SiNMULI: Novel Signed Network Approach for Malicious URL Identification

Het internet is een uitgestrekt, onderling verbonden web van informatie, maar het is ook een plek waar gevaar in het volle zicht schuilgaat. Elke dag klikken mensen op links die leiden naar websites die ontworpen zijn om wachtwoorden te stelen, fraude te verspreiden of schadelijke software te installeren. Decennialang hebben beveiligingsexperts geprobeerd deze dreigingen te stoppen door lijsten van bekende slechte adressen op te stellen of door computers te leren verdachte patronen in de tekst van een webadres te herkennen. Deze methoden werken goed voor bekende dreigingen, maar ze falen vaak wanneer aanvallers nieuwe, slim verhulde sites creëren die exact lijken op het origineel. Om dit op te lossen, beginnen onderzoekers het internet niet alleen te zien als een verzameling individuele pagina's, maar als een gigantisch sociaal netwerk waar elke website een relatie heeft met elke andere website. Net zoals mensen in een gemeenschap sommige buren vertrouwen en anderen wantrouwen, linken websites naar sommige sites en vermijden ze andere. Door deze verbindingen te bestuderen, is het mogelijk om de verborgen structuur van het web te zien en de slechte actoren te ontdekken die er niet bij horen.

Een team van onderzoekers aan het Indian Institute of Information Technology in Guwahati heeft een nieuwe manier ontwikkeld om dit idee te gebruiken om kwaadaardige websites te vangen. Ze noemen hun methode SiNMULI, een systeem dat het internet behandelt als een gesigneerd netwerk. In dit systeem is elke website een punt, en elke link tussen hen is een lijn die een specifieke betekenis draagt. Als een vertrouwde, veilige website naar een andere site linkt, wordt die verbinding gemarkeerd als positief, zoals een stem van vertrouwen. Als een bekende slechte website naar een andere site linkt, wordt die verbinding gemarkeerd als negatief, wat gevaar signaleert. De onderzoekers realiseerden zich dat de meeste bestaande beveiligingsinstrumenten deze relaties negeren en zich in plaats daarvan richten op de inhoud van een enkele pagina. Daarentegen kijkt SiNMULI naar het hele plaatje, waarbij het de logica van sociale balans gebruikt om te bepalen welke sites veilig zijn en welke niet. De kern van het idee is simpel: in een stabiel netwerk hebben vrienden de neiging om naar andere vrienden te linken, en vijanden hebben de neiging om naar andere vijanden te linken. Als een website wordt omringd door links van bekende veilige sites, is het waarschijnlijk veilig. Als een website wordt omringd door links van bekende slechte sites, is het waarschijnlijk gevaarlijk.

Om dit idee te testen, begonnen de onderzoekers met een grote collectie bekende veilige en bekende gevaarlijke websites. Ze gebruikten deze als startpunt om het bredere web te verkennen, door de links te volgen om nieuwe, onbekende websites te ontdekken. Terwijl ze het internet doorzochten, bouwden ze een enorme kaart van verbindingen op, waarbij ze registreerden welke sites naar welke andere sites linkten. Vervolgens pasten ze een set regels toe die gebaseerd is op de sociale balanstheorie op deze kaart. Deze regels stelden het systeem in staat om de aard van onbekende links af te leiden. Bijvoorbeeld, als een bekende veilige site naar een onbekende site linkt, en die onbekende site naar een andere bekende veilige site linkt, kan het systeem afleiden dat de onbekende site waarschijnlijk veilig is. Omgekeerd, als een onbekende site wordt gelinkt door bekende slechte sites, markeert het systeem deze als gevaarlijk. De onderzoekers hadden geen complexe computermodel nodig om te trainen met duizenden voorbeelden; in plaats daarvan vertrouwden ze op de natuurlijke structuur van het web zelf om de waarheid te onthullen.

De resultaten van deze aanpak waren opmerkelijk. Wanneer getest op real-world data, identificeerde het systeem kwaadaardige websites met een nauwkeurigheid van 99,89 procent. Het was in staat om bijna elke slechte site te ontdekken terwijl het zeer weinig fouten maakte over veilige sites. Deze prestatie komt consequent overeen met of overtreft die van traditionele methoden die vertrouwen op machine learning of diepe neurale netwerken, die vaak moeite hebben wanneer ze worden geconfronteerd met nieuwe of vermomde dreigingen. Een van de belangrijkste bevindingen was dat het systeem werkt zonder dat er een grote hoeveelheid trainingsdata nodig is. Omdat het vertrouwt op de bestaande structuur van links tussen websites, kan het nieuwe dreigingen onmiddellijk identificeren, zelfs als het ze nog nooit eerder heeft gezien. De onderzoekers merkten echter op dat de huidige pijplijn offline werkt; het construeren van het volledige gesigneerde netwerk en het uitvoeren van iteratieve balansgebaseerde labelpropagatie is computationeel kostbaar, wat real-time implementatie uitdagend maakt zonder verdere technische verbeteringen. Dit maakt het systeem lichtgewicht in termen van trainingsvereisten, maar het analyseproces zelf vereist aanzienlijke tijd en rekenkracht.

De onderzoekers ontdekten ook dat kwaadaardige websites anders gedragen dan veilige websites in het netwerk. Veilige websites zijn vaak goed verbonden en vormen grote, dichte clusters waar ze naar veel andere vertrouwde sites linken. Kwaadaardige websites bevinden zich daarentegen vaak aan de randen van het netwerk. Ze hebben minder verbindingen en hun links zijn vaak schaars of geïsoleerd. Dit structurele verschil bood een ander laag van bewijs dat hielp het systeem om nauwkeurige beslissingen te nemen. De studie toonde aan dat door te kijken naar hoe websites met elkaar verbonden zijn, beveiligingsexperts patronen kunnen zien die onzichtbaar zijn wanneer men naar een enkele pagina in isolatie kijkt. Het systeem is ook transparant; in tegen tegenstelling tot sommige moderne beveiligingsinstrumenten die fungeren als een "black box" waarbij het besluitvormingsproces verborgen is, stelt deze methode analisten in staat om precies te zien waarom een site is gemarkeerd. Ze kunnen de keten van links traceren die tot de conclusie leidde, wat het makkelijker maakt om het resultaat te begrijpen en te vertrouwen.

Hoewel de methode zeer effectief bleek, erkenden de onderzoekers dat het niet perfect is. Het verzamelen van de gegevens was moeilijk omdat veel kwaadaardige websites kortstondig zijn, waardoor ze verdwijnen voordat ze volledig in kaart kunnen worden gebracht, of omdat ze trucs gebruiken om automatische scanners te blokkeren. Dit betekent dat de netwerkkaart soms incompleet is, waarbij sommige slechte sites verborgen blijven. Bovendien werkt het huidige systeem het beste wanneer het de volledige netwerkstructuur kan analyseren, wat tijd en rekenkracht kost. Voor real-time bescherming, waarbij een beslissing in een fractie van een seconde moet worden genomen, zou het systeem moeten worden aangepast om sneller te kunnen werken. Ondanks deze uitdagingen biedt de studie een krachtig nieuw perspectief op cybersecurity. Het suggereert dat de beste manier om digitale dreigingen te bestrijden niet alleen is om harder te kijken naar individuele stukjes code, maar om de relaties te begrijpen die het internet samenbinden. Door het web te behandelen als een sociaal netwerk waar vertrouwen en wantrouwen van de ene site naar de andere worden doorgegeven, hebben de onderzoekers een manier gevonden om de onzichtbare patronen te zien die de waarheid onthullen.