01 — MONITORIZAÇÃO LEXICAL

Uma letra muda tudo.

Deteção pedagógica de possíveis imitações de domínios. Compara cada observação com a lista de referências aceites pela instituição.

Domínios observados—distintos nos registos

Domínios aceites—referências institucionais

Alertas lexicais—candidatos a verificar

Referências divergentes—referência escolhida pelas métricas

Resultados do exercício e dos logs

—

DOMÍNIO	OCORRÊNCIAS	MAIS PRÓXIMO (LEV)	DIST.	MAIS PRÓXIMO (JW)	JW %	DISCORDAM?	AVALIAÇÃO	DETALHES

TODO 3 · Comparação simultânea dos limiares

O número de alertas não mede, por si só, a precisão.

LIMIAR	AUTORIZADOS	ALERTAS LEXICAIS	NÃO COINCIDENTES	INTERPRETAÇÃO

As contagens são recalculadas a partir das distâncias à lista institucional atual. Um alerta não confirma phishing; um domínio não coincidente também pode ser malicioso.

TESTE RÁPIDO

Analisa qualquer domínio

Não há consulta de reputação, DNS ou website: analisamos somente o texto.

Introduz um domínio e executa uma comparação.

02 — ALGORITMO PASSO A PASSO

A matriz, sem mistérios.

Seleciona qualquer célula para observar os valores de cima, esquerda e diagonal. O caminho ótimo aparece assinalado.

Programação dinâmica

Distância —

Caminho ótimoCélula selecionada

EXPLICAÇÃO DA CÉLULA

Seleciona uma célula

O valor de cada célula é o custo mínimo para transformar o prefixo da linha no prefixo da coluna.

Operações mínimas

Como funcionam os três caminhos?

↑ Cima + 1

Apaga um caráter da origem.

← Esquerda + 1

Insere um caráter no destino.

↖ Diagonal + 0 / 1

Mantém um caráter igual (0) ou substitui um diferente (1).

Regra: a célula atual recebe sempre o menor dos três custos. A distância final está no canto inferior direito. A matriz didática distingue maiúsculas de minúsculas; o motor de análise de DNS normaliza os domínios.

TODO 02 — SEGUNDO ALGORITMO

Jaro-Winkler explicado passo a passo

Ao contrário de Levenshtein, aqui analisamos correspondências dentro de uma janela, alterações de ordem e o prefixo comum. Introduz dois domínios para observar cada parcela da fórmula.

Executa a comparação para ver as correspondências, as transposições, o prefixo e a percentagem.

Esta demonstração conserva as maiúsculas/minúsculas para estudo. O painel de análise de DNS normaliza os nomes, porque os hostnames DNS não distinguem maiúsculas.

03 — POLÍTICA INSTITUCIONAL

Aceites pela instituição.

Acrescenta ou remove domínios de referência. As alterações são persistidas no SQLite local ou no PostgreSQL configurado. Não equivalem a uma auditoria de reputação.

Lista de domínios aceites

—

Segurança operacional

Não exponhas este protótipo diretamente na Internet. Não inclui login, permissões por utilizador, TLS nem registo de aprovação. Para produção, são requisitos obrigatórios adicionais.

04 — RECOLHA E TRIAGEM

Dos logs aos alertas.

Importa um CSV com hostname/URL ou um log Apache com pedidos a URLs absolutas. O processamento guarda apenas domínios e contagens.

Carregar registos

FICHEIRO CSV, LOG OU TXT · ATÉ 1 MB

Nenhum ficheiro importado nesta sessão.

Repor os dados originais da demonstração

FORMATOS SUPORTADOS

Como preparar os logs

CSV: uma coluna com um destes nomes: dominio, domain, host, hostname, url ou request_url.

data_hora,ip,url,status
2026-10-06T08:00:00Z,192.0.2.10,https://paypa1.com/login,200
2026-10-06T08:00:01Z,192.0.2.11,https://ctt.pt/rastreio,200

Apache: apenas entradas que incluam uma URL absoluta permitem identificar o hostname. Pedidos para /login sem campo Host não permitem inferir o domínio e são ignorados.

