Soluções de segurança de email: Acronis, Sophos & Barracuda

O email é um dos pontos de entrada mais comuns para ciberataques, e as proteções integradas já não são suficientes para lidar com ameaças direcionadas. Testámos três plataformas de segurança de email na cloud (Acronis, Sophos e Barracuda) com 100 testes em 11 categorias de ameaça.

Resultados do benchmark de soluções de segurança de email na cloud

Leia a metodologia de benchmark de soluções de segurança de email para saber como testámos estas ferramentas e medimos os resultados.

Comparação de soluções de segurança de email com base em categorias de veredicto

Acronis Advanced Email Security

• Acronis tem a pontuação geral de deteção mais elevada (122/200) e apresenta o melhor desempenho contra phishing GenAI, com 100%. Todos os dez pretextos empresariais polidos foram bloqueados, incluindo pré-leituras falsas do conselho, fluxos de re-consentimento do Microsoft 365 e NDAs legais fictícios.
  • Esta é a categoria mais difícil do benchmark, com uma dificuldade média de 8,2/10. O facto de ter detetado todas as dez sugere que a Acronis lidou bem com os sinais de phishing semântico e contextual neste benchmark, em vez de depender de indicadores óbvios de gramática ou formatação.
• A Categoria F e a Categoria D também corroboram este cenário: a Acronis obteve 89% na falsificação de marca/domínio e 90% no phishing por URL, incluindo um BLOQUEIO no teste de injeção de cabeçalho de resultados de autenticação. Os resultados agregados sugerem um tratamento sólido de casos de falsificação e análise de URL.
• O registo limpo de falsos positivos é operacionalmente significativo. Nenhuma das oito mensagens de controlo foi bloqueada, o que significa que a taxa de deteção de 67% não acarreta qualquer custo de perda de correio legítimo.
• Os pontos negativos concentram-se nos níveis de dificuldade mais baixos. O spam básico (Categoria A, 44%) é inferior ao de outras ferramentas, com falhas em spam farmacêutico, burlas de lotaria e uma burla romântica básica, nos níveis de dificuldade 1 a 2. Esta lacuna sugere que a Acronis dá prioridade a ataques sofisticados em detrimento do tráfego de baixo esforço e em massa.

Sophos Email Security

• A Sophos tem a segunda pontuação geral mais elevada (105,5/200). Alcançou 100% na Categoria B (variantes de malware EICAR), detetando todas as variantes de aninhamento de arquivos, ZIP protegido por palavra-passe e teste de tolerância de offset.
• Os pontos fracos mais visíveis da Sophos são o phishing por URL (Categoria D, 58%) e as técnicas de evasão (Categoria J, 22%). A lacuna no phishing por URL é notável, porque os links estão entre os mecanismos de entrega de phishing mais comuns, e a Categoria D testa várias formas realistas de os atacantes os ocultarem ou encaminharem.
• A pontuação de 58% da Sophos, em comparação com os 90% da Acronis, sugere que a sua camada de análise de URL foi menos consistente em redireccionamentos, ofuscação e colocações de URL fora do corpo da mensagem.

Barracuda Email Protection

• A pontuação de deteção de 60/200 da Barracuda é inferior à dos outros dois produtos. A Categoria I (phishing GenAI) obteve 0% de deteção, e a Categoria A (Spam: 33%) tem a pontuação mais baixa entre os concorrentes. Isto sugere que a Barracuda foi menos eficaz, nesta configuração, contra os cenários de spam, phishing GenAI e engenharia social do benchmark.
• A Categoria B (deteção de malware conhecido através de strings de teste EICAR, 89%) e a Categoria C (tipos de ficheiros portadores, como PDFs com JavaScript incorporado, HTML smuggling e atalhos LNK, 70%) são competitivas com outros fornecedores.
• Os resultados da Categoria J da Barracuda (técnicas de evasão, 44%) mostram o melhor dos três fornecedores. Isto sugere que o motor de inspeção de conteúdo subjacente consegue lidar razoavelmente bem com funcionalidades como caracteres de largura zero, assuntos codificados e homóglifos.
• Os pontos fracos são mais proeminentes nas categorias que mais importam para a proteção contra ameaças modernas. Phishing por código QR (Categoria E, 13%), falsificação de marca (Categoria F, 11%), BEC (Categoria G, 11%) e extorsão (Categoria H, 22%) estão todos bem abaixo da comparação.
• Nos onze testes de nível difícil, a Barracuda bloqueou um e falhou os restantes dez.

Top 3 soluções de segurança de email na cloud

Acronis Advanced Email Security análise detalhada

Quando selecionamos Acronis Email Security no menu do lado esquerdo da interface do Acronis Cyber Protect Cloud, vemos o seguinte ecrã. Em seguida, clicamos para aceder à consola de Email Security.

Uma vez que ainda não concluímos qualquer configuração, o nosso painel de controlo apresenta os seguintes itens de menu:

• Incidentes: Incidentes de segurança detetados e atividade de ataque.
  • Resposta a Incidentes: Ferramentas para investigar e responder a incidentes.
  • Tráfego: Visibilidade sobre os padrões de tráfego de email ou web analisados.
  • Relatórios Periódicos: Relatórios programados de segurança e proteção.
• Operações de Segurança: Controlos de segurança operacional e ferramentas de monitorização.
• Configuração de Deteção: Configuração de regras de deteção, análise e definições de proteção.

A partir do menu Definições, à esquerda, vamos a Ativos de Email Protegidos.

Como ainda não existem ativos, o sistema redireciona-nos para o fluxo de configuração. Clicamos em Configurar proteção de email. O sistema solicita um endereço de email de escalonamento para comunicar problemas e pergunta qual o serviço de email que utilizamos.

Para este teste, vamos prosseguir com um fornecedor personalizado via MX. Fazemo-lo para podermos comparar diretamente os fornecedores, sem sermos afetados pelas proteções integradas do Microsoft 365 ou do Google Workspace.

Selecionamos o serviço de email e escolhemos o método de ligação Inline. Isto significa que a Acronis analisa e bloqueia emails maliciosos antes de serem entregues.

Adicionamos também um contacto de escalonamento que a Acronis pode utilizar para problemas de apropriação de conta, segurança ou ligação. O passo seguinte é ativar a aplicação Google Workspace, que suporta o onboarding, a contagem precisa de utilizadores para faturação e ações de remediação, como a remoção de emails maliciosos entregues por engano.

Adicionamos o domínio ligado, aimultiple.com, e o sistema obtém automaticamente os registos MX.

Definimos também o método de cálculo de licenças para "De acordo com os lugares comunicados" e introduzimos 100 lugares. Após estas definições, prosseguimos com Seguinte para continuar a configuração MX.

O sistema pede-nos para adicionar um registo TXT para verificar a propriedade do domínio. Adicionamos o registo e aguardamos a verificação.

Também podemos gerir os servidores de destino SMTP configurados, confirmar que o TLS está ativado e utilizar a ação Verificar para confirmar que o registo TXT foi publicado corretamente. Esta página também permite editar as definições do servidor e de TLS ou eliminar o domínio, se necessário.

Enviámos um total de 100 emails que podem ser considerados maliciosos ou spam. O painel de controlo mostra agora estatísticas como quantos emails foram analisados, quantos foram classificados como spam, quantos foram classificados como maliciosos e quantos emails foram recebidos por tipo de ataque. Existe também uma estatística que mostra quais os endereços de email que foram atacados com mais frequência.

No menu Análises, podemos ver as estatísticas de análise de todos os emails recebidos. A distribuição por tipo de ficheiro também é um detalhe útil. Além disso, em toda a aplicação, podemos ajustar o intervalo de datas clicando em Último Dia, no topo da página.

