Leveraging Graph Neural Networks and Conventional Machine Learning for Phishing URL Detection

기술 요약: 피싱 URL 탐지를 위한 그래프 신경망 및 전통적 머신러닝의 활용

문제 정의
피싱 공격은 공격자가 로그인 자격 증명이나 금융 데이터와 같은 기밀 정보를 탈취하기 위해 합법적인 엔티티를 사칭하는 지속적이고 점증하는 사이버 보안 위협입니다. 인터넷 사용이 확대됨에 따라, 이러한 공격은 이메일 스푸핑(spoofing) 및 기만적인 URL과 같은 전술을 활용하여 점점 더 정교해지고 있습니다. 블랙리스트나 규칙 기반 패턴 매칭과 같은 기존의 탐지 방식은 새로운 위협을 식별하는 데 어려움을 겪는 반면, 머신러닝(ML) 및 딥러닝(DL) 접근 방식은 복잡한 패턴을 인식함으로써 개선된 탐지 능력을 제공합니다. 그러나 기존의 ML 모델은 종종 정적이고 개별적인 URL 특징에 과도하게 의존하며, 지속적으로 업데이트되는 광범위한 데이터셋을 필요로 합니다. 더욱이, 많은 전통적인 모델은 조율되거나 복잡한 피싱 캠페인을 탐지하는 데 필수적인 URL 간의 구조적 관계와 상호 의존성을 포착하지 못합니다.

방법론
저자들은 그래프 신경망(GNN)의 위상적 학습 능력과 랜덤 포레스트(RF)의 분류 강점을 결합한 하이브리드 탐지 프레임워크를 제안합니다. 방법론은 다음 단계로 진행됩니다:

1. 데이터 통합 및 특징 공학(Feature Engineering):
   본 연구는 네 가지 별도의 소스인 "Web Page Phishing Detection Dataset"(Kaggle)과 세 개의 보충 저장소(Mendeley Data 및 UCI ML Repository)로부터 데이터를 수집합니다. 이는 URL 구조적 속성(예: 길이, 점의 개수), 콘텐츠 특성, 외부 서비스 지표를 포함한 초기 124개의 특징 풀을 형성합니다.

   • 전처리: 데이터셋은 일관된 스케일링을 위해 Z-점수 정규화(Z-score normalization)를 거칩니다.
   • 특징 선택: 중복성과 다중공선성을 해결하기 위해 상관 계수가 0.5 이상인 특징들을 분석하고, 재귀적 특징 제거(RFE)를 사용하여 가장 변별력 있는 40개의 특징으로 정제합니다.

2. 그래프 구축 및 GNN 임베딩:
   URL은 웹 그래프 내의 노드로 표현되어 구조적 및 행동적 관계를 포착합니다. 저자들은 노드 간의 연결을 정의하기 위해 세 가지 엣지(edge) 구축 전략을 실험합니다:

   • K-최근접 이웃 (KNN): 특징 공간의 근접성에 기반하여 노드를 연결합니다.
   • 임계값 기반 (Threshold-based): 유사성(예: 코사인 유사도)이 특정 임계값을 초과하는 경우 엣지를 생성합니다.
   • 특징 특정 (Feature-specific): 공유된 범주형 특징을 기반으로 노드를 연결합니다.
     GNN은 이웃 노드로부터 정보를 집계하여 노드 표현을 반복적으로 업데이트하며, 맥락적 통찰과 구조적 통찰을 모두 담은 임베딩을 생성합니다.

3. 하이브리드 분류:
   GNN에 의해 생성된 임베딩은 분류기에 입력됩니다. 주요 제안 모델은 GNN 임베딩과 랜덤 포레스트 분류기를 결합한 GNN-RF입니다. 보조 비교 모델인 GNN-LR은 로지스틱 회귀(Logistic Regression)를 분류기로 사용합니다. 두 모델은 로지스틱 회귀(LR), 결정 트리(DT), K-최근접 이웃(KNN), 랜덤 포레스트(RF)와 같은 전통적인 단독 모델들과 벤치마킹됩니다.

