Programas que sofrem ataques baseados em Programação Orientada a Retorno (ROP) tendem a apresentar traços de execução com alta densidade de operações de retorno. A partir dessa observação, diversos pesquisadores propuseram formas de detectar ataques baseadas na monitoração da frequência de execução de instruções de retorno. Essas soluções utilizam limiares universais: a mesma densidade de retornos caracteriza ataques em diferentes aplicações. Este artigo mostra que limiares universais são fáceis de evadir. Como alternativa, apresenta-se um algoritmo que estima estaticamente a maior densidade de instruções de retorno possível durante a execução de um programa. Essa análise de código encontra limiares de detecção específicos para cada aplicação, dificultando assim, a realização de ataques baseados em ROP.