Os IPs e o texto original das linhas não são guardados. Os dados de demonstração são fictícios.

05 — LEITURA GUIADA DE PYTHON

Cada linha tem um porquê.

Escolhe um ficheiro, clica em qualquer linha e lê a explicação retirada dos comentários técnicos. Ideal para os dois elementos treinarem a apresentação.

● ● ●par_5.pyClica numa linha ↓

EXPLICAÇÃO DIDÁTICA

Seleciona uma linha

Esta área esclarece a função da linha assinalada.

Como explicar oralmente?

1. O que faz? Identifica a instrução Python.
2. Como funciona? Indica os dados que entram e saem.
3. Porque está aqui? Relaciona-a com o exercício e os TODO.

O código executável está no próprio pacote. Este painel não executa código introduzido pelo utilizador.

07 — EXPERIÊNCIA PURPLE TEAM / AMOSTRA ORIGINAL

Um algoritmo só não chega.

Comparação reproduzível do conjunto de domínios. O domínio original (referência Levenshtein) aparece sempre na primeira coluna. O bónus Winkler é mostrado separadamente.

Regras da experiência

Levenshtein ≤ 2 · Jaro-Winkler ≥ 90% · Hamming ≤ 2, apenas se os nomes tiverem igual comprimento. E exige ambos os algoritmos. OU aceita qualquer um. Os nomes autorizados não geram alerta, mesmo que a semelhança seja 100%. Os limiares JW e Hamming são opções experimentais do grupo, não exigências da formadora.

Jaro → Winkler: JW = Jaro + l × 0,1 × (1 − Jaro), com até 4 caracteres iniciais iguais e Jaro superior a 70%. Hamming N/A significa comprimentos diferentes; não significa distância zero.

Levenshtein ≤ 2—alertas base

Lev. E Jaro-Winkler—alertas por concordância

Lev. OU Jaro-Winkler—alertas por abrangência

Lev. E Hamming—não aplicável em comprimentos diferentes

Tabela comparativa dos 20 domínios

—

ORIGINAL / REFERÊNCIA LEV.	DOMÍNIO ANALISADO	LEV.	JARO	BÓNUS W.	JW FINAL	HAMMING	LEV E JW	LEV OU JW	LEV E HAM.	HIPÓTESE

A primeira coluna é a referência mais próxima por Levenshtein, não uma confirmação de que o domínio analisado foi criado para a imitar. A métrica Jaro-Winkler no quadro compara o mesmo par da coluna inicial; no TODO 2, o algoritmo também procura independentemente a sua própria melhor referência.

Balanço: quantos alertas e quantos erros possíveis?

Avaliação pedagógica hipotética

MÉTODO	ALERTAS	IMITAÇÕES SINALIZADAS*	FALSOS POSITIVOS*	IMITAÇÕES OMITIDAS*

* Estes três indicadores dependem de rótulos pedagógicos assumidos para os 20 domínios: 7 autorizados, 10 possíveis imitações e 3 domínios tratados como benignos. Não constituem confirmação forense, taxa de precisão nem prova de phishing. Se a lista autorizada ou os dados forem alterados, os totais hipotéticos são ocultados.

Jaro sem bónus: ctt.pt → rtp.pt

Janela = 2; correspondências = 4. As sequências emparelhadas diferem em 2 posições, por isso transposições = 2 ÷ 2 = 1. Jaro = (4/6 + 4/6 + 3/4) / 3 = 69,44%. Como o primeiro carácter difere, bónus Winkler = 0.

Winkler com bónus: mbway.pt → mbvvay.pt

Jaro = 88,43%. Prefixo comum «mb» (2 letras) → bónus = 2 × 0,1 × (1 − 0,884259) = +2,31 pp; JW final = 90,74%.

Conclusão Purple Team: a condição E reduz falsos alertas, mas pode omitir imitações. A condição OU alarga a cobertura e exige triagem posterior. DNS, reputação, idade do domínio, contexto do email e evidência operacional completam a investigação; sem isso, não se pode afirmar que um domínio é malicioso.

