Detection of the Malicious URL Using the Language Models

Internet è diventata il sistema nervoso centrale della vita moderna, una vasta rete dove le organizzazioni forniscono servizi e le persone condividono informazioni attraverso indirizzi web. Questi indirizzi, noti come URL, sono le chiavi che sbloccano pagine specifiche sul web. Tuttavia, proprio come una chiave fisica può essere falsificata per aprire una porta che non dovrebbe, un link digitale può essere creato per ingannare. Gli URL malevoli sono queste chiavi contraffatte; sono link progettati per trarre in inganno gli utenti, portandoli a visitare siti che rubano denaro, sottraggono informazioni private o installano software dannosi sui loro dispositivi. Sebbene alcune minacce siano ovvie, molte sono sottili, e distinguere un link sicuro da uno pericoloso è spesso difficile per la persona comune. Per proteggersi da queste trappole digitali, gli esperti di sicurezza si sono affidati da tempo a liste di link dannosi noti, ma queste liste possono fermare solo ciò che hanno già visto. Quando appare una minaccia nuova e mai vista prima, le vecchie liste falliscono. Questa limitazione ha spinto i ricercatori a cercare modi più intelligenti per identificare il pericolo, andando oltre i semplici elenchi di controllo per passare a sistemi che possano effettivamente comprendere il significato dietro un indirizzo web.

In uno studio recente, ricercatori dell'Università di Qom e dell'Università Azad Islamica hanno affrontato questa sfida insegnando ai computer a leggere il significato delle parole all'interno di un indirizzo web, piuttosto che limitarsi a contare i loro caratteri. Per anni, i sistemi automatizzati hanno cercato di individuare i link malevoli osservando la loro forma e struttura — misurando quanto fosse lungo l'indirizzo, contando il numero di simboli o controllando se conteneva stringhe di lettere sospette. Questi metodi funzionano bene in molti casi, ma mancano della sfumatura del linguaggio. Un link malevolo potrebbe usare parole dall'aspetto innocente disposte in un modo che suggerisce una truffa, proprio come un'email di phishing che usa un linguaggio cortese per chiedere una password. I ricercatori hanno capito che per catturare questi trucchi sofisticati, un sistema ha bisogno di comprendere la relazione semantica tra le parole, ovvero come esse si incastrino tra loro per formare un significato specifico. Per farlo, si sono rivolti ai modelli linguistici, che sono programmi informatici avanzati addestrati su enormi quantità di testo per comprendere come le parole si relazionano tra loro nel linguaggio umano.

Il team ha testato quattro diversi tipi di questi modelli linguistici per vedere quale potesse identificare meglio l'intento dietro un URL. I primi due, Word2vec e GloVe, sono sistemi che mappano le parole in uno spazio matematico basandosi sulla frequenza con cui appaiono vicine tra loro nel testo. Sono bravi a comprendere che parole come "re" e "regina" sono correlate, ma trattano ogni parola in isolamento, senza considerare il contesto completo della frase. Il terzo modello, LASER, è stato progettato per gestire molte lingue diverse contemporaneamente, mappando le frasi in uno spazio condiviso, sebbene si concentri sull'intera frase piuttosto che sui dettagli fini delle singole parole. L'ultimo modello, BERT, è uno strumento più recente e potente che osserva una parola nel contesto di tutte le parole che la circondano, sia prima che dopo. Ciò consente di cogliere le sottili differenze di significato che dipendono dalla specifica disposizione di una frase. I ricercatori hanno applicato questi modelli a un dataset contenente oltre 114.000 indirizzi web, che includeva link sicuri così come quelli progettati per spam, phishing, malware e defacement di siti web.

Per rendere gli indirizzi web leggibili per questi modelli linguistici, i ricercatori hanno dovuto prima scomporli in pezzi più piccoli, un processo chiamato tokenizzazione. Per i primi tre modelli, hanno rimosso manualmente i simboli come barre oblique e punti interrogativi, trattando le parole rimanenti come i dati principali. Per il modello BERT, hanno utilizzato uno strumento specializzato che suddivide automaticamente l'indirizzo in sottoparole e simboli, mantenendo la punteggiatura come parte del significato perché BERT è progettato per comprendere come quei simboli cambino il contesto. Una volta elaborati gli indirizzi, i modelli hanno generato una rappresentazione numerica unica per ciascuno di essi, catturandone l'essenza semantica. Queste rappresentazioni sono state poi alimentate in una rete neurale, un tipo di programma informatico ispirato al cervello umano, che ha imparato a riconoscere schemi e assegnare un'etichetta a ogni URL, come "sicuro", "spam" o "phishing".

I risultati dell'esperimento hanno mostrato un vincitore chiaro. Sebbene tutti i modelli linguistici abbiano performato meglio di molti metodi precedenti che si basavano solo su caratteristiche statistiche, il modello BERT si è distinto significativamente. Ha raggiunto un tasso di accuratezza del 99,71 percento, identificando correttamente la natura degli indirizzi web in quasi tutti i casi. Anche gli altri modelli hanno performato bene, con il modello GloVe che ha raggiunto il 98,94 percento e il modello Word2vec il 98,62 percento, ma sono rimasti al di sotto della precisione di BERT. I ricercatori hanno notato che anche il modello con le prestazioni inferiori nel loro studio, LASER, ha superato molte tecniche esistenti nel campo, raggiungendo un'accuratezza del 97,46 percento. Ciò suggerisce che spostare semplicemente l'attenzione dalla struttura fisica di un URL al significato delle sue parole fornisce un incremento sostanziale alla sicurezza. Lo studio dimostra che utilizzando un modello che comprende il contesto e le relazioni tra le parole, i computer possono diventare molto più efficaci nel individuare i sottili indizi linguistici che indicano un link malevolo.

I ricercatori hanno concluso che il loro approccio offre una soluzione robusta a un problema persistente nella sicurezza informatica. Modellando lo spazio semantico delle parole trovate negli indirizzi web, sono stati in grado di catturare l'intento dietro un link in un modo in cui i metodi tradizionali non potevano fare. Il successo del modello BERT, in particolare, evidenzia il valore dell'uso di una comprensione del linguaggio profonda e consapevole del contesto per rilevare le minacce. Questo non significa che i metodi più vecchi siano inutili, ma piuttosto che combinare essi con la capacità di leggere il "significato" di un URL crea una difesa molto più forte. Mentre i cybercriminali continuano a evolvere le loro tattiche, facendo apparire i loro link malevoli sempre più simili a quelli legittimi, la capacità di comprendere il contesto delle parole che utilizzano diventerà uno strumento essenziale per mantenere sicuro Internet. Lo studio fornisce una strada chiara da seguire, dimostrando che il futuro della rilevazione degli URL risiede nell'insegnare alle macchine a leggere tra le righe.