinalizados.
• Lista de bloqueios de URL: E-mails contendo essas URLs são sinalizados, bloqueados ou colocados em quarentena.
• Lista de permissões de hash: Anexos que correspondem a esses hashes criptográficos são tratados como seguros e passam sem alertas de varredura.
• Lista de bloqueios de hash: Anexos cujo hash coincide com uma entrada desta lista são bloqueados imediatamente. Isso proporciona bloqueio preciso, baseado em assinatura, de arquivos maliciosos conhecidos, mesmo que sejam renomeados ou disfarçados.

Alguns dos recursos que valem a pena mencionar, mas que não testamos especificamente, são:

Em configuração de detecção:

• Inteligência de ameaças: Obtém indicadores de fontes externas de inteligência de ameaças. Esse recurso ajuda a capturar malware comum generalizado, URLs maliciosas e campanhas de ataque ativas.
• Banners: Adiciona banners personalizáveis a e-mails de entrada com base em políticas e regras.
• Usuários VIP: Permite que administradores mantenham uma lista de usuários de alto valor (executivos, equipe financeira etc.).

Em operações de segurança:

Sequestro de Conta (ATO): Detecta caixas de entrada comprometidas do Microsoft 365. O recurso foi projetado para capturar atacantes que usam contas sequestradas para fraude, phishing interno e exfiltração de dados.

O mecanismo sinaliza regras de caixa de entrada suspeitas (encaminhar, redirecionar, mover ou excluir e-mails), logins de viagem impossível e entradas de locais ou dispositivos desconhecidos. Quando identifica um desses sinais, abre um caso no console, e a equipe de resposta a incidentes entra em contato com o administrador para investigar em conjunto.

Sophos Email Security análise detalhada

Para começar com o Sophos, criamos um link de avaliação e somos direcionados para a tela a seguir. Semelhante ao Barracuda, o Sophos pede que selecionemos uma região.

Em seguida, o sistema pergunta qual produto queremos instalar. Selecionamos Email Security. Outros produtos que podem ser configurados incluem Endpoint Protection, Server Protection, Phish Threat, DNS Protection, Zero Trust Network Access, Protected Browser, Mobile, Wireless, Device Encryption, Firewall Management, Cloud Optix e Switches.

Enviaremos 100 e-mails, e a imagem abaixo mostra o painel. Inclui estatísticas como o número total de e-mails recebidos verificados, ameaças potenciais e tipos de ameaças detectados. Há também estatísticas de e-mails de saída, mas não estamos testando a segurança de e-mails de saída neste benchmark.

Também podemos ver outros elementos do painel, como tendências de atividade de e-mail, resumos de ameaças e indicadores de status de segurança.

Clicamos em Definir configurações do gateway de e-mail. O sistema pede para verificarmos nosso domínio. Em seguida, observamos uma configuração útil na qual podemos escolher somente entrada ou entrada e saída. Ela também verifica e-mails de saída para evitar problemas de segurança.

O sistema mostra o registro DNS que precisamos inserir. Em seguida, nós o adicionamos e prosseguimos.

Adicionamos o registro TXT ao DNS público do domínio. O valor TXT é um token de verificação de domínio do Sophos, e o TTL é definido como 600. Após adicionar o registro DNS, aguardamos a propagação e clicamos em Verificar para que o Sophos possa confirmar que somos proprietários do domínio.

Adicionamos o registro e verificamos nosso domínio. Para o destino de entrada, selecionamos MX e inserimos o registro MX do Google Workspace: aspmx.l.google.com.

Assim como o Barracuda, o Sophos exige roteamento MX. Diferentemente do Sophos e do Barracuda, o Acronis tratou esse processo de forma limpa por meio de uma API, e não precisamos alterar nenhuma configuração. Esses tipos de alterações de MX ou configurações semelhantes podem causar problemas para administradores de sistemas. No entanto, para fins de teste, prosseguimos para a próxima etapa.

Concluímos as configurações de MX e enviamos um e-mail de teste, mas ele não foi entregue. Após alguma investigação, vimos que o erro era: "Este endereço de e-mail não foi encontrado", o que foi inesperado.

Precisamos entrar no painel, abrir a seção Caixas de entrada no menu esquerdo e adicionar usuários manualmente, um por um. Esse é um problema de usabilidade que prejudica a experiência geral, pois tanto o Acronis quanto o Barracuda funcionaram imediatamente. Para o teste, adicionamos nosso próprio endereço de e-mail e continuamos os testes por meio dessa conta.

A seção de relatórios está no menu do lado esquerdo. Aqui estão alguns dos relatórios que podemos criar:

• Resumo de mensagens: Volume geral de e-mails e status.
• Relatório de análise SophosLabs: Veredictos de mensagens relatadas por usuários/administradores.
• Resumo de ameaças Intelix: Análise de ameaças para e-mails de entrada.
• Resumo do momento do clique: Relatório de atividade de cliques em links.
• Usuários em risco: Funcionários mais vulneráveis.
• Resumo de controle de dados: Correspondências de políticas de prevenção contra perda de dados.
• Resumo pós-entrega: E-mails removidos após a entrega.
• Resumo de uso de licenças: Uso de licenças de segurança de e-mail.

Quando vamos para Email Security > Histórico de Mensagens, podemos ver todos os e-mails recebidos e como cada um foi classificado. Este relatório de Histórico de Mensagens lista e-mails individuais processados pelo Sophos Email Security. Alguns campos principais são:

• Remetente: De quem o e-mail parecia ter vindo.
• Destinatários: Quem recebeu a mensagem.
• Tipo: Como o e-mail entrou no sistema, geralmente Gateway.
• Assunto: A linha de assunto do e-mail.
• Último Status: O que o Sophos fez com ele, como Entregue, Excluído ou Quarentenado.
• Data: Quando o e-mail foi processado.
• Categoria: Classificação do Sophos, como Legítimo, Spam, Malware, Ameaça Intelix ou Autenticação.

Alguns exemplos das categorias são:

• Legítimo: E-mails normais que foram liberados.
• Spam: E-mails suspeitos ou indesejados; muitos são colocados em quarentena.
• Malware: E-mails perigosos que contêm conteúdo malicioso; estes são excluídos.
• Ameaça Intelix: E-mails analisados pelo Sophos Intelix considerados suspeitos ou ameaçadores.
• Quarentenado: O e-mail foi bloqueado e colocado em quarentena para revisão.
• Excluído: O e-mail foi removido em vez de entregue.