06 — TEORIA COMPLETA · UC01482 / PAR 5

Perceber para explicar.

Respostas completas às três perguntas da formadora, demonstrações calculadas, exemplos do CSV e ligação direta às experiências interativas. O objetivo não é decorar definições: é saber demonstrar cada conclusão.

01 · Levenshtein e matriz 02 · Algoritmos e comparação 03 · Typosquatting e casos reais 04 · Desafio e limiares 05 · Guião e perguntas

MISSÃO — MARESIA DIGITAL

O que estamos a investigar?

A empresa fictícia recebeu ligações para domínios legítimos e para nomes que se parecem com os de parceiros conhecidos. O ficheiro dominios_links.csv contém 20 domínios; o esqueleto par_5.py contém sete referências autorizadas. Precisamos de comparar cada observação com todas as referências e justificar o que encontramos.

TODO 1Contar alterações com Levenshtein

TODO 2Comparar com Jaro-Winkler

TODO 3Aplicar limiares 1, 2 e 3

A classificação “legítimo” significa apenas que o domínio consta da lista institucional. Nenhuma métrica de texto confirma, sozinha, se existe phishing.

PERGUNTA TEÓRICA 01

Distância de Levenshtein: da ideia à matriz

Definição. A distância de Levenshtein é o número mínimo de operações para transformar uma string noutra. Com os custos padrão, cada inserção, eliminação ou substituição custa 1. Não conta simplesmente as letras diferentes na mesma posição: procura a sequência mais económica de transformações.

Inserirpato → pratoAcrescentar «r»: custo 1.

Eliminarprato → patoRemover «r»: custo 1.

Substituirgato → ratoTrocar «g» por «r»: custo 1.

Exemplo do ficheiro: paypal.com → paypa1.com

Os dois domínios possuem 10 caracteres. As primeiras cinco letras paypa coincidem. Na sexta posição, o domínio de referência tem l (L minúsculo) e o domínio observado tem 1 (algarismo um). Basta uma substituição; a distância é 1.

Domínio autorizadopaypal.com

→

Domínio observadopaypa1.com

1edição mínima

Como preencher a matriz, célula por célula?

Preparar. Escrevemos a origem nas linhas, o destino nas colunas, e acrescentamos uma posição vazia ∅ em ambos.
Inicializar. Na primeira linha escrevemos 0,1,2… (inserções desde o vazio). Na primeira coluna escrevemos 0,1,2… (eliminações).
Calcular. Para cada célula, calculamos três alternativas: cima + 1 (apagar), esquerda + 1 (inserir), diagonal + custo (substituir se forem diferentes, manter se coincidirem).
Escolher. Guardamos o mínimo dos três custos. Um empate pode originar vários caminhos ótimos, mas a distância final será igual.
Ler o resultado. O canto inferior direito indica o menor número de operações para transformar a palavra inteira.

Regra de programação dinâmicaD(i,j) = min[D(i−1,j)+1; D(i,j−1)+1; D(i−1,j−1)+c]c = 0 quando os caracteres coincidem; c = 1 quando são diferentes.

MATRIZ COMPLETA · paypal.com → paypa1.com (11 × 11 células)

Segue a diagonal assinalada. Até paypa, o custo é 0. Na posição l / 1, o custo passa a 1. As letras seguintes coincidem e o valor mantém-se até ao fim.

↘	∅	p	a	y	p	a	1	.	c	o	m
∅	0	1	2	3	4	5	6	7	8	9	10
p	1	0	1	2	3	4	5	6	7	8	9
a	2	1	0	1	2	3	4	5	6	7	8
y	3	2	1	0	1	2	3	4	5	6	7
p	4	3	2	1	0	1	2	3	4	5	6
a	5	4	3	2	1	0	1	2	3	4	5
l	6	5	4	3	2	1	1	2	3	4	5
.	7	6	5	4	3	2	2	1	2	3	4
c	8	7	6	5	4	3	3	2	1	2	3
o	9	8	7	6	5	4	4	3	2	1	2
m	10	9	8	7	6	5	5	4	3	2	1

A célula de substituição está em destaque e a última célula vale 1. Esta matriz inclui também a linha e a coluna do prefixo vazio.

