[论文解读] Cognitive Triaging of Phishing Attacks

Amber van der Heijden, Luca Allodi|arXiv (Cornell University)|May 6, 2019

Spam and Phishing Detection参考文献 45被引用 43

一句话总结

该论文利用有监督主题建模和计量经济学来量化网络钓鱼邮件中的认知脆弱性触发因素，以预测攻击成功并指导修复分流。

ABSTRACT

In this paper we employ quantitative measurements of cognitive vulnerability triggers in phishing emails to predict the degree of success of an attack. To achieve this we rely on the cognitive psychology literature and develop an automated and fully quantitative method based on machine learning and econometrics to construct a triaging mechanism built around the cognitive features of a phishing email; we showcase our approach relying on data from the anti-phishing division of a large financial organization in Europe. Our evaluation shows empirically that an effective triaging mechanism for phishing success can be put in place by response teams to effectively prioritize remediation efforts (e.g. domain takedowns), by first acting on those attacks that are more likely to collect high response rates from potential victims.

研究动机与目标

• 说明为何某些网络钓鱼邮件在实际环境中更成功，通过测量认知脆弱性触发因素。
• 开发一种自动化、定量的方法来测量网络钓鱼邮件中的认知触发因素。
• 构建一个基于邮件认知特征预测网络钓鱼成功的分流/分诊模型。
• 使用一家大型欧洲金融机构的反钓鱼运营数据来验证该方法。
• 演示分诊模型如何优先化修复行动（例如域名下架）。

提出的方法

• 构建一个来自 Org（一家大型欧洲金融公司）的网络钓鱼邮件及相关点击数据的数据集。
• 使用一个受监督的 Latent Dirichlet Allocation (LLDA) 模型，结合Cialdini的影响力原则，识别邮件中的认知脆弱性触发因素。
• 使用带标签的示例训练与评估 LLDA 模型，采用5折交叉验证和PROPORTIONAL等级截断用于多标签检测。
• 通过重定向链的重建并匹配到可疑URL，将邮件内容与落地URL上的实际点击相关联。
• 使用自助法引导的计量经济学仿真来估计系数和将认知触发因素与钓鱼成功相关联的预测。
• 汇总结果以推导出基于预测点击可能性优先修复的分诊机制。
• 讨论数据净化、重复检测和局限性以确保稳健推断。

实验结果

研究问题

• RQ1 实际数据中是否可以自动量化网络钓鱼邮件中的认知脆弱性触发因素？
• RQ2 个别认知触发因素与对钓鱼域名的实际点击行为之间有何相关性？
• RQ3 基于仅认知特征，分诊模型是否能有效优先化钓鱼修复行动？
• RQ4 在此设置中基于LLDA的认知触发识别方法的预测性能如何？

主要发现

• 该研究分析了超过80,000封网络钓鱼邮件，并将认知触发与来自组织警报的实际点击数据联系起来。
• 受监督的 LLDA 方法在灵敏性/特异性约0.71–0.81、F1约0.72–0.76等宏观和微观性能指标，表明拟合度令人满意。
• 认知脆弱性触发因素如 Reciprocity、Consistency、Social Proof、Authority、Liking、Scarcity 可被识别并与邮件内容相关联。
• 结果支持通过预测成功概率（点击可能性）对网络钓鱼邮件进行分诊可以在运营环境中指示修复优先级。
• 该方法提供了经验证据，表明认知因素在实际环境中与钓鱼成功相关，超越纯技术指标。