PHISHREV: A Hybrid Machine Learning and Post-Hoc Non-monotonic Reasoning Framework for Context-Aware Phishing Website Classification

A continuación se presenta un resumen técnico detallado del artículo "PHISHREV: Un marco híbrido de aprendizaje automático y razonamiento no monótono post-hoc para la clasificación de sitios web de phishing con conciencia contextual."

1. Planteamiento del Problema

Los sistemas de detección de phishing dependen actualmente en gran medida del aprendizaje automático (ML) estadístico y de modelos de aprendizaje profundo entrenados con conjuntos de datos estáticos. Aunque son efectivos para identificar patrones conocidos, estos modelos sufren varias limitaciones críticas:

• Falta de razonamiento contextual: Se basan en correlaciones estadísticas en lugar de razonamiento lógico, lo que los hace vulnerables a la manipulación adversaria (por ejemplo, suplantación por errores tipográficos, intercambio de caracteres).
• Naturaleza estática: Una vez entrenados, estos modelos no pueden adaptarse fácilmente a nuevos patrones de ataque ni incorporar nuevos conocimientos de dominio sin un costoso reentrenamiento.
• Falsos positivos: Los clasificadores puramente léxicos a menudo clasifican incorrectamente sitios legítimos o no logran detectar intentos de phishing sofisticados que imitan estructuras de URL legítimas.
• Inflexibilidad: Incorporar nuevas reglas (por ejemplo, comportamientos específicos de metaetiquetas) generalmente requiere reingeniería de características y reentrenar todo el modelo.

Los autores argumentan que la detección de phishing requiere capacidades de razonamiento similar al humano y de revisión de creencias para manejar información dinámica, incompleta o contradictoria en entornos del mundo real.

2. Metodología: El Marco PHISHREV

La solución propuesta es un marco híbrido de dos etapas que combina el aprendizaje estadístico basado en datos con el razonamiento no monótono simbólico.

Fase 1: Aprendizaje Estadístico (Generación de Creencia Inicial)

• Entrada: Un conjunto de datos de 11,430 URLs (50% phishing, 50% legítimas) que contiene 87 características léxicas.
• Proceso:
  • Las características se normalizan utilizando un Escalador Estándar (Standard Scaler).
  • Se entrenan cuatro clasificadores ML estándar: Máquina de Vectores de Soporte (SVM), Vecino Más Cercano K (KNN), Árbol de Decisión (DT) y Bosque Aleatorio (RF).
  • Los clasificadores generan una predicción inicial ($C \in \{0, 1\}$), que representa la "creencia inicial" sobre si una URL es legítima o de phishing.

Fase 2: Razonamiento No Monótono Post-Hoc (Revisión de Creencias)

• Concepto Central: Esta capa utiliza Programación de Conjuntos de Respuesta (ASP) a través del solucionador Clingo para realizar razonamiento no monótono. A diferencia de la lógica monótona (donde añadir hechos nunca invalida conclusiones anteriores), el razonamiento no monótono permite al sistema retirar o revisar conclusiones cuando surge nueva evidencia contradictoria.
• Construcción de la Base de Conocimientos:
  • Las predicciones del clasificador se codifican como hechos: pred(CL, ID, C).
  • La disponibilidad de metaetiquetas se extrae analizando las páginas web reales en busca de metadatos (descripción, palabras clave, autor). Esto se codifica como: meta(ID, M) donde $M \in \{sí, no\}$.
• La Regla de Razonamiento:
  El sistema aplica un axioma específico del dominio: Si una URL se predice como phishing pero contiene metaetiquetas válidas (una característica de sitios legítimos), la predicción se revisa a "benigna".
  • Lógica: Si $C = \text{phishing} \land M = \text{sí} \rightarrow \text{Creencia Final} = \text{benigna}$.
  • De lo contrario, la predicción original del clasificador se mantiene.
• Resultado: Esta capa actúa como un filtro "post-hoc" que revisa selectivamente instancias específicas basándose en reglas simbólicas en lugar de umbrales estadísticos.

