Detection of the Malicious URL Using the Language Models

Das Internet ist zum zentralen Nervensystem des modernen Lebens geworden, ein riesiges Netzwerk, in dem Organisationen Dienstleistungen erbringen und Menschen Informationen über Webadressen teilen. Diese Adressen, bekannt als URLs, sind die Schlüssel, die spezifische Seiten im Web aufschließen. Doch so wie ein physischer Schlüssel gefälscht werden kann, um eine Tür zu öffnen, die er nicht öffnen sollte, kann auch ein digitaler Link so gestaltet werden, dass er täuscht. Bösartige URLs sind diese gefälschten Schlüssel; es sind Links, die darauf ausgelegt sind, Nutzer dazu zu verleiten, Websites zu besuchen, die Geld stehlen, private Informationen sammeln oder schädliche Software auf ihren Geräten installieren. Während einige Bedrohungen offensichtlich sind, sind viele subtil, und die Unterscheidung zwischen einem sicheren Link und einem gefährlichen ist für den Durchschnittsmenschen oft schwierig. Um sich gegen diese digitalen Fallen zu schützen, haben sich Sicherheitsexperten lange auf Listen bekannter schlechter Links verlassen, aber diese Listen können nur das stoppen, was sie bereits gesehen haben. Wenn eine neue, ungesehene Bedrohung auftaucht, versagen die alten Listen. Diese Einschränkung hat Forscher dazu getrieben, nach klügeren Wegen zu suchen, um Gefahr zu identifizieren, indem sie über einfache Checklisten hinausgehen hin zu Systemen, die tatsächlich die Bedeutung hinter einer Webadresse verstehen können.

In einer kürzlich durchgeführten Studie befassten sich Forscher der Universität Qom und der Islamischen Azad-Universität mit dieser Herausforderung, indem sie Computer lehrten, die Bedeutung von Wörtern innerhalb einer Webadresse zu lesen, anstatt nur deren Zeichen zu zählen. Jahrelang haben automatisierte Systeme versucht, bösartige Links zu erkennen, indem sie deren Form und Struktur untersuchten – indem sie die Länge der Adresse maßen, die Anzahl der Symbole zählten oder prüften, ob sie verdächtige Buchstabenfolgen enthielten. Diese Methoden funktionieren für viele Fälle gut, aber sie übersehen die Nuancen der Sprache. Ein bösartiger Link könnte harmlose aussehende Wörter verwenden, die in einer Weise angeordnet sind, die auf einen Betrug hindeutet, ganz ähnlich wie eine Phishing-E-Mail, die eine höfliche Sprache verwendet, um nach einem Passwort zu fragen. Die Forscher erkannten, dass ein System, um diese ausgefeilten Tricks zu entlarven, die semantische Beziehung zwischen den Wörtern verstehen muss, also wie sie zusammenpassen, um eine bestimmte Bedeutung zu bilden. Um dies zu erreichen, wandten sie Sprachmodelle an, also fortgeschrittene Computerprogramme, die auf massiven Textmengen trainiert wurden, um zu verstehen, wie Wörter in der menschlichen Sprache miteinander in Beziehung stehen.

Das Team testete vier verschiedene Arten dieser Sprachmodelle, um zu sehen, welches am besten die Absicht hinter einer URL identifizieren kann. Die ersten beiden, Word2vec und GloVe, sind Systeme, die Wörter basierend darauf in einen mathematischen Raum abbilden, wie oft sie in Texten in der Nähe voneinander vorkommen. Sie sind gut darin zu verstehen, dass Wörter wie „König“ und „Königin“ verwandt sind, behandeln jedoch jedes Wort isoliert, ohne den vollständigen Kontext des Satzes zu berücksichtigen. Das dritte Modell, LASER, wurde entwickelt, um viele verschiedene Sprachen gleichzeitig zu handhaben, indem es Sätze in einen gemeinsamen Raum abbildet, konzentriert sich jedoch auf den Satz als Ganzes statt auf die feinen Details einzelner Wörter. Das letzte Modell, BERT, ist ein neueres und leistungsfähigeres Werkzeug, das ein Wort im Kontext aller es umgebenden Wörter betrachtet, sowohl davor als auch danach. Dies ermöglicht es ihm, die subtilen Bedeutungsunterschiede zu erfassen, die von der spezifischen Anordnung eines Satzes abhängen. Die Forscher wandten diese Modelle auf einen Datensatz an, der über 114.000 Webadressen enthielt, einschließlich sicherer Links sowie solcher, die für Spam, Phishing, Malware und Website-Defacement konzipiert waren.

