Leveraging Graph Neural Networks and Conventional Machine Learning for Phishing URL Detection

Sintesi Tecnica: Sfruttare le Reti Neurali su Grafi e l'Apprendimento Automatico Convenzionale per il Rilevamento di URL di Phishing

Definizione del Problema
Gli attacchi di phishing rappresentano una minaccia informatica persistente ed in escalation, in cui gli avversari si spacciano per entità legittime per rubare informazioni riservate come credenziali di accesso e dati finanziari. Con l'espansione dell'uso di Internet, questi attacchi sono diventati sempre più sofisticati, utilizzando tattiche come lo spoofing delle email e URL ingannevoli. Mentre i metodi di rilevamento convenzionali, come le blacklist e il pattern matching basato su regole, faticano a identificare le minacce emergenti, gli approcci di machine learning (ML) e deep learning (DL) offrono un rilevamento migliorato riconoscendo schemi complessi. Tuttavia, i modelli di ML esistenti si affidano spesso pesantemente a caratteristiche statiche e individuali degli URL e richiedono dataset estesi e costantemente aggiornati. Inoltre, molti modelli tradizionali non riescono a catturare le relazioni strutturali e le interdipendenze tra gli URL, che sono critiche per il rilevamento di campagne di phishing coordinate o complesse.

Metodologia
Gli autori propongono un framework di rilevamento ibrido che integra le capacità di apprendimento topologico delle Reti Neurali su Grafi (GNN) con la forza di classificazione di Random Forest (RF). La metodologia si articola attraverso le seguenti fasi:

1. Integrazione dei Dati e Ingegneria delle Caratteristiche:
   Lo studio aggrega dati da quattro fonti distinte: il "Web Page Phishing Detection Dataset" (Kaggle) e tre repository supplementari (Mendeley Data e UCI ML Repository). Ciò risulta in un pool iniziale di 124 caratteristiche, che includono attributi strutturali dell'URL (es. lunghezza, numero di punti), caratteristiche del contenuto e indicatori di servizi esterni.

   • Pre-elaborazione: Il dataset viene sottoposto a normalizzazione Z-score per una scalabilità coerente.
   • Selezione delle Caratteristiche: Per affrontare ridondanza e multicollinearità, le caratteristiche con un coefficiente di correlazione ≥ 0,5 vengono analizzate, e viene impiegata la tecnica Recursive Feature Elimination (RFE) per distillare l'insieme fino alle 40 caratteristiche più discriminanti.

2. Costruzione del Grafo e Embedding GNN:
   Gli URL sono rappresentati come nodi all'interno di un grafo web per catturare le relazioni strutturali e comportamentali. Gli autori sperimentano tre strategie di costruzione dei bordi per definire le connessioni tra i nodi:

   • K-Nearest Neighbors (KNN): Connessione dei nodi basata sulla prossimità nello spazio delle caratteristiche.
   • Basata su Soglia (Threshold-based): Creazione di bordi se la similarità (es. similarità del coseno) supera una specifica soglia.
   • Specifica per Caratteristica: Connessione dei nodi basata su caratteristiche categoriche condivise.
     La GNN aggiorna iterativamente le rappresentazioni dei nodi aggregando informazioni dai nodi vicini, generando embedding che racchiudono intuizioni sia contestuali che strutturali.

3. Classificazione Ibrida:
   Gli embedding generati dalla GNN vengono inseriti in un classificatore. Il modello principale proposto è GNN-RF, che combina gli embedding GNN con un classificatore Random Forest. Un secondo modello comparativo, GNN-LR, utilizza la Regressione Logistica come classificatore. Entrambi sono messi a confronto con modelli standalone tradizionali: Regressione Logistica (LR), Albero di Decisione (DT), K-Nearest Neighbors (KNN) e Random Forest (RF).

4. Distribuzione:
   Il modello con le migliori prestazioni viene distribuito tramite un'interfaccia web basata su Gradio, che consente agli utenti di inserire un URL e ricevere risultati di classificazione in tempo reale.

Contributi Chiave

• Architettura Ibrida: Il documento introduce un nuovo modello GNN-RF che sfrutta l'apprendimento basato su grafi per catturare le dipendenze relazionali tra gli URL, affrontando i limiti dei modelli basati solo su caratteristiche statiche.
• Analisi Completa delle Caratteristiche: Lo studio compila e analizza le caratteristiche da quattro dataset diversi, utilizzando RFE per identificare gli attributi più impattanti per la classificazione del phishing.
• Valutazione Comparativa: La ricerca fornisce una valutazione dettagliata confrontando i modelli ML tradizionali, un'alternativa GNN-LR e il modello proposto GNN-RF attraverso molteplici metriche.
• Implementazione Pratica: Il lavoro colma il divario tra avanzamento teorico e applicazione pratica distribuendo il modello attraverso un'interfaccia utente accessibile.

Risultati Sperimentali
Gli esperimenti sono stati condotti su un dataset bilanciato di oltre 11.000 URL etichettati (50% phishing, 50% legittimi) utilizzando la validazione incrociata a 5 pieghe (5-fold cross-validation).

• Prestazioni: Il modello GNN-RF con bordi basati su soglia ha ottenuto le prestazioni più elevate, registrando accuratezza del 97%, precisione del 97%, recall del 97% e F1-score del 97%, con un ROC-AUC di 0,99. Questo ha superato tutti i modelli tradizionali (che variavano dal 94% al 96% di accuratezza) e l'alternativa GNN-LR.
• Riduzione degli Errori: Il modello ibrido ha ridotto significativamente i falsi positivi rispetto ai modelli di base, migliorando la sua affidabilità per il deployment nel mondo reale.
• Compromessi Computazionali: Sebbene il modello GNN-RF abbia dimostrato un'accuratezza superiore, ha comportato costi computazionali più elevati. L'elaborazione di 1.000 campioni ha richiesto circa 0,7255 secondi per il modello GNN-RF (threshold), rispetto a 0,0025 secondi per il Random Forest standalone. Tuttavia, l'uso della memoria è rimasto minimo per tutti i modelli (0,00005 MB).
• Modelli Alternativi: Il modello GNN-LR ha offerto velocità di elaborazione superiori (0,0100 secondi per 1.000 campioni) ma un'accuratezza leggermente inferiore (93–94%), evidenziando un compromesso tra velocità e potere predittivo.

Significatività e Rivendicazioni
Il documento sostiene che l'integrazione delle Reti Neurali su Grafi con i metodi ensemble come Random Forest fornisca una soluzione robusta e intelligente alle moderne minacce di phishing. Gli autori affermano che il loro approccio affronta efficacemente le criticità presenti nella letteratura esistente, specificamente la mancanza di contesto relazionale e la dipendenza da caratteristiche statiche. Catturando le dipendenze strutturali tra gli URL, il modello GNN-RF è meglio equipaggiato per rilevare comportamenti di phishing coordinati che i modelli tradizionali potrebbero mancare.

Lo studio conclude che, sebbene i modelli ibridi avanzati introducano un sovraccarico computazionale, i guadagni significativi nell'accuratezza del rilevamento e la riduzione dei falsi positivi giustificano il loro utilizzo in scenari in cui la precisione elevata è fondamentale. Il successo della distribuzione tramite interfaccia Gradio dimostra la viabilità pratica del sistema per i professionisti della cybersecurity e per gli utenti finali. Il lavoro futuro suggerito dagli autori include la costruzione di grafi in tempo reale, l'apprendimento online per il rilevamento adattivo delle minacce e una più ampia integrazione nelle infrastrutture di cybersecurity.