3. Contribuciones Clave

1. Marco Híbrido: Integración de clasificadores ML con una capa de razonamiento no monótono basada en ASP para el refinamiento de decisiones con conciencia contextual.
2. Ingeniería de Características Novel: Construcción de una característica binaria que indica la disponibilidad de metaetiquetas analizando independientemente las páginas web, distinguiendo entre sitios legítimos (que suelen tener metaetiquetas) y sitios de phishing (que a menudo las omiten).
3. Integración Eficiente de Conocimiento: La capacidad de incorporar nuevos conocimientos de dominio (por ejemplo, nuevas estrategias de evasión o señales de legitimidad) en la capa de razonamiento en tiempo $O(n)$ sin reentrenar los modelos ML subyacentes.
4. Revisión Formal de Creencias: Demostración del uso de lógica formal para retirar predicciones incorrectas del clasificador cuando existe evidencia contradictoria (metaetiquetas).

4. Resultados Experimentales

El marco se evaluó en un conjunto de datos dividido en 80% para entrenamiento y 20% para prueba (2,286 instancias de prueba).

• Rendimiento Inicial del Clasificador:

  • Bosque Aleatorio (RF) logró la mayor precisión con 95.89%, seguido por SVM (96.32% - Nota: La Tabla I muestra a SVM ligeramente superior, pero RF se cita a menudo como el mejor desempeño en el contexto del texto).
  • Todos los clasificadores mostraron alta precisión y recuperación (>0.94).

• Impacto de la Revisión de Creencias:

  • El módulo de razonamiento revisó 465 de 9,144 predicciones totales (aproximadamente 5.08% de las decisiones).
  • Reducción de Falsos Positivos (FP): La capa de revisión redujo consistentemente los falsos positivos en todos los clasificadores:
    • SVM: 41 $\to$ 30
    • KNN: 47 $\to$ 34
    • DT: 69 $\to$ 48
    • RF: 49 $\to$ 35
  • Estudio de Caso: El sistema corrigió exitosamente instancias donde los clasificadores predijeron "phishing" pero la presencia de metaetiquetas indicaba "legítimo", y viceversa.

• Comparación de Complejidad:

  • Complejidad de Entrenamiento: $O(T \cdot n \cdot f \cdot \log n)$ (igual que el ML estándar).
  • Sobrecarga NMR: $O(n)$ (tiempo lineal).
  • Reentrenamiento: No requerido para los modelos ML al actualizar las reglas de razonamiento, ofreciendo una ventaja significativa sobre los métodos monótonos más avanzados.

5. Significado y Conclusión

PHISHREV aborda la rigidez de los sistemas tradicionales de detección de phishing. Al desacoplar la fase de aprendizaje estadístico de la fase de refinamiento de decisiones, ofrece una arquitectura flexible que puede adaptarse a nuevas amenazas sin el costo computacional de reentrenar modelos de aprendizaje profundo.

• Ventajas:
  • Reduce la "fatiga de alertas" al disminuir los falsos positivos.
  • Proporciona interpretabilidad a través de reglas simbólicas (ASP).
  • Permite la incorporación rápida de conocimiento experto.
• Limitaciones y Trabajo Futuro:
  • El sistema actual depende de una única regla diseñada a mano (disponibilidad de metaetiquetas).
  • Los atacantes adversarios podrían comenzar a imitar comportamientos de metaetiquetas para engañar a la capa de razonamiento.
  • El trabajo futuro tiene como objetivo incorporar estrategias de razonamiento multiregla y evidencia contextual adicional para manejar la replicación adversaria sofisticada.

En resumen, PHISHREV demuestra que combinar la predicción estadística con el razonamiento no monótono simbólico crea una defensa más robusta, adaptable y con conciencia contextual contra los ataques de phishing.