Os filtros abaixo permitem que os usuários restrinjam o registro de e-mails por categoria de mensagem:

• Legítimo: E-mails normais permitidos.
• Mensagem segura: E-mails criptografados ou protegidos.
• Controle de dados: E-mails que correspondem a regras de segurança/prevenção contra perda de dados.
• Falha de autenticação: Verificações com falha de SPF, DKIM ou DMARC.
• Personificação: Possível falsificação de remetente ou fraude de identidade.
• Em massa: Marketing em massa ou e-mails automatizados.
• Spam: E-mails indesejados ou suspeitos.
• URL/Código QR: E-mails com links ou códigos QR arriscados.
• Ameaça Intelix: E-mails sinalizados pela análise de ameaças do Sophos.
• Não verificável: E-mails que o Sophos não conseguiu inspecionar totalmente.
• Malware: E-mails que contêm arquivos ou conteúdo malicioso.
• Bloqueado pela empresa: E-mails bloqueados por política da empresa.

O menu Caixas de entrada mostra as caixas monitoradas. Ao abrir uma caixa de entrada, podemos selecionar quais políticas aplicar. Em Política Base – Segurança de E-mail, as seguintes configurações estão disponíveis:

A autenticação inclui verificações de autenticação de e-mail para mensagens de entrada. Podemos configurar como o Sophos lida com falhas de DMARC, SPF e DKIM, incluindo ações como conformidade com a política do remetente ou marcação da linha de assunto com um aviso.

Também inclui verificações de remetente para anomalias de cabeçalho e de domínio, que ajudam a detectar e-mails que parecem vir do seu próprio domínio ou de domínios suspeitos sem registros DNS adequados. Também podemos habilitar banners para o usuário final para mostrar aos destinatários o nível de confiança das mensagens de entrada e nos ajudar a decidir se devemos permitir ou bloquear remetentes.

O antimalware gerencia a verificação antimalware de entrada para mensagens de e-mail. Podemos escolher a ação padrão para detecções de malware, como Excluir, e habilitar a verificação aprimorada de malware para análise mais profunda de conteúdo e arquivos.

Também permite controle sobre e-mails não verificados e a Análise de Ameaças Intelix, em que o Sophos pode usar análise estática e dinâmica para classificar mensagens suspeitas. Com base no veredicto, podemos definir ações como excluir, entregar ou tratar de forma diferente e-mails maliciosos e suspeitos.

O antispam gerencia como o Sophos lida com spam e e-mails em massa. Podemos definir ações para categorias como Spam Confirmado e Em Massa, incluindo colocar mensagens em quarentena e decidir se elas aparecem na quarentena do usuário final.

Também inclui um controle deslizante personalizável de taxa de captura de spam, em que níveis mais altos aumentam a agressividade da detecção de spam.

Novo domínio/remetente inclui proteções para domínios recém-registrados e novos remetentes. Podemos habilitar verificações para e-mails enviados de domínios criados recentemente, que costumam ser usados em campanhas de phishing.

Também permite que um banner de Novo Remetente seja exibido quando um destinatário não recebeu e-mails desse remetente antes.

O país de origem permite controlar e-mails com base no país do remetente. Países específicos podem ser selecionados em uma lista, e os e-mails correspondentes podem ser colocados em quarentena ou tratados de acordo com a política.

Há também uma opção para verificar cada salto da mensagem, o que ajuda a inspecionar a rota que um e-mail percorreu antes de chegar ao destinatário.

O idioma gerencia a filtragem por idioma da mensagem. Podemos selecionar idiomas específicos que queremos bloquear e escolher a ação que o Sophos deve executar, como colocar em quarentena as mensagens correspondentes.

O recurso de proteção contra personificação permite verificações de tentativas de personificação de VIPs, marcas e remetentes em geral.

Para proteção de URL e código QR, podemos verificar e-mails em busca de URLs maliciosas e códigos QR. O Sophos pode verificar links e extrair URLs de códigos QR para detectar ameaças antes que os usuários interajam com eles.

Também gerencia a Proteção de URL no Momento do Clique, em que os links são reescritos e verificados quando o usuário clica neles.

No menu do lado esquerdo, a seção Mensagens em Quarentena mostra todos os e-mails nos quais uma ameaça foi detectada. Podemos filtrar por:

• Antimalware: E-mails sinalizados durante a verificação de malware. Isso inclui mensagens com anexos perigosos, conteúdo malicioso ou itens que o Sophos não conseguiu inspecionar totalmente:
  • Malware: E-mails confirmados como contendo arquivos, links ou conteúdo malicioso. Geralmente são excluídos ou colocados em quarentena.
  • Não verificável: E-mails que o Sophos não conseguiu inspecionar corretamente, por exemplo, devido a criptografia, corrupção, anexos protegidos por senha ou tipos de arquivo não suportados.
• Antispam: E-mails classificados por regras de detecção de spam:
  • Em massa: E-mails enviados em massa, como boletins informativos, campanhas de marketing ou notificações automatizadas.
  • Spam Confirmado: E-mails identificados com confiança como spam. Normalmente são colocados em quarentena ou bloqueados.
  • Spam Suspeito: E-mails que parecem suspeitos, mas não são spam confirmado. Podem ser colocados em quarentena, marcados ou entregues, dependendo da política.
  • Personificação: E-mails que podem estar fingindo vir de uma pessoa, marca, domínio ou remetente interno confiável.
  • País não permitido: E-mails bloqueados ou colocados em quarentena porque se originaram de um país restrito pela política.
  • Idioma não permitido: E-mails bloqueados ou colocados em quarentena porque o idioma detectado não é permitido pela política.
  • BATV: E-mails relacionados à Bounce Address Tag Validation, usada para ajudar a detectar mensagens de devolução falsificadas ou spam de backscatter.
  • Novo domínio/NRD: E-mails de domínios recém-registrados, que são frequentemente usados em phishing ou campanhas de ataque de curta duração.
• Autenticação: E-mails filtrados com base em verificações de autenticação do remetente, como falhas de SPF, DKIM ou DMARC.

Quando clicamos em um e-mail, podemos ver as mensagens que explicam por que ele foi colocado em quarentena. Podemos excluí-lo e bloquear o remetente, liberar a mensagem da quarentena ou liberá-la e permitir mensagens semelhantes no futuro.

Na seção Raw Header, podemos visualizar todas as informações de cabeçalho do e-mail. Também podemos visualizar seus anexos e as URLs contidas na mensagem. Em nossa avaliação, isso não pareceu suficientemente detalhado. O Acronis e o Barracuda proporcionaram uma experiência mais abrangente e informativa nesse aspecto.

Na aba Mensagem, podemos visualizar o conteúdo e-mail como ele é, o que pode ser inseguro. Seria melhor se pudéssemos ver o conteúdo e-mail como uma captura de tela, como observamos no Acronis.