A filtragem na secção Análises é muito detalhada. Aqui estão algumas das opções:

• Endereço/domínio/IP do remetente: Os indicadores primários para identificar remetentes maliciosos ou falsificados.
• Nome de exibição falsificado: Visa diretamente uma das técnicas de phishing mais comuns, em que o nome visível parece legítimo, mas o endereço real não o é.
• Endereço de resposta: Outro sinal de alerta importante para phishing. Quando o endereço de resposta difere do endereço do remetente, sinaliza frequentemente uma tentativa de redirecionar as respostas para uma caixa de correio controlada pelo atacante.
• Ação (quarentena/entregue): Essencial para perceber se uma ameaça foi intercetada ou chegou ao destinatário.
• Assunto: Para identificar campanhas de phishing que utilizam linhas de assunto idênticas ou quase idênticas em vários alvos.
• Endereço do destinatário: Fundamental para determinar o âmbito de um ataque. Mostra quantos utilizadores foram visados e se indivíduos de alto valor (executivos, finanças) estavam entre eles.
• Carga útil (anexos/URLs): Restringe a pesquisa a emails que transportam os mecanismos de entrega de malware mais comuns.

Quando vamos a Operações de Segurança no menu do lado esquerdo, chegamos à secção Análises. A partir deste ecrã, podemos aceder a detalhes relacionados com as análises. Todas as análises são listadas aqui e também podemos ver as categorizações resultantes, como limpo, spam e malicioso.

Quando abrimos os detalhes de um email, podemos ver como o sistema o avaliou e o seu estado atual. Também podemos alterar o seu estado para:

• Aprovar Veredicto (Processar): Aceitar o veredicto atual e processar o email em conformidade.
• Marcar email como restrito: Classificar o email como restrito ou com violação de política.
• Marcar email como Spam: Classificar o email como indesejado ou não solicitado.
• Marcar email como Suspeito: Sinalizar o email como potencialmente arriscado e a necessitar de cuidado.
• Marcar email como Limpo (FP): Marcar o email como seguro e indicar que foi um falso positivo.

A vista abaixo é a vista compacta. Quando clicamos no separador Detalhado, no canto superior direito, podemos ver muitos detalhes adicionais.

Na vista compacta, podemos ver os detalhes da análise de um email de phishing malicioso que foi colocado em quarentena pela Acronis. Inclui uma visão geral gerada por IA que explica porque é que o email é considerado malicioso e mostra indicadores como um domínio de remetente suspeito, comportamento de email bombing e um URL arriscado. Na secção Detalhes, podemos verificar o canal, a ação tomada, a hora da análise, o tempo de processamento, a organização e o estado de IR.

No Inspetor de Email, podemos rever os metadados da mensagem, incluindo assunto, remetente, destinatário, hora, caminho de retorno e IP de origem. O corpo do email também é exibido, para podermos avaliar diretamente a tentativa de engenharia social.

Os critérios de avaliação de incidentes são claros e transparentes. Para um incidente, também podemos clicar no botão Solicitar investigação, selecionar "Acho que este email está limpo" e enviá-lo para a equipa da Acronis para revisão. Podemos ver análises anteriores relacionadas com o mesmo email.

Com o botão Capturas de Ecrã, podemos ver a versão renderizada do email, o que é uma funcionalidade útil. De notar que o sistema não renderiza o email como HTML no navegador, pelo que qualquer vulnerabilidade não detetada no email não pode desencadear uma violação durante a revisão.

Todas as ações do utilizador podem ser registadas e podemos ver estes registos no Registo de auditoria, no menu do lado esquerdo. Alguns desses registos são:

• Ver capturas de ecrã da análise
• Processar análise
• Ação IU

Cada registo guarda a data e hora, a ação, a descrição, o administrador ou equipa, a organização alvo e o email ou objeto alvo relacionado.

Na Configuração de Deteção, no menu do lado esquerdo, podemos gerir listas de permissões e listas de bloqueio de forma detalhada, o que é uma funcionalidade extremamente útil:

• Lista de permissões de endereço de email/domínio do remetente: Os emails de endereços ou domínios nesta lista são sempre considerados fiáveis e ignoram os filtros de spam/ameaças. Isto pode ser útil para colocar na lista branca parceiros conhecidos ou sistemas internos que, de outra forma, poderiam desencadear falsos positivos.
• Lista de permissões de endereço de email do destinatário: Especifica endereços de destinatários internos que devem receber todo o correio de entrada sem filtragem. Isto garante que certos utilizadores (por exemplo, uma caixa de correio de captura geral) recebem sempre emails, mesmo de remetentes desconhecidos.
• Lista de bloqueio de endereço de email/domínio do remetente: Os emails de endereços ou domínios nesta lista são automaticamente rejeitados ou colocados em quarentena. Pode ser utilizada para bloquear permanentemente fontes de spam conhecidas, domínios maliciosos ou remetentes de envios em massa indesejados.
• Lista de permissões de IP do remetente: Os servidores de correio com IPs nesta lista são considerados fiáveis e os seus emails ignoram as verificações de reputação baseadas em IP. Pode ser utilizada para serviços de correio de terceiros fiáveis ou relays de correio locais.
• Lista de bloqueio de IP do remetente: As ligações destes IPs são bloqueadas, independentemente do endereço do remetente. Isto pode ser eficaz contra servidores de correio maliciosos conhecidos ou infraestruturas comprometidas.

• Lista de permissões de URL: Os links que correspondem a estes URLs ou domínios no corpo dos emails são considerados seguros e não serão sinalizados.
• Lista de bloqueio de URL: Os emails que contenham estes URLs são sinalizados, bloqueados ou colocados em quarentena.
• Lista de permissões de hash: Os anexos de ficheiros que correspondam a estes hashes criptográficos são tratados como seguros e passam sem alertas de análise.
• Lista de bloqueio de hash: Os anexos cujo hash corresponda a uma entrada nesta lista são bloqueados imediatamente. Isto proporciona um bloqueio preciso, baseado em assinaturas, de ficheiros maliciosos conhecidos, mesmo que sejam renomeados ou disfarçados.

Algumas das funcionalidades que vale a pena mencionar, mas que não testámos especificamente, são:

Em configuração de deteção:

• Informações sobre ameaças: Obtém indicadores de fontes externas de informações sobre ameaças. Esta funcionalidade ajuda a detetar malware comum generalizado, URLs maliciosos e campanhas de ataque ativas.
• Banners: Adiciona banners personalizáveis aos emails recebidos com base em políticas e regras.
• Utilizadores VIP: Permite que os administradores mantenham uma lista de utilizadores de alto valor (executivos, pessoal financeiro, etc.).

Em operações de segurança:

Apropriação de Conta (ATO): Deteta caixas de correio comprometidas do Microsoft 365. A funcionalidade foi concebida para detetar atacantes que utilizam contas hijackadas para fraude, phishing interno e exfiltração de dados.

O motor sinaliza regras de caixa de correio suspeitas (encaminhamento, redireccionamento, movimentação ou eliminação de emails), inícios de sessão de viagem impossível e inícios de sessão a partir de locais ou dispositivos desconhecidos. Quando deteta um destes sinais, abre um caso na consola e a equipa de resposta a incidentes contacta o administrador para investigar em conjunto.

Sophos Email Security análise detalhada

Para começar com a Sophos, criamos uma ligação de avaliação e somos direcionados para o seguinte ecrã. À semelhança da Barracuda, a Sophos pede-nos para selecionar uma região.

O sistema pergunta-nos então qual o produto que pretendemos instalar. Selecionamos Email Security. Outros produtos que podem ser configurados incluem Endpoint Protection, Server Protection, Phish Threat, DNS Protection, Zero Trust Network Access, Protected Browser, Mobile, Wireless, Device Encryption, Firewall Management, Cloud Optix e Switches.

Iremos enviar 100 emails, e a imagem abaixo mostra o painel de controlo. Inclui estatísticas como o número total de emails recebidos analisados, ameaças potenciais e tipos de ameaça detetados. Existem também estatísticas para emails de saída, mas não estamos a testar a segurança do email de saída neste benchmark.

Também podemos ver outros elementos do painel de controlo, como tendências de atividade de email, resumos de ameaças e indicadores de estado de segurança.

Clicámos em Configurar definições do gateway de email. O sistema pede-nos para verificar o nosso domínio. Em seguida, observamos uma definição útil na qual podemos escolher apenas entrada ou entrada e saída. Também verifica os emails de saída para evitar problemas de segurança.

O sistema mostra o registo DNS que precisamos de introduzir. Adicionamo-lo e prosseguimos.

Adicionamos o registo TXT ao DNS público do domínio. O valor TXT é um token de verificação de domínio da Sophos e o TTL está definido para 600. Após adicionar o registo DNS, aguardamos a propagação e, em seguida, clicamos em Verificar para que a Sophos possa confirmar que somos os proprietários do domínio.

