Leveraging Graph Neural Networks and Conventional Machine Learning for Phishing URL Detection

Resumen Técnico: Aprovechamiento de Redes Neuronales de Grafos y Aprendizaje Automático Convencional para la Detección de URLs de Phishing

Planteamiento del Problema
Los ataques de phishing representan una amenaza de ciberseguridad persistente y creciente, donde los adversarios suplantan entidades legítimas para robar información confidencial, como credenciales de inicio de sesión y datos financieros. A medida que el uso de Internet se expande, estos ataques se han vuelto cada vez más sofisticados, utilizando tácticas como la suplantación de identidad por correo electrónico (email spoofing) y URLs engañosas. Mientras que los métodos de detección convencionales, como las listas negras y la coincidencia de patrones basada en reglas, tienen dificultades para identificar amenazas emergentes, los enfoques de aprendizaje automático (ML) y aprendizaje profundo (DL) ofrecen una detección mejorada al reconocer patrones complejos. Sin embargo, los modelos de ML existentes suelen depender fuertemente de atributos estáticos e individuales de la URL y requieren conjuntos de datos extensos y continuamente actualizados. Además, muchos modelos tradicionales no logran capturar las relaciones estructurales e interdependencias entre las URLs, las cuales son críticas para detectar campañas de phishing coordinadas o complejas.

Metodología
Los autores proponen un marco de detección híbrido que integra las capacidades de aprendizaje topológico de las Redes Neuronales de Grafos (GNN) con la fuerza de clasificación de Random Forest (RF). La metodología avanza a través de las siguientes etapas:

1. Integración de Datos e Ingeniería de Características:
   El estudio agrega datos de cuatro fuentes distintas: el "Web Page Phishing Detection Dataset" (Kaggle) y tres repositorios suplementarios (Mendeley Data y el Repositorio UCI ML). Esto resulta en un conjunto inicial de 124 características, que incluyen atributos estructurales de la URL (por ejemplo, longitud, número de puntos), características de contenido e indicadores de servicios externos.

   • Preprocesamiento: El conjunto de datos se somete a una normalización Z-score para una escala consistente.
   • Selección de Características: Para abordar la redundancia y la multicolinealidad, se analizan las características con un coeficiente de correlación ≥ 0.5, y se emplea la Eliminación de Características Recursiva (RFE) para destilar el conjunto hasta las 40 características más discriminativas.

2. Construcción de Grafos y Embedding de GNN:
   Las URLs se representan como nodos dentro de un grafo web para capturar las relaciones estructurales y de comportamiento. Los autores experimentan con tres estrategias de construcción de aristas para definir las conexiones entre nodos:

   • K-Vecinos Más Cercanos (KNN): Conectando nodos basados en la proximidad del espacio de características.
   • Basada en Umbral: Creando aristas si la similitud (por ejemplo, similitud de coseno) excede un umbral específico.
   • Específica de Características: Conectando nodos basados en características categóricas compartidas.
     La GNN actualiza iterativamente las representaciones de los nodos mediante la agregación de información de los nodos vecinos, generando embeddings que encapsulan conocimientos tanto contextuales como estructurales.

3. Clasificación Híbrida:
   Los embeddings generados por la GNN se introducen en un clasificador. El modelo principal propuesto es GNN-RF, que combina los embeddings de la GGN con un clasificador Random Forest. Un modelo comparativo secundario, GNN-LR, utiliza Regresión Logística como clasificador. Ambos se comparan con modelos independientes tradicionales: Regresión Logística (LR), Árbol de Decisión (DT), K-Vecinos Más Cercos (KNN) y Random Forest (RF).

4. Despliegue:
   El modelo con mejor rendimiento se despliega a través de una interfaz web basada en Gradio, permitiendo a los usuarios ingresar una URL y recibir resultados de clasificación en tiempo real.

Contribuciones Clave

• Arquitectura Híbrida: El artículo introduce un nuevo modelo GNN-RF que aprovecha el aprendizaje basado en grafos para capturar dependencias relacionales entre URLs, abordando las limitaciones de los modelos estáticos basados solo en características.
• Análisis Exhaustivo de Características: El estudio compila y analiza características de cuatro conjuntos de datos diversos, utilizando RFE para identificar los atributos más impactantes para la clasificación de phishing.
• Evaluación Comparativa: La investigación proporciona una evaluación detallada comparando modelos de ML tradicionales, una alternativa GNN-LR y el modelo propuesto GNN-RF a través de múltiples métricas.
• Implementación Práctica: El trabajo cierra la brecha entre el avance teórico y la aplicación práctica al desplegar el modelo a través de una interfaz de usuario accesible.

Resultados Experimentales
Los experimentos se realizaron en un conjunto de datos equilibrado de más de 11,000 URLs etiquetadas (50% phishing, 50% legítimas) utilizando validación cruzada de 5 pliegues (5-fold cross-validation).

• Rendimiento: El modelo GNN-RF con aristas basadas en umbral alcanzó el mayor rendimiento, registrando un 97% de precisión (accuracy), 97% de precisión (precision), 97% de exhaustividad (recall) y un 97% de F1-score, con un ROC-AUC de 0.99. Este superó a todos los modelos tradicionales (que oscilaron entre un 94% y un 96% de precisión) y a la alternativa GNN-LR.
• Reducción de Errores: El modelo híbrido redujo significativamente los falsos positivos en comparación con los modelos base, mejorando su fiabilidad para el despliegue en el mundo real.
• Compromisos Computacionales: Aunque el modelo GNN-RF demostró una precisión superior, incurrió en costos computacionales más altos. Procesar 1,000 muestras tomó aproximadamente 0.7255 segundos para el modelo GNN-RF (umbral), en comparación con 0.0025 segundos para el Random Forest independiente. Sin embargo, el uso de memoria se mantuvo mínimo en todos los modelos (0.00005 MB).
• Modelos Alternativos: El modelo GNN-LR ofreció velocidades de procesamiento más rápidas (0.0100 segundos por cada 1,000 muestras) pero una precisión ligeramente inferior (93–94%), resaltando un compromiso entre velocidad y poder predictivo.

Significancia y Reivindicaciones
El artículo postula que la integración de Redes Neuronales de Grafos con métodos de ensamble como Random Forest proporciona una solución robusta e inteligente para las amenazas modernas de phishing. Los autores afirman que su enfoque aborda eficazmente las limitaciones críticas en la literatura existente, específicamente la falta de contexto relacional y la dependencia de características estáticas. Al capturar las dependencias estructurales entre las URLs, el modelo GNN-RF está mejor equipado para detectar comportamientos de phishing coordinados que los modelos tradicionales podrían pasar por alto.

El estudio concluye que, si bien los modelos híbridos avanzados introducen una sobrecarga computacional, las ganancias significativas en la precisión de detección y la reducción de los falsos positivos justifican su uso en escenarios donde la alta precisión es primordial. El despliegue exitoso a través de una interfaz Gradio demuestra la viabilidad práctica del sistema para profesionales de la ciberseguridad y usuarios finales. El trabajo futuro sugerido por los autores incluye la construcción de grafos en tiempo real, el aprendizaje en línea para la detección de amenazas adaptativa y una integración más amplia en las infraestructuras de ciberseguridad.