SiNMULI: Novel Signed Network Approach for Malicious URL Identification

L'internet est un vaste réseau interconnecté d'informations, mais c'est aussi un lieu où le danger se cache à la vue de tous. Chaque jour, des personnes cliquent sur des liens qui mènent à des sites web conçus pour voler des mots de passe, propager des fraudes ou installer des logiciels malveillants. Depuis des décennies, les experts en sécurité tentent d'arrêter ces menaces en construisant des listes d'adresses malveillantes connues ou en apprenant aux ordinateurs à reconnaître des modèles suspects dans le texte d'une adresse web. Ces méthodes fonctionnent bien pour les menaces connues, mais elles échouent souvent lorsque des attaquants créent de nouveaux sites habilement déguisés qui ressemblent exactement au véritable site. Pour résoudre ce problème, les chercheurs commencent à considérer l'internet non pas comme une collection de pages individuelles, mais comme un gigantesque réseau social où chaque site web entretient une relation avec tous les autres sites. Tout comme les gens dans une communauté font confiance à certains voisins et se méfient d'autres, les sites web lient certains sites et en évitent d'autres. En étudiant ces connexions, il est possible de voir la structure cachée du web et de repérer les acteurs malveillants qui ne s'intègrent pas.

Une équipe de chercheurs de l'Institut indien d'information technologique de Guwahati a développé une nouvelle façon d'utiliser cette idée pour attraper les sites web malveillants. Ils appellent leur méthode SiNMULI, un système qui traite l'internet comme un réseau signé. Dans ce système, chaque site web est un point, et chaque lien entre eux est une ligne qui porte une signification spécifique. Si un site sûr et de confiance pointe vers un autre site, cette connexion est marquée comme positive, comme un vote de confiance. Si un site malveillant connu pointe vers un autre site, cette connexion est marquée comme négative, signalant un danger. Les chercheurs ont réalisé que la plupart des outils de sécurité existants ignorent ces relations, se concentrant plutôt sur le contenu d'une page unique. À l'inverse, SiNMULI observe l'ensemble du tableau, utilisant la logique de l'équilibre social pour déterminer quels sites sont sûrs et lesquels ne le sont pas. L'idée centrale est simple : dans un réseau stable, les amis ont tendance à lier vers d'autres amis, et les ennemis ont tendance à lier vers d'autres ennemis. Si un site web est entouré de liens provenant de sites connus comme sûrs, il est probablement sûr. S'il est entouré de liens provenant de sites connus comme malveillants, il est probablement dangereux.

Pour tester cette idée, les chercheurs sont partis d'une large collection de sites web connus comme sûrs et connus comme dangereux. Ils ont utilisé ces points de départ pour explorer le web plus large, en suivant les liens pour découvrir de nouveaux sites web inconnus. Au fur et à mesure qu'ils parcouraient l'internet, ils ont construit une carte massive de connexions, enregistrant quels sites pointaient vers quels autres. Ils ont ensuite appliqué un ensemble de règles basées sur la théorie de l'équilibre social à cette carte. Ces règles permettaient au système de déduire la nature des liens inconnus. Par exemple, si un site sûr connu pointe vers un site inconnu, et que ce site inconnu pointe vers un autre site sûr connu, le système peut déduire que le site inconnu est probablement sûr. Inversement, si un site inconnu est pointé par des sites malveillants connus, le système le signale comme dangereux. Les chercheurs n'ont pas eu besoin d'entraîner un modèle informatique complexe avec des milliers d'exemples ; au lieu de cela, ils se sont appuyés sur la structure naturelle du web lui-même pour révéler la vérité.

Les résultats de cette approche ont été frappants. Testé sur des données réelles, le système a identé correctement les sites web malveillants avec une précision de 99,89 pour cent. Il a été capable de repérer presque chaque mauvais site tout en faisant très peu d'erreurs concernant les sites sûrs. Cette performance égale ou dépasse systématiquement celle des méthodes traditionnelles reposant sur l'apprentissage automatique ou les réseaux de neurones profonds, qui peinent souvent face à de nouvelles menaces ou à des menaces déguisées. L'une des découvertes les plus importantes est que le système fonctionne sans avoir besoin d'une grande quantité de données d'entraînement. Parce qu'il repose sur la structure existante des liens entre les sites web, il peut identifier les nouvelles menaces immédiatement, même s'il ne les a jamais vues auparavant. Cependant, les chercheurs ont noté que le pipeline actuel fonctionne hors ligne ; la construction du réseau signé complet et l'exécution de la propagation de labels par itération basée sur l'équilibre sont coûteuses en termes de calcul, ce qui rend le déploiement en temps réel difficile sans améliorations d'ingénierie supplémentaires. Cela signifie que le système est léger en termes d'exigences d'entraînement, mais que le processus d'analyse nécessite soi-même un temps et une puissance de calcul importants.

Les chercheurs ont également constaté que les sites web malveillants se comportent différemment des sites sûrs dans le réseau. Les sites web sûrs ont tendance à être bien connectés, formant de grands et serrés amas où ils lient vers de nombreux autres sites de confiance. Les sites web malveillants, en revanche, se situent souvent aux marges du réseau. Ils ont moins de connexions, et leurs liens sont souvent clairsemés ou isolés. Cette différence structurelle a fourni une autre couche de preuves qui a aidé le système à prendre des décisions précises. L'étude a montré qu'en observant comment les sites web se connectent les uns aux autres, les experts en sécurité peuvent voir des motifs invisibles lorsqu'on regarde une page isolée. Le système est également transparent ; contrairement à certains outils de sécurité modernes qui agissent comme une « boîte noire » où le processus de décision est caché, cette méthode permet aux analystes de voir exactement pourquoi un site a été signalé. Ils peuvent retracer la chaîne de liens qui a conduit à la conclusion, ce qui facilite la compréhension et la confiance envers le résultat.

Bien que la méthode se soit révélée très efficace, les chercheurs ont reconnu qu'elle n'est pas parfaite. La collecte des données a été difficile car de nombreux sites web malveillants sont éphémères, disparaissant avant d'avoir pu être entièrement cartographiés, ou utilisent des ruses pour bloquer les scanners automatisés. Cela signifie que la carte du réseau est parfois incomplète, certains sites malveillants restant cachés. De plus, le système actuel fonctionne mieux lorsqu'il peut analyser la structure complète du réseau, ce qui prend du temps et de la puissance de calcul. Pour une protection en temps réel, où une décision doit être prise en une fraction de seconde, le système devrait être adapté pour fonctionner plus rapidement. Malgré ces défis, l'étude offre une nouvelle perspective puissante sur la cybersécurité. Elle suggère que la meilleure façon de lutter contre les menaces numériques n'est pas seulement de regarder de plus près les morceaux de code individuels, mais de comprendre les relations qui lient l'internet. En traitant le web comme un réseau social où la confiance et la méfiance se transmettent d'un site à l'autre, les chercheurs ont trouvé un moyen de voir les motifs invisibles qui révèlent la vérité.