[論文レビュー] Systematic Literature Review: Anti-Phishing Defences and Their Application to Before-the-click Phishing Email Detection

Trevor Wood, Vítor Basto-Fernandes+2 more|arXiv (Cornell University)|Apr 27, 2022

Spam and Phishing Detection被引用数 4

ひとこと要約

本系統的文献レビューは、21件の一次研究を分析し、ブロックリスト／アローリスト、ヒューリスティクス、コンテンツ、ビジュアル、AI/ML、プロアクティブ手法の6つのカテゴリに分類された対フィッシング防御技術を検討した。後処理による検出は整備されているが、スpear-phishingなどの社会的エンジニアリング攻撃を防ぐために不可欠な「クリック前のフィッシングメール検出」は、依然として研究が不足しており、AI/MLおよびプロアクティブ手法がユーザーの操作前における早期検出の観点で最も有望であると判明した。

ABSTRACT

Most research into anti-phishing defence assumes that the mal-actor is attempting to harvest end-users' personally identifiable information or login credentials and, hence, focuses on detecting phishing websites. The defences for this type of attack are usually activated after the end-user clicks on a link, at which point the link is checked. This is known as after-the-click detection. However, more sophisticated phishing attacks (such as spear-phishing and whaling) are rarely designed to get the end-user to visit a website. Instead, they attempt to get the end-user to perform some other action, for example, transferring money from their bank account to the mal-actors account. These attacks are rarer, and before-the-click defence has been investigated less than after-the-click defence. To better integrate and contextualize these studies in the overall anti-phishing research, this paper presents a systematic literature review of proposed anti-phishing defences. From a total of 6330 papers, 21 primary studies and 335 secondary studies were identified and examined. The current research was grouped into six primary categories, blocklist/allowlist, heuristics, content, visual, artificial intelligence/machine learning and proactive, with an additional category of "other" for detection techniques that do not fit into any of the primary categories. It then discusses the performance and suitability of using these techniques for detecting phishing emails before the end-user even reads the email. Finally, it suggests some promising areas for further research.

研究の動機と目的

• クリック前のフィッシングメール検出の文脈において、既存の対フィッシング防御技術を分析・分類すること。
• リンククリックに依存しない高度なフィッシング攻撃（例：スパー・フィッシングやホーリング）の検出における研究ギャップを特定すること。
• クリック前のメール分析に適したさまざまな検出技術の性能と適合性を評価すること。
• 未開拓だが有望なアプローチを浮き彫りにすることで、今後の研究を導くこと。

提案手法

• 6,330件の論文を対象にPRISMA指針に従った系統的文献レビューを実施し、21件の一次研究および335件の二次研究に絞った。
• 検出技術を6つの主要カテゴリに分類：ブロックリスト／アローリスト、ヒューリスティクス、コンテンツ、ビジュアル、人工知能／機械学習、プロアクティブ手法。
• ユーザーの操作前におけるフィッシングメール検出の観点から、各技術の実現可能性と性能を評価した。
• 報告された正答率、誤検出率、展開環境に基づき、各アプローチの成熟度と限界を評価した。
• 定性的な合成を用いて、カテゴリ間の検出メカニズムを比較し、研究の焦点と有効性の傾向を特定した。
• 特に、ユーザー操作前の早期検出に向けたAI/MLおよびプロアクティブ防御メカニズムの分野に、有望な研究方向性を同定した。

実験結果

リサーチクエスチョン

• RQ1 クリック前のフィッシングメール検出を目的とした学術的研究で、主流となっている対フィッシング防御技術のカテゴリは何か？
• RQ2 既存の検出技術は、ユーザーの操作前においてフィッシングメールをどの程度効果的に特定できるのか。特に、高度な社会的エンジニアリング攻撃に対しては？
• RQ3 なぜクリック前の検出はクリック後の検出よりも研究が少ないのか。主な技術的・実務的障壁は何か？
• RQ4 AI/MLやプロアクティブ手法などの検出技術の中で、どの技術がフィッシングメールの早期同定に最も有望であるか？
• RQ5 クリック前のフィッシングメール検出を改善するにあたり、主な研究ギャップと今後の研究方向性は何か？

主な発見

• 対フィッシング研究の大多数はクリック後の検出に注目しており、クリック前の検出に特化した研究はわずか21件にとどまっている。
• AI/MLおよびプロアクティブ検出技術は、ユーザーの操作前におけるフィッシングメール同定の観点で最も高い潜在的効果を示した。特にメールコンテンツや送信者行動の分析において顕著だった。
• ブロックリスト／アローリストおよびヒューリスティクスベースの手法は、洗練された攻撃に対しては効果が低く、既知のパターンやシグネチャに依存するためである。
• ビジュアルベースの検出は、メールクライアントでのビジュアルフィッシング要因のレンダリングと分析の複雑さのため、事前分析への応用が限定的だった。
• 「その他」カテゴリ（行動的および文脈的分析を含む）は、未開発ながらも高い潜在的価値を持つ新興のアプローチを示しており、今後の開発に期待が持てる。
• 実世界の状況下での検出システムの評価に関する顕著な研究ギャップが存在し、多くの研究が合成的または限定的なデータセットに依存している。