SiNMULI: Novel Signed Network Approach for Malicious URL Identification

Internet è una vasta rete interconnessa di informazioni, ma è anche un luogo dove il pericolo si nasconde alla luce del sole. Ogni giorno, le persone cliccano su link che conducono a siti web progettati per rubare password, diffondere frodi o installare software dannosi. Per decenni, gli esperti di sicurezza hanno cercato di fermare queste minacce costruendo liste di indirizzi dannosi noti o insegnando ai computer a riconoscere modelli sospetti nel testo di un indirizzo web. Questi metodi funzionano bene per le minacce note, ma spesso falliscono quando gli attaccanti creano siti nuovi e astutamente camuffati che sembrano identici a quelli reali. Per risolvere questo problema, i ricercatori stanno iniziando a guardare a Internet non solo come una collezione di singole pagine, ma come un gigantesco social network dove ogni sito web ha una relazione con ogni altro sito. Proprio come le persone in una comunità si fidano di alcuni vicini e diffidano di altri, i siti web collegano alcuni siti ed evitano altri. Studiando queste connessioni, è possibile vedere la struttura nascosta del web e individuare i malintenzionati che non si integrano.

Un team di ricercatori dell'Indian Institute of Information Technology di Guwahati ha sviluppato un nuovo modo per utilizzare questa idea per catturare siti web malevoli. Chiamano il loro metodo SiNMULI, un sistema che tratta Internet come una rete firmata. In questo sistema, ogni sito web è un punto e ogni collegamento tra di essi è una linea che porta un significato specifico. Se un sito web affidabile e sicuro collega un altro sito, quella connessione è contrassegnata come positiva, come un voto di fiducia. Se un sito web noto come dannoso collega un altro sito, quella connessione è contrassegnata come negativa, segnalando pericolo. I ricercatori si sono resi conto che la maggior parte degli strumenti di sicurezza esistenti ignora queste relazioni, concentrandosi invece sul contenuto di una singola pagina. Al contrario, SiNMULI guarda l'insieme, utilizzando la logica del bilanciamento sociale per capire quali siti siano sicuri e quali no. L'idea centrale è semplice: in una rete stabile, gli amici tendono a collegarsi ad altri amici, e i nemici tendono a collegarsi ad altri nemici. Se un sito web è circondato da collegamenti da parte di siti noti come sicuri, è probabile che sia sicuro. Se è circondato da collegamenti da parte di siti noti come dannosi, è probabile che sia pericoloso.

Per testare questa idea, i ricercatori sono partiti da una grande collezione di siti web noti come sicuri e noti come pericolosi. Hanno usato questi come punto di partenza per esplorare il web più ampio, seguendo i link per scoprire nuovi siti web sconosciuti. Mentre navigavano in Internet, hanno costruito una mappa massiccia di connessioni, registrando quali siti collegavano a quali altri. Hanno poi applicato un insieme di regole basate sulla teoria del bilanciamento sociale a questa mappa. Queste regole hanno permesso al sistema di inferire la natura dei link sconosciuti. Ad esempio, se un sito noto come sicuro collega un sito sconosciuto, e quel sito sconosciuto collega un altro sito noto come sicuro, il sistema può dedurre che il sito sconosciuto è probabilmente sicuro. Viceversa, se un sito sconosciuto è collegato da siti noti come dannosi, il sistema lo segnala come pericoloso. I ricercatori non hanno avuto bisogno di addestrare un complesso modello informatico con migliaia di esempi; invece, si sono affidati alla struttura naturale del web stesso per rivelare la verità.

I risultati di questo approccio sono stati sorprendenti. Quando testato su dati del mondo reale, il sistema ha identificato correttamente i siti web malevoli con un'accuratezza del 99,89 percento. È stato in grado di individuare quasi ogni singolo sito dannoso commettendo pochissimi errori riguardo a quelli sicuri. Questa performance eguaglia o supera costantemente quella dei metodi tradizionali basati sull'apprendimento automatico o sulle reti neurali profonde, che spesso faticano di fronte a minacce nuove o camuffate. Una delle scoperte più importanti è stata che il sistema funziona senza bisogno di una grande quantità di dati di addestramento. Poiché si basa sulla struttura esistente dei collegamenti tra i siti web, può identificare nuove minacce immediatamente, anche se non le ha mai viste prima. Tuttavia, i ricercatori hanno osservato che l'attuale pipeline opera offline; la costruzione dell'intera rete firmata e l'esecuzione della propagazione dell'etichetta basata sull'iterazione sono computazionalmente costose, rendendo difficile l'implementazione in tempo reale senza ulteriori miglioramenti ingegneristici. Ciò rende il sistema leggero in termini di requisiti di addestramento, ma il processo di analisi in sé richiede tempo e potenza di calcolo significativi.

I ricercatori hanno anche scoperto che i siti web malevoli si comportano diversamente da quelli sicuri nella rete. I siti web sicuri tendono a essere ben connessi, formando grandi cluster compatti dove collegano molti altri siti affidabili. I siti web malevoli, invece, spesso si trovano ai margini della rete. Hanno meno connessioni e i loro collegamenti sono spesso sparsi o isolati. Questa differenza strutturale ha fornito un ulteriore livello di prova che ha aiutato il sistema a prendere decisioni accurate. Lo studio ha dimostrato che guardando come i siti web si connettono tra loro, gli esperti di sicurezza possono vedere schemi invisibili quando si guarda una singola pagina in isolamento. Il sistema è anche trasparente; a differenza di alcuni strumenti di sicurezza moderni che agiscono come una "scatola nera" dove il processo decisionale è nascosto, questo metodo permette agli analisti di vedere esattamente perché un sito è stato segnalato. Possono tracciare la catena di collegamenti che ha portato alla conclusione, rendendo più facile comprendere e fidarsi del risultato.

Sebbene il metodo si sia dimostrato altamente efficace, i ricercatori hanno riconosciuto che non è perfetto. La raccolta dei dati è stata difficile perché molti siti web malevoli sono effimeri, scomparendo prima di poter essere completamente mappati, o utilizzano trucchi per bloccare gli scanner automatizzati. Ciò significa che la mappa della rete è talvolta incompleta, con alcuni siti dannosi che rimangono nascosti. Inoltre, l'attuale sistema funziona meglio quando può analizzare l'intera struttura della rete, il che richiede tempo e potenza di calcolo. Per la protezione in tempo reale, dove una decisione deve essere presa in una frazione di secondo, il sistema dovrebbe essere adattato per lavorare più velocemente. Nonostante queste sfide, lo studio offre una nuova e potente prospettiva sulla cybersicurezza. Suggerisce che il modo migliore per combattere le minacce digitali non è solo guardare più attentamente i singoli pezzi di codice, ma comprendere le relazioni che legano insieme Internet. Trattando il web come un social network dove la fiducia e la diffidenza vengono trasmesse da un sito all'altro, i ricercatori hanno trovato un modo per vedere gli schemi invisibili che rivelano la verità.