Há 23 e-mails aqui porque foram marcados como spam, enquanto alguns outros foram rejeitados diretamente. Em resumo, o sistema coloca em quarentena os e-mails marcados como spam.

Quando queremos exportar todos os e-mails de entrada, não podemos fazer isso diretamente nas telas de relatórios. Precisamos criar um relatório personalizado a partir dos Logs de E-mail, abri-lo, selecionar Gerar Relatório, escolher CSV e, por fim, exportar tudo como CSV. Esse fluxo de trabalho parece desnecessariamente indireto e pouco amigável.

Barracuda Email Protection análise detalhada

Após obter uma avaliação do Barracuda, navegamos até o painel, clicamos em Abrir para Email Protection e prosseguimos.

Em Disponível na sua avaliação, podemos ver os principais produtos incluídos:

• Proteção de e-mail: Previne ameaças por e-mail, protege o e-mail antes e depois da entrega e automatiza a resposta a incidentes de e-mail.
• Backup cloud-to-cloud: Faz backup dos dados do Microsoft 365.
• Inspetor de dados: Encontra dados confidenciais e malware não detectado no OneDrive e no SharePoint.
• Treinamento de conscientização em segurança: Treina funcionários sobre ameaças à segurança de e-mail.
• Serviço de arquivamento em nuvem: Aplica retenção de e-mail para conformidade e e-discovery.

Como ainda não havíamos configurado domínios nem configurações relacionadas, o sistema nos levou diretamente ao assistente de configuração, um recurso útil para definir as configurações de e-mail.

Quando clicamos em Avançar, o sistema nos forçou a conectar uma conta do Microsoft 365. No entanto, usamos o Google Workspace e estamos avaliando o serviço para esse ambiente.

Mais tarde, descobrimos que o Barracuda oferece suporte ao Google Workspace. Continuamos com a configuração padrão.

O sistema pediu que selecionássemos uma região de dados. Esse é um recurso importante para conformidade com o GDPR, então selecionamos Alemanha e continuamos.

Mais adiante, o Barracuda pediu que inseríssemos um endereço de e-mail pertencente ao nosso domínio e verificássemos nossos registros MX. Clicamos no botão de verificação e não realizamos nenhuma ação adicional. O sistema verificou os registros com sucesso.

Durante os estágios posteriores da nossa configuração, descobrimos que o Barracuda não tinha uma integração nativa com o Google Workspace. Em vez disso, ele nos forneceu novos registros MX para substituir os existentes. Quando atualizamos esses registros MX, os e-mails de entrada parecem chegar primeiro ao Barracuda.

Em seguida, o Barracuda filtra e-mails inadequados e encaminha os aceitáveis. Exigir alterações nos registros MX para a integração com o Google Workspace é uma abordagem ruim.

Depois disso, atualizamos os registros MX e os verificamos. Concluímos a configuração e começamos a enviar e-mails.

Ao enviar os e-mails, observamos que o Barracuda rejeitou algumas solicitações SMTP e recusou alguns anexos. Quando realizamos o mesmo teste com o Acronis, todos os e-mails foram entregues e ficaram visíveis no sistema. Aqui, o Barracuda rejeita alguns e-mails antes que apareçam no painel.

Embora ele os rejeite porque são genuinamente maliciosos, perdemos visibilidade como resultado desse processo automatizado. Em outras palavras, talvez nem saibamos se um ataque chegou e foi rejeitado. Esse é um desafio para usar o Barracuda na segurança de e-mail, pois visibilidade é tudo em contextos de segurança. Se um produto rejeita incidentes arbitrariamente e os torna invisíveis, isso prejudica a equipe de segurança.

Apesar desses desafios, todos os e-mails de teste foram enviados. No painel do Barracuda, somos direcionados para a tela Message Log, onde todos os e-mails verificados são listados.

A seção Message Log inclui uma área de filtragem no topo. Aqui estão as opções de filtragem:

• Pesquisa: Pesquisa de texto em mensagens, destinatários, remetentes e outros campos.
• Domínios: Filtra os resultados pelo domínio selecionado.
• Direção: Filtra por direção do e-mail; Entrada ou Saída.
• Intervalo de data/hora: Limita os resultados a uma janela de tempo específica.
• Ação tomada: Filtra pela ação executada, por exemplo, Permitido, Bloqueado, Adiado.
• Status de entrega: Filtra conforme o e-mail foi entregue, falhou, colocado em quarentena etc.
• Motivo: Filtra pelo motivo de detecção que acionou uma ação (por exemplo, Pontuação, DMARC, Antivírus, Conteúdo Protegido).
• Resultados: Controla quantos registros são exibidos por página.

Podemos denunciá-lo como classificado incorretamente. Por exemplo, o e-mail abaixo é seguro, mas foi classificado incorretamente como nocivo. Denunciamos o e-mail como seguro.

O e-mail abaixo está bloqueado, mas o painel não fornece detalhes adicionais. Portanto, o Barracuda fica devendo nessa área. Seria mais útil se pudéssemos ver mais informações sobre por que a mensagem está bloqueada, além da pontuação de bloqueio.

Na seção Domínios à esquerda, podemos visualizar, adicionar e excluir os domínios que queremos incluir na proteção de e-mail, funções padrão.

Dentro do menu Entrada à esquerda, o Barracuda fornece os filtros usados para esses controles. Podemos configurar esses filtros.

Por exemplo, sob as configurações de Antispam/Antivírus, podemos configurar:

• Usar lista de bloqueio de reputação do Barracuda: Verifica e-mails recebidos em relação ao banco de dados do Barracuda de remetentes maliciosos conhecidos. Pode ser definido como Block, Quarentena ou Desativado.
• Verificar e-mails em busca de vírus: Habilita ou desabilita a verificação de vírus em todos os e-mails recebidos.
• Usar sistema em tempo real do Barracuda: Cruza os e-mails com o feed de inteligência de ameaças ao vivo do Barracuda. Pode ser bloqueado, colocado em quarentena ou desativado. Opcionalmente, envia conteúdo suspeito ao Barracuda Central para análise posterior.
• Habilitar Cloudscan: Transfere a pontuação de spam para o mecanismo em nuvem do Barracuda. As pontuações variam de 1 a 10; e-mails que excedem o limite acionam a ação configurada.
• Categorização de e-mail: Classifica e-mails recebidos por tipo e aplica uma ação por categoria. As categorias incluem E-mail Corporativo, E-mail Transacional, Marketing Materiais e Newsletters, Listas de E-mail e Redes Sociais, cada uma configurada de forma independente para Permitir, Quarentena, Block ou Desativado.
• Detecção de e-mail em massa: Detecta e age sobre e-mails em massa/enviados em grande quantidade. Quando está Desativado, os e-mails em massa não são filtrados separadamente.
• Isenções para e-mail em massa: Permite que endereços de e-mail ou domínios específicos ignorem a detecção de e-mail em massa, definidos por remetente ou destinatário.