Como explicar oralmente

“Construímos uma tabela de prefixos. Em cada célula comparamos três possibilidades e escolhemos o menor custo. Em paypal.com e paypa1.com, uma única substituição de «l» por «1» chega para tornar os textos iguais.”

PERGUNTA TEÓRICA 02

Levenshtein, Jaro-Winkler e Hamming — quando usar cada um?

São métricas com perguntas diferentes. A primeira conta operações, a segunda mede semelhança tendo em conta correspondências próximas e o prefixo, e a terceira conta posições diferentes entre sequências do mesmo comprimento.

Métrica	Resultado	Melhor valor	O que deteta	Limitação essencial
Levenshtein	Distância inteira	0	Inserção, eliminação e substituição; comprimentos diferentes	Não percebe que «rn» se parece visualmente com «m»
Jaro-Winkler	Similaridade entre 0 e 1	1,00	Correspondências próximas, ordem e prefixo comum	Um prefixo partilhado pode aumentar a semelhança de nomes não relacionados
Hamming	Distância inteira	0	Posições diferentes em strings de igual tamanho	Não está definido, na versão clássica, para comprimentos diferentes

Jaro-Winkler, com as contas

Começamos pelo índice de Jaro: contam-se caracteres correspondentes dentro de uma janela de posições, as transposições e os comprimentos dos textos. Depois Winkler acrescenta um bónus pelo prefixo inicial coincidente (até quatro caracteres, na parametrização padrão).

FórmulaJ = [m/|s₁| + m/|s₂| + (m−t)/m] / 3JW = J + ℓ × 0,1 × (1−J)m = correspondências; t = transposições; ℓ = comprimento do prefixo comum, máximo 4. O bónus padrão só é aplicado se J > 0,7.

Para paypal.com → paypa1.com, temos 9 correspondências, 0 transposições, comprimentos 10 e 10, e prefixo comum de 4 caracteres:

① Jaro(9/10 + 9/10 + 9/9)/3 = 0,93333

② Bónus Winkler4 × 0,1 × (1−0,93333) = 0,02667

③ Resultado0,93333 + 0,02667 = 0,96000 = 96%

Hamming, explicado sem complicações

Em paypal.com e paypa1.com, os dois textos têm comprimento 10 e só a sexta posição difere: Hamming = 1. É útil para comparar sequências alinhadas e de tamanho igual.

Mas mbway.pt e mbvvay.pt têm comprimentos diferentes: não se aplica Hamming clássico. Aqui Levenshtein continua a funcionar (distância 2).

Qual usar no nosso projeto?

Levenshtein: obrigatório para classificar pelos limiares 1, 2 e 3. Jaro-Winkler: obrigatório para comparar e identificar discordâncias. Hamming: apenas teórico, como exige o enunciado, ou demonstração suplementar.

Não confundas os sentidos: Levenshtein 0 = igual (menor é melhor). Jaro-Winkler 1 = igual (maior é melhor). Os seus valores não podem ser comparados diretamente como se tivessem a mesma unidade.

Exemplo de discordância do CSV

No domínio sapo.pt, Levenshtein escolhe cgd.pt (distância 4) como referência mais próxima, enquanto Jaro-Winkler escolhe mbway.pt (semelhança de cerca de 69,05%). Isto não significa que um algoritmo esteja errado: medem coisas diferentes e nenhuma destas escolhas prova um ataque.

Bibliotecas Python que conhecemos

rapidfuzz — utilizada no projeto; jellyfish — Levenshtein e Jaro-Winkler; textdistance — grande variedade de métricas; Levenshtein (antigo python-Levenshtein) — operações de edição. O módulo difflib permite comparar sequências, mas SequenceMatcher não calcula diretamente a distância clássica de Levenshtein.

