Detection of the Malicious URL Using the Language Models

A internet tornou-se o sistema nervoso central da vida moderna, uma vasta rede onde organizações entregam serviços e pessoas compartilham informações por meio de endereços web. Esses endereços, conhecidos como URLs, são as chaves que desbloqueiam páginas específicas na web. No entanto, assim como uma chave física pode ser forjada para abrir uma porta que não deveria, um link digital pode ser elaborado para enganar. URLs maliciosas são essas chaves forjadas; são links projetados para enganar usuários para que visitem sites que roubam dinheiro, colhem informações privadas ou instalam softwares prejudiciais em seus dispositivos. Embora algumas ameaças sejam óbvias, muitas são sutis, e distinguir um link seguro de um perigoso é frequentemente difícil para a pessoa comum. Para proteger contra essas armadilhas digitais, especialistas em segurança há muito dependem de listas de links ruins conhecidos, mas essas listas só podem deter o que já viram. Quando uma nova ameaça, não vista, aparece, as listas antigas falham. Essa limitação impulsionou pesquisadores a buscar formas mais inteligentes de identificar o perigo, indo além de simples listas de verificação para sistemas que possam realmente entender o significado por trás de um endereço web.

Em um estudo recente, pesquisadores da Universidade de Qom e da Universidade Islâmica de Azad enfrentaram esse desafio ensinando computadores a ler o significado das palavras dentro de um endereço web, em vez de apenas contar seus caracteres. Por anos, sistemas automatizados tentaram detectar links maliciosos observando sua forma e estrutura — medindo o comprimento do endereço, contando o número de símbolos ou verificando se contém sequências de letras suspeitas. Esses métodos funcionam bem para muitos casos, mas perdem a nuance da linguagem. Um link malicioso pode usar palavras de aparência inocente organizadas de uma forma que sugere um golpe, tal como um e-mail de phishing que usa uma linguagem polida para pedir uma senha. Os pesquisadores perceberam que, para capturar esses truques sofisticados, um sistema precisa entender a relação semântica entre as palavras, ou como elas se encaixam para formar um significado específico. Para fazer isso, eles recorreram a modelos de linguagem, que são programas de computador avançados treinados em quantidades massivas de texto para entender como as palavras se relacionam umas com as outras na linguagem humana.

A equipe testou quatro tipos diferentes desses modelos de linguagem para ver qual poderia identificar melhor a intenção por trás de uma URL. Os dois primeiros, Word2vec e GloVe, são sistemas que mapeiam palavras em um espaço matemático com base na frequência com que aparecem próximas umas das outras em um texto. Eles são bons em entender que palavras como "rei" e "rainha" estão relacionadas, mas tratam cada palavra isoladamente, sem considerar o contexto completo da frase. O terceiro modelo, LASER, foi projetado para lidar com muitas línguas ao mesmo tempo, mapeando frases em um espaço compartilhado, embora foque na frase como um todo em vez dos detalhes finos de palavras individuais. O modelo final, BERT, é uma ferramenta mais recente e poderosa que observa uma palavra no contexto de todas as palavras ao seu redor, tanto antes quanto depois dela. Isso permite que ele compreenda as diferenças sutis de significado que dependem da arrumação específica de uma frase. Os pesquisadores aplicaram esses modelos a um conjunto de dados contendo mais de 114.000 endereços web, que incluía links seguros, bem como aqueles projetados para spam, phishing, malware e defacement de sites.

Para tornar os endereços web legíveis para esses modelos de linguagem, os pesquisadores primeiro tiveram que decompô-los em partes menores, um processo chamado tokenização. Para os três primeiros modelos, eles removeram manualmente símbolos como barras e pontos de interrogação, tratando as palavras restantes como os dados principais. Para o modelo BERT, eles usaram uma ferramenta especializada que divide automaticamente o endereço em subpalavras e símbolos, mantendo a pontuação como parte do significado, porque o BERT é projetado para entender como esses símbolos alteram o contexto. Uma vez processados os endereços, os modelos geraram uma representação numérica única para cada um, capturando sua essência semântica. Essas representações foram então alimentadas em uma rede neural, um tipo de programa de computador inspirado no cérebro humano, que aprendeu a reconhecer padrões e atribuir um rótulo a cada URL, como "seguro", "spam" ou "phishing".

Os resultados do experimento mostraram um vencedor claro. Embora todos os modelos de linguagem tenham tido um desempenho melhor do que muitos métodos anteriores que dependiam apenas de características estatísticas, o modelo BERT se destacou significativamente. Ele alcançou uma taxa de precisão de 99,71 por cento, identificando corretamente a natureza dos endereços web em quase todos os casos. Os outros modelos também tiveram um bom desempenho, com o modelo GloVe atingindo 98,94 por cento e o modelo Word2vec atingindo 98,62 por cento, mas eles ficaram aquém da precisão do BERT. Os pesquisadores observaram que mesmo o modelo de menor desempenho em seu estudo, o LASER, ainda superou muitas técnicas existentes na área, alcançando 97,46 por cento de precisão. Isso sugere que mudar o foco da estrutura física de uma URL para o significado de suas palavras proporciona um aumento substancial na segurança. O estudo demonstra que, ao usar um modelo que entende o contexto e as relações entre as palavras, os computadores podem se tornar muito mais eficazes em detectar as pistas linguísticas sutis que indicam um link malicioso.

Os pesquisadores concluíram que sua abordagem oferece uma solução robusta para um problema persistente na segurança da computação. Ao modelar o espaço semântico das palavras encontradas em endereços web, eles foram capazes de capturar a intenção por trás de um link de uma forma que os métodos tradicionais não conseguiram. O sucesso do modelo BERT, em particular, destaca o valor de usar a compreensão de linguagem profunda e consciente do contexto para detectar ameaças. Isso não significa que os métodos antigos sejam inúteis, mas sim que combinar o uso deles com a capacidade de ler o "significado" de uma URL cria uma defesa muito mais forte. À medida que os cibercriminosos continuam a evoluir suas táticas, fazendo com que seus links maliciosos pareçam cada vez mais legítimos, a capacidade de entender o contexto das palavras que utilizam se tornará uma ferramenta essencial para manter a internet segura. O estudo fornece um caminho claro a seguir, mostrando que o futuro da detecção de URL reside em ensinar as máquinas a ler nas entrelinhas.