[論文レビュー] That Ain't You: Detecting Spearphishing Emails Before They Are Sent

Gianluca Stringhini, Olivier Thonnard|arXiv (Cornell University)|Oct 24, 2014

Spam and Phishing Detection参考文献 39被引用数 3

ひとこと要約

この論文では、ユーザーの正当なメール送信行動（送信時刻、受信者、文章スタイルなど）をモデル化することで、改ざんされた企業メールアカウントから送信されたスプーフィッシュメールを検出するシステム、IdentityMailerを紹介している。このシステムは、コンテンツや送信元ではなく、行動の異常を焦点にすることで、従来のスパムおよびフィッシングフィルタを回避する洗練された標的型攻撃を効果的にブロックする。

ABSTRACT

One of the ways in which attackers try to steal sensitive information from corporations is by sending spearphishing emails. This type of emails typically appear to be sent by one of the victim's coworkers, but have instead been crafted by an attacker. A particularly insidious type of spearphishing emails are the ones that do not only claim to come from a trusted party, but were actually sent from that party's legitimate email account that was compromised in the first place. In this paper, we propose a radical change of focus in the techniques used for detecting such malicious emails: instead of looking for particular features that are indicative of attack emails, we look for possible indicators of impersonation of the legitimate owners. We present IdentityMailer, a system that validates the authorship of emails by learning the typical email-sending behavior of users over time, and comparing any subsequent email sent from their accounts against this model. Our experiments on real world e-mail datasets demonstrate that our system can effectively block advanced email attacks sent from genuine email accounts, which traditional protection systems are unable to detect. Moreover, we show that it is resilient to an attacker willing to evade the system. To the best of our knowledge, IdentityMailer is the first system able to identify spearphishing emails that are sent from within an organization, by a skilled attacker having access to a compromised email account.

研究の動機と目的

• 改ざんされた内部メールアカウントを悪用する標的型スプーフィッシュ攻撃の増加に対処すること。
• 攻撃が正当なアカウントから発信される場合に機能を失う従来のスパムおよびフィッシング検出システムの限界を克服すること。
• 攻撃者が正当なユーザー行動を模倣するが、実際には不正な送信者であるという、微細で標的型のスプーフィッシュメールを検出すること。
• 長期間にわたり個々のユーザーの行動プロファイルを学習することで、メール発信者の正当性を検証するシステムを開発すること。
• 攻撃者が正当なユーザー行動を模倣しようとする場合でも、その回避を防ぐ耐性を確保すること。

提案手法

• IdentityMailerは、送信時刻、受信者頻度、機能語などの言語的特徴を含む、ユーザーの歴史的メール送信パターンに基づいて行動プロファイルを構築する。
• 組織内の他のユーザーのメールパターンを取り入れることでプロファイルの正確性を向上させ、全ユーザーに共通する行動は軽視する。
• 機械学習を用いて新しい送信メールをユーザーの行動モデルと比較し、なりすましを示す異常を特定する。
• 攻撃者が再現しにくい、非常に個人差のある特徴（例えば特定の機能語やフレーズの使用）に注目する「ライティングプリント（writeprint）」特徴を活用する。
• 内容だけでなく、送信時刻やソーシャルネットワーク関係などのメタデータの異常を検出することで、検出の堅牢性を向上させる。
• 攻撃者が正当な行動を模倣しようとしても、長期間にわたる微細な行動パターンを捉えているため、回避が困難である。

実験結果

リサーチクエスチョン

• RQ1 従来のスパムおよびフィッシングフィルタを回避するが、改ざんされた内部メールアカウントから送信された標的型スプーフィッシュメールを検出できるか？
• RQ2 コンテンツが通常のものに見える場合でも、行動モデリングにより正当なメールとなりすましメールを効果的に区別できるか？
• RQ3 大量送信などの顕著な異常を示さない、一回限りの洗練された標的型スプーフィッシュ攻撃を検出できるか？
• RQ4 攻撃者が送信時刻や文章スタイルを含め、ユーザーの行動を模倣することで、このシステムを回避できる程度はどの程度か？
• RQ5 送信時刻、受信者、言語といった複数の行動的シグナルを組み合わせることで、コンテンツベースや送信元ベースの手法に比べて検出性能がどの程度向上するか？

主な発見

• IdentityMailerは、従来のスパムおよびフィッシングフィルタでは検出できない高度な標的型スプーフィッシュ攻撃を、改ざんされたアカウントから効果的に検出できた。
• このシステムは、コンテンツや送信元が正常であっても、ユーザーのプロファイルからの行動的逸脱に注目することで、異常を効果的に特定できた。
• 実世界のメールデータセットを用いた実験では、最先端のシステムが検出できない攻撃をIdentityMailerがブロックした。
• 攻撃者が正当な行動パターンを模倣しても、システムは回避されにくく、耐性があることが確認された。
• 個人と組織の両方のメールパターンを活用することで、誤検出を低減しながらも、標的型攻撃の検出精度を高い水準で維持できた。
• IdentityMailerは、正当なアカウントを改ざんした攻撃者が組織内から送信する標的型スプーフィッシュメールを、初めて特化して検出するシステムである。