[논문 리뷰] Systematic Literature Review: Anti-Phishing Defences and Their Application to Before-the-click Phishing Email Detection

Trevor Wood, Vítor Basto-Fernandes외 2명|arXiv (Cornell University)|2022. 04. 27.

Spam and Phishing Detection인용 수 4

한 줄 요약

이 체계적 문헌 고찰은 21개의 주요 연구를 분석하여 블록리스트/허용리스트, 히وري스틱, 콘텐츠, 시각적, AI/ML, 그리고 사전 대응 기법으로 기술을 분류한다. 연구에서 밝혀진 바, 클릭 후 탐지 기법은 잘 정립되어 있으나, 스피어피싱과 같은 사회공학 공격을 방지하기 위해 필수적인 클릭 전 피싱 이메일 탐지 기법은 여전히 연구가 부족한 편이며, AI/ML 및 사전 대응 기법이 사용자 상호작용 이전의 조기 탐지에 가장 유망한 것으로 나타났다.

ABSTRACT

Most research into anti-phishing defence assumes that the mal-actor is attempting to harvest end-users' personally identifiable information or login credentials and, hence, focuses on detecting phishing websites. The defences for this type of attack are usually activated after the end-user clicks on a link, at which point the link is checked. This is known as after-the-click detection. However, more sophisticated phishing attacks (such as spear-phishing and whaling) are rarely designed to get the end-user to visit a website. Instead, they attempt to get the end-user to perform some other action, for example, transferring money from their bank account to the mal-actors account. These attacks are rarer, and before-the-click defence has been investigated less than after-the-click defence. To better integrate and contextualize these studies in the overall anti-phishing research, this paper presents a systematic literature review of proposed anti-phishing defences. From a total of 6330 papers, 21 primary studies and 335 secondary studies were identified and examined. The current research was grouped into six primary categories, blocklist/allowlist, heuristics, content, visual, artificial intelligence/machine learning and proactive, with an additional category of "other" for detection techniques that do not fit into any of the primary categories. It then discusses the performance and suitability of using these techniques for detecting phishing emails before the end-user even reads the email. Finally, it suggests some promising areas for further research.

연구 동기 및 목표

• 클릭 전 피싱 이메일 탐지의 맥락에서 기존 피싱 방지 기법을 분석하고 분류하기.
• 클릭하지 않는 피싱 공격, 예를 들어 스피어피싱 및 화이팅 공격과 같은 정교한 사회공학 공격을 탐지하는 데 있어 연구 격차를 규명하기.
• 사전 클릭 이메일 분석에 적합한 다양한 탐지 기법의 성능과 적합성을 평가하기.
• 미래 연구를 이끄는 데 도움이 되도록, 아직 탐색되지 않은 잠재력이 있는 접근 방식을 부각시키기.

제안 방법

• 6,330편의 논문을 대상으로 PRISMA 지침을 기반으로 체계적 문헌 고찰을 수행하여, 21편의 주요 연구 및 335편의 부차적 연구로 필터링함.
• 탐지 기법을 블록리스트/허용리스트, 히وري스틱, 콘텐츠, 시각적, 인공지능/기계학습, 사전 대응 기법의 6개 주요 범주로 분류함.
• 사용자 상호작용 이전에 피싱 이메일을 탐지하기 위한 각 기법의 실현 가능성과 성능을 평가함.
• 보고된 정확도, 거짓 긍정 비율, 구현 환경 등을 바탕으로 각 접근 방식의 성숙도와 한계를 평가함.
• 정성적 합성 기법을 활용하여 범주 간 탐지 메커니즘을 비교하고 연구 초점 및 효과성의 추세를 규명함.
• 특히 조기 탐지에 있어 AI/ML 및 사전 대응 방어 메커니즘이 가장 유망한 연구 방향을 식별함.

실험 결과

연구 질문

• RQ1 학술 연구에서 클릭 전 피싱 이메일 탐지에 사용되는 주요 피싱 방지 기법 범주는 무엇인가?
• RQ2 기존 탐지 기법은 사용자 상호작용 이전에 피싱 이메일을 얼마나 효과적으로 식별할 수 있는가? 특히 정교한 사회공학 공격에 대해선 어떻게 되는가?
• RQ3 클릭 전 탐지가 클릭 후 탐지보다 연구가 덜 되어 있는 이유는 무엇이며, 주요 기술적 및 실무적 장벽은 무엇인가?
• RQ4 AI/ML나 사전 대응 기법과 같은 특정 탐지 기법 중에서 조기 피싱 이메일 식별에 가장 유망한 것은 무엇인가?
• RQ5 클릭 전 피싱 이메일 탐지 향상을 위한 주요 연구 격차와 향후 연구 방향은 무엇인가?

주요 결과

• 피싱 방지 연구의 대부분은 클릭 후 탐지에 집중되어 있으며, 클릭 전 탐지에 특별히 초점 맞춘 연구는 21편의 주요 연구에 그쳤다.
• AI/ML 및 사전 대응 탐지 기법은 사용자 상호작용 이전에 피싱 이메일을 식별하는 데 가장 높은 잠재력을 보였으며, 특히 이메일 콘텐츠와 발신자 행동 분석에서 뛰어난 성능을 보였다.
• 블록리스트/허용리스트 및 히وري스틱 기반 기법은 알려진 패tern이나 서명에 의존하기 때문에 정교한 공격에 대해 덜 효과적인 것으로 나타났다.
• 시각 기반 탐지 기법은 이메일 클라이언트에서 시각적 피싱 요소를 렲기하고 분석하는 데 복잡성 때문에 사전 분석에 제한된 적용을 보였다.
• 기타 범주(행동 및 맥락 분석 포함)는 향후 개발에 매우 높은 잠재력을 지닌 새로운 접근 방식을 보였지만 아직 탐색되지 않은 상태였다.
• 대부분의 연구가 합성 또는 제한된 데이터셋에 의존함에 따라, 실제 환경 조건에서 탐지 시스템을 평가하는 데 상당한 연구 격차가 존재한다.