PERGUNTA TEÓRICA 03

Typosquatting: como um domínio parecido pode levar a phishing

Typosquatting consiste em registar ou utilizar nomes de domínio com pequenas alterações gráficas em relação a marcas ou serviços conhecidos, aproveitando erros de escrita ou confusões visuais. O nome pode ser usado para atrair vítimas a páginas falsas, distribuir software malicioso ou enviar mensagens fraudulentas. Nem todo o domínio parecido é malicioso.

01 · Isco

Email ou mensagem parece vir de um serviço conhecido

→

02 · Domínio parecido

O utilizador vê uma grafia quase igual à verdadeira

→

03 · Página falsa

Pedido de início de sessão ou pagamento

→

04 · Impacto

Possível roubo de credenciais ou dinheiro

Truques presentes no ficheiro original

Trocar «m» por «rn»rnaresiadigital.pt / maresiadigital.pt

Visualmente semelhante, mas Levenshtein conta duas edições: inserir/substituir ou equivalente.

Trocar «w» por «vv»mbvvay.pt / mbway.pt

A aparência engana: a distância também é 2, não 1.

Trocar TLDmaresiadigital.com / maresiadigital.pt

A mudança de extensão acrescenta três edições. Não basta olhar apenas para o nome principal.

Imitação mais distantecgd-pt.com / cgd.pt

Distância 5: fica fora dos limiares 1–3 apesar de lembrar o serviço legítimo. Não há confirmação de ataque apenas pelo texto.

Dois casos reais documentados (fontes externas ao enunciado)

PROOFPOINT · 27 JULHO 2017

Litecoin — sites falsos por typosquatting

A investigação descreveu domínios como ltecoin[.]org a imitar litecoin.org. O caso envolveu páginas que imitavam a plataforma e distribuição de uma carteira maliciosa. Uma omissão de i resulta em Levenshtein = 1.

Ler investigação da Proofpoint ↗

AREA 1 / CLOUDFLARE · 20 JULHO 2020

Fundação Gates — email fraudulento

Uma campanha pediu donativos em criptomoeda, usando gatesfoundatlon[.]com para se fazer passar pelo domínio gatesfoundation.org. Neste par, Levenshtein = 4 e Jaro-Winkler aproxima-se de 93,68%: excelente exemplo de limite do limiar 3.

Ler investigação republicada pela Cloudflare ↗

O que concluo destes dois casos?

Os ataques documentados mostram que pequenos erros de escrita ou alterações visuais podem enganar. Mas uma distância superior a 3 não significa segurança. Devemos tratar as pontuações como sinais de triagem e cruzá-las com o contexto do email, destino real do link, DNS e evidências adicionais.

DESAFIO PRÁTICO · TODO 03

Escolher o limiar sem inventar certezas

O limiar é o número máximo de edições admitidas para sinalizar um domínio observado que não consta exatamente da lista autorizada. Para cumprir o enunciado, testamos os valores 1, 2 e 3 e mantemos Jaro-Winkler como métrica de comparação, sem alterar a regra académica de classificação.

Limiar	Alertas no CSV original	Exemplos	Leitura crítica
1	5	`paypa1.com`	Mais restritivo; deixa escapar `mbvvay.pt` (2).
2	9	`mbvvay.pt`, `rnaresiadigital.pt`	Deteta mais imitações, mas sinaliza também `rtp.pt` por proximidade a `ctt.pt`.
3	10	`maresiadigital.com`	Adiciona mais um candidato; continuam a escapar nomes como `cgd-pt.com` (5).

Estes valores 5/9/10 correspondem exclusivamente aos 20 registos e sete referências do ficheiro académico original. Na aplicação, a contagem muda quando editamos a base de dados ou importamos novos logs.

Falso positivo (potencial)

rtp.pt é um domínio independente de ctt.pt, mas tem Levenshtein = 2. Um classificador lexical que o marcasse como fraude estaria a produzir um falso positivo. O nosso programa assinala somente uma suspeita lexical.