Adicionámos o registo e verificámos o nosso domínio. Para o destino de entrada, selecionámos MX e introduzimos o registo MX do Google Workspace: aspmx.l.google.com.

Tal como a Barracuda, a Sophos requer encaminhamento MX. Ao contrário da Sophos e da Barracuda, a Acronis tratou este processo de forma limpa através de uma API e não precisámos de alterar quaisquer definições. Este tipo de alterações de configuração MX ou semelhantes podem causar problemas aos administradores de sistemas. No entanto, para fins de teste, prosseguimos para o passo seguinte.

Concluímos as definições MX e enviámos um email de teste, mas este não foi enviado. Após alguma investigação, verificámos que o erro era: "Este endereço de email não foi encontrado", o que foi inesperado.

Precisamos de entrar no painel, abrir a secção Caixas de Correio no menu à esquerda e adicionar manualmente os utilizadores, um a um. Este é um problema de usabilidade que prejudica a experiência geral, uma vez que tanto a Acronis como a Barracuda funcionaram imediatamente. Para o teste, adicionámos o nosso próprio endereço de email e continuámos os testes através dessa conta.

A secção de relatórios está no menu do lado esquerdo. Aqui estão alguns dos relatórios que podemos criar:

• Resumo da mensagem: Volume geral de emails e estado.
• Relatório de análise SophosLabs: Veredictos de mensagens comunicados pelo utilizador/administrador.
• Resumo de ameaças Intelix: Análise de ameaças para emails de entrada.
• Resumo de Time of Click: Relatório de atividade de cliques em links.
• Utilizadores em risco: Funcionários mais vulneráveis.
• Resumo de controlo de dados: Correspondências de políticas de perda de dados.
• Resumo pós-entrega: Emails removidos após a entrega.
• Resumo de utilização de licenças: Utilização de licenças de segurança de email.

Quando vamos a Email Security > Histórico de Mensagens, podemos ver todos os emails de entrada e como cada um foi classificado. Este relatório de Histórico de Mensagens lista os emails individuais processados pelo Sophos Email Security. Alguns campos chave são:

• Remetente: De quem o email aparentava ser.
• Destinatários: Quem recebeu a mensagem.
• Tipo: Como o email entrou no sistema, normalmente Gateway.
• Assunto: A linha de assunto do email.
• Último Estado: O que a Sophos fez com ele, como Entregue, Eliminado ou Em Quarentena.
• Data: Quando o email foi processado.
• Categoria: A classificação da Sophos, como Legítimo, Spam, Malware, Ameaça Intelix ou Autenticação.

Alguns exemplos das categorias são:

• Legítimo: Emails normais que foram autorizados a passar.
• Spam: Emails suspeitos ou indesejados; muitos são colocados em quarentena.
• Malware: Emails perigosos contendo conteúdo malicioso; estes são eliminados.
• Ameaça Intelix: Emails analisados pelo Sophos Intelix que foram considerados suspeitos ou ameaçadores.
• Em Quarentena: O email foi bloqueado e colocado em quarentena para revisão.
• Eliminado: O email foi removido em vez de entregue.

Os filtros abaixo permitem aos utilizadores restringir o registo de email por categoria de mensagem:

• Legítimo: Emails normais autorizados.
• Mensagem segura: Emails encriptados ou protegidos.
• Controlo de dados: Emails que correspondem a regras de perda/segurança de dados.
• Falha de autenticação: Falhas nas verificações SPF, DKIM ou DMARC.
• Falsificação: Possível falsificação de remetente ou fraude de identidade.
• Em massa: Marketing em massa ou emails automatizados.
• Spam: Emails indesejados ou suspeitos.
• URL/Código QR: Emails com links ou códigos QR arriscados.
• Ameaça Intelix: Emails sinalizados pela análise de ameaças da Sophos.
• Não analisável: Emails que a Sophos não pôde inspecionar totalmente.
• Malware: Emails contendo ficheiros ou conteúdo malicioso.
• Bloqueado pela empresa: Emails bloqueados pela política da empresa.

O menu Caixas de Correio mostra as caixas de correio que estão a ser monitorizadas. Ao abrir uma caixa de correio, podemos selecionar quais as políticas a aplicar. Em Política Base – Email Security, estão disponíveis as seguintes definições:

A autenticação inclui verificações de autenticação de email para mensagens de entrada. Podemos configurar a forma como a Sophos lida com falhas de DMARC, SPF e DKIM, incluindo ações como conformidade com a política do remetente ou marcação da linha de assunto com um aviso.

Também inclui verificações de remetente para anomalias de cabeçalho e de domínio, que ajudam a detetar emails que parecem vir do seu próprio domínio ou de domínios suspeitos sem registos DNS adequados. Também podemos ativar banners de utilizador final para mostrar aos destinatários o nível de confiança das mensagens de entrada e ajudar a decidir se devemos permitir ou bloquear remetentes.

O anti-malware gere a análise anti-malware de entrada para mensagens de email. Podemos escolher a ação predefinida para deteções de malware, como Eliminar, e ativar a análise avançada de malware para uma análise mais profunda de conteúdo e ficheiros.

Também permite o controlo sobre emails não analisados e a Análise de Ameaças Intelix, onde a Sophos pode utilizar análise estática e dinâmica para classificar mensagens suspeitas. Com base no veredicto, podemos definir ações como eliminar, entregar ou tratar de forma diferente emails maliciosos e suspeitos.

O anti-spam gere a forma como a Sophos lida com spam e email em massa. Podemos definir ações para categorias como Spam Confirmado e Em Massa, incluindo colocar mensagens em quarentena e decidir se aparecem na quarentena do utilizador final.

Também inclui um controlo deslizante personalizável de taxa de captura de spam, onde níveis mais elevados aumentam a agressividade da deteção de spam.

Novo domínio/remetente inclui proteções para domínios recentemente registados e novos remetentes. Podemos ativar verificações para emails enviados de domínios criados recentemente, que são frequentemente utilizados em campanhas de phishing.

Também permite que seja mostrado um banner de Novo Remetente quando um destinatário não recebeu emails desse remetente anteriormente.

O país de origem permite controlar os emails com base no país do remetente. Países específicos podem ser selecionados de uma lista, e os emails correspondentes podem ser colocados em quarentena ou tratados de outra forma, de acordo com a política.

Existe também a opção de verificar cada salto da mensagem, o que ajuda a inspecionar a rota que um email percorreu antes de chegar ao destinatário.

O idioma gere a filtragem por idioma da mensagem. Podemos selecionar idiomas específicos que pretendemos proibir e escolher a ação que a Sophos deve tomar, como colocar em quarentena as mensagens correspondentes.

A funcionalidade de proteção contra falsificação permite verificações de tentativas de falsificação de VIP, marca e geral.

Para proteção de URL e código QR, podemos verificar emails em busca de URLs e códigos QR maliciosos. A Sophos pode analisar links e extrair URLs de códigos QR para detetar ameaças antes de os utilizadores interagirem com eles.

Também gere a Proteção de URL Time of Click, onde os links são reescritos e verificados quando o utilizador clica neles.

No menu do lado esquerdo, a secção Mensagens em Quarentena mostra todos os emails em que foi detetada uma ameaça. Podemos filtrar por:

• Anti-malware: Emails sinalizados durante a análise de malware. Isto inclui mensagens com anexos perigosos, conteúdo malicioso ou itens que a Sophos não pôde inspecionar totalmente:
  • Malware: Emails confirmados como contendo ficheiros, links ou conteúdo malicioso. Estes são normalmente eliminados ou colocados em quarentena.
  • Não analisável: Emails que a Sophos não pôde inspecionar adequadamente, por exemplo, devido a encriptação, corrupção, anexos protegidos por palavra-passe ou tipos de ficheiro não suportados.
• Anti-spam: Emails classificados através de regras de deteção de spam:
  • Em massa: Emails enviados em massa, como newsletters, campanhas de marketing ou notificações automatizadas.
  • Spam Confirmado: Emails identificados com confiança como spam. Estes são normalmente colocados em quarentena ou bloqueados.
  • Spam Suspeito: Emails que parecem suspeitos, mas não são spam confirmado. Podem ser colocados em quarentena, marcados ou entregues, dependendo da política.
  • Falsificação: Emails que podem estar a fingir ser de uma pessoa, marca, domínio ou remetente interno de confiança.
  • País Não Permitido: Emails bloqueados ou colocados em quarentena por terem origem num país restrito por política.
  • Idioma Não Permitido: Emails bloqueados ou colocados em quarentena porque o seu idioma detetado não é permitido pela política.
  • BATV: Emails relacionados com a Bounce Address Tag Validation, utilizada para ajudar a detetar mensagens de bounce forjadas ou spam de backscatter.
  • Novo domínio/NRD: Emails de domínios recentemente registados, que são frequentemente utilizados em phishing ou campanhas de ataque de curta duração.