As páginas de Limite de Taxa definem quantos e-mails um endereço IP do remetente pode enviar dentro de cada período de 30 minutos, uma configuração útil. Isso pode evitar abuso de e-mail e ataques repentinos de alto volume de um único IP do remetente.

Ao limitar quantos e-mails um endereço IP pode enviar em um período de 30 minutos, o sistema pode reduzir o impacto de:

• Campanhas de spam
• Surtos de phishing
• Distribuição de malware
• Contas ou servidores de remetentes comprometidos
• Inundação de e-mail do tipo negação de serviço

Na página de lista de permissões/bloqueios de IP, podemos ignorar a verificação de e-mails provenientes de endereços IP específicos ou bloqueá-los diretamente.

Em Políticas Regionais, podemos aplicar bloqueio geográfico ou lista de permissões. Também podemos bloquear ou permitir e-mails com base no idioma do conteúdo.

Em Políticas de Destinatário, podemos configurar regras de verificação ou de exceção com base no endereço de e-mail do destinatário.

O Barracuda também oferece políticas semelhantes para remetentes. Podemos aplicar exceções com base no remetente.

Há também um painel onde podemos definir exceções com base em controles padrão de segurança de e-mail, como DMARC, DKIM e SPF.

Em Políticas de Conteúdo, podemos configurar se os e-mails devem ser verificados ou ignorados com base no nome ou tipo do arquivo. Também podemos definir regras de verificação ou exceção com base no conteúdo corpo da mensagem usando expressões regulares.

O Barracuda oferece Advanced Threat Protection como assinatura, além do verificador de vírus comum. O Advanced Threat Protection (ATP) é um serviço de verificação baseado em nuvem que analisa anexos de e-mail em um ambiente de nuvem seguro para detectar ameaças que os verificadores de vírus padrão podem não perceber. Aplica-se a mensagens de entrada e oferece suporte à maioria dos tipos de arquivo MIME.

Existem três modos no ATP:

1. Entregar Primeiro, Depois Verificar tenta verificar o anexo em tempo real conforme o e-mail chega. Se a verificação terminar a tempo e uma ameaça for detectada, o e-mail é bloqueado. Se a verificação não terminar a tempo, o e-mail é entregue imediatamente sem esperar o resultado. A verificação continua em segundo plano e, se uma ameaça for encontrada posteriormente, o destinatário é notificado, mas o e-mail já chegou à caixa de entrada. Isso significa que o destinatário pode abrir um anexo infectado antes que a ameaça seja identificada.
2. Verificar Primeiro, Depois Entregar verifica o anexo antes da entrega. Se uma ameaça for detectada, o e-mail é bloqueado. Se estiver limpo, é entregue. Os e-mails com verificação pendente aparecem no Message Log com "Verificação Pendente" como motivo. Se uma mensagem permanecer adiada por mais de quatro horas, ela é colocada em quarentena. Esse modo é mais seguro, mas pode atrasar a entrega.
3. Desativado: O ATP é totalmente desligado.

O principal dilema aqui é entre velocidade e segurança. "Entregar Primeiro" prioriza a velocidade de entrega, mas introduz uma janela de risco. "Verificar Primeiro" elimina esse risco, mas pode atrasar ou adiar mensagens com anexos.

Na seção Relatórios, o Barracuda cria relatórios detalhados sobre segurança de e-mail:

• Resumo de tráfego de entrada/saída: Visão geral de toda a atividade de e-mail de entrada e saída, dividida em adiados, bloqueados, em quarentena e permitidos.
• Detalhamento de e-mails de entrada bloqueados: Detalhamento de por que os e-mails de entrada foram bloqueados.
• Principais remetentes/destinatários de e-mails de entrada: Mostra os remetentes/destinatários mais frequentes de e-mails de entrada.
• Detalhamento dos principais remetentes bloqueados de entrada: Lista os remetentes cujos e-mails são bloqueados com mais frequência, com o motivo.
• Detalhamento dos principais destinatários bloqueados de entrada: Mostra os destinatários internos que são alvo com mais frequência por e-mails bloqueados.
• Principais remetentes de e-mails de saída: Visão geral dos usuários internos que enviam o maior volume de e-mails de saída.
• Principais remetentes bloqueados de saída: Mostra os usuários internos cujos e-mails de saída são bloqueados com mais frequência.

Além disso, podemos agendar relatórios automáticos, um recurso útil. Em vez de fazer login repetidamente para verificar painéis, podemos receber resumos regulares de ameaças, mensagens em quarentena, tendências de spam, detecções de malware, tentativas de personificação, ações de política e risco do usuário. Os relatórios agendados também podem ajudar os usuários a identificar padrões precocemente, como um aumento de e-mails de phishing, ataques repetidos contra usuários específicos ou um aumento de anexos maliciosos bloqueados.

O menu Syslog à esquerda nos permite encaminhar todos esses registros para um servidor de log de nossa escolha. Esse é um recurso útil para integrações com SIEM.

No geral, o produto oferece uma ampla gama de recursos, mas tem desempenho inferior na detecção de ameaças. Uma parte significativa da configuração é deixada para o usuário, o que levanta a questão de saber se o valor agregado justifica a sobrecarga, principalmente para organizações que usam o Google Workspace ou o Microsoft 365 Compliance Center.

Principais recursos das soluções de segurança de e-mail em nuvem

As soluções de segurança de e-mail em nuvem analisam o comportamento do usuário, detectam anomalias contextuais, automatizam a resposta e a remediação de ameaças e integram-se ao ecossistema de segurança mais amplo. Os principais recursos incluem:

Detecção de ameaças com IA

Os sistemas de segurança de e-mail em nuvem analisam o contexto da mensagem, o histórico do remetente e a intenção para sinalizar ataques de phishing e tentativas de personificação que parecem legítimos superficialmente. Isso inclui identificar sinais sutis, como domínios parecidos ou padrões de horário incomuns.

Ao rastrear hábitos normais de comunicação, esses sistemas podem detectar anomalias, como um funcionário de finanças receber repentinamente pedidos de pagamento urgentes de um novo remetente externo. Essa abordagem é especialmente importante para detectar comprometimento de e-mail empresarial (BEC), em que não há malware para verificar e nem sinais de alerta óbvios.

Arquitetura de proteção em várias camadas

As plataformas de segurança de e-mail em nuvem combinam várias camadas de inspeção para capturar ameaças que passam por um controle.

