[논문 리뷰] Detecting and Characterizing Lateral Phishing at Scale

Grant Ho, Asaf Cidon외 6명|arXiv (Cornell University)|2019. 10. 02.

Spam and Phishing Detection인용 수 43

한 줄 요약

본 논문은 92개의 조직의 113 million 직원이 보낸 이메일에서 측면 피싱을 대규모로 탐지하고 특성화하며, 87.3%의 탐지를 달성하고 백만 이메일당 4건 미만의 거짓 양성으로 실용적인 탐지를 달성하고, 공격자 전략을 분석한다.

ABSTRACT

We present the first large-scale characterization of lateral phishing attacks, based on a dataset of 113 million employee-sent emails from 92 enterprise organizations. In a lateral phishing attack, adversaries leverage a compromised enterprise account to send phishing emails to other users, benefitting from both the implicit trust and the information in the hijacked user's account. We develop a classifier that finds hundreds of real-world lateral phishing emails, while generating under four false positives per every one-million employee-sent emails. Drawing on the attacks we detect, as well as a corpus of user-reported incidents, we quantify the scale of lateral phishing, identify several thematic content and recipient targeting strategies that attackers follow, illuminate two types of sophisticated behaviors that attackers exhibit, and estimate the success rate of these attacks. Collectively, these results expand our mental models of the 'enterprise attacker' and shed light on the current state of enterprise phishing attacks.

연구 동기 및 목표

• Real-world Enterprises에서의 측면 피싱의 규모와 영향 조사.
• 거의 모든 데이터가 필요하지 않은(과거 이메일) 실용적 탐지를 구현하여 거짓 양성을 낮추는Detector 개발.
• 대규모로 측면 피싱을 특징짓는 공격자 전략, 대상 선정, 콘텐츠 맞춤화를 분석.

제안 방법

• 수신자 집합, 유인 키워드, URL 평판에서 추출한 특징을 사용하여 URL 기반 측면 피싱을 탐지하는 분류기 구성.
• 세 가지 특징 집합 사용: 수신자 가능성(이메일당 수신자 및 과거 수신자 세트와의 유사성), 유인 지표(의심스러운 키워드 목록에 기반), 글로벌 및 로컬 URL 평판 특징을 통한 악용 지표.
• 참가자 보고 공격과 정상 이메일의 실제 혼합을 바탕으로 랜덤 포레스트 분류기 학습, 교차 검증 및 200:1의 정상-공격 샘플링 비율 적용.
• 시간적 분할로 평가: 52개 탐색 조직의 2018년 4월–6월 데이터를 학습하고 92개 조직의 2018년 7월–10월 데이터를 테스트하며, 40개 조직은 held-out로 포함.
• 사건 수준(고유한(제목, 발신자) 쌍)으로 지표를 보고하여 실무 경보 동작을 반영.

실험 결과

연구 질문

• RQ1 다양한 기업에서의 측면 피싱의 규모와 확산 정도는 어느 정도인가?
• RQ2 거의 데이터가 필요하지 않은 상태에서 탐지기가 실용적 정확도를 달성할 수 있는가?
• RQ3 실제 운영에서 측면 피싱을 특징짓는 공격자 행동 및 콘텐츠 전략은 무엇인가?
• RQ4 탐지기가 알려진 및 새로운 측면 피싱 사건을 식별하는 데 얼마나 효과적이며, 거짓 양성은 얼마나 발생하는가?

주요 결과

Metric	April – June 2018 (Training)	July – October 2018 (Testing)
Organizations	52 Exploratory	52 Exploratory + 40 Test
Detected Known Attacks	34	47
Detected New Attacks	28	49
Missed Attacks (FN)	8	14
Detection Rate	88.6%	87.3%
Total Emails	25,670,264	87,413,431
False Positives (FP)	136	316
False Positive Rate	0.00053%	0.00036%
Precision	31.3%	23.3%

• 탐지기가 테스트 세트에서 측면 피싱 사고의 87.3%를 식별했다.
• 탐지기는 테스트 기간 동안 87,413,431건의 이메일에서 316개의 거짓 양성을 생성하여 FP 비율이 0.00036%에 해당하였다.
• 학습 데이터(2018년 4월–6월)에서 탐지기가 사건의 88.6%를 올바르게 식별했고, 25.7백만 건의 이메일에서 총 62건의 거짓 양성을 보였다.
• 테스트 데이터에서 탐지기는 사용자가 보고하지 않은 49건의 신규 사건과 47건의 알려진 사건을 발견했으며, 정밀도는 23.3%, 탐지율은 87.3%였다.
• 글로벌 URL 평판 및 수신자 수가 분류기의 가장 중요한 특징으로, 각각 가중치 0.42와 0.34를 차지하였다.