• Autenticação: Emails filtrados com base em verificações de autenticação do remetente, como falhas de SPF, DKIM ou DMARC.

Quando clicamos num email, podemos ver as mensagens que explicam por que razão foi colocado em quarentena. Podemos eliminá-lo e bloquear o remetente, libertar a mensagem da quarentena ou libertá-la e permitir mensagens semelhantes no futuro.

Na secção Cabeçalho Raw, podemos ver todas as informações de cabeçalho do email. Também podemos ver os seus anexos e os URLs contidos na mensagem. Na nossa avaliação, isto não pareceu suficientemente detalhado. A Acronis e a Barracuda proporcionaram uma experiência mais abrangente e informativa neste aspeto.

No separador Mensagem, podemos ver o conteúdo email tal como ele é, o que pode ser inseguro. Seria melhor se pudéssemos ver o conteúdo email como uma captura de ecrã, tal como observámos na Acronis.

Existem 23 emails aqui porque estes foram marcados como spam, enquanto alguns outros foram diretamente rejeitados. Por outras palavras, o sistema coloca em quarentena os emails marcados como spam.

Quando queremos exportar todos os emails de entrada, não o podemos fazer diretamente a partir dos ecrãs de relatórios. Precisamos de criar um relatório personalizado a partir de Registos de Email, depois abri-lo, selecionar Gerar Relatório, escolher CSV e, finalmente, exportar tudo como um CSV. Este fluxo de trabalho parece desnecessariamente indireto e pouco intuitivo.

Barracuda Email Protection análise detalhada

Depois de obter uma avaliação da Barracuda, navegámos para o painel, clicámos em Abrir para Email Protection e prosseguimos.

Em Disponível na sua avaliação, podemos ver os principais produtos incluídos:

• Proteção de email: Previne ameaças de email, protege o email antes e depois da entrega e automatiza a resposta a incidentes de email.
• Cópia de segurança cloud-to-cloud: Faz cópia de segurança dos dados do Microsoft 365.
• Inspetor de dados: Encontra dados sensíveis e malware não detetado no OneDrive e SharePoint.
• Formação de sensibilização para a segurança: Forma os funcionários sobre ameaças à segurança do email.
• Serviço de arquivo na cloud: Impõe a retenção de email para conformidade e e-discovery.

Como ainda não tínhamos configurado quaisquer domínios ou definições relacionadas, o sistema levou-nos diretamente para o assistente de configuração, o que é uma funcionalidade útil para configurar as definições de email.

Quando clicámos em Seguinte, o sistema obrigou-nos a ligar uma conta Microsoft 365. No entanto, utilizamos o Google Workspace e estamos a avaliar o serviço para esse ambiente.

Mais tarde, descobrimos que a Barracuda suporta o Google Workspace. Continuámos com a configuração padrão.

O sistema pediu-nos para selecionar uma região de dados. Esta é uma funcionalidade importante para a conformidade com o RGPD, pelo que selecionámos Alemanha e continuámos.

Mais tarde, a Barracuda pediu-nos para introduzir um endereço de email pertencente ao nosso domínio e verificar os nossos registos MX. Clicámos no botão de verificação e não realizámos qualquer ação adicional. O sistema verificou os registos com sucesso.

Durante as fases posteriores da nossa configuração, descobrimos que a Barracuda não tinha uma integração nativa com o Google Workspace. Em vez disso, forneceu-nos novos registos MX para substituir os nossos existentes. Quando atualizamos estes registos MX, os emails de entrada parecem chegar primeiro à Barracuda.

A Barracuda filtra então os emails inadequados e reencaminha os aceitáveis. Exigir alterações de registos MX para a integração com o Google Workspace é uma abordagem deficiente.

Depois disso, atualizámos os registos MX e verificámo-los. Concluímos a configuração e começámos a enviar emails.

Ao enviar os emails, observámos que a Barracuda rejeitou alguns pedidos SMTP e recusou alguns anexos. Quando realizámos o mesmo teste com a Acronis, todos os emails foram entregues e visíveis no sistema. Aqui, a Barracuda rejeita alguns emails antes de aparecerem no painel de controlo.

Embora os rejeite porque são genuinamente maliciosos, perdemos visibilidade como resultado deste processo automatizado. Por outras palavras, podemos nem saber se um ataque chegou e foi rejeitado. Isto é um desafio para utilizar a Barracuda para segurança de email, uma vez que a visibilidade é tudo em contextos de segurança. Se um produto rejeita arbitrariamente incidentes e os torna invisíveis, prejudica a equipa de segurança.

Apesar destes desafios, todos os emails de teste foram enviados. No painel de controlo da Barracuda, somos direcionados para o ecrã Registo de Mensagens, onde todos os emails analisados são listados.

A secção Registo de Mensagens inclui uma área de filtragem no topo. Aqui estão as opções de filtragem:

• Pesquisar: Pesquisa de texto em mensagens, destinatários, remetentes e outros campos.
• Domínios: Filtra os resultados pelo domínio selecionado.
• Direção: Filtra por direção do email; Entrada ou Saída.
• Intervalo de data/hora: Limita os resultados a uma janela de tempo específica.
• Ação tomada: Filtra pela ação tomada, por exemplo, Permitido, Bloqueado, Diferido.
• Estado da entrega: Filtra por se o email foi entregue, falhou, colocado em quarentena, etc.
• Motivo: Filtra pelo motivo de deteção que desencadeou uma ação (por exemplo, Pontuação, DMARC, Antivírus, Conteúdo Protegido).
• Resultados: Controla quantos registos são apresentados por página.

Podemos reportá-lo como classificado incorretamente. Por exemplo, o email abaixo é seguro, mas foi incorretamente classificado como prejudicial. Reportámos o email como seguro.

O email abaixo está bloqueado, mas o painel de controlo não fornece quaisquer detalhes adicionais. Por conseguinte, a Barracuda fica aquém neste aspeto. Seria mais útil se pudéssemos ver mais informações sobre o motivo pelo qual a mensagem foi bloqueada, para além da pontuação de bloqueio.

Na secção Domínios, à esquerda, podemos ver, adicionar e eliminar os domínios que pretendemos incluir na proteção de correio, que são funções padrão.

Dentro do menu Entrada, à esquerda, a Barracuda fornece os filtros utilizados para estes controlos. Podemos configurar estes filtros.

Por exemplo, em definições de Anti-Spam/antivírus, podemos configurar:

• Utilizar lista de bloqueio de reputação da Barracuda: Verifica o correio recebido em relação à base de dados da Barracuda de remetentes maliciosos conhecidos. Pode ser definido como Block, Quarentena ou Desligado.
• Analisar email em busca de vírus: Ativa ou desativa a análise de vírus em todos os emails de entrada.
• Utilizar o sistema em tempo real da Barracuda: Cruza emails com o feed de informações sobre ameaças em tempo real da Barracuda. Pode ser bloqueado, Colocado em Quarentena ou desligado. Opcionalmente, envia conteúdo suspeito para a Barracuda Central para análise posterior.
• Ativar cloudscan: Descarrega a pontuação de spam para o motor de cloud da Barracuda. As pontuações variam de 1 a 10; os emails que excedem o limite desencadeiam a ação configurada.
• Categorização de email: Classifica os emails de entrada por tipo e aplica uma ação por categoria. As categorias incluem Email Corporativo, Email Transacional, Marketing Materials and Newsletters, Listas de Correio e Redes Sociais, cada uma definida independentemente para Permitir, Quarentena, Block ou Desligado.
• Deteção de email em massa: Deteta e atua sobre emails enviados em massa. Quando está definido como Desligado, os emails em massa não são filtrados separadamente.
• Isenções de email em massa: Permite que endereços de email ou domínios específicos ignorem a deteção de email em massa, definidos por remetente ou destinatário.