• A análise estática verifica indicadores conhecidos, enquanto o sandbox dinâmico observa como os anexos se comportam em um ambiente controlado.
• A inspeção de URL também desempenha um papel fundamental, especialmente na identificação de links maliciosos que são ativados após a entrega.
• Protocolos de autenticação como SPF, DKIM e DMARC ajudam a validar a identidade do remetente, reduzindo o risco de falsificação.

Together, essas camadas criam um sistema em que cada componente compensa as limitações dos outros.

Proteção contra ameaças emergentes

Os atacantes dependem cada vez mais de engano em vez de explorações técnicas. As táticas de engenharia social são projetadas para pressionar os usuários a tomar decisões rápidas, muitas vezes imitando executivos ou fornecedores confiáveis.

Isso inclui campanhas direcionadas, como spear phishing, em que as mensagens são adaptadas a um indivíduo ou cargo específico. Cenários mais avançados envolvem mensagens de voz deepfake ou tentativas de fraude de faturas.

Essas ameaças avançadas não dependem de arquivos maliciosos. Em vez disso, exploram a confiança, tornando a detecção dependente do contexto e da intenção, e não de assinaturas.

Detecção em tempo real e resposta automatizada

Quando uma mensagem maliciosa chega a uma caixa de entrada, a janela para causar danos é limitada. Os sistemas de segurança analisam os e-mails conforme chegam e agem imediatamente quando uma ameaça é confirmada.

A automação reduz a carga das equipes de segurança ao remover mensagens nocivas em todas as caixas de entrada afetadas, mesmo após a entrega. Isso limita a propagação de ataques que dependem de encaminhamento interno ou cadeias de resposta.

Os fluxos de trabalho de resposta também podem acionar ações mais amplas, como isolar contas ou atualizar regras de detecção com base em novas informações.

Monitoramento contínuo e proteção pós-entrega

A filtragem inicial não captura tudo. As técnicas de ataque evoluem, e algumas ameaças são reconhecidas depois que novos indicadores surgem.

• O monitoramento contínuo permite que os sistemas revisitem mensagens entregues e removam ameaças recém-identificadas. Isso é fundamental para ataques que usam payloads atrasados ou entrega em etapas.
• A remediação pós-entrega garante que e-mails anteriormente não detectados não permaneçam nas caixas de entrada depois de classificados como maliciosos.

Continuidade e resiliência de e-mail

Segurança não se trata de bloquear ameaças. A disponibilidade também importa. Se o acesso ao e-mail for interrompido, as operações de negócios podem parar.

Os recursos de continuidade baseados em nuvem fornecem acesso de backup durante interrupções e dão suporte à recuperação rápida de mensagens e contas. Isso garante que o e-mail corporativo permaneça disponível mesmo durante interrupções de serviço ou ataques.

Capacidades diferenciadoras das plataformas de segurança de e-mail em nuvem

Segurança focada no usuário (camada humana)

Muitos incidentes começam com uma ação do usuário. É por isso que as plataformas modernas de segurança de e-mail incluem ferramentas que orientam o comportamento em vez de depender apenas da filtragem.

• Banners de aviso contextuais podem alertar os usuários quando uma mensagem parece suspeita.
• O treinamento também está se tornando mais adaptativo. Em vez de simulações genéricas, os usuários recebem orientação personalizada de acordo com seus padrões de interação.

Segurança unificada e integração de plataforma

O e-mail não existe isoladamente. Ele faz parte de um ambiente mais amplo que inclui endpoints, identidades e aplicativos. A integração com sistemas de endpoint e de identidade permite respostas coordenadas. Por exemplo, se um e-mail levar ao roubo de credenciais, o sistema poderá acionar ações além da caixa de entrada.

Painéis centralizados dão às equipes uma visão mais clara de sua postura geral de segurança, reduzindo falhas de comunicação entre ferramentas.

Proteção de dados, criptografia e conformidade

O e-mail geralmente transporta contratos, detalhes financeiros e outros dados confidenciais. Proteger essas informações exige mais do que detecção de ameaças.

• A criptografia garante que as mensagens permaneçam privadas em trânsito e em repouso. As políticas de prevenção contra perda de dados ajudam a evitar o compartilhamento não autorizado, seja acidental ou intencional.
• Os recursos de conformidade dão suporte a requisitos regulatórios, incluindo trilhas de auditoria e políticas de retenção. Isso é especialmente relevante para organizações que operam além das fronteiras e lidam com dados sujeitos a regras legais ou setoriais rigorosas.

Não perca os nossos benchmarks e insights baseados em dados. O botão abre o Google; selecionar a AIMultiple confirma que deseja ver a AIMultiple com mais frequência nos resultados de pesquisa do Google.

Adicionar como fonte preferencial

Metodologia do benchmark de segurança de e-mail em nuvem

Avaliamos três produtos de segurança de e-mail: Acronis Advanced Email Security (com tecnologia da Perception Point), Sophos Email Security e Barracuda Email Protection.

O benchmark incluiu 100 testes de ponta a ponta e seguiu quatro princípios.

1. Orientado por cobertura: Cada teste mapeia uma capacidade que o fornecedor declara publicamente oferecer.
2. Ponderado por dificuldade: Errar um teste simples 1/10 sinaliza uma lacuna grave no produto. Errar um teste 9/10 é mais compreensível, porque esses casos refletem problemas de detecção de nível especialista. O método de pontuação separa esses casos em vez de tratar todos os erros igualmente.
3. Reproduzível: O benchmark é executado com um harness de teste PHP autocontido e verificado por um conjunto de verificação separado. Antes do envio de qualquer e-mail de teste, o verificador executa mais de 1.800 verificações para confirmar que os payloads de teste estão completos, válidos e configurados corretamente.
4. Ético: Os testes de malware usam a string de teste de antivírus EICAR. As URLs de phishing apontam para infraestrutura canário inerte ou inexistente. Todas as caixas de entrada de teste pertencem à equipe de testes.

Selecionamos os testes de modo que as alegações públicas de cada fornecedor fossem exercitadas pelo menos uma vez. A prioridade foi testar ameaças que os três fornecedores afirmam detectar, o que mantém a comparação direta justa. Também incluímos um número menor de casos específicos de fornecedores quando relevantes. Por exemplo, o sequestro de conversas é uma alegação central do Barracuda, a detecção de phishing por QR code é explicitamente declarada pelo Acronis Advanced Email Security, e as iscas de GenAI no estilo deepfake são promovidas com mais frequência por fornecedores que priorizam IA.

O benchmark é organizado em onze categorias. Cada categoria testa um mecanismo de detecção diferente. As contagens de testes são mostradas entre parênteses, com 100 testes no total.

