[논문 리뷰] That Ain't You: Detecting Spearphishing Emails Before They Are Sent

Gianluca Stringhini, Olivier Thonnard|arXiv (Cornell University)|2014. 10. 24.

Spam and Phishing Detection참고 문헌 39인용 수 3

한 줄 요약

이 논문은 유저의 정상적인 이메일 발신 행동(예: 발신 시점, 수신자, 글쓰기 스탣 등)을 모델링하여, 해킹된 기업 이메일 계정에서 발송된 스피어피싱 이메일을 탐지하는 IdentityMailer 시스템을 소개한다. 이 시스템은 내용이나 발신원과 같은 전통적인 스팸 및 피싱 필터에서 빠지는 스텔스성 있는 타겟 공격을 행동 이질성에 기반해 탐지함으로써, 기존 방법으로는 탐지되지 않는 공격을 효과적으로 차단한다.

ABSTRACT

One of the ways in which attackers try to steal sensitive information from corporations is by sending spearphishing emails. This type of emails typically appear to be sent by one of the victim's coworkers, but have instead been crafted by an attacker. A particularly insidious type of spearphishing emails are the ones that do not only claim to come from a trusted party, but were actually sent from that party's legitimate email account that was compromised in the first place. In this paper, we propose a radical change of focus in the techniques used for detecting such malicious emails: instead of looking for particular features that are indicative of attack emails, we look for possible indicators of impersonation of the legitimate owners. We present IdentityMailer, a system that validates the authorship of emails by learning the typical email-sending behavior of users over time, and comparing any subsequent email sent from their accounts against this model. Our experiments on real world e-mail datasets demonstrate that our system can effectively block advanced email attacks sent from genuine email accounts, which traditional protection systems are unable to detect. Moreover, we show that it is resilient to an attacker willing to evade the system. To the best of our knowledge, IdentityMailer is the first system able to identify spearphishing emails that are sent from within an organization, by a skilled attacker having access to a compromised email account.

연구 동기 및 목표

• 해킹된 내부 이메일 계정을 악용하는 스피어피싱 공격의 증가하는 위협을 해결하기 위해.
• 공격이 정상 계정에서 발생하기 때문에 전통적인 스팸 및 피싱 탐지 시스템이 실패하는 한계를 극복하기 위해.
• 공격자가 실제 사용자의 행동을 모방하지만 실제로는 공격자가 작성한, 미세한 타겟 스피어피싱 이메일을 탐지하기 위해.
• 장기간에 걸쳐 개인 사용자의 행동 프로파일을 학습함으로써 이메일 작성자의 진위를 검증하는 시스템을 개발하기 위해.
• 공격자가 정상 사용자 행동을 모방하려 시도할 경우에도 이를 저지하는 내성적 저항력을 확보하기 위해.

제안 방법

• IdentityMailer는 사용자의 이력 기반 이메일 발신 패턴(예: 발신 시점, 수신자 빈도, 기능어 등의 언어적 특징)을 기반으로 각 사용자에 대한 행동 프로파일을 수립한다.
• 조직 내 다른 사용자의 이메일 패턴을 통합하여 프로파일 정확도를 향상시키며, 다수 사용자 간에 공유되는 일반적인 행동은 낮은 가중치로 처리한다.
• 기계 학습을 활용해 신규 발신 이메일을 사용자 행동 모델과 비교하여, 위조 행위를 시사하는 이질성을 탐지한다.
• 공격자가 쉽게 재현하기 어려운 고도로 개인화된 특징인 '라이트프린트'(예: 특정 기능어 및 어휘 사용 방식)에 중점을 둔다.
• 내용 뿐 아니라 발신 시점, 사회적 네트워크 상호작용 등의 메타데이터 이질성까지 분석하여 탐지 정확도를 향상시킨다.
• 공격자가 정상 행동을 모방하려 할 경우에도, 장기적이고 미세한 행동 패턴을 포착하기 때문에 이를 회피하기 어렵게 설계되어 있다.

실험 결과

연구 질문

• RQ1 기존 스팸 및 피싱 필터에서 빠지는 해킹된 내부 이메일 계정에서 발송된 스피어피싱 이메일을 시스템이 탐지할 수 있는가?
• RQ2 내용이 정상적으로 보일 경우에도 행동 모델링이 정상 이메일과 위조 이메일을 효과적으로 구분할 수 있는가?
• RQ3 일괄 발송과 같은 명백한 이질성이 없는, 스텔스성 있는 일회성 스피어피싱 공격을 시스템이 탐지할 수 있는가?
• RQ4 공격자가 발신 시점과 글쓰기 스타일을 포함한 사용자 행동을 모방할 경우, 시스템을 얼마나 효과적으로 회피할 수 있는가?
• RQ5 발신 시점, 수신자, 언어 사용 등의 다양한 행동 신호를 조합하면, 내용 기반 또는 원천 기반 방법보다 탐지 성능이 얼마나 향상되는가?

주요 결과

• IdentityMailer는 전통적인 스팸 및 피싱 필터에서 탐지되지 않는, 해킹된 계정에서 발송된 고도로 발전한 스피어피싱 공격을 성공적으로 탐지한다.
• 시스템은 정상적인 내용과 원천을 가진 이메일에서도 사용자 프로파일에서 벗어난 행동 이질성을 중심으로 이질성을 효과적으로 식별한다.
• 실제 이메일 데이터셋을 대상으로 한 실험 결과, 최신 기술 수준의 시스템이 탐지하지 못한 공격까지 IdentityMailer가 차단함을 입증했다.
• 공격자가 정상 사용자 행동 패턴의 전반을 유사하게 모방하더라도 이를 신뢰성 있게 회피할 수 없으며, 시스템은 이를 저지한다.
• 개인 및 조직 수준의 이메일 패턴을 융합함으로써, 가짜 경고를 줄이고 타겟 공격에 대한 높은 탐지 정확도를 유지한다.
• IdentityMailer는 해킹된 정상 계정을 통해 조직 내부에서 스피어피싱 이메일을 발송하는 공격을 특별히 탐지하는 최초의 시스템이다.