As páginas de Limite de Taxa definem quantos emails um endereço IP de remetente pode enviar em cada período de 30 minutos, o que é uma definição útil. Pode prevenir abusos de email e ataques súbitos de alto volume de um único IP de remetente.

Ao limitar quantos emails um endereço IP pode enviar num período de 30 minutos, o sistema pode reduzir o impacto de:

• Campanhas de spam
• Rajadas de phishing
• Distribuição de malware
• Contas ou servidores de remetentes comprometidos
• Inundação de email ao estilo de negação de serviço

Na página Lista Branca/Lista Negra de IP, podemos ignorar a análise de emails provenientes de endereços IP específicos ou bloqueá-los diretamente.

Em Políticas Regionais, podemos aplicar bloqueio geográfico ou listas brancas. Também podemos bloquear ou permitir emails com base no idioma do conteúdo.

Em Políticas de Destinatário, podemos configurar regras de análise ou de exclusão com base no endereço de email do destinatário.

A Barracuda também fornece políticas semelhantes para remetentes. Podemos aplicar exceções com base no remetente.

Existe também um painel de controlo onde podemos definir exceções com base em controlos de segurança de email padrão, como DMARC, DKIM e SPF.

Em Políticas de Conteúdo, podemos configurar se devemos analisar ou ignorar emails com base no nome ou tipo de ficheiro. Também podemos definir regras de análise ou de exclusão com base no conteúdo corpo da mensagem, utilizando expressões regulares.

A Barracuda fornece Proteção Avançada contra Ameaças como uma subscrição para além do verificador de vírus normal. A Proteção Avançada contra Ameaças (ATP) é um serviço de análise baseado na cloud que analisa os anexos de email num ambiente de cloud seguro para detetar ameaças que os verificadores de vírus padrão podem não detetar. Aplica-se a mensagens de entrada e suporta a maioria dos tipos de ficheiros MIME.

Existem três modos no ATP:

1. Deliver First, Then Scan tenta analisar o anexo em tempo real à medida que o email chega. Se a análise for concluída a tempo e for detetada uma ameaça, o email é bloqueado. Se a análise não for concluída a tempo, o email é entregue imediatamente, sem esperar pelo resultado. A análise continua a ser executada em segundo plano e, se for encontrada uma ameaça posteriormente, o destinatário é notificado, mas o email já chegou à sua caixa de correio. Isto significa que o destinatário pode abrir um anexo infetado antes de a ameaça ser identificada.
2. Scan First, Then Deliver analisa o anexo antes da entrega. Se for detetada uma ameaça, o email é bloqueado. Se estiver limpo, é entregue. Os emails pendentes de uma análise aparecem no Registo de Mensagens com "Análise Pendente" como motivo. Se uma mensagem permanecer diferida por mais de quatro horas, é colocada em quarentena. Este modo é mais seguro, mas pode atrasar a entrega.
3. Desativado: O ATP está completamente desligado.

O compromisso chave aqui é entre velocidade e segurança. "Deliver First" dá prioridade à velocidade de entrega, mas introduz uma janela de risco. "Scan First" elimina esse risco, mas pode atrasar ou diferir mensagens com anexos.

Na secção Relatórios, a Barracuda cria relatórios detalhados sobre a segurança do email:

• Resumo do tráfego de entrada/saída: Visão geral de toda a atividade de email de entrada e saída, dividida por diferido, bloqueado, em quarentena e permitido.
• Discriminação de emails de entrada bloqueados: Discriminação detalhada dos motivos pelos quais os emails de entrada foram bloqueados.
• Principais remetentes/destinatários de email de entrada: Mostra os remetentes/destinatários mais frequentes de email de entrada.
• Discriminação dos principais remetentes bloqueados de entrada: Lista os remetentes cujos emails são bloqueados com mais frequência, com o respetivo motivo.
• Discriminação dos principais destinatários bloqueados de entrada: Mostra os destinatários internos que são mais frequentemente alvo de emails bloqueados.
• Principais remetentes de email de saída: Visão geral dos utilizadores internos que enviam o maior volume de email de saída.
• Principais remetentes bloqueados de saída: Mostra os utilizadores internos cujos emails de saída são bloqueados com mais frequência.

Além disso, podemos agendar relatórios automatizados, o que é uma funcionalidade útil. Em vez de iniciar sessão repetidamente para verificar os painéis de controlo, podemos receber resumos regulares de ameaças, mensagens em quarentena, tendências de spam, deteções de malware, tentativas de falsificação, ações de políticas e risco do utilizador. Os relatórios agendados também podem ajudar os utilizadores a identificar padrões precocemente, como um aumento de emails de phishing, ataques repetidos contra utilizadores específicos ou um aumento de anexos maliciosos bloqueados.

O menu Syslog, à esquerda, permite-nos encaminhar todos estes registos para um servidor de registos à nossa escolha. Esta é uma funcionalidade útil para integrações SIEM.

No geral, o produto oferece uma vasta gama de funcionalidades, mas tem um desempenho inferior na deteção de ameaças. Uma parte significativa da configuração é deixada ao critério do utilizador, levantando a questão de saber se o valor acrescentado justifica a sobrecarga, particularmente para organizações que utilizam o Google Workspace ou o Centro de Conformidade do Microsoft 365.

Principais funcionalidades das soluções de segurança de email na cloud

As soluções de segurança de email na cloud analisam o comportamento do utilizador, detetam anomalias contextuais, automatizam a resposta e remediação de ameaças e integram-se no ecossistema de segurança mais amplo. As principais funcionalidades incluem:

Deteção de ameaças com base em IA

Os sistemas de segurança de email na cloud analisam o contexto da mensagem, o histórico do remetente e a intenção para sinalizar ataques de phishing e tentativas de falsificação que parecem legítimas à superfície. Isto inclui identificar sinais subtis, como parecenças de domínio ou padrões de tempo invulgares.

Ao monitorizar os hábitos de comunicação normais, estes sistemas podem detetar anomalias, como um funcionário das finanças a receber subitamente pedidos urgentes de pagamento de um novo remetente externo. Esta abordagem é especialmente importante para detetar o compromisso de email empresarial (BEC), onde não há malware para analisar e não há sinais de alerta óbvios.

Arquitetura de proteção em várias camadas

As plataformas de segurança de email na cloud combinam várias camadas de inspeção para intercetar ameaças que escapam a um controlo.

• A análise estática verifica indicadores conhecidos, enquanto o sandboxing dinâmico observa como os anexos se comportam num ambiente controlado.
• A inspeção de URL também desempenha um papel fundamental, especialmente para identificar links maliciosos que são ativados após a entrega.
• Os protocolos de autenticação, como SPF, DKIM e DMARC, ajudam a validar a identidade do remetente, reduzindo o risco de falsificação.

Together, estas camadas criam um sistema onde cada componente compensa as limitações dos outros.

Proteção contra ameaças emergentes

Os atacantes dependem cada vez mais do engano, em vez de explorações técnicas. As táticas de engenharia social são concebidas para pressionar os utilizadores a tomar decisões rápidas, muitas vezes imitando executivos ou fornecedores de confiança.

Isto inclui campanhas direcionadas, como o spear phishing, em que as mensagens são adaptadas a um indivíduo ou função específica. Cenários mais avançados envolvem mensagens de voz deepfake ou tentativas de fraude de faturas.

Estas ameaças avançadas não dependem de ficheiros maliciosos. Em vez disso, exploram a confiança, tornando a deteção dependente do contexto e da intenção, em vez de assinaturas.

Deteção em tempo real e resposta automatizada

Uma vez que uma mensagem maliciosa chega a uma caixa de correio, a janela para danos é limitada. Os sistemas de segurança analisam os emails à medida que chegam e atuam imediatamente quando uma ameaça é confirmada.

A automatização reduz a carga sobre as equipas de segurança, removendo mensagens prejudiciais em todas as caixas de correio afetadas, mesmo após a entrega. Isto limita a propagação de ataques que dependem de encaminhamento interno ou cadeias de resposta.