Categoria A: Spam (9 testes)

Esta categoria abrange anúncios farmacêuticos em massa, e-mails de pump-and-dump de criptomoedas, golpes de loteria, empréstimos de curto prazo, mensagens de abertura de plataformas de namoro e cold outreach de B2B SEO.

A maioria dos testes nesta categoria é intencionalmente fácil. Dois testes, marketing de graymail e prospecção fria B2B, ficam mais próximos do limite de falso positivo, porque uma filtragem agressiva pode bloquear e-mails comerciais legítimos.

Categoria B: Malware conhecido usando a string de teste EICAR (9 testes)

Esta categoria testa a entrega do EICAR em formatos de anexo comuns e aninhados:

• Anexo .txt simples,
• ZIP comum,
• ZIP protegido por senha com a senha incluída no corpo do e-mail,
• ZIP aninhado dentro de outro ZIP,
• EICAR com extensão .exe para testar o tratamento de incompatibilidade entre extensão e conteúdo,
• .tar.gz, arquivo recursivo de três níveis,
• .gz de arquivo único sem um wrapper tar,
• EICAR com quatro kilobytes de lixo anteposto para testar a tolerância a deslocamento.

Esses testes exercitam a extração de arquivos, o suporte a formatos e a extração de senha do corpo do e-mail. Essas são capacidades básicas para gateways de e-mail modernos.

Categoria C: Tipos de arquivo portadores (10 testes)

Esta categoria testa formatos de arquivo comumente usados para transportar ou acionar comportamento malicioso. O conjunto inclui:

• PDF com JavaScript incorporado e um gatilho OpenAction,
• HTML smuggling usando URL.createObjectURL em um blob codificado em Base64,
• SVG com script onload e XHR remoto,
• atalho .lnk do Windows com payload do PowerShell no bloco de argumentos,
• arquivo polyglot PDF/ZIP,
• aplicativo HTML .hta com VBScript,
• dropper JavaScript do Windows Script Host usando XMLHTTP e ADODB.Stream,
• imagem ISO 9660 contendo EICAR,
• atalho de Internet .url,
• arquivo .iqy de Consulta da Internet do Excel.

Esta é uma das categorias mais discriminatórias, porque os resultados dos produtos variam muito entre esses tipos de arquivo portadores.

Categoria D: Phishing por URL (10 testes)

Esta categoria mede a análise de URL em links diretos, redirecionamentos, ofuscação e locais fora do corpo. Inclui:

• URL de phishing direta em um TLD suspeito,
• destino encurtado pelo Bitly,
• cadeia de redirecionamento de vários saltos pelo redirecionador aberto do Google e pelo t.co,
• homóglifo IDN punycode usando "а" cirílico em раypal.com,
• URL oculta em HTML usando caracteres de largura zero e texto branco de um pixel,
• URL presente dentro de uma anotação de PDF,
• URI transportando HTML codificado em Base64 com link de phishing,
• URL extremamente longa com o host real oculto na string de consulta,
• parâmetro de redirecionamento aberto em um host de aparência legítima,
• URL do Google AMP cache que oculta o destino de phishing atrás de google.com/amp/s/.

Categoria E: Phishing por QR code (8 testes)

Esta categoria testa se os produtos podem extrair e inspecionar URLs de phishing ocultas dentro de códigos QR. O conjunto inclui:

• códigos QR PNG inline para recadastramento de MFA,
• assinatura no DocuSign,
• acesso a holerite,
• aviso de reentrega de encomenda
• acesso a correio de voz
• redefinição de 2FA bancário.

Também inclui variantes de evasão: um código QR incorporado em um PDF sem conteúdo QR no corpo do e-mail, um código QR entregue como uma imagem embrulhada em SVG e um código QR definido como uma data URI de imagem de fundo CSS em vez de uma tag <img>.

Esses casos testam se o scanner examina imagens fora dos contêineres HTML mais óbvios.

Categoria F: Personificação de marca e domínio (9 testes)

Esta categoria testa personificação de remetente, domínio, marca e cabeçalho e inclui:

• Falsificação de nome de exibição de uma conta genérica do Gmail,
• Domínio typosquat usando m1crosoft-account.com,
• Homóglifo IDN punycode para Apple
• Abuso de subdomínio por meio de microsoft.support-team-portal.tk
• Imitação do kit de marca da Microsoft usando o logotipo real e o estilo Segoe UI
• Incompatibilidade entre os cabeçalhos Sender e From
• Personificação de banco local
• Typosquatting de uma empresa de comércio eletrônico
• Injeção de cabeçalho Authentication-Results em que o atacante adiciona valores falsos spf=pass, dkim=pass e dmarc=pass à mensagem.

O último caso testa se os parsers downstream confiam em cabeçalhos de autenticação fornecidos pelo atacante em vez de validar os resultados reais upstream.

Categoria G: BEC e spear phishing sem payloads (9 testes)

Esta categoria se concentra em engenharia social sem anexos ou links maliciosos e inclui:

• Pedido de transferência bancária do CEO enviado de uma conta Gmail,
• Pretexto de alteração de dados bancários de Comprometimento de E-mail do Fornecedor,
• Redirecionamento de salário de autoatendimento do funcionário,
• Golpe de cartão-presente on-line de um impostor do CFO
• Sequestro de conversa usando assunto Re:Re: e cabeçalhos In-Reply-To falsificados,
• Pedido de evidências confidenciais de um escritório de advocacia falso,
• Prospecção externa de head-hunter com currículo anexado,
• Pretexto de tomada de controle de autenticação de dois fatores do WhatsApp,
• Pretexto de informação privilegiada de M&A que combina linguagem de confidencialidade com urgência.

Categoria H: Extorsão e golpes (9 testes)

Esta categoria abrange padrões comuns de golpes e extorsão. Os testes incluem:

• E-mail usando uma senha antiga vazada,
• Fatura falsa com um link de pagamento malicioso em um PDF,
• Carta de adiantamento de taxa,
• Ameaça de confisco da autoridade tributária,
• Extorsão de DDoS contra um site,
• Aviso falso de bloqueio de iCloud da Apple com link de desbloqueio,
• Golpe de taxa alfandegária de transportadora
• Extorsão por doxing,
• Golpe do parente preso na alfândega.

