SiNMULI: Novel Signed Network Approach for Malicious URL Identification

Das Internet ist ein riesiges, miteinander vernetztes Informationsnetz, aber es ist auch ein Ort, an dem Gefahren direkt vor Augen lauern. Jeden Tag klicken Menschen auf Links, die zu Websites führen, die darauf ausgelegt sind, Passwörter zu stehlen, Betrug zu verbreiten oder schädliche Software zu installieren. Seit Jahrzehnten versuchen Sicherheitsexperten, diese Bedrohungen zu stoppen, indem sie Listen bekannter schlechter Adressen erstellen oder Computer lehren, verdächtige Muster im Text einer Webadresse zu erkennen. Diese Methoden funktionieren gut bei bekannten Bedrohungen, scheitern aber oft, wenn Angreifer neue, geschickt getarnte Seiten erstellen, die exakt wie das Original aussehen. Um dies zu lösen, beginnen Forscher, das Internet nicht nur als eine Sammlung einzelner Seiten zu betrachten, sondern als ein riesiges soziales Netzwerk, in dem jede Website eine Beziehung zu jeder anderen Website hat. Genau wie Menschen in einer Gemeinschaft einigen Nachbarn vertrauen und anderen misstrauen, verlinken Websites einige Seiten und meiden andere. Durch das Studium dieser Verbindungen ist es möglich, die verborgene Struktur des Webs zu sehen und die böswilligen Akteure zu entlarven, die nicht hineinpassen.

Ein Forschungsteam am Indian Institute of Information Technology in Guwahati hat einen neuen Weg entwickelt, diese Idee zu nutzen, um bösartige Websites zu erfassen. Sie nennen ihre Methode SiNMULI, ein System, das das Internet wie ein signiertes Netzwerk behandelt. In diesem System ist jede Website ein Punkt, und jeder Link zwischen ihnen ist eine Linie, die eine spezifische Bedeutung trägt. Wenn eine vertrauenswürdige, sichere Website zu einer anderen Seite verlinkt, wird diese Verbindung als positiv markiert, wie ein Vertrauensbeweis. Wenn eine bekannte schlechte Website zu einer anderen Seite verlinkt, wird diese Verbindung als negativ markiert, was Gefahr signalisiert. Die Forscher erkannten, dass die meisten bestehenden Sicherheitstools diese Beziehungen ignorieren und stattdessen auf den Inhalt einer einzelnen Seite fokussieren. Im Gegensatz dazu betrachtet SiNMULI das Gesamtbild und nutzt die Logik der sozialen Balance, um zu bestimmen, welche Seiten sicher und welche nicht sind. Die Kernidee ist einfach: In einem stabilen Netzwerk neigen Freunde dazu, mit anderen Freunden zu verlinken, und Feinde neigen dazu, mit anderen Feinden zu verlinken. Wenn eine Website von bekannten sicheren Seiten umgeben ist, ist sie wahrscheinlich sicher. Wenn sie von bekannten schlechten Seiten umgeben ist, ist sie wahrscheinlich gefährlich.

Um diese Idee zu testen, begannen die Forscher mit einer großen Sammlung bekannter sicherer und bekannter gefährlicher Websites. Sie nutzten diese als Ausgangspunkt, um das weitere Web zu erkunden, indem sie den Links folgten, um neue, unbekannte Websites zu entdecken. Während sie das Internet durchkrieften (crawlen), erstellten sie eine massive Karte der Verbindungen und zeichneten auf, welche Seiten auf welche verlinkten. Sie wandten dann einen Satz Regeln an, die auf der Theorie der sozialen Balance basieren, auf diese Karte. Diese Regeln ermöglichten es dem System, die Natur unbekannter Links abzuleiten. Wenn zum Beispiel eine bekannte sichere Seite zu einer unbekannten Seite verlinkt und diese unbekannte Seite zu einer anderen bekannten sicheren Seite verlinkt, kann das System schlussfolgern, dass die unbekannte Seite wahrscheinlich sicher ist. Umgekehrt, wenn eine unbekannte Seite von bekannten schlechten Seiten verlinkt wird, markiert das System sie als gefährlich. Die Forscher mussten kein komplexes Computermodell mit Tausenden von Beispielen trainieren; stattdessen verließen sie sich auf die natürliche Struktur des Webs selbst, um die Wahrheit zu enthüllen.

