[論文レビュー] Detecting and Characterizing Lateral Phishing at Scale

Grant Ho, Asaf Cidon+6 more|arXiv (Cornell University)|Oct 2, 2019

Spam and Phishing Detection被引用数 43

ひとこと要約

この論文は、92組織からの113M通の従業員送信メールを用いた横方向フィッシングの大規模な検出と特徴付けを提示し、検出率87.3％を達成し、100万通あたり4未満の偽陽性で、攻撃者の戦略を分析している。

ABSTRACT

We present the first large-scale characterization of lateral phishing attacks, based on a dataset of 113 million employee-sent emails from 92 enterprise organizations. In a lateral phishing attack, adversaries leverage a compromised enterprise account to send phishing emails to other users, benefitting from both the implicit trust and the information in the hijacked user's account. We develop a classifier that finds hundreds of real-world lateral phishing emails, while generating under four false positives per every one-million employee-sent emails. Drawing on the attacks we detect, as well as a corpus of user-reported incidents, we quantify the scale of lateral phishing, identify several thematic content and recipient targeting strategies that attackers follow, illuminate two types of sophisticated behaviors that attackers exhibit, and estimate the success rate of these attacks. Collectively, these results expand our mental models of the 'enterprise attacker' and shed light on the current state of enterprise phishing attacks.

研究の動機と目的

• 実世界の企業における横方向フィッシングの規模と影響を調査する。
• 最小限のデータ（過去のメール）を用いて偽陽性を低く抑えた実用的な検出器を開発する。
• 横方向フィッシングの規模拡大における攻撃者の戦略、標的設定、コンテンツの適合化を特徴づける。

提案手法

• 受信者集合、誘導キーワード、URL評判から派生した特徴を用いてURLベースの横方向フィッシングを検出する分類器を構築する。
• 3つの特徴セットを使用する：受信者の可能性（メールあたりの受信者数と過去の受信者セットとの類似性）、フィッシーなキーワードリストに基づく誘導指標、およびグローバルおよびローカルURL評判特徴による悪用指標。
• ユーザー報告攻撃と善意メールの実データ混合でRandom Forest分類器を訓練し、交差検証と200:1の善性対攻撃のサンプリング比を用いる。
• 時間的分割で評価する：2018年4–6月の52組織の探索データで訓練し、2018年7–10月の92組織のデータでテストし、40組織をホールドアウトに含める。
• 実際のアラート挙動を反映するため、インシデントレベル（固有の件名・送信者ペア）で指標を報告する。

実験結果

リサーチクエスチョン

• RQ1 複数の企業における横方向フィッシングの規模と蔓延はどの程度か。
• RQ2 最小限のデータ（過去のメール）で実用的な精度を達成できる検出器は実現可能か。
• RQ3 実世界の展開で横方向フィッシングを特徴づける攻撃者の行動と内容戦略は何か。
• RQ4 既知および新規の横方向フィッシングインシデントの識別において検出器はどれほど有効か、そして偽陽性はどれだけ発生するか。

主な発見

指標	2018年4月–6月（訓練）	2018年7月–10月（テスト）
Organizations	52 Exploratory	52 Exploratory + 40 Test
Detected Known Attacks	34	47
Detected New Attacks	28	49
Missed Attacks (FN)	8	14
Detection Rate	88.6%	87.3%
Total Emails	25,670,264	87,413,431
False Positives (FP)	136	316
False Positive Rate	0.00053%	0.00036%
Precision	31.3%	23.3%

• 検出器はテストセットの横方向フィッシングインシデントの87.3％を識別した。
• テスト期間中の87,413,431通のメールに対して偽陽性は316件を生成した（偽陽性率0.00036%）。
• 訓練データ（2018年4–6月）全体で、インシデントの88.6%を正しく識別し、総偽陽性は62件、総メール数は25.7百万件。
• テストデータセットでは、ユーザーが報告していない新規インシデントを49件、既知インシデントを47件検出し、精度は23.3%、検出率は87.3%であった。
• グローバルURL評判と受信者数が最も重要な特徴であり、重みはそれぞれ0.42と0.34であった。