Categoria I: Phishing com qualidade de GenAI (10 testes)

Esta categoria testa e-mails de phishing refinados que eliminam as pistas óbvias nas quais sistemas mais antigos costumam se basear. O conjunto inclui:

• E-mail de reverificação do helpdesk de TI com etapas estruturadas e um botão da marca,
• Pré-leitura falsa do conselho com linguagem de confidencialidade e um link para uma área de trabalho,
• Atualização de política de locatário do Microsoft 365 exigindo novo consentimento em até sete dias,
• Solicitação de assinatura eletrônica do Código de Conduta de RH,
• Acompanhamento de sucesso do cliente após uma reunião fictícia,
• Personificação de resumo de reunião,
• NDA jurídico de uma contraparte fictícia,
• Aviso crítico de CVE no estilo CISO,
• Prévia de resultados de relações com investidores com linguagem de embargo,
• Resolvedor de conflito de calendário exigindo login SSO único.

Todos os e-mails desta categoria foram escritos para serem lidos como uma mensagem comercial competente de inglês nativo. Os testes evitam deliberadamente os indícios antigos de phishing, como gramática ruim, frases estranhas e incompatibilidades óbvias de marca.

Categoria J: Técnicas de evasão (9 testes)

Esta categoria testa a ofuscação que pode quebrar a inspeção superficial de conteúdo e inclui:

• Caracteres Unicode de largura zero dentro de palavras-gatilho,
• Bypass de OCR em que toda a mensagem de phishing é renderizada como PNG sem texto corporal verificável,
• Caractere de substituição da direita para a esquerda no nome de um anexo,
• Nome de arquivo com extensão dupla,
• Isca oculta por CSS em que o texto renderizado parece benigno enquanto o DOM contém o conteúdo de phishing,
• Assunto com palavra codificada RFC 2047,
• URL com caracteres codificados em hexadecimal no host,
• Homóglifo de assunto usando "е" cirílico no lugar do "e" latino,
• URL oculta em um atributo data-* do HTML e recuperada no momento do clique por JavaScript inline.

Categoria K: Conjunto de controle e teste de falso positivo (8 testes)

O conjunto de controle contém e-mails comerciais legítimos que deveriam passar sem aviso e incluem:

• Notificações internas da equipe,
• Relatórios mensais de despesas,
• Acompanhamentos de reuniões,
• Resumos semanais,
• Arquivos ZIP protegidos por senha usados para compartilhamento interno legítimo,
• Lembretes de treinamento,
• Avisos de manutenção de TI,
• E-mails individuais de agendamento.

Qualquer produto que sinalize uma dessas mensagens recebe uma penalidade de falso positivo.

Arquitetura de dois remetentes

Muitos testes de segurança de e-mail ignoram uma distinção importante entre ataques orientados por conteúdo e ataques orientados por identidade do remetente. Algumas ameaças são perigosas por causa do corpo ou dos anexos, independentemente de quem as envia. Outras são perigosas porque o e-mail afirma vir de alguém que ele não representa. Essas duas classes exigem configurações de envio diferentes.

Dividimos o benchmark em dois grupos de remetentes.

• Grupo L, Legítimo, 38 testes: Esses e-mails são enviados de um serviço SMTP autenticado. SPF, DKIM e DMARC se alinham corretamente para o domínio de envio. O nome de exibição muda conforme o teste, como Finanças, Helpdesk de TI ou o nome real do testador, mas o endereço From permanece o endereço do remetente autenticado.
  • O Grupo L é usado para categorias orientadas por conteúdo: K, B, C, J e os dois testes de phishing por URL, em que a URL é a ameaça, independentemente do remetente.
• Grupo S, Falsificado, 62 testes: Esses e-mails são enviados por meio de um relay SMTP permissivo que não impõe o alinhamento do domínio From. O endereço From é o que o caso de teste especificar, portanto, o alinhamento de SPF e DMARC falha por design.
  • O Grupo S é usado para categorias orientadas por identidade do remetente: A, a maior parte de D, E, F, G, H e I.

Essa divisão reflete o comportamento real dos atacantes. Os operadores de phishing costumam usar servidores virtuais baratos e domínios descartáveis, pois os serviços de SMTP em nuvem convencionais, como Gmail, Office 365 e AWS SES, com domínios verificados, impedem o envio de e-mails com um cabeçalho From desalinhado.

Figura 1: Figura mostrando como funciona um servidor de relay SMTP. Um servidor de relay SMTP é um servidor de e-mail de terceiros que recebe e-mails de um remetente e os encaminha para servidores de destinatários fora do domínio do provedor de e-mail do próprio remetente.

Ponderação por dificuldade

Cada teste tem uma classificação de dificuldade de 1 a 10. A classificação indica o quão difícil um produto competente de segurança de e-mail deve considerar o teste.

• 1 a 2, trivial: São assinaturas de livro-texto sem ofuscação significativa. Errá-las indica uma lacuna fundamental de detecção. Exemplos são spam farmacêutico, EICAR simples em um ZIP e uma carta nigeriana 419.
• 3 a 4, bem conhecido: São padrões familiares que produtos modernos devem capturar. Exemplos incluem JavaScript em PDF, sextorsão com senha vazada e falsificação de nome de exibição de CEO.
• 5 a 6, intermediário: Esses casos exigem análise mais forte, como IA moderna, sandbox ou visão computacional, incluindo HTML smuggling, URLs de homóglifos IDN e phishing por QR code inline.
• 7 a 8, avançado: São casos extremos que produtos mais fortes tratam de forma consistente, como polyglots PDF/ZIP, cadeias de redirecionamento de vários saltos, personificação visual de kit de marca e iscas de bypass de OCR somente com imagem.
• 9 a 10, especialista: São casos genuinamente difíceis, nos quais capturar é um resultado forte e errar é comum em todo o setor. Exemplos incluem sequestro de conversa com thread falsificado, acompanhamento de sucesso do cliente com qualidade GenAI e um NDA jurídico falso de uma contraparte anteriormente desconhecida.
• Testes de controle: As mensagens da categoria K devem passar. Qualquer detecção nessa categoria conta como falso positivo.

As médias das categorias seguem a curva de dificuldade pretendida: spam A tem média 2.2/10, EICAR B tem média 2.8/10, extorsão H tem média 3.8/10, arquivos portadores C têm média 5.0/10, personificação de marca F e evasão J têm média 5.6/10, phishing por URL D tem média 5.8/10, phishing por QR code E tem média 6.8/10, BEC G tem média 6.8/10, e phishing GenAI I tem média 8.2/10.

Pontuação do benchmark

Cada produto recebe um dos cinco veredictos por teste:

• BLOQUEIO: A mensagem é colocada em quarentena ou rejeitada (2 pontos).
• AVISO: O produto injeta um banner, envia o e-mail para o lixo eletrônico ou remove o anexo (0.5 pontos).
• TARDIO: A mensagem é entregue primeiro e removida após a entrega (1 ponto).
• ERRO: A mensagem chega à caixa de entrada sem aviso (0 pontos).
• FP: Uma mensagem do conjunto de controle é incorretamente sinalizada (penalidade de -2 pontos).

