Detection of the Malicious URL Using the Language Models

Het internet is het centrale zenuwstelsel van het moderne leven geworden, een uitgestrekt netwerk waar organisaties diensten leveren en mensen informatie delen via webadressen. Deze adressen, bekend als URL's, zijn de sleutels die specifieke pagina's op het web ontgrendelen. Echter, net zoals een fysieke sleutel vervalst kan worden om een deur te openen waar hij niet bij hoort, kan een digitale link worden vervaardigd om te misleiden. Kwaadaardige URL's zijn deze vervalste sleutels; het zijn links die ontworpen zijn om gebruikers te misleiken tot het bezoeken van sites die geld stelen, privé-informatie oogsten of schadelijke software op hun apparaten installeren. Hoewel sommige dreigingen overduidelijk zijn, zijn veel subtiel, en het onderscheiden van een veilige link van een gevaarlijke is voor de gemiddelde persoon vaak moeilijk. Om zich te beschermen tegen deze digitale vallen, hebben beveiligingsexperts lang vertrouwd op lijsten van bekende slechte links, maar deze lijsten kunnen alleen stoppen wat ze al hebben gezien. Wanneer een nieuwe, ongeziene dreiging verschijnt, falen de oude lijsten. Deze beperking heeft onderzoekers gedreven om te zoeken naar slimmere manieren om gevaar te identificeren, waarbij ze verder kijken dan eenvoudige checklists naar systemen die daadwerkelijk de betekenis achter een webadres kunnen begrijpen.

In een recente studie pakten onderzoekers van de University of Qom en de Islamic Azad University deze uitdaging aan door computers te leren de betekenis van woorden binnen een webadres te lezen, in plaats van alleen hun tekens te tellen. Jarenlang hebben geautomatiseerde systemen geprobeerd om kwaadaardige links te herkennen door te kijken naar hun vorm en structuur—het meten van hoe lang het adres is, het tellen van het aantal symbolen, of het controleren of het verdachte reeksen letters bevat. Deze methoden werken goed voor veel gevallen, maar ze missen de nuance van taal. Een kwaadaardige link kan onschuldig ogende woorden gebruiken die op een manier zijn gerangschikt die op een scam duidt, vergelijkbaar met een phishing-e-mail die beleefde taal gebruikt om om een wachtwoord te vragen. De onderzoekers realiseerden zich dat om deze geraffineerde trucs te vangen, een systeem de semantische relatie tussen de woorden moet begrijpen, of hoe ze samenkomen om een specifieke betekenis te vormen. Om dit te doen, maakten ze gebruik van taalmodellen, wat geavanceerde computerprogramma's zijn die getraind zijn op enorme hoeveelheden tekst om te begrijpen hoe woorden zich tot elkaar verhouden in de menselijke taal.

Het team testte vier verschillende soorten van deze taalmodellen om te zien welk model het beste de intentie achter een URL kon identificeren. De eerste twee, Word2vec en GloVe, zijn systemen die woorden in een wiskundige ruimte mappen op basis van hoe vaak ze in de buurt van elkaar voorkomen in tekst. Ze zijn goed in het begrijpen dat woorden als "koning" en "koningin" aan elkaar gerelateerd zijn, maar ze behandelen elk woord in isolatie, zonder de volledige context van de zin te overwegen. Het derde model, LASER, was ontworpen om vele verschillende talen tegelijkertijd aan te kunnen door zinnen in een gedeelde ruimte te mappen, hoewel het zich richt op de zin als geheel in plaats van op de fijne details van individuele woorden. Het laatste model, BERT, is een recenter en krachtiger instrument dat een woord bekijkt in de context van alle woorden eromheen, zowel ervoor als erna. Dit stelt het model in staat om de subtiele verschillen in betekenis te vatten die afhangen van de specifieke arrangement van een zin. De onderzoekers pasten deze modellen toe op een dataset met meer dan 114.000 webadressen, die zowel veilige links als links ontworpen voor spam, phishing, malware en website-defacement bevatten.

Om de webadressen leesbaar te maken voor deze taalmodellen, moesten de onderzoekers ze eerst opbreken in kleinere stukjes, een proces dat tokenisatie wordt genoemd. Voor de eerste drie modellen verwijderden ze handmatig symbolen zoals slashes en vraagtekens, waarbij ze de resterende woorden als de kerngegevens behandelden. Voor het BERT-model gebruikten ze een gespecialiseerde tool die het adres automatisch opbreekt in sub-woorden en symbolen, waarbij de interpunctie als onderdeel van de betekenis wordt behouden omdat BERT is ontworpen om te begrijpen hoe die symbolen de context veranderen. Zodra de adressen waren verwerkt, genereerden de modellen een unieke numerieke representatie voor elk adres, waarbij de semantische essentie werd gevangen. Deze representaties werden vervolgens ingevoerd in een neuraal netwerk, een type computerprogramma geïnspireerd door het menselijk brein, dat leerde patronen te herkennen en een label aan elk URL toe te wijzen, zoals "veilig", "spam" of "phishing".

De resultaten van het experiment toonden een duidelijke winnaar. Hoewel alle taalmodellen beter presteerden dan veel eerdere methoden die alleen vertrouwden op statistische kenmerken, viel het BERT-model aanzienlijk op. Het bereikte een nauwkeurigheidspercentage van 99,71 procent, waarbij het de aard van de webadressen in bijna elk geval correct identificeerde. De andere modellen presteerden ook goed, waarbij het GloVe-model 98,94 procent bereikte en het Word2vec-model 98,62 procent bereikte, maar zij schoten tekort in de precisie van BERT. De onderzoekers merkten op dat zelfs het minst presterende model in hun studie, LASER, veel bestaande technieken in het veld overtrof met een nauwkeurigheid van 97,46 procent. Dit suggereert dat het simpelweg verschuiven van de focus van de fysieke structuur van een URL naar de betekenis van de woorden een aanzienlijke boost geeft aan de beveiliging. De studie laat zien dat door een model te gebruiken dat de context en de relaties tussen woorden begrijpt, computers veel effectiever kunnen worden in het opsporen van de subtiele linguïstische aanwijzingen die op een kwaadaardige link duiden.

De onderzoekers concludeerden dat hun aanpak een robuuste oplossing biedt voor een hardnekkig probleem in de computerbeveiliging. Door de semantische ruimte van de woorden gevonden in webadressen te modelleren, waren zij in staat de intentie achter een link te vangen op een manier waarop traditionele methoden dat niet konden. Het succes van met name het BERT-model onderstreept de waarde van het gebruik van diepgaand, contextbewust taalbegrip om dreigingen te detecteren. Dit betekent niet dat oudere methoden nutteloos zijn, maar eerder dat het combineren van hen met het vermogen om de "betekenis" van een URL te lezen, een veel sterkere verdediging creëert. Terwijl cybercriminelen hun tactieken blijven evolueren, waardoor hun kwaadaardige links steeds meer op legitieme links gaan lijken, zal het vermogen om de context van de woorden die zij gebruiken te begrijpen, een essentiële tool worden om het internet veilig te houden. De studie biedt een duidelijk pad vooruit, waarbij wordt aangetoond dat de toekomst van URL-detectie ligt in het leren van machines om tussen de regels door te lezen.