Leveraging Graph Neural Networks and Conventional Machine Learning for Phishing URL Detection

Resumo Técnico: Aproveitando Redes Neurais de Grafos e Aprendizado de Máquina Convencional para Detecção de URLs de Phishing

Declaração do Problema
Os ataques de phishing representam uma ameaça cibernética persistente e crescente, na qual adversários se passam por entidades legítimas para roubar informações confidenciais, como credenciais de login e dados financeiros. À medida que o uso da internet se expande, esses ataques tornaram-se cada vez mais sofisticados, utilizando táticas como o spoofing de e-mail e URLs enganosas. Embora os métodos de detecção convencionais, como listas negras e correspondência de padrões baseada em regras, tenham dificuldade em identificar ameaças emergentes, as abordagens de aprendizado de máquina (ML) e aprendizado profundo (DL) oferecem uma detecção aprimorada ao reconhecer padrões complexos. No entanto, os modelos de ML existentes dependem fortemente de características estáticas e individuais de URLs e exigem conjuntos de dados extensos e continuamente atualizados. Além disso, muitos modelos tradicionais falham em capturar as relações estruturais e as interdependências entre as URLs, que são críticas para detectar campanhas de phishing coordenadas ou complexas.

Metodologia
Os autores propõem um framework de detecção híbrido que integra as capacidades de aprendizado topológico de Redes Neurais de Grafos (GNNs) com a força de classificação de Florestas Aleatórias (Random Forest - RF). A metodologia procede através das seguintes etapas:

1. Integração de Dados e Engenharia de Atributos:
   O estudo agrega dados de quatro fontes distintas: o "Web Page Phishing Detection Dataset" (Kaggle) e três repositórios suplementares (Mendeley Data e UCI ML Repository). Isso resulta em um pool inicial de 124 atributos, incluindo atributos estruturais de URL (ex: comprimento, número de pontos), características de conteúdo e indicadores de serviços externos.

   • Pré-processamento: O conjunto de dados passa por normalização Z-score para uma escala consistente.
   • Seleção de Atributos: Para lidar com redundância e multicolinearidade, atributos com um coeficiente de correlação ≥ 0,5 são analisados, e a Eliminação de Atributos Recursiva (RFE) é empregada para destilar o conjunto para os 40 atributos mais discriminativos.

2. Construção de Grafo e Embedding de GNN:
   As URLs são representadas como nós dentro de um grafo web para capturar relações estruturais e comportamentais. Os autores experimentam com três estratégias de construção de arestas para definir conexões entre os nós:

   • K-Vizinhos Mais Próximos (KNN): Conectando nós com base na proximidade do espaço de atributos.
   • Baseada em Limiar (Threshold-based): Criando arestas se a similaridade (ex: similaridade de cosseno) exceder um limiar específico.
   • Específica de Atributo: Conectando nós com base em atributos categóricos compartilhados.
     A GNN atualiza iterativamente as representações dos nós agregando informações de nós vizinhos, gerando embeddings que encapsulam insights contextuais e estruturais.

3. Classificação Híbrida:
   Os embeddings gerados pela GNN são alimentados em um classificador. O modelo principal proposto é o GNN-RF, que combina embeddings de GNN com um classificador de Floresta Aleatória. Um modelo comparativo secundário, GNN-LR, utiliza Regressão Logística como o classificador. Ambos são comparados com modelos independentes tradicionais: Regressão Logística (LR), Árvore de Decisão (DT), K-Vizinhos Mais Próximos (KNN) e Floresta Aleatória (RF).

4. Implantação:
   O melhor modelo performante é implantado via uma interface web baseada em Gradio, permitindo que os usuários insiram uma URL e recebam resultados de classificação em tempo real.

Principais Contribuições

• Arquitetura Híbrida: O artigo introduz um novo modelo GNN-RF que aproveita o aprendizado baseado em grafos para capturar dependências relacionais entre URLs, abordando as limitações dos modelos estáticos baseados apenas em atributos.
• Análise Abrangente de Atributos: O estudo compila e analisa atributos de quatro conjuntos de dados diversos, utilizando RFE para identificar os atributos mais impactantes para a classificação de phishing.
• Avaliação Comparativa: A pesquisa fornece uma avaliação detalhada comparando modelos de ML tradicionais, uma alternativa GNN-LR e o modelo proposto GNN-RF através de múltiplas métricas.
• Implementação Prática: O trabalho preenche a lacuna entre o avanço teórico e a aplicação prática ao implantar o modelo através de uma interface de usuário acessível.

Resultados Experimentais
Experimentos foram conduzidos em um conjunto de dados equilibrado de mais de 11.000 URLs rotuladas (50% phishing, 50% legítimas) usando validação cruzada de 5 dobras (5-fold cross-validation).

• Desempenho: O modelo GNN-RF com arestas baseadas em limiar alcançou o maior desempenho, registrando 97% de acurácia, 97% de precisão, 97% de recall e 97% de F1-score, com um ROC-AUC de 0,99. Este superou todos os modelos tradicionais (que variaram de 94% a 96% de acurácia) e a alternativa GNN-LR.
• Redução de Erros: O modelo híbrido reduziu significativamente os falsos positivos em comparação com os modelos de base, aumentando sua confiabilidade para implantação no mundo real.
• Compensações Computacionais: Embora o modelo GNN-RF tenha demonstrado acurácia superior, ele incorreu em custos computacionais mais altos. Processar 1.000 amostras levou aproximadamente 0,7255 segundos para o modelo GNN-RF (limiar), comparado a 0,0025 segundos para a Floresta Aleatória independente. No entanto, o uso de memória permaneceu mínimo em todos os modelos (0,00005 MB).
• Modelos Alternativos: O modelo GNN-LR ofereceu velocidades de processamento mais rápidas (0,0100 segundos por 1.000 amostras), mas com acurácia ligeiramente inferior (93–94%), destacando um compromisso entre velocidade e poder preditivo.

Significância e Alegações
O artigo postula que a integração de Redes Neurais de Grafos com métodos de conjunto como Florestas Aleatórias fornece uma solução robusta e inteligente para as ameaças modernas de phishing. Os autores afirmam que sua abordagem aborda efetivamente limitações críticas na literatura existente, especificamente a falta de contexto relacional e a dependência de atributos estáticos. Ao capturar dependências estruturais entre as URLs, o modelo GNN-RF está melhor equipado para detectar comportamentos de phishing coordenados que os modelos tradicionais podem perder.

O estudo conclui que, embora os modelos híbridos avançados introduzam sobrecarga computacional, os ganhos significativos em acurácia de detecção e a redução de falsos positivos justificam seu uso em cenários onde a alta precisão é primordial. A implementação bem-sucedida via interface Gradio demonstra a viabilidade prática do sistema para profissionais de cibersegurança e usuários finais. O trabalho futuro sugerido pelos autores inclui construção de grafos em tempo real, aprendizado online para detecção de ameaças adaptativa e integração mais ampla em infraestruturas de cibersegurança.