Os fluxos de trabalho de resposta também podem desencadear ações mais amplas, como isolar contas ou atualizar regras de deteção com base em novas informações.

Monitorização contínua e proteção pós-entrega

A filtragem inicial não interceta tudo. As técnicas de ataque evoluem e algumas ameaças são reconhecidas depois de surgirem novos indicadores.

• A monitorização contínua permite que os sistemas revisitem as mensagens entregues e removam ameaças recentemente identificadas. Isto é fundamental para ataques que utilizam cargas úteis diferidas ou entrega faseada.
• A remediação pós-entrega garante que os emails anteriormente não detetados não permanecem nas caixas de correio depois de serem classificados como maliciosos.

Continuidade e resiliência do email

A segurança não se resume a bloquear ameaças. A disponibilidade também importa. Se o acesso ao email for interrompido, as operações comerciais podem parar.

As funcionalidades de continuidade baseadas na cloud fornecem acesso de reserva durante interrupções e suportam a recuperação rápida de mensagens e contas. Isto garante que o email empresarial permanece disponível mesmo durante interrupções de serviço ou ataques.

Capacidades diferenciadoras das plataformas de segurança de email na cloud

Segurança focada no utilizador (camada humana)

Muitos incidentes começam com uma ação do utilizador. É por isso que as plataformas modernas de segurança de email incluem ferramentas que orientam o comportamento, em vez de dependerem apenas da filtragem.

• Os banners de aviso contextuais podem alertar os utilizadores quando uma mensagem parece suspeita.
• A formação também está a tornar-se mais adaptativa. Em vez de simulações genéricas, os utilizadores recebem orientação adaptada aos seus padrões de interação.

Segurança unificada e integração de plataformas

O email não existe isoladamente. Faz parte de um ambiente mais amplo que inclui endpoints, identidades e aplicações. A integração com sistemas de endpoints e identidade permite respostas coordenadas. Por exemplo, se um email levar ao roubo de credenciais, o sistema pode desencadear ações para além da caixa de correio.

Os painéis de controlo centralizados dão às equipas uma visão mais clara da sua postura de segurança geral, reduzindo a falta de comunicação entre ferramentas.

Proteção de dados, encriptação e conformidade

O email transporta frequentemente contratos, detalhes financeiros e outros dados sensíveis. Proteger estas informações requer mais do que a deteção de ameaças.

• A encriptação garante que as mensagens permanecem privadas em trânsito e em repouso. As políticas de prevenção de perda de dados ajudam a evitar a partilha não autorizada, seja acidental ou intencional.
• As funcionalidades de conformidade suportam os requisitos regulamentares, incluindo pistas de auditoria e políticas de retenção. Isto é especialmente relevante para organizações que operam além-fronteiras e lidam com dados sujeitos a regras legais ou específicas do setor.

Veja mais dos nossos benchmarks e insights baseados em dados na Pesquisa Google.

Adicionar como fonte preferencial

Metodologia de benchmark de segurança de email na cloud

Avaliámos três produtos de segurança de email: Acronis Advanced Email Security (com tecnologia da Perception Point), Sophos Email Security e Barracuda Email Protection.

O benchmark incluiu 100 testes de ponta a ponta e seguiu quatro princípios.

1. Orientado para a cobertura: Cada teste corresponde a uma capacidade que o fornecedor declara publicamente fornecer.
2. Ponderado pela dificuldade: Falhar um teste simples de 1/10 sinaliza uma lacuna grave no produto. Falhar um teste de 9/10 é mais compreensível, porque esses casos refletem problemas de deteção de nível especializado. O método de pontuação separa estes casos, em vez de tratar todas as falhas de forma igual.
3. Reproduzível: O benchmark é executado com um equipamento de teste PHP autocontido e verificado por um conjunto de verificação separado. Antes de qualquer email de teste ser enviado, o verificador realiza mais de 1.800 verificações para confirmar que as cargas úteis de teste estão completas, válidas e corretamente configuradas.
4. Ético: Os testes de malware utilizam a string de teste antivírus EICAR. Os URLs de phishing apontam para infraestruturas canárias inertes ou inexistentes. Todas as caixas de correio de teste são propriedade da equipa de testes.

Selecionámos os testes de modo a que as declarações públicas de cada fornecedor fossem exercitadas pelo menos uma vez. A prioridade foi testar ameaças que os três fornecedores declaram detetar, o que mantém a comparação direta justa. Incluímos também um número menor de casos específicos do fornecedor, quando relevantes. Por exemplo, o sequestro de conversas é uma alegação central da Barracuda, a deteção de phishing por código QR é explicitamente reivindicada pela Acronis Advanced Email Security e os engodos GenAI ao estilo deepfake são mais frequentemente promovidos por fornecedores que priorizam a IA.

O benchmark está organizado em onze categorias. Cada categoria testa um mecanismo de deteção diferente. As contagens de testes são mostradas entre parênteses, com 100 testes no total.

Categoria A: Spam (9 testes)

Esta categoria abrange anúncios farmacêuticos em massa, emails de pump-and-dump de criptomoedas, burlas de lotaria, empréstimos de dia de pagamento, aberturas de plataformas de encontros e contacto frio de B2B SEO.

A maioria dos testes nesta categoria é intencionalmente fácil. Dois testes, marketing de correio cinzento e contacto frio B2B, situam-se mais próximos do limite do falso positivo, porque uma filtragem agressiva pode bloquear email empresarial legítimo.

Categoria B: Malware conhecido utilizando a string de teste EICAR (9 testes)

Esta categoria testa a entrega de EICAR em formatos de anexos comuns e aninhados:

• Anexo .txt simples,
• ZIP normal,
• ZIP protegido por palavra-passe com a palavra-passe incluída no corpo do email,
• ZIP aninhado dentro de outro ZIP,
• EICAR com uma extensão .exe para testar o tratamento de extensão e conteúdo incompatíveis,
• .tar.gz, arquivo recursivo de três níveis,
• .gz de ficheiro único sem invólucro tar,
• EICAR com quatro kilobytes de lixo anexado para testar a tolerância de offset.

Estes testes exercitam o desempacotamento de arquivos, o suporte de formatos e a extração de palavras-passe do corpo do email. Estas são capacidades de base para gateways de email modernos.

Categoria C: Tipos de ficheiros portadores (10 testes)

Esta categoria testa formatos de ficheiro comummente utilizados para transportar ou desencadear comportamentos maliciosos. O conjunto inclui:

• PDF com JavaScript incorporado e um acionador OpenAction,
• HTML smuggling utilizando URL.createObjectURL num blob codificado em Base64,
• SVG com um script onload e XHR remoto,
• Atalho .lnk do Windows com uma carga útil PowerShell no bloco de argumentos,
• Ficheiro poliglota PDF/ZIP,
• Aplicação HTML .hta com VBScript,
• Dropper JavaScript do Windows Script Host utilizando XMLHTTP e ADODB.Stream,
• Imagem ISO 9660 contendo EICAR,
• Ficheiro .url de Atalho da Internet,
• Ficheiro .iqy de Consulta da Internet do Excel.

Esta é uma das categorias mais discriminantes, porque os resultados dos produtos variam amplamente entre estes tipos de portadores.

Categoria D: Phishing por URL (10 testes)

Esta categoria mede a análise de URL em links diretos, redireccionamentos, ofuscação e localizações fora do corpo. Inclui:

• URL de phishing direto num TLD suspeito,
• Destino encurtado pelo Bitly,
• Cadeia de redireccionamento multi-hop através do redirecionador aberto do Google e t.co,
• Homóglifo IDN Punycode utilizando o "а" cirílico em раypal.com,
• URL oculto em HTML utilizando caracteres de largura zero e texto branco de um pixel,
• URL presente dentro de uma anotação PDF,
• URI transportando HTML codificado em Base64 com um link de phishing,
• URL extremamente longo com o host real enterrado na string de consulta,
• Parâmetro de redireccionamento aberto num host de aparência legítima,
• URL de cache AMP do Google que oculta o destino de phishing atrás de google.com/amp/s/.

Categoria E: Phishing por código QR (8 testes)

Esta categoria testa se os produtos podem extrair e inspecionar URLs de phishing ocultos dentro de códigos QR. O conjunto inclui:

• Códigos QR PNG inline para re-inscrição de MFA,
• DocuSign signing,
• Acesso a recibos de vencimento,
• Aviso de reenvio de encomendas,
• Acesso ao voicemail,
• Reinicialização de 2FA bancário.