Um die Webadressen für diese Sprachmodelle lesbar zu machen, mussten die Forscher sie zuerst in kleinere Teile zerlegen, einen Prozess, der Tokenisierung genannt wird. Für die ersten drei Modelle entfernten sie manuell Symbole wie Schrägstriche und Fragezeichen und behandelten die verbleibenden Wörter als die Kerndaten. Für das BERT-Modell verwendeten sie ein spezialisiertes Werkzeug, das die Adresse automatisch in Teilwörter und Symbole zerlegt und die Interpunktion als Teil der Bedeutung beibehält, da BERT darauf ausgelegt ist, zu verstehen, wie diese Symbole den Kontext verändern. Sobald die Adressen verarbeitet worden waren, erzeugten die Modelle eine einzigartige numerische Repräsentation für jede Adresse, die deren semantische Essenz erfasste. Diese Repräsentationen wurden dann in ein neuronales Netz eingespeist, eine Art Computerprogramm, das vom menschlichen Gehirn inspiriert ist und lernte, Muster zu erkennen und jeder URL ein Label zuzuweisen, wie etwa „sicher“, „Spam“ oder „Phishing“.

Die Ergebnisse des Experiments zeigten einen klaren Gewinner. Während alle Sprachmodelle besser abschnitten als viele bisherige Methoden, die sich nur auf statistische Merkmale stützten, stach das BERT-Modell deutlich hervor. Es erreichte eine Genauigkeitsrate von 99,71 Prozent und identifizierte die Art der Webadressen in fast jedem Fall korrekt. Die anderen Modelle schnitten ebenfalls gut ab, wobei das GloVe-Modell 98,94 Prozent und das Word2vec-Modell 98,62 Prozent erreichte, aber sie blieben hinter der Präzision von BERT zurück. Die Forscher merkten an, dass selbst das schwächste Modell in ihrer Studie, LASER, viele bestehende Techniken auf diesem Gebiet mit einer Genauigkeit von 97,46 Prozent übertraf. Dies deutet darauf hin, dass allein die Verlagerung des Fokus von der physischen Struktur einer URL auf die Bedeutung ihrer Wörter eine erhebliche Steigerung der Sicherheit bewirkt. Die Studie zeigt, dass Computer durch den Einsatz eines Modells, das den Kontext und die Beziehungen zwischen Wörtern versteht, wesentlich effektiver darin werden können, die subtilen linguistischen Hinweise zu erkennen, die auf einen bösartigen Link hindeuten.

Die Forscher kamen zu dem Schluss, dass ihr Ansatz eine robuste Lösung für ein hartnäckiges Problem der Computersicherheit bietet. Durch die Modellierung des semantischen Raums der in Webadressen gefundenen Wörter konnten sie die Absicht hinter einem Link auf eine Weise erfassen, die traditionelle Methoden nicht konnten. Der Erfolg des BERT-Modells, insbesondere, unterstreicht den Wert des Einsatzes von tiefem, kontextbewusstem Sprachverständnis zur Erkennung von Bedrohungen. Dies bedeutet nicht, dass ältere Methoden nutzlos sind, sondern vielmehr, dass die Kombination dieser mit der Fähigkeit, die „Bedeutung“ einer URL zu lesen, eine viel stärkere Verteidigung schafft. Da Cyberkriminelle ihre Taktiken ständig weiterentwickeln und ihre bösartigen Links immer mehr wie legitime aussehen lassen, wird die Fähigkeit, den Kontext der verwendeten Wörter zu verstehen, zu einem wesentlichen Werkzeug für die Sicherheit des Internets werden. Die Studie weist einen klaren Weg in die Zukunft und zeigt, dass die Zukunft der URL-Erkennung darin liegt, Maschinen beizubringen, zwischen den Zeilen zu lesen.