Leveraging Graph Neural Networks and Conventional Machine Learning for Phishing URL Detection

Résumé Technique : Exploitation des Réseaux de Neurones sur Graphes et de l'Apprentissage Automatique Conventionnel pour la Détection d'URLs de Phishing

Énoncé du Problème
Les attaques de phishing représentent une menace de cybersécurité persistante et croissante, où les adversaires usurpent l'identité d'entités légitimes pour voler des informations confidentielles telles que des identifiants de connexion et des données financières. À mesure que l'utilisation d'Internet s'étend, ces attaques sont devenues de plus en plus sophistiquées, utilisant des tactiques telles que l'usurpation d'e-mails (spoofing) et les URLs trompeuses. Bien que les méthodes de détection conventionnelles, telles que les listes noires et la reconnaissance de formes basée sur des règles, peinent à identifier les menaces émergentes, l'apprentissage automatique (ML) et l'apprentissage profond (DL) offrent une détection améliorée en reconnaissant des motifs complexes. Cependant, les modèles de ML existants reposent souvent lourdement sur des caractéristiques d'URL statiques et individuelles, et nécessitent des ensembles de données étendus et continuellement mis à jour. De plus, de nombreux modèles traditionnels ne parviennent pas à capturer les relations structurelles et les interdépendances entre les URLs, qui sont pourtant critiques pour détecter les campagnes de phishing coordonnées ou complexes.

Méthodologie
Les auteurs proposent un cadre de détection hybride qui intègre les capacités d'apprentissage topologique des Réseaux de Neurones sur Graphes (GNN) avec la force de classification de la Forêt Aléatoire (Random Forest - RF). La méthodologie se déroule selon les étapes suivantes :

1. Intégration des Données et Ingénierie des Caractéristiques :
   L'étude agrège des données provenant de quatre sources distinctes : le « Web Page Phishing Detection Dataset » (Kaggle) et trois répertoires supplémentaires (Mendeley Data et l'UCI ML Repository). Cela aboutit à un pool initial de 124 caractéristiques, incluant des attributs structurels d'URL (ex: longueur, nombre de points), des caractéristiques de contenu et des indicateurs de services externes.

   • Prétraitement : Le jeu de données subit une normalisation Z-score pour une mise à l'échelle cohérente.
   • Sélection de Caractéristiques : Pour traiter la redondance et la multicolinéarité, les caractéristiques ayant un coefficient de corrélation ≥ 0,5 sont analysées, et l'élimination récursive de caractéristiques (RFE) est employée pour distiller l'ensemble jusqu'aux 40 caractéristiques les plus discriminantes.

2. Construction du Graphe et Encastrement (Embedding) par GNN :
   Les URLs sont représentées comme des nœuds au sein d'un graphe web pour capturer les relations structurelles et comportementales. Les auteurs expérimentent trois stratégies de construction d'arêtes pour définir les connexions entre les nœuds :

   • K-Plus Proches Voisins (KNN) : Connecter les nœuds basés sur la proximité dans l'espace des caractéristiques.
   • Basée sur un Seuil : Créer des arêtes si la similitude (ex: similitude cosinus) dépasse un seuil spécifique.
   • Spécifique aux Caractéristiques : Connecter les nœuds basés sur des caractéristiques catégorielles partagées.
     Le GNN met à jour de manière itérative les représentations des nœuds en agrégeant les informations des nœuds voisins, générant des encastrements (embeddings) qui encapsulent à la fois des informations contextuelles et structurelles.

3. Classification Hybride :
   Les encastrements générés par le GNN sont injectés dans un classifieur. Le modèle principal proposé est le GNN-RF, qui combine les encastrements du GNN avec un classifieur de Forêt Aléatoire. Un modèle comparatif secondaire, le GNN-LR, utilise la Régression Logistique comme classifieur. Les deux sont comparés à des modèles autonomes traditionnels : Régression Logistique (LR), Arbre de Décision (DT), K-Plus Proches Voisins (KNN) et Forêt Aléatoire (RF).