Inclui também variantes de evasão: um código QR incorporado num PDF sem conteúdo QR no corpo do email, um código QR entregue como uma imagem envolta em SVG e um código QR definido como um URI de dados de imagem de fundo CSS em vez de uma etiqueta <img>.

Estes casos testam se o scanner examina imagens fora dos contentores HTML mais óbvios.

Categoria F: Falsificação de marca e domínio (9 testes)

Esta categoria testa a falsificação de remetente, domínio, marca e cabeçalho e inclui:

• Falsificação do nome de exibição a partir de uma conta genérica do Gmail,
• Domínio typosquat utilizando m1crosoft-account.com,
• Homóglifo IDN punycode para a Apple,
• Abuso de subdomínio através de microsoft.support-team-portal.tk,
• Imitação do kit de marca da Microsoft utilizando o logótipo real e o estilo Segoe UI,
• Incompatibilidade entre o cabeçalho Sender e From,
• Falsificação de banco local,
• Typosquatting de uma empresa de comércio eletrónico,
• Injeção de cabeçalho Authentication-Results onde o atacante adiciona valores forjados spf=pass, dkim=pass e dmarc=pass à mensagem.

O último caso testa se os analisadores a jusante confiam nos cabeçalhos de autenticação fornecidos pelo atacante, em vez de validarem os resultados reais a montante.

Categoria G: BEC e spear phishing sem cargas úteis (9 testes)

Esta categoria concentra-se na engenharia social sem anexos ou links maliciosos e inclui:

• Pedido de transferência bancária do CEO enviado de uma conta Gmail,
• Pretexto de alteração bancária de compromisso de email de fornecedor,
• Redireccionamento de salário em self-service do funcionário,
• Burla de cartão de presente online de um falsificador de CFO,
• Sequestro de conversa utilizando um assunto Re:Re: e cabeçalhos In-Reply-To forjados,
• Pedido de provas confidenciais de um falso escritório de advogados,
• Contacto de recrutador externo com um currículo em anexo,
• Pretexto de apropriação de autenticação de dois fatores do WhatsApp,
• Pretexto de informação privilegiada de F&A que combina linguagem de confidencialidade com urgência.

Categoria H: Extorsão e burlas (9 testes)

Esta categoria abrange padrões comuns de burla e extorsão. Os testes incluem:

• Email utilizando uma palavra-passe antiga vazada,
• Fatura falsa com um link de pagamento malicioso num PDF,
• Carta de adiantamento de honorários,
• Ameaça de confisco da autoridade fiscal,
• Extorsão de DDoS contra um website,
• Falso aviso de bloqueio do iCloud da Apple com um link de desbloqueio,
• Burla de taxas alfandegárias de transportadora,
• Extorsão de doxing,
• Burla do familiar retido na alfândega.

Categoria I: Phishing de qualidade GenAI (10 testes)

Esta categoria testa emails de phishing polidos que removem as pistas óbvias em que os sistemas mais antigos frequentemente se baseiam. O conjunto inclui:

• Email de re-verificação do helpdesk de TI com passos estruturados e um botão de marca,
• Pré-leitura falsa do conselho com linguagem de confidencialidade e um link de espaço de trabalho,
• Atualização de política de inquilino do Microsoft 365 exigindo novo consentimento no prazo de sete dias,
• Pedido de assinatura eletrónica do Código de Conduta de RH,
• Seguimento de sucesso do cliente após uma reunião fictícia,
• Falsificação de resumo de reunião,
• NDA legal de uma contraparte fictícia,
• Aviso crítico de CVE ao estilo CISO,
• Pré-visualização de resultados de relações com investidores com linguagem de embargo,
• Solucionador de conflitos de calendário exigindo início de sessão único SSO.

Todos os emails nesta categoria foram escritos para serem lidos como uma mensagem empresarial competente de um falante nativo de inglês. Os testes evitam deliberadamente os indicadores de phishing mais antigos, como gramática incorreta, frases estranhas e incompatibilidades óbvias de marca.

Categoria J: Técnicas de evasão (9 testes)

Esta categoria testa a ofuscação que pode quebrar a inspeção superficial de conteúdo e inclui:

• Caracteres Unicode de largura zero dentro de palavras-gatilho,
• Evasão de OCR onde toda a mensagem de phishing é renderizada como um PNG sem texto corporal analisável,
• Caractere de substituição da direita para a esquerda num nome de ficheiro de anexo,
• Nome de ficheiro com extensão dupla,
• Engodo oculto por CSS onde o texto renderizado parece benigno enquanto o DOM contém o conteúdo de phishing,
• Assunto com palavra codificada RFC 2047,
• URL com caracteres codificados em hexadecimal no host,
• Homóglifo no assunto utilizando "е" cirílico para "e" latino,
• URL oculto num atributo HTML data-* e recuperado no momento do clique por JavaScript inline.

Categoria K: Conjunto de controlo e teste de falsos positivos (8 testes)

O conjunto de controlo contém emails empresariais legítimos que devem passar sem aviso e incluem:

• Notificações internas da equipa,
• Relatórios de despesas mensais,
• Seguimentos de reuniões,
• Resumos semanais,
• Ficheiros ZIP protegidos por palavra-passe utilizados para partilha interna legítima,
• Lembretes de formação,
• Avisos de manutenção de TI,
• Emails de agendamento individual.

Qualquer produto que sinalize uma destas mensagens recebe uma penalização de falso positivo.

Arquitetura de dois remetentes

Muitos testes de segurança de email ignoram uma distinção importante entre ataques baseados em conteúdo e ataques baseados na identidade do remetente. Algumas ameaças são perigosas devido aos corpos das mensagens ou anexos, independentemente de quem as envia. Outras são perigosas porque o email afirma ser de alguém que não representa. Estas duas classes requerem configurações de envio diferentes.

Dividimos o benchmark em dois grupos de remetentes.

• Grupo L, Legítimo, 38 testes: Estes emails são enviados a partir de um serviço SMTP autenticado. O SPF, DKIM e DMARC estão alinhados corretamente para o domínio de envio. O nome de exibição muda consoante o teste, como Finanças, Helpdesk de TI ou o nome real do testador, mas o endereço From permanece o endereço do remetente autenticado.
  • O Grupo L é utilizado para categorias baseadas em conteúdo: K, B, C, J e os dois testes de phishing por URL, onde o URL é a ameaça, independentemente do remetente.
• Grupo S, Falsificação, 62 testes: Estes emails são enviados através de um relay SMTP permissivo que não impõe o alinhamento do domínio From. O endereço From é o que o caso de teste especifica, pelo que o alinhamento SPF e DMARC falha por conceção.
  • O Grupo S é utilizado para categorias baseadas na identidade do remetente: A, a maior parte de D, E, F, G, H e I.

Esta divisão reflete o comportamento real dos atacantes. Os operadores de phishing utilizam frequentemente servidores virtuais baratos e domínios descartáveis, porque os principais serviços SMTP na cloud, como o Gmail, o Office 365 e o AWS SES, com domínios verificados, impedem o envio de correio com um cabeçalho From desalinhado.

Figura 1: Figura que mostra como funciona um servidor de relay SMTP. Um servidor de relay SMTP é um servidor de correio de terceiros que recebe emails de um remetente e os reencaminha para servidores de destinatários fora do domínio do fornecedor de correio do remetente.

Ponderação de dificuldade

Cada teste tem uma classificação de dificuldade de 1 a 10. A classificação indica o quão difícil um produto de segurança de email competente deve considerar o teste.

