[논문 리뷰] Multi-Layer Perceptron Neural Network for Improving Detection Performance of Malicious Phishing URLs Without Affecting Other Attack Types Classification

Pow Chang|arXiv (Cornell University)|2022. 02. 25.

Spam and Phishing Detection인용 수 7

한 줄 요약

이 논문은 악성 피싱 URL 탐지 성능을 향상시키면서도 다른 사이버공격 유형의 분류 정확도를 유지하기 위해 다층 퍼셉트론(MLP) 신경망을 제안한다. 비선형 특성 학습과 역전파를 활용해 자동으로 특성 중요도를 가중치화함으로써, 수동적인 특성 엔지니어링이나 코퍼스 기반 튜닝이 필요한 전통적인 모델들보다도 성능을 뛰어넘는다.

ABSTRACT

The hypothesis here states that neural network algorithms such as Multi-layer Perceptron (MLP) have higher accuracy in differentiating malicious and semi-structured phishing URLs. Compared to classical machine learning algorithms such as Logistic Regression and Multinomial Naive Bayes, the classical algorithms rely heavily on substantial corpus data training and machine learning experts' domain knowledge to perform complex feature engineering. MLP could perform non-linear separable multi-classes classification and focus less on corpus feature training. In addition, backpropagation weight adjustment could learn which features are more important in differentiating phishing from other attack types.

연구 동기 및 목표

• 기존 기계학습 모델이 광범위한 특성 엔지니어링에 의존함으로써 악성 피싱 URL 탐지에 한계를 보이는 데 대비하기 위해.
• 딥러닝 모델인 MLP가 수동 특성 엔지니어링 없이도 피싱 URL 탐지 정확도를 높일 수 있는지 탐색하기 위해.
• 신경망의 엔드 투 엔드 학습을 통해 도메인 전문 지식과 대규모 학습 코퍼스에 대한 의존도를 줄이기 위해.
• 역전파가 피싱 탐지에 있어 핵심적인 특성들을 식별하는 데 얼마나 효과적인지 평가하기 위해.

제안 방법

• URL 특성 간의 복잡한 비선형 관계를 모델링하기 위해 다중 은닉층을 갖춘 다층 퍼셉트론(MLP) 아키텍처를 사용한다.
• 수동적인 코퍼스 기반 특성 추출이 필요 없이, URL의 길이, 특수 문자, 도메인 패턴 등의 URL 구조에서 특성가 추출한다.
• 역전파를 통해 반복적으로 네트워크 가중치를 조정함으로써, 피싱 탐지에 가장 분류 능력이 높은 특성들을 학습할 수 있도록 한다.
• 멀티클래스 일반화를 보장하기 위해 피싱, 정상, 기타 공격 유형의 URL로 구성된 레이블이 부여된 데이터셋을 사용해 모델을 훈련시킨다.
• DDoS나 악성코드 배포와 같은 비피싱 공격 유형의 분류 성능이 저하되지 않도록, 모델 아키텍처를 설계하여 강건성을 확보한다.
• 과적합을 최소화하면서 분류 정확도를 최적화하기 위해 하이퍼파rameter를 튜닝한다.

실험 결과

연구 질문

• RQ1 MLP 신경망은 기존 기계학습 모델에 비해 악성 피싱 URL 탐지 정확도를 더 높일 수 있는가?
• RQ2 MLP에서의 역전파 사용이 수동 특성 엔지니어링 없이도 효과적인 자동 특성 중요도 학습을 가능하게 하는가?
• RQ3 피싱 탐지에 최적화된 상태에서 MLP가 비피싱 사이버공격 유형의 분류 성능를 어느 정도 유지하는가?
• RQ4 MLP의 비선형 결정 경계가 로지스틱 회귀와 같은 선형 모델에 비해 분류 성능를 어떻게 향상시키는가?
• RQ5 대규모 수동 컬렉션된 학습 코퍼스에 의존하지 않고도 모델이 다양한 URL 패턴으로 일반화 가능한가?

주요 결과

• MLP 모델은 로지스틱 회귀 및 다항 나이브 베이즈에 비해 악성 피싱 URL 탐지 성능에서 뛰어난 성능을 보였다.
• 모델은 URL 특성 간의 복잡한 비선형 패턴을 학습할 수 있기에 더 높은 분류 정확도를 달성했다.
• 역전파를 통해 네트워크가 피싱 탐지에 가장 분류 능력이 높은 특성들을 자동으로 식별하고 우선순위를 정할 수 있었다.
• 다른 공격 유형에 대해서도 일관된 성능을 유지하여 다중 클래스 분류 성능 저하가 없음을 확인했다.
• 도메인 전문 지식과 대규모 코퍼스 기반 특성 엔지니어링에 대한 의존도를 줄여 탐지 파이프라인의 단순화를 이룬 점이 특징이다.