4. Déploiement :
   Le modèle le plus performant est déployé via une interface web basée sur Gradio, permettant aux utilisateurs de saisir une URL et de recevoir des résultats de classification en temps réel.

Contributions Clés

• Architecture Hybride : L'article introduit un nouveau modèle GNN-RF qui exploite l'apprentissage basé sur les graphes pour capturer les dépendances relationnelles entre les URLs, répondant ainsi aux limites des modèles statiques basés uniquement sur les caractéristiques.
• Analyse Approfondie des Caractéristiques : L'étude compile et analyse des caractéristiques issues de quatre jeux de données diversifiés, utilisant la RFE pour identifier les attributs les plus impactants pour la classification du phishing.
• Évaluation Comparative : La recherche fournit une évaluation détaillée comparant les modèles de ML traditionnels, une alternative GNN-LR et le modèle proposé GNN-RF à travers de multiples métriques.
• Mise en Œuvre Pratique : Le travail comble le fossé entre l'avancement théorique et l'application pratique en déployant le modèle via une interface utilisateur accessible.

Résultats Expérimentaux
Les expériences ont été menées sur un jeu de données équilibré de plus de 11 000 URLs étiquetées (50 % phishing, 50 % légitimes) en utilisant une validation croisée à 5 plis.

• Performance : Le modèle GNN-RF avec des arêtes basées sur un seuil a obtenu la performance la plus élevée, enregistrant 97 % de précision (accuracy), 97 % de précision (precision), 97 % de rappel (recall) et un score F1 de 97 %, avec un ROC-AUC de 0,99. Il a surpassé tous les modèles traditionnels (qui variaient de 94 % à 96 % de précision) et l'alternative GNN-LR.
• Réduction des Erreurs : Le modèle hybride a considérablement réduit les faux positifs par rapport aux modèles de base, renforçant sa fiabilité pour un déploiement en conditions réelles.
• Compromis Computationnels : Bien que le modèle GNN-RF ait démontré une précision supérieure, il a engendré des coûts de calcul plus élevés. Le traitement de 1 000 échantillons a pris environ 0,7255 seconde pour le modèle GNN-RF (seuil), contre 0,0025 seconde pour la Forêt Aléatoire autonome. Cependant, l'utilisation de la mémoire est restée minimale pour tous les modèles (0,00005 Mo).
• Modèles Alternatifs : Le modèle GNN-LR a offert des vitesses de traitement plus rapides (0,0100 seconde pour 1 000 échantillons) mais une précision légèrement inférieure (93–94 %), soulignant un compromis entre vitesse et puissance prédictive.

Signification et Revendications
L'article soutient que l'intégration des Réseaux de Neurones sur Graphes avec des méthodes d'ensemble comme la Forêt Aléatoire fournit une solution robuste et intelligente face aux menaces modernes de phishing. Les auteurs affirment que leur approche répond efficacement aux limitations critiques de la littérature existante, spécifiquement le manque de contexte relationnel et la dépendance aux caractéristiques statiques. En capturant les dépendances structurelles entre les URLs, le modèle GNN-RF est mieux armé pour détecter les comportements de phishing coordonnés que les modèles traditionnels pourraient manquer.

L'étude conclut que, bien que les modèles hybrides avancés introduisent une surcharge computationnelle, les gains significatifs en précision de détection et la réduction des faux positifs justifient leur utilisation dans des scénarios où une haute précision est primordiale. Le déploiement réussi via une interface Gradio démontre la viabilité pratique du système pour les praticiens de la cybersécurité et les utilisateurs finaux. Les travaux futurs suggérés par les auteurs incluent la construction de graphes en temps réel, l'apprentissage en ligne pour une détection de menace adaptative, et une intégration plus large dans les infrastructures de cybersécurité.