• 1 a 2, trivial: São assinaturas de manual, sem ofuscação significativa. Falhá-los indica uma lacuna de deteção fundamental. Exemplos são spam farmacêutico, EICAR simples num ZIP e uma carta nigeriana 419.
• 3 a 4, bem conhecido: São padrões familiares que os produtos modernos devem detetar. Exemplos incluem JavaScript em PDF, sextortion com palavra-passe vazada e falsificação do nome de exibição do CEO.
• 5 a 6, intermédio: Estes casos requerem uma análise mais forte, como IA moderna, sandboxing ou visão computacional, incluindo HTML smuggling, URLs de homóglifo IDN e phishing por código QR inline.
• 7 a 8, avançado: São casos limite que os produtos mais fortes tratam de forma consistente, como poliglotas PDF/ZIP, cadeias de redireccionamento multi-hop, falsificação visual de kit de marca e engodos de evasão de OCR apenas com imagem.
• 9 a 10, especialista: São casos genuinamente difíceis, em que detetar é um bom resultado e falhar é comum em todo o setor. Exemplos incluem sequestro de conversa com thread forjado, um seguimento de sucesso do cliente com qualidade GenAI e um NDA legal falso de uma contraparte anteriormente desconhecida.
• Testes de controlo: As mensagens da categoria K devem passar. Qualquer deteção nesta categoria conta como um falso positivo.

As médias das categorias seguem a curva de dificuldade pretendida: A spam tem uma média de 2,2/10, B EICAR tem uma média de 2,8/10, H extorsão tem uma média de 3,8/10, C ficheiros portadores tem uma média de 5,0/10, F falsificação de marca e J evasão têm uma média de 5,6/10, D phishing por URL tem uma média de 5,8/10, E phishing por código QR tem uma média de 6,8/10, G BEC tem uma média de 6,8/10 e I phishing GenAI tem uma média de 8,2/10.

Pontuação do benchmark

Cada produto recebe um de cinco veredictos por teste:

• BLOQUEIO: A mensagem é colocada em quarentena ou rejeitada (2 pontos).
• AVISO: O produto injeta um banner, envia o email para o lixo ou remove o anexo (0,5 pontos).
• TARDIO: A mensagem é entregue primeiro e depois removida após a entrega (1 ponto).
• FALHA: A mensagem chega à caixa de correio sem aviso (0 pontos).
• FP: Uma mensagem do conjunto de controlo é incorretamente sinalizada (penalização de -2 pontos).

A taxa de deteção é calculada como o total de pontos dividido pela pontuação máxima possível para os testes de ataque, sendo depois expressa em percentagem. A pontuação máxima possível é igual ao número de testes de ataque multiplicado por dois.

A taxa de falsos positivos é reportada separadamente. Um produto que atinge 90% de deteção bloqueando correio legítimo representa um risco operacional maior do que um que atinge 80% de deteção sem falsos positivos.

Reprodutibilidade e ferramentas

O benchmark é executado a partir de um único script PHP autocontido. O script constrói 100 mensagens MIME em memória com um construtor multipartes personalizado. Gera as cargas úteis localmente, incluindo ZIPs, ZIPs encriptados com AES-256, ficheiros tar.gz, ficheiros .gz de ficheiro único, PDFs com ações JavaScript, amostras de HTML smuggling, ficheiros SVG com JavaScript onload, ficheiros .lnk do Windows com o CLSID de Shell Link correto e bloco de argumentos UTF-16LE, e uma imagem de disco ISO 9660 mínima.

O script envia cada teste através do caminho SMTP correto, com base no seu grupo de remetentes.

Cada mensagem inclui cabeçalhos de rastreio: X-Bench-Id, X-Bench-Run, X-Bench-Product, X-Bench-Category, X-Bench-Case e X-Bench-Group. Estes cabeçalhos tornam cada teste rastreável em caixas de correio, consolas de quarentena e registos de produtos.

Um equipamento de verificação separado executa mais de 1.800 verificações de sanidade antes da transmissão. Valida que cada teste tem os campos obrigatórios, cada classificação de dificuldade está dentro de [1, 10] ou zero para controlos, e o EICAR está presente e pode ser recuperado de cada anexo da categoria B, incluindo arquivos protegidos por palavra-passe e com aninhamento triplo.

O verificador também confirma que os PDFs contêm cabeçalhos %PDF- válidos e marcadores %%EOF, os PNGs contêm assinaturas válidas e chunks IEND, os SVGs são analisados como XML bem formado, o ficheiro LNK tem o CLSID de Shell Link correto e a string de argumento PowerShell esperada, o Descritor de Volume Primário ISO 9660 aparece no setor 16 com a assinatura \x01CD001 correta, e a inferência de grupo corresponde à divisão documentada do Grupo L e Grupo S.

Um terceiro script processa os CSVs por produto após a introdução manual do veredicto. Produz um relatório comparativo com uma tabela de veredictos lado a lado por teste, taxas de deteção por categoria, pontuações totais, percentagens de taxa de deteção, contagens de falsos positivos e três sub-tabelas forenses:

1. casos triviais mas falhados, definidos como dificuldade ≤ 2 com pelo menos uma FALHA
2. casos de alta dificuldade mas detetados, definidos como dificuldade ≥ 8 com pelo menos um BLOQUEIO
3. todos os incidentes de falsos positivos

Ética e restrições operacionais

Não foi criado nem transmitido qualquer malware real. Os anexos maliciosos utilizam a string de teste antivírus EICAR, um documento de teste de 68 caracteres definido pelo European Institute for Computer Antivirus Research, ou demonstradores benignos. Exemplos incluem um PDF cujo JavaScript chama app.alert, uma página HTML que utiliza URL.createObjectURL na string EICAR e um SVG cujo onload chama um endpoint inexistente.

Não foi utilizada qualquer infraestrutura de phishing ativa. Os URLs de teste resolvem para um de três destinos seguros: o TLD reservado .invalid definido na RFC 2606, domínios .tk de placeholder sob o nosso controlo que servem um 404, ou hosts de paródia como m1crosoft-account.com e xn--pple-43d.com registados para o benchmark e que não servem conteúdo.

Não foi implementada qualquer página de recolha de credenciais. Todas as caixas de correio de teste são propriedade e monitorizadas pela equipa de testes. As credenciais SMTP são limitadas ao benchmark e rotacionadas após cada envolvimento.

Limitações do benchmark de segurança de email

Excluímos várias categorias porque requerem infraestruturas ou condições que vão além de um benchmark único:

• Troca de URL no momento do clique (Time-of-click URL flipping): Este ataque entrega um URL que parece benigno no momento da entrega e mais tarde redireciona para um destino de phishing. Testá-lo exigiria um servidor HTTP com estado que alterasse o seu conteúdo, mais uma ação de clique do lado do utilizador.
• Apropriação de conta e phishing lateral: Isto exigiria o controlo de uma caixa de correio interna, o que estava fora da configuração do benchmark.
• Malware dinâmico com reconhecimento de sandbox: Amostras polimórficas reais que detetam a virtualização e evitam a detonação foram excluídas por razões éticas.
• Páginas de destino de kits de phishing ativos: Todos os URLs resolvem para hosts inertes. O benchmark não testa a experiência pós-clique.

O remetente do Grupo S requer um relay SMTP que permita cabeçalhos From desalinhados. Os serviços SMTP na cloud normalmente rejeitam estes testes ao nível da rede. Quando um relay permissivo não está disponível, o benchmark degrada para o Grupo L, o que deixa 38 testes baseados em conteúdo.

Perguntas frequentes

Cite esta pesquisa

Escolha o formato adequado ao local onde você vai publicar. Colar a versão com link no seu CMS preserva o backlink.

@misc{dogan2026,
  author = {Dogan, Sedat},
  title  = {{Soluções de segurança de email: Acronis, Sophos & Barracuda}},
  year   = {2026},
  month  = jun,
  howpublished    = {\url{https://aimultiple.com/email-security-solutions}},
  note   = {AIMultiple. Acessado em 22 Junho 2026}
}

Sedat Dogan

CTO

Siga-nos

Sedat é um líder em tecnologia e segurança da informação com experiência em desenvolvimento de software, coleta de dados web e cibersegurança. Sedat: - Possui 20 anos de experiência como hacker ético e guru de desenvolvimento, com vasta expertise em linguagens de programação e arquiteturas de servidores. - É consultor de executivos de alto nível e membros do conselho de administração de empresas com operações tecnológicas de alto tráfego e missão crítica, como infraestrutura de pagamentos. - Possui grande perspicácia comercial, além de sua expertise técnica.

Ver perfil completo

Seja o primeiro a comentar

Seu endereço de e-mail não será publicado. Todos os campos são obrigatórios. Os comentários são deixados em seu idioma original.

Nome

Endereço de email

Comentário

0/450

Postar comentário