SiNMULI: Novel Signed Network Approach for Malicious URL Identification

インターネットは、膨大で相互に接続された情報のウェブですが、同時に、危険が目の前に隠れている場所でもあります。毎日、人々はパスワードを盗んだり、詐欺を広めたり、有害なソフトウェアをインストールしたりするように設計されたウェブサイトへと誘導するリンクをクリックしています。数十年にわたり、セキュリティの専門家は、既知の悪質なアドレスのリストを作成したり、ウェブアドレスのテキスト内の不審なパターンをコンピュータに認識させたりすることで、これらの脅威を阻止しようとしてきました。これらの手法は既知の脅威には効果的ですが、攻撃者が本物と全く同じように見える、巧妙に偽装された新しいサイトを作成した場合には、しばしば失敗します。これを解決するために、研究者たちはインターネットを単なる個々のページの集合体としてではなく、すべてのウェブサイトが他のすべてのウェブサイトと関係を持つ巨大なソーシャルネットワークとして捉え始めています。コミュニティにおける人々が、ある隣人を信頼し、別の隣人を不信に思うのと同様に、ウェブサイトもあるサイトにはリンクし、別のサイトは避けるものです。これらのつながりを研究することで、ウェブの隠れた構造を見出し、周囲に馴染まない悪意のある存在を特定することが可能になります。

インド情報技術研究所（グワーハティ）の研究チームは、この考え方を用いて悪意のあるウェブサイトを捕らえる新しい方法を開発しました。彼らはその手法を、インターネットを「符号付きネットワーク（signed network）」として扱うシステムである「SiNMULI」と呼んでいます。このシステムでは、すべてのウェブサイトが一点（ノード）であり、それらの間のすべてのリンクは特定の意味を持つ一本の線です。信頼できる安全なウェブサイトが別のサイトにリンクしている場合、その接続は「信頼の票」のようにポジティブなものとしてマークされます。一方、既知の悪質なウェブサイトが別のサイトにリンクしている場合、その接続は危険を示すネガティブなものとしてマークされます。研究者たちは、既存のセキュリティツールの多くが、単一のページのコンテンツに焦点を当てるあまり、こうした関係性を無視していることに気づきました。対照的に、SiNMULIは全体像を俯瞰し、「社会的な均衡（social balance）」の論理を用いて、どのサイトが安全で、どのサイトがそうでないかを判断します。核心となるアイデアは単純です。安定したネットワークにおいては、友人は友人とつながる傾向があり、敵は敵とつながる傾向があります。あるウェブサイトが既知の安全なサイトからのリンクに囲まれていれば、そのサイトはおそらく安全です。逆に、既知の悪質なサイトからのリンクに囲まれていれば、そのサイトはおそらく危険です。

このアイデアをテストするために、研究者たちは既知の安全なウェブサイトと既知の危険なウェブサイトの膨大なコレクションから調査を開始しました。彼らはこれらを出発点として、リンクを辿ることでより広いウェブへと探索を進め、未知のウェブサイトを発見していきました。インターネットをクロールしながら、彼らはどのサイトがどのサイトにリンクしているかを記録し、巨大な接続マップを構築しました。次に、彼らはこのマップに対して「社会的な均衡理論」に基づいた一連のルールを適用しました。これらのルールにより、システムは未知のリンクの性質を推論することができました。例えば、既知の安全なサイトが未知のサイトにリンクしており、その未知のサイトが別の既知の安全なサイトにリンクしている場合、システムはその未知のサイトはおそらく安全であると推論できます。逆に、未知のサイトが既知の悪質なサイトからリンクされている場合、システムはそれを危険としてフラグを立てます。研究者たちは、何千もの例を用いて複雑なコンピュータモデルを学習させる必要はなく、代わりにウェブ自体の自然な構造を利用して真実を明らかにしました。

このアプローチの結果は驚くべきものでした。現実世界のデータでテストした際、システムは99.89パーセントの精度で悪意のあるウェブサイトを正しく特定しました。ほぼすべての悪質なサイトを特定できる一方で、安全なサイトを誤って判定することは極めて少なかったのです。この性能は、新しい脅威や偽装された脅威に直面すると苦戦しがちな、機械学習やディープニューラルネットワークを用いた従来のメソッドと同等、あるいはそれを上回るものです。最も重要な発見の一つは、このシステムが大量の学習データを必要とせずに動作することでした。既存のウェブサイト間のリンク構造に依存しているため、見たことがない新しい脅威であっても、即座に特定することができるのです。しかし、研究者たちは、現在のパイプラインはオフラインで動作していることを指摘しています。完全な符号付きネットワークを構築し、反復的なバランスに基づくラベル伝播を実行することは計算コストが高いため、さらなるエンジニアリングの改善なしにはリアルタイムでの展開は困難です。これは、学習要件については軽量であるものの、分析プロセス自体には多大な時間と計算能力を必要とすることを意味します。

また、研究者たちは、悪意のあるウェブサイトがネットワーク内で安全なウェブサイトとは異なる振る舞いをすることも発見しました。安全なウェブサイトは、多くの信頼できるサイトとリンクし合う、大きく密なクラスターを形成する傾向があります。一方で、悪意のあるウェブサイトは、しばしばネットワークの端に位置しています。それらは接続数が少なく、そのリンクはまばらであったり孤立していたりします。この構造的な違いも、システムが正確な決定を下すためのもう一つの証拠となりました。この研究は、ウェブサイト同士がどのように接続しているかを見ることで、単一のページを単独で見ているときには見えないパターンを見ることができると示しました。また、このシステムは透明性も備えています。意思決定プロセスが隠された「ブラックボックス」として機能する現代のいくつかのセキュリティツールとは異なり、この手法ではアナリストがなぜそのサイトがフラグを立てられたのか、その理由を正確に追跡することができます。彼らは結論に至ったリンクの連鎖を辿ることができ、結果を理解し信頼することを容易にします。

この手法は非常に効果的である一方で、研究者たちはそれが完璧ではないことも認めています。多くの悪質なウェブサイトは短命であり、完全にマッピングされる前に消滅したり、自動スキャナーをブロックするトリックを用いたりするため、データの収集は困難でした。これは、ネットワークマップが時として不完全であり、一部の悪質なサイトが隠れたままになることを意味します。さらに、現在のシステムはフルネットワーク構造を分析できる場合に最もよく機能しますが、それには時間と計算能力を要します。リアルタイムの保護、つまり判断を瞬時に下さなければならない場面においては、システムをより高速に動作するように適応させる必要があります。こうした課題はあるものの、本研究はサイバーセキュリティに対する強力な新しい視点を提供しています。デジタルな脅威と戦うための最善の方法は、単に個々のコードをより注意深く見るのではなく、インターネットを繋ぎ合わせている「関係性」を理解することであると示唆しています。ウェブを、信頼と不信がサイト間で受け渡されるソーシャルネットワークとして扱うことで、研究者たちは真実を明らかにする目に見えないパターンを見出す方法を見出したのです。