A taxa de detecção é calculada como o total de pontos dividido pela pontuação máxima possível nos testes de ataque e, em seguida, expressa em porcentagem. A pontuação máxima possível é igual ao número de testes de ataque multiplicado por dois.

A taxa de falso positivo é relatada separadamente. Um produto que atinge 90% de detecção bloqueando e-mails legítimos representa mais risco operacional do que um que atinge 80% de detecção sem falsos positivos.

Reprodutibilidade e ferramentas

O benchmark é executado a partir de um único script PHP autocontido. O script cria 100 mensagens MIME em memória com um construtor multipart personalizado. Ele gera os payloads localmente, incluindo ZIPs, ZIPs criptografados com AES-256, arquivos tar.gz, arquivos .gz de arquivo único, PDFs com ações JavaScript, amostras de HTML smuggling, arquivos SVG com JavaScript onload, arquivos .lnk do Windows com o CLSID de Shell Link correto e bloco de argumentos UTF-16LE, e uma imagem de disco ISO 9660 mínima.

O script envia cada teste pelo caminho SMTP correto com base no seu grupo de remetentes.

Cada mensagem inclui cabeçalhos de rastreamento: X-Bench-Id, X-Bench-Run, X-Bench-Product, X-Bench-Category, X-Bench-Case e X-Bench-Group. Esses cabeçalhos tornam cada teste rastreável em caixas de entrada, consoles de quarentena e logs do produto.

Um harness de verificação separado executa mais de 1.800 verificações de sanidade antes da transmissão. Ele valida que cada teste possui os campos obrigatórios, cada classificação de dificuldade está dentro de [1, 10] ou zero para controles, e que o EICAR está presente e pode ser recuperado de todos os anexos da categoria B, incluindo arquivos protegidos por senha e aninhados triplamente.

O verificador também confirma que os PDFs contêm cabeçalhos %PDF- e marcadores %%EOF válidos, os PNGs contêm assinaturas válidas e chunks IEND, os SVGs são analisados como XML bem formado, o arquivo LNK tem o CLSID de Shell Link correto e a string de argumento esperada do PowerShell, o Descritor de Volume Primário ISO 9660 aparece no setor 16 com a assinatura \x01CD001 correta, e a inferência de grupo corresponde à divisão documentada entre Grupo L e Grupo S.

Um terceiro script processa os CSVs por produto após a entrada manual dos veredictos. Ele produz um relatório comparativo com uma tabela lado a lado de veredictos por teste, taxas de detecção por categoria, pontuações totais, porcentagens de taxa de detecção, contagens de falsos positivos e três subtabelas forenses:

1. casos triviais, mas não detectados, definidos como dificuldade ≤ 2 com pelo menos um ERRO
2. casos de alta dificuldade, porém capturados, definidos como dificuldade ≥ 8 com pelo menos um BLOQUEIO
3. todos os incidentes de falso positivo

Ética e restrições operacionais

Nenhum malware real foi criado ou transmitido. Os anexos maliciosos usam a string de teste de antivírus EICAR, um documento de teste de 68 caracteres definido pelo Instituto Europeu de Pesquisa de Antivírus de Computadores, ou demonstradores benignos. Exemplos incluem um PDF cujo JavaScript chama app.alert, uma página HTML que usa URL.createObjectURL na string EICAR e um SVG cujo onload chama um endpoint inexistente.

Nenhuma infraestrutura de phishing ao vivo foi usada. As URLs de teste resolvem para um dos três destinos seguros: o TLD reservado .invalid definido na RFC 2606, domínios .tk de placeholder sob nosso controle que retornam 404, ou hosts de paródia como m1crosoft-account.com e xn--pple-43d.com registrados para o benchmark e que não servem conteúdo.

Nenhuma página de coleta de credenciais foi implantada. Todas as caixas de entrada de teste pertencem e são monitoradas pela equipe de testes. As credenciais SMTP são limitadas ao benchmark e rotacionadas após cada engajamento.

Limitações do benchmark de segurança de e-mail

Excluímos várias categorias porque exigem infraestrutura ou condições além de um benchmark único:

• Troca de URL no momento do clique: Esse ataque entrega uma URL que parece benigna no momento da entrega e depois redireciona para um destino de phishing. Testá-lo exigiria um servidor HTTP com estado que altera seu conteúdo, além de uma ação de clique do usuário.
• Sequestro de conta e phishing lateral: Isso exigiria o controle de uma caixa de entrada interna, o que estava fora da configuração do benchmark.
• Malware dinâmico ciente de sandbox: Amostras polimórficas reais que detectam virtualização e evitam a detonação foram excluídas por razões éticas.
• Páginas de destino de kits de phishing ao vivo: Todas as URLs resolvem para hosts inertes. O benchmark não testa a experiência pós-clique.

O remetente do Grupo S exige um relay SMTP que permita cabeçalhos From desalinhados. Os serviços de SMTP em nuvem geralmente rejeitam esses testes no nível da rede. Quando um relay permissivo não está disponível, o benchmark é reduzido ao Grupo L, que deixa 38 testes orientados por conteúdo.

Perguntas frequentes

Cite este benchmark

Escolha o formato adequado ao local onde você vai publicar. Colar a versão com link no seu CMS preserva o backlink.

@misc{dogan2026,
  author = {Dogan, Sedat},
  title  = {{Soluções de Segurança de E-mail: Acronis, Sophos & Barracuda}},
  year   = {2026},
  month  = jun,
  howpublished    = {\url{https://aimultiple.com/email-security-solutions}},
  note   = {AIMultiple. Acessado em 22 Junho 2026}
}

Sedat Dogan

CTO

Siga-nos

Sedat é um líder em tecnologia e segurança da informação com 20 anos de experiência em desenvolvimento de software, infraestrutura de rede e cibersegurança. Sedat:
- Tem 20 anos de experiência como hacker de chapéu branco e guru de desenvolvimento, com ampla experiência em linguagens de programação e arquiteturas de servidores.
- É conselheiro de administração em uma VC que investe em empresas de tecnologia em estágio inicial e na Ödeal, uma plataforma regional de pagamentos digitais que atende 125.000 comerciantes.
- Liderou a infraestrutura tecnológica e a cibersegurança de sete eleições nacionais e foi reconhecido no Hall da Fama da cibersegurança por líderes globais de tecnologia, incluindo o Twitter.

Ver perfil completo

Seja o primeiro a comentar

Seu endereço de e-mail não será publicado. Todos os campos são obrigatórios. Os comentários são deixados em seu idioma original.

Nome

Endereço de email

Comentário

0/450

Postar comentário