Falso negativo (potencial)

cgd-pt.com lembra cgd.pt mas tem distância 5, pelo que os limiares 1–3 não o sinalizam. Sem uma confirmação externa de comportamento malicioso, chamamos-lhe possível ataque não detetado, não ataque comprovado.

Decisão fundamentada: escolhemos limiar 2 como compromisso pedagógico inicial. Apanha as imitações rn/m e vv/w, que o limiar 1 falha, mas exige investigação manual dos alertas. Não é um limiar universalmente ótimo; seriam precisos dados rotulados para medir precisão, recall e falsos positivos.

Questão avançada que demonstra excelência

Porquê comparar também a dimensão dos domínios? Uma distância de 2 entre dois nomes curtos pode representar uma alteração proporcionalmente muito maior do que 2 num nome comprido. A distância normalizada ajuda na análise, mas não substitui os limiares absolutos pedidos pela formadora.

GUIA PARA OS DOIS ELEMENTOS DO PAR

Como apresentar e defender o trabalho

Ordem sugerida: explicar a missão, responder às três perguntas teóricas, demonstrar os TODO 1–3, comparar os alertas, mostrar um falso positivo e um possível falso negativo e terminar com a ligação ao MaresiaLab e aos logs.

Elemento A — teoria e raciocínio

O que é distância lexical e por que a usamos?
Explicar a matriz paypal.com → paypa1.com, célula a célula.
Explicar as diferenças entre Levenshtein, Jaro-Winkler e Hamming.
Dar os dois exemplos reais com fontes.

Elemento B — Python e investigação

Abrir par_5.py e explicar os ciclos for e a lista LEGITIMOS.
Mostrar os dois resultados e as referências que discordam.
Experimentar os limiares e justificar a escolha.
Mostrar como a base PostgreSQL e os logs ampliam o exercício.

A divisão é apenas para ensaio: segundo o enunciado, ambos têm de conseguir responder sobre qualquer parte do código.

Treino de perguntas da formadora

Porque é que a última célula da matriz é o resultado?

Cada célula representa o custo mínimo para transformar um prefixo da origem num prefixo do destino. A última célula corresponde às duas strings completas.

Jaro-Winkler é uma distância?

Neste trabalho usamos JaroWinkler.similarity, que devolve semelhança entre 0 e 1. Uma distância pode ser definida como 1 menos a semelhança; por isso precisamos de indicar qual das duas funções usamos.

O que significa uma discordância?

Levenshtein e Jaro-Winkler podem indicar referências diferentes porque dão importância a propriedades distintas do texto. Não constitui prova de fraude nem erro do algoritmo.

O limiar 2 é o melhor matematicamente?

Não. Foi uma escolha operacional demonstrável no CSV. Sem rótulos fiáveis de “malicioso” e “benigno”, não conseguimos provar estatisticamente o melhor limiar.

Podemos usar Hamming para «mbway.pt» e «mbvvay.pt»?

Não na definição clássica, porque os textos têm comprimentos diferentes. Levenshtein funciona e vale 2.

O que garante a lista de domínios autorizados?

Indica que a instituição aceitou aquela referência na configuração do laboratório. Não garante segurança futura, nem prova que uma ligação ou um email seja genuíno.

Porque não basta olhar para o URL completo?

O domínio efetivo depende do hostname do URL analisado; caminhos, parâmetros, nomes de subdomínios e o texto antes do símbolo @ podem induzir em erro. É preciso extrair o host correto antes de comparar.

Fecho para a apresentação

“Aprendemos que Levenshtein identifica alterações mínimas e Jaro-Winkler mede semelhanças de outra forma. Com os dois algoritmos e os limiares conseguimos produzir alertas explicáveis, mas também vimos falsos alarmes e nomes potencialmente perigosos que podem escapar. A aplicação web amplia o trabalho: permite alterar a lista institucional, importar logs e justificar matematicamente cada resultado.”

Fontes: Enunciado da UC01482, Tema 5, págs. 12–13; documentação oficial RapidFuzz Levenshtein e Jaro-Winkler; investigações da Proofpoint (2017) e da Cloudflare/Area 1 (2020).

