SiNMULI: Novel Signed Network Approach for Malicious URL Identification

A internet é uma vasta e interconectada teia de informações, mas também é um lugar onde o perigo se esconde à vista de todos. Todos os dias, as pessoas clicam em links que levam a sites projetados para roubar senhas, disseminar fraudes ou instalar softwares prejudiciais. Por décadas, especialistas em segurança tentaram deter essas ameaças construindo listas de endereços maliciosos conhecidos ou ensinando computadores a reconhecer padrões suspeitos no texto de um endereço web. Esses métodos funcionam bem para ameaças conhecidas, mas frequentemente falham quando atacantes criam sites novos e astutamente disfarçados que parecem exatamente com o original. Para resolver isso, pesquisadores estão começando a olhar para a internet não apenas como uma coleção de páginas individuais, mas como uma gigantesca rede social onde cada website tem um relacionamento com todos os outros sites. Assim como as pessoas em uma comunidade confiam em alguns vizinhos e desconfiam de outros, os websites linkam para alguns sites e evitam outros. Ao estudar essas conexões, é possível ver a estrutura oculta da web e identificar os agentes maldosos que não se encaixam.

Uma equipe de pesquisadores do Instituto Indiano de Tecnologia de Informação em Guwahati desenvolveu uma nova maneira de usar essa ideia para capturar websites maliciosos. Eles chamam seu método de SiNMULI, um sistema que trata a internet como uma rede assinada. Neste sistema, cada website é um ponto, e cada link entre eles é uma linha que carrega um significado específico. Se um website confiável e seguro linka para outro site, essa conexão é marcada como positiva, como um voto de confiança. Se um website conhecido como mau linka para outro site, essa conexão é marcada como negativa, sinalizando perigo. Os pesquisadores perceberam que a maioria das ferramentas de segurança existentes ignora esses relacionamentos, focando, em vez disso, no conteúdo de uma única página. Em contrapartida, o SiNMULI observa o quadro geral, usando a lógica do equilíbrio social para determinar quais sites são seguros e quais não são. A ideia central é simples: em uma rede estável, amigos tendem a se ligar a outros amigos, e inimigos tendem a se ligar a outros inimigos. Se um website é cercado por links de sites conhecidos como seguros, é provável que seja seguro. Se for cercado por links de sites conhecidos como maldosos, é provável que seja perigoso.

Para testar essa ideia, os pesquisadores começaram com uma grande coleção de websites conhecidos como seguros e conhecidos como perigosos. Eles usaram esses como ponto de partida para explorar a web mais ampla, seguindo os links para descobrir novos websites desconhecidos. Enquanto rastreavam a internet, construíram um mapa massivo de conexões, registrando quais sites linkavam para quais. Em seguida, aplicaram um conjunto de regras baseadas na teoria do equilíbrio social a este mapa. Essas regras permitiram ao sistema inferir a natureza de links desconhecidos. Por exemplo, se um site conhecido como seguro linka para um site desconhecido, e esse site desconhecido linka para outro site conhecido como seguro, o sistema pode deduzir que o site desconhecido é provavelmente seguro. Inversamente, se um site desconhecido é linkado por sites conhecidos como maldosos, o sistema o sinaliza como perigoso. Os pesquisadores não precisaram treinar um modelo de computador complexo com milhares de exemplos; em vez disso, confiaram na própria estrutura natural da web para revelar a verdade.

Os resultados desta abordagem foram impressionantes. Quando testado em dados do mundo real, o sistema identificou websites maliciosos com uma precisão de 99,89 por cento. Foi capaz de detectar quase todos os sites maldosos, cometendo pouquíssimos erros sobre os sites seguros. Esse desempenho iguala-se ou excede consistentemente o de métodos tradicionais que dependem de aprendizado de máquina ou redes neurais profundas, que frequentemente têm dificuldade diante de ameaças novas ou disfarçadas. Uma das descobertas mais importantes foi que o sistema funciona sem precisar de uma grande quantidade de dados de treinamento. Como ele se baseia na estrutura existente de links entre websites, pode identificar novas ameaças imediatamente, mesmo que nunca as tenha visto antes. No entanto, os pesquisadores observaram que o pipeline atual opera offline; construir a rede assinada completa e executar a propagação de rótulos baseada em iterações é computacionalmente custoso, tornando o implante em tempo real desafiador sem melhorias de engenharia adicionais. Isso torna o sistema leve em termos de requisitos de treinamento, mas o processo de análise em si exige tempo e poder computacional significativos.

Os pesquisadores também descobriram que os websites maliciosos se comportam de forma diferente dos seguros na rede. Websites seguros tendem a ser bem conectados, formando grandes clusters coesos onde se ligam a muitos outros sites confiáveis. Websites maliciosos, por outro lado, costumam situar-se nas bordas da rede. Eles possuem menos conexões, e seus links são frequentemente esparsos ou isolados. Essa diferença estrutural forneceu outra camada de evidência que ajudou o sistema a tomar decisões precisas. O estudo mostrou que, ao observar como os websites se conectam uns aos outros, especialistas em segurança podem ver padrões que são invisíveis ao olhar para uma única página isoladamente. O sistema também é transparente; ao contrário de algumas ferramentas de segurança modernas que atuam como uma "caixa preta" onde o processo de tomada de decisão é oculto, este método permite que os analistas vejam exatamente por que um site foi sinalizado. Eles podem rastrear a cadeia de links que levou à conclusão, tornando mais fácil entender e confiar no resultado.

Embora o método tenha se mostrado altamente eficaz, os pesquisadores reconheceram que ele não é perfeito. A coleta de dados foi difícil porque muitos websites maliciosos são de curta duração, desaparecendo antes que possam ser totalmente mapeados, ou utilizam truques para bloquear scanners automatizados. Isso significa que o mapa da rede é, por vezes, incompleto, com alguns sites maldosos permanecendo ocultos. Além disso, o sistema atual funciona melhor quando consegue analisar a estrutura total da rede, o que demanda tempo e poder computacional. Para proteção em tempo real, onde uma decisão deve ser tomada em uma fração de segundo, o sistema precisaria ser adaptado para trabalhar mais rápido. Apesar desses desafios, o estudo oferece uma nova e poderosa perspectiva sobre a cibersegurança. Ele sugere que a melhor maneira de combater ameaças digitais não é apenas olhar mais atentamente para pedaços individuais de código, mas compreender os relacionamentos que unem a internet. Ao tratar a web como uma rede social onde a confiança e a desconfiança são transmitidas de um site para outro, os pesquisadores encontraram uma maneira de ver os padrões invisíveis que revelam a verdade.