[논문 리뷰] Semi-supervised Conditional GAN for Simultaneous Generation and Detection of Phishing URLs: A Game theoretic Perspective

Sharif Amit Kamran, Shamik Sengupta외 1명|arXiv (Cornell University)|2021. 08. 04.

Spam and Phishing Detection인용 수 5

한 줄 요약

이 논문은 게임 이론적 훈련 전략을 사용하여 동시에 악성 피싱 URL을 생성하고 악성 URL을 탐지하는 준지도 조건부 GAN을 제안한다. 모델은 피싱 탐지에서 95.52%의 정확도와 악성 예측을 탐지할 때 87.45%의 정확도를 기록하며, URL당 0.64ms의 실시간 추론 성능을 달성한다.

ABSTRACT

Spear Phishing is a type of cyber-attack where the attacker sends hyperlinks through email on well-researched targets. The objective is to obtain sensitive information by imitating oneself as a trustworthy website. In recent times, deep learning has become the standard for defending against such attacks. However, these architectures were designed with only defense in mind. Moreover, the attacker's perspective and motivation are absent while creating such models. To address this, we need a game-theoretic approach to understand the perspective of the attacker (Hacker) and the defender (Phishing URL detector). We propose a Conditional Generative Adversarial Network with novel training strategy for real-time phishing URL detection. Additionally, we train our architecture in a semi-supervised manner to distinguish between adversarial and real examples, along with detecting malicious and benign URLs. We also design two games between the attacker and defender in training and deployment settings by utilizing the game-theoretic perspective. Our experiments confirm that the proposed architecture surpasses recent state-of-the-art architectures for phishing URLs detection.

연구 동기 및 목표

• 공격자 시각의 부재를 보완하기 위해 공격자와 방어자 간의 게임 이론적 추론을 통합함으로써 기존 피싱 탐지 모델의 한계를 해결한다.
• 악성 URL을 동시에 생성하고 탐지할 수 있는 통합 프레임워크를 개발하여 제로데이 공격에 대한 강건성을 향상시킨다.
• 기존의 블랙리스트/화이트리스트 및 특징 기반 모델의 한계를 극복하기 위해 악성 훈련을 통한 문자 수준의 딥러닝을 활용한다.
• 경량 아키텍처와 효율적인 추론(1개 URL당 0.64ms)을 통해 클라이언트 및 서버 측 모니터링 환경에서 실시간 배포를 가능하게 한다.
• 준지도 학습과 동시 디스커미네이터-제너레이터 정밀 조정을 통해 실제 및 합성 악성 예측 예제를 훈련하여 모델의 강건성을 향상시킨다.

제안 방법

• 실제 양성 또는 악성 URL, 노이즈 벡터, 클래스 레이블을 입력으로 받아 악성 예측 URL을 합성하는 조건부 GAN의 제너레이터를 제안한다.
• 새로운 3단계 훈련 전략 설계: 먼저 디스커미네이터를 사전 훈련하고, 다음으로 재구성 손실을 사용해 제너레이터를 정밀 조정한 후, 최종적으로 가중 총 손실을 사용해 두 네트워크를 함께 정밀 조정한다.
• 라벨이 부여된 실제 URL과 레이블이 없는 데이터를 모두 사용해 준지도 학습을 구현함으로써 일반화 능력과 악성 예측 예제 탐지 능력을 향상시킨다.
• 게임 이론적 훈련 게임 통합: 훈련 중에는 가짜 공격자(제너레이터)와 디스커미네이터 사이의 게임을, 배포 시에는 실제 해커와 방어자 간의 게임을 구현한다.
• 재구성 손실(ℒrec), MSE, SSIM, NRMSE를 포함한 다중 손실 함수를 적용하여 실제 URL과 생성된 URL 간의 구조적 및 의미적 유사성을 보장한다.
• 디스커미네이터를 최적화하여 실제 및 악성 예측 예제를 모두 탐지하도록 하여, 악성 입력에 대해 100%의 특이도와 74.9%의 재현율을 달성한다.

실험 결과

연구 질문

• RQ1 준지도 학습 방식으로 조건부 GAN을 효과적으로 훈련시켜 현실적인 악성 피싱 URL을 생성하면서도 악성 URL을 동시에 탐지할 수 있는가?
• RQ2 공격자와 방어자 간의 게임 이론적 시각을 통합함으로써 피싱 탐지 모델의 강건성과 일반화 능력은 어떻게 향상되는가?
• RQ3 제안된 모델은 기존 최신 기술(SOTA) 아키텍처에 비해 양성 및 악성 URL 탐지에서 얼마나 뛰어난 성능을 보이는가?
• RQ4 특히 50/50 실제-악성 예측 테스트 분할 조건에서 제너레이터가 생성한 악성 예측 예제를 디스커미네이터가 얼마나 효과적으로 탐지하는가?
• RQ5 클라이언트 또는 서버 측 환경에서 실시간 배포를 위해 높은 추론 속도와 낮은 지연 시간을 유지할 수 있는가?

주요 결과

• 제안된 모델은 양성/악성 피싱 URL 분류에서 95.52%의 정확도, 96.00%의 민감도, AUC 0.9552를 기록하며, 비교된 모든 최신 기술(SOTA) 모델을 능가한다.
• 제너레이터는 실제 URL과 높은 유사도를 보이며, SSIM 점수 98.33%, MSE 0.000579, NRMSE 0.19708를 기록한다.
• 디스커미네이터는 악성 예측 예제를 87.45%의 정확도, 74.9%의 민감도(재현율)로 탐지하며, 완벽한 100% 특이도를 확보하여 강력한 강건성을 입증한다.
• 모델은 1회 추론당 0.64ms로 처리하여 초당 1,500개 이상의 URL에서 실시간 성능을 달성한다.
• 구성은 경량이며 총 81,000개의 파라미터만을 가지며, 자원 제약 환경에서의 배포에 적합하다.
• 더 적은 파라미터를 가짐에도 불구하고 DC-GAN 기반 및 하이브리드 CNN-LSTM 모델(예: [24])을 크게 능가함으로써, 뛰어난 효율성과 일반화 능력을 입증한다.