↘	∅	p	a	y	p	a	1	.	c	o	m
∅	0	1	2	3	4	5	6	7	8	9	10
p	1	0	1	2	3	4	5	6	7	8	9
a	2	1	0	1	2	3	4	5	6	7	8
y	3	2	1	0	1	2	3	4	5	6	7
p	4	3	2	1	0	1	2	3	4	5	6
a	5	4	3	2	1	0	1	2	3	4	5
l	6	5	4	3	2	1	1	2	3	4	5
.	7	6	5	4	3	2	2	1	2	3	4
c	8	7	6	5	4	3	3	2	1	2	3
o	9	8	7	6	5	4	4	3	2	1	2
m	10	9	8	7	6	5	5	4	3	2	1

↘	∅	p	a	y	p	a	1	.	c	o	m
∅	0	1	2	3	4	5	6	7	8	9	10
p	1	0	1	2	3	4	5	6	7	8	9
a	2	1	0	1	2	3	4	5	6	7	8
y	3	2	1	0	1	2	3	4	5	6	7
p	4	3	2	1	0	1	2	3	4	5	6
a	5	4	3	2	1	0	1	2	3	4	5
l	6	5	4	3	2	1	1	2	3	4	5
.	7	6	5	4	3	2	2	1	2	3	4
c	8	7	6	5	4	3	3	2	1	2	3
o	9	8	7	6	5	4	4	3	2	1	2
m	10	9	8	7	6	5	5	4	3	2	1

Uma letra muda tudo.

Resultados do exercício e dos logs

TODO 3 · Comparação simultânea dos limiares

Analisa qualquer domínio

A matriz, sem mistérios.

Programação dinâmica

Seleciona uma célula

Operações mínimas

Como funcionam os três caminhos?

Jaro-Winkler explicado passo a passo

Aceites pela instituição.

Autorizar uma referência

Lista de domínios aceites

Dos logs aos alertas.

Carregar registos

Como preparar os logs

Cada linha tem um porquê.

Seleciona uma linha

Como explicar oralmente?

Um algoritmo só não chega.

Regras da experiência

Tabela comparativa dos 20 domínios

Balanço: quantos alertas e quantos erros possíveis?

Jaro sem bónus: ctt.pt → rtp.pt

Winkler com bónus: mbway.pt → mbvvay.pt

Perceber para explicar.

O que estamos a investigar?

Distância de Levenshtein: da ideia à matriz

Exemplo do ficheiro: paypal.com → paypa1.com

Como preencher a matriz, célula por célula?

Levenshtein, Jaro-Winkler e Hamming — quando usar cada um?

Jaro-Winkler, com as contas

Hamming, explicado sem complicações

Qual usar no nosso projeto?

Exemplo de discordância do CSV

Typosquatting: como um domínio parecido pode levar a phishing

Truques presentes no ficheiro original

Dois casos reais documentados (fontes externas ao enunciado)

Litecoin — sites falsos por typosquatting

Fundação Gates — email fraudulento

Escolher o limiar sem inventar certezas

Falso positivo (potencial)

Falso negativo (potencial)

Como apresentar e defender o trabalho

Elemento A — teoria e raciocínio

Elemento B — Python e investigação

Treino de perguntas da formadora

↘	∅	p	a	y	p	a	1	.	c	o	m
∅	0	1	2	3	4	5	6	7	8	9	10
p	1	0	1	2	3	4	5	6	7	8	9
a	2	1	0	1	2	3	4	5	6	7	8
y	3	2	1	0	1	2	3	4	5	6	7
p	4	3	2	1	0	1	2	3	4	5	6
a	5	4	3	2	1	0	1	2	3	4	5
l	6	5	4	3	2	1	1	2	3	4	5
.	7	6	5	4	3	2	2	1	2	3	4
c	8	7	6	5	4	3	3	2	1	2	3
o	9	8	7	6	5	4	4	3	2	1	2
m	10	9	8	7	6	5	5	4	3	2	1