[논문 리뷰] PMANet: Malicious URL detection via post-trained language model guided multi-level feature attention network

Ruitong Liu, Yanbin Wang외 5명|arXiv (Cornell University)|2023. 11. 21.

Spam and Phishing Detection인용 수 4

한 줄 요약

이 논문은 악성 URL 탐지에 적합한 사전 fine-tuning된 언어 모델 지도 다층 특징 주의망(PMANet)을 제안한다. CharBERT를 활용해 계층적 문자 수준 임베딩을 추출하고, 계층 인식 주의를 적용해 특징의 가중치를 적응적으로 조정하며, 다중 척도 특징 집합을 위해 공간 피라미드 풀링을 사용한다. 이 방법은 기준 데이터셋에서 최신 기술 대비 최대 8.43%의 정확도 향상을 달성한다.

ABSTRACT

The proliferation of malicious URLs has made their detection crucial for enhancing network security. While pre-trained language models offer promise, existing methods struggle with domain-specific adaptability, character-level information, and local-global encoding integration. To address these challenges, we propose PMANet, a pre-trained Language Model-Guided multi-level feature attention network. PMANet employs a post-training process with three self-supervised objectives: masked language modeling, noisy language modeling, and domain discrimination, effectively capturing subword and character-level information. It also includes a hierarchical representation module and a dynamic layer-wise attention mechanism for extracting features from low to high levels. Additionally, spatial pyramid pooling integrates local and global features. Experiments on diverse scenarios, including small-scale data, class imbalance, and adversarial attacks, demonstrate PMANet's superiority over state-of-the-art models, achieving a 0.9941 AUC and correctly detecting all 20 malicious URLs in a case study. Code and data are available at https://github.com/Alixyvtte/Malicious-URL-Detection-PMANet.

연구 동기 및 목표

• 기존 탐지 방법으로는 회피되는 점점 증가하는 위장성, 브랜드 위장 피싱 URL의 도전에 대응한다.
• 룰 기반, 히وري스틱, 블랙리스트 기반 시스템의 한계를 극복하여 제로데이 및 진화하는 위협에 대응한다.
• 딥 러닝과 사전 학습된 언어 모델을 활용해 특징 추출을 자동화하고 정확도를 향상시킨다.
• 다양한 데이터셋 평가 및 악성 공격 시나리오에서 모델의 강건성과 일반화 능력을 향상시킨다.
• 최소한의 수동 특징 공학과 낮은 계산 자원 소비를 요구하는 효율적인 종단 간 프레임워크를 개발한다.

제안 방법

• URL 표현을 위한 기본 인코더로 문자 인식 및 서브워드 인식 기반의 사전 학습된 언어 모델인 CharBERT를 사용한다.
• CharBERT의 다양한 Transformer 레이어에서 추출한 다층 임베딩을 캡처하는 계층적 특징 추출 모듈을 적용한다.
• 계층적 레벨 간 특징의 중요도를 동적으로 할당하기 위해 레이어 인식 주의 메커니즘을 적용한다.
• 가중치가 부여된 특징 피라미드에 대해 다중 척도의 다운샘플링을 수행하기 위해 공간 피라미드 풀링 모듈을 통합한다.
• 이러한 구성 요소들을 종단 간 학습 가능한 네트워크로 통합하여 원시 URL 문자열에 대한 수동 전처리 없이 처리한다.
• CharBERT에서의 전이 학습을 활용해 빠른 수렴을 이끌어내며, 단지 5개의 학습 에포크 내에 최적의 성능을 달성한다.

실험 결과

연구 질문

• RQ1 사전 학습된 언어 모델인 CharBERT가 악성 URL 탐지의 다층 특징 표현 향상에 효과적으로 활용될 수 있는가?
• RQ2 레이어 인식 주의는 사전 학습된 모델의 계층적 표현에서 특징 선택과 모델 성능을 어떻게 향상시키는가?
• RQ3 표준 풀링 방법에 비해 공간 피라미드 풀링은 URL 문자열에서 국소적 및 전반적 패턴을 얼마나 효과적으로 포착하는가?
• RQ4 기존 최신 기술 모델들과 비교해 PMANet는 다양한 데이터셋에서 어떻게 일반화되며, 악성 공격에 저항하는가?
• RQ5 제안된 아키텍처는 최소한의 학습 에포크와 낮은 계산 오버헤드로 높은 정확도를 달성할 수 있는가, 특히 자원 제약이 있는 하드웨어 환경에서도 성능이 우수한가?

주요 결과

• PMANet는 공개 기준 데이터셋에서 이전 최신 기술 대비 최대 8.43%의 정확도 향상을 달성한다.
• 실제 사례 연구에서 PMANet는 PhishTank의 20개 활성 피싱 URL을 모두 정확하게 분류했으며, Grambeddings(75% 정확도)와 URLNet(95% 정확도)를 모두 능가했다.
• 모델는 다양한 데이터셋 평가 및 악성 공격 시나리오에서 뛰어난 강건성을 보이며 강력한 일반화 능력을 나타낸다.
• 사전 학습된 모델을 사용하고도 PMANet는 단지 5개의 학습 에포크 내에 최적의 성능을 달성하여 기존 기준 방법보다 훨씬 짧은 학습 시간을 확보했다.
• 단일 GPU(20GB 이상 메모리)에서 효율적으로 작동하여 광범위한 계산 자원 없이도 실시간 구현에 실용적이다.
• 레이어 인식 주의와 공간 피라미드 풀링의 통합은 노이즈 필터링과 주요 특징 학습을 효과적으로 가능하게 하여, 특히 식별하기 어려운 위장성 피싱 URL 탐지 능력을 향상시켰다.