SiNMULI: Novel Signed Network Approach for Malicious URL Identification

Internet es una vasta y conectada red de información, pero también es un lugar donde el peligro se esconde a plena vista. Cada día, las personas hacen clic en enlaces que las llevan a sitios web diseñados para robar contraseñas, propagar fraudes o instalar software dañino. Durante décadas, los expertos en seguridad han intentado detener estas amenazas construyendo listas de direcciones maliciosas conocidas o enseñando a las computadoras a reconocer patrones sospechosos en el texto de una dirección web. Estos métodos funcionan bien para las amenazas conocidas, pero a menudo fallan cuando los atacantes crean sitios nuevos y hábilmente disfrazados que parecen exactamente iguales a los reales. Para resolver esto, los investigadores están comenzando a mirar el internet no solo como una colección de páginas individuales, sino como una gigantesca red social donde cada sitio web tiene una relación con cada otro sitio web. Así como las personas en una comunidad confían en algunos vecinos y desconfían de otros, los sitios web enlazan a algunos sitios y evitan otros. Al estudiar estas conexiones, es posible ver la estructura oculta de la web y detectar a los actores maliciosos que no encajan.

Un equipo de investigadores del Instituto Indio de Tecnología de la Información en Guwahati ha desarrollado una nueva forma de usar esta idea para atrapar sitios web maliciosos. Llaman a su método SiNMULI, un sistema que trata al internet como una red con signo. En este sistema, cada sitio web es un punto, y cada enlace entre ellos es una línea que conlleva un significado específico. Si un sitio web confiable y seguro enlaza a otro sitio, esa conexión se marca como positiva, como un voto de confianza. Si un sitio web conocido como malo enlaza a otro sitio, esa conexión se marca como negativa, señalando el peligro. Los investigadores se dieron cuenta de que la mayoría de las herramientas de seguridad existentes ignoran estas relaciones, centrándose en cambio en el contenido de una sola página. Por el contrario, SiNMULI observa el panorama completo, utilizando la lógica del equilibrio social para determinar qué sitios son seguros y cuáles no. La idea central es simple: en una red estable, los amigos tienden a enlazarse con otros amigos, y los enemigos tienden a enlazarse con otros enemigos. Si un sitio web está rodeado de enlaces de sitios conocidos como seguros, es probable que sea seguro. Si está rodeado de enlaces de sitios conocidos como malos, es probable que sea peligroso.

Para probar esta idea, los investigadores comenzaron con una gran colección de sitios web conocidos como seguros y conocidos como peligrosos. Utilizaron estos como punto de partida para explorar la web más amplia, siguiendo los enlaces para descubrir nuevos sitios web desconocidos. A medida que rastreaban el internet, construyeron un mapa masivo de conexiones, registrando qué sitios enlazaban con cuáles. Luego aplicaron un conjunto de reglas basadas en la teoría del equilibrio social a este mapa. Estas reglas permitieron al sistema inferir la naturaleza de los enlaces desconocidos. Por ejemplo, si un sitio web conocido como seguro enlaza a un sitio desconocido, y ese sitio desconocido enlaza a otro sitio conocido como seguro, el sistema puede deducir que el sitio desconocido es probablemente seguro. Por el contrario, si un sitio desconocido es enlazado por sitios conocidos como malos, el sistema lo marca como peligroso. Los investigadores no necesitaron entrenar un modelo computacional complejo con miles de ejemplos; en su lugar, se apoyaron en la estructura natural de la propia web para revelar la verdad.

Los resultados de este enfoque fueron impactantes. Al ser probado con datos del mundo real, el sistema identificó sitios web maliciosos con una precisión del 99.89 por ciento. Fue capaz de detectar casi todos los sitios malos mientras cometía muy pocos errores sobre los sitios seguros. Este rendimiento iguala o supera consistentemente al de los métodos tradicionales que dependen del aprendizaje automático o de redes neuronales profundas, los cuales a menudo tienen dificultades ante amenazas nuevas o disfrazadas. Uno de los hallazgos más importantes fue que el sistema funciona sin necesidad de una gran cantidad de datos de entrenamiento. Debido a que se basa en la estructura existente de los enlaces entre sitios web, puede identificar nuevas amenazas de inmediato, incluso si no las ha visto antes. Sin embargo, los investigadores señalaron que el flujo de trabajo actual opera fuera de línea; construir la red completa con signo y ejecutar la propagación de etiquetas basada en iteraciones de equilibrio es computacionalmente costoso, lo que hace que el despliegue en tiempo real sea un desafío sin mejoras de ingeniería adicionales. Esto hace que el sistema sea ligero en términos de requisitos de entrenamiento, pero el proceso de análisis en sí mismo requiere una cantidad significativa de tiempo y potencia de cómputo.

Los investigadores también descubrieron que los sitios web maliciosos se comportan de manera diferente a los sitios seguros en la red. Los sitios web seguros tienden a estar bien conectados, formando grupos grandes y compactos donde enlazan con muchos otros sitios confiables. Los sitios web maliciosos, por otro parte, suelen situarse en los bordes de la red. Tienen menos conexiones y sus enlaces suelen ser escasos o aislados. Esta diferencia estructural proporcionó otra capa de evidencia que ayudó al sistema a tomar decisiones precisas. El estudio mostró que, al observar cómo se conectan los sitios web entre sí, los expertos en seguridad pueden ver patrones que son invisibles cuando se mira una sola página de forma aislada. El sistema también es transparente; a diferencia de algunas herramientas de seguridad modernas que actúan como una "caja negra" donde el proceso de toma de decisiones está oculto, este método permite a los analistas ver exactamente por qué un sitio fue marcado. Pueden rastrear la cadena de enlaces que llevó a la conclusión, lo que facilita entender y confiar en el resultado.

Si bien el método demostró ser altamente efectivo, los investigadores reconocieron que no es perfecto. La recolección de datos fue difícil porque muchos sitios web maliciosos son de corta duración, desapareciendo antes de que puedan ser mapeados completamente, o utilizan trucos para bloquear los escaneos automatizados. Esto significa que el mapa de la red es a veces incompleto, y algunos sitios malos permanecen ocultos. Además, el sistema actual funciona mejor cuando puede analizar la estructura completa de la red, lo cual requiere tiempo y potencia de cómputo. Para la protección en tiempo real, donde se debe tomar una decisión en una fracción de segundo, el sistema tendría que adaptarse para trabajar más rápido. A pesar de estos desafíos, el estudio ofrece una nueva y poderosa perspectiva sobre la ciberseguridad. Sugiere que la mejor manera de combatir las amenazas digitales no es solo mirar más de cerca el código individual, sino comprender las relaciones que unen al internet. Al tratar a la web como una red social donde la confianza y la desconfianza se transmiten de un sitio a otro, los investigadores han encontrado una forma de ver los patrones invisibles que revelan la verdad.