4. 배포:
   가장 성능이 우수한 모델은 Gradio 기반의 웹 인터페이스를 통해 배포되어, 사용자가 URL을 입력하고 실시간 분류 결과를 받을 수 있도록 합니다.

주요 기여

• 하이브리드 아키텍처: 본 논문은 정적 특징 기반 모델의 한계를 해결하기 위해 그래프 기반 학습을 활용하여 URL 간의 관계적 의존성을 포착하는 새로운 GNN-RF 모델을 도입합니다.
• 포괄적인 특징 분석: 본 연구는 네 가지 다양한 데이터셋의 특징을 수집 및 분석하며, RFE를 사용하여 피싱 분류에 가장 영향력 있는 속성을 식별합니다.
• 비교 평가: 본 연구는 여러 지표에 걸쳐 전통적인 ML 모델, GNN-LR 대안 모델, 그리고 제안된 GNN-RF 모델을 비교하는 상세한 평가를 제공합니다.
• 실질적 구현: 본 작업은 모델을 접근 가능한 사용자 인터페이스를 통해 배포함으로써 이론적 발전과 실제 응용 사이의 간극을 메웁니다.

실험 결과
실험은 5-겹 교차 검증(5-fold cross-validation)을 사용하여 11,000개 이상의 레이블이 지정된 URL(피싱 50%, 정상 50%)로 구성된 균형 잡힌 데이터셋에서 수행되었습니다.

• 성능: 임계값 기반 엣지를 사용한 GNN-RF 모델이 **정확도 97%, 정밀도 97%, 재현율 97%, F1-스코어 97%**를 기록하고 ROC-AUC 0.99를 달성하며 가장 높은 성능을 보였습니다. 이는 모든 전통적인 모델(정확도 94%~96% 범위)과 GNN-LR 대안 모델보다 우수한 수치입니다.
• 오류 감소: 하이브리드 모델은 베이스라인 모델들에 비해 위양성(false positives)을 유의미하게 감소시켜 실제 배포 시의 신뢰성을 높였습니다.
• 계산적 트레이드오프: GNN-RF 모델은 우수한 정확도를 보여주었으나, 더 높은 계산 비용이 발생했습니다. 1,000개의 샘플을 처리하는 데 GNN-RF(임계값) 모델은 약 0.7255초가 소요된 반면, 단독 랜덤 포레스트는 0.0025초가 소요되었습니다. 그러나 메모리 사용량은 모든 모델에서 최소 수준(0.00005 MB)을 유지했습니다.
• 대안 모델: GNN-LR 모델은 더 빠른 처리 속도(1,000개 샘플당 0.0100초)를 제공했으나 정확도는 약간 낮게(93~94%) 나타나, 속도와 예측력 사이의 트레이드오프를 보여주었습니다.

의의 및 주장
본 논문은 그래프 신경망을 랜덤 포레스트와 같은 앙상블 방법과 통합하는 것이 현대적인 피싱 위협에 대한 강력하고 지능적인 솔루션을 제공한다고 주장합니다. 저자들은 자신들의 접근 방식이 기존 문헌의 핵심적 한계, 특히 관계적 맥락의 부재와 정적 특징에 대한 의존성을 효과적으로 해결한다고 주장합니다. URL 간의 구조적 의존성을 포착함으로써, GNN-RF 모델은 전통적인 모델이 놓칠 수 있는 조율된 피싱 행위를 탐지하는 데 더 적합합니다.

본 연구는 고급 하이브리드 모델이 계산 오버헤드를 발생시키지만, 높은 정밀도가 최우선인 시나리오에서는 탐지 정확도의 상당한 향상과 위양성 감소가 그 사용을 정당화한다고 결론짓습니다. Gradio 인터페이스를 통한 성공적인 배포는 본 시스템이 사이버 보안 전문가와 최종 사용자에게 실질적인 실행 가능성을 갖추고 있음을 입증합니다. 저자들이 제시한 향래 연구 과제에는 실시간 그래프 구축, 적응형 위협 탐지를 위한 온라인 학습, 그리고 사이버 보안 인프라로의 폭넓은 통합이 포함됩니다.