Die Ergebnisse dieses Ansatzes waren beeindruckend. Bei Tests mit realen Daten identifizierte das System bösartige Websites mit einer Genauigkeit von 99,89 Prozent. Es war in der Lage, fast jede einzelne schlechte Seite zu entdecken, während es sehr wenige Fehler bei sicheren Seiten machte. Diese Leistung entspricht konsistent oder übertrifft traditionelle Methoden, die auf maschinellem Lernen oder tiefen neuronalen Netzen basieren, welche oft Schwierigkeiten haben, wenn sie mit neuen oder getarnten Bedrohungen konfrontiert werden. Eine der wichtigsten Erkenntnisse war, dass das System funktioniert, ohne dass eine große Menge an Trainingsdaten benötigt wird. Da es auf der bestehenden Struktur der Links zwischen den Websites basiert, kann es neue Bedrohungen sofort identifizieren, selbst wenn es sie noch nie zuvor gesehen hat. Die Forscher merkten jedoch an, dass die aktuelle Pipeline offline operiert; das Erstellen des vollständigen signierten Netzwerks und das Ausführen der iterativen balance-basierten Label-Propagation sind rechenintensiv, was eine Echtzeit-Einsatzfähigkeit ohne weitere technische Verbesserungen erschwert. Dies macht das System in Bezug auf die Trainingsanforderungen leichtgewichtig, aber der Analyseprozess selbst erfordert erhebliche Zeit und Rechenleistung.

Die Forscher fanden auch heraus, dass sich bösartige Websites im Netzwerk anders verhalten als sichere Websites. Sichere Websites sind tendenziell gut vernetzt und bilden große, dichte Cluster, in denen sie mit vielen anderen vertrauenswürdigen Seiten verlinken. Bösartige Websites hingegen sitzen oft an den Rändern des Netzwerks. Sie haben weniger Verbindungen, und ihre Links sind oft spärlich oder isoliert. Dieser strukturelle Unterschied bot eine weitere Ebene an Beweisen, die dem System half, genaue Entscheidungen zu treffen. Die Studie zeigte, dass Sicherheitsexperten, indem sie betrachten, wie Websites miteinander verbunden sind, Muster sehen können, die unsichtbar sind, wenn man eine einzelne Seite isoliert betrachtet. Das System ist zudem transparent; im Gegensatz zu einigen modernen Sicherheitstools, die wie eine „Black Box“ agieren, bei der der Entscheidungsprozess verborgen bleibt, erlaubt diese Methode Analysten zu sehen, warum eine Seite markiert wurde. Sie können die Kette der Links zurückverfolgen, die zu der Schlussfolgerung führte, was es einfacher macht, das Ergebnis zu verstehen und ihm zu vertrauen.

Obwohl die Methode sich als hochwirksam erwies, räumten die Forscher ein, dass sie nicht perfekt ist. Die Datenerhebung war schwierig, da viele bösartige Websites kurzlebig sind, verschwinden, bevor sie vollständig kartiert werden können, oder Tricks anwenden, um automatisierte Scanner zu blockieren. Dies bedeutet, dass die Netzwerkkarte manchmal unvollständig ist, wodurch einige schlechte Seiten verborgen bleiben. Zudem arbeitet das aktuelle System am besten, wenn es die vollständige Netzwerkstruktur analysieren kann, was Zeit und Rechenleistung beansprucht. Für den Echtzeitschutz, bei dem eine Entscheidung in Sekundenbruchteilen getroffen werden muss, müsste das System angepasst werden, um schneller zu arbeiten. Trotz dieser Herausforderungen bietet die Studie eine kraftvolle neue Perspektive auf die Cybersicherheit. Sie legt nahe, dass der beste Weg zur Bekämpfung digitaler Bedrohungen nicht nur darin besteht, genauer auf einzelne Codefragmente zu schauen, sondern die Beziehungen zu verstehen, die das Internet zusammenhalten. Indem sie das Web als ein soziales Netzwerk behandeln, in dem Vertrauen und Misstrauen von einer Website zur nächsten weitergegeben werden, haben die Forscher einen Weg gefunden, die unsichtbaren Muster zu sehen, die die Wahrheit offenbaren.