[论文解读] That Ain't You: Detecting Spearphishing Emails Before They Are Sent

Gianluca Stringhini, Olivier Thonnard|arXiv (Cornell University)|Oct 24, 2014

Spam and Phishing Detection参考文献 39被引用 3

一句话总结

本文提出 IdentityMailer，一种通过建模用户正常邮件发送行为（如发送时间、收件人及写作风格）来检测从被入侵的企业邮箱账户发出的精准网络钓鱼邮件的系统，通过识别行为偏差来标记潜在的冒充行为。该系统有效阻止了传统垃圾邮件和钓鱼邮件过滤器难以察觉的隐蔽、针对性攻击，其核心在于关注行为异常而非内容或来源。

ABSTRACT

One of the ways in which attackers try to steal sensitive information from corporations is by sending spearphishing emails. This type of emails typically appear to be sent by one of the victim's coworkers, but have instead been crafted by an attacker. A particularly insidious type of spearphishing emails are the ones that do not only claim to come from a trusted party, but were actually sent from that party's legitimate email account that was compromised in the first place. In this paper, we propose a radical change of focus in the techniques used for detecting such malicious emails: instead of looking for particular features that are indicative of attack emails, we look for possible indicators of impersonation of the legitimate owners. We present IdentityMailer, a system that validates the authorship of emails by learning the typical email-sending behavior of users over time, and comparing any subsequent email sent from their accounts against this model. Our experiments on real world e-mail datasets demonstrate that our system can effectively block advanced email attacks sent from genuine email accounts, which traditional protection systems are unable to detect. Moreover, we show that it is resilient to an attacker willing to evade the system. To the best of our knowledge, IdentityMailer is the first system able to identify spearphishing emails that are sent from within an organization, by a skilled attacker having access to a compromised email account.

研究动机与目标

• 解决日益严重的精准网络钓鱼攻击威胁，此类攻击利用被入侵的内部邮箱账户进行攻击。
• 克服传统垃圾邮件和钓鱼邮件检测系统的局限性，这些系统在攻击源自合法账户时往往失效。
• 检测那些模仿真实用户行为但由攻击者撰写的细微、有针对性的精准网络钓鱼邮件。
• 开发一种通过长期学习个体用户行为特征来验证邮件作者身份的系统。
• 确保对试图模仿合法用户行为的攻击者具备抗欺骗能力。

提出的方法

• IdentityMailer 基于用户历史邮件发送模式（包括发送时间、收件人频率及语言特征如功能词）为其构建行为画像。
• 通过整合组织内其他用户的行为模式来提升画像准确性，同时降低用户间共有的普遍行为的影响。
• 系统使用机器学习技术将新发出的邮件与用户的行为模型进行比对，识别出可能表明冒充行为的异常。
• 重点关注‘写作风格特征’（如特定功能词和短语使用），这些特征高度个性化，攻击者难以复制。
• 系统不仅检测内容异常，还检测元数据异常（如发送时间、社交网络互动），以增强检测的鲁棒性。
• 系统设计具备抗欺骗能力，因其能捕捉到细微且长期的行为模式，使攻击者难以有效模仿。

实验结果

研究问题

• RQ1 系统能否检测到那些通过传统垃圾邮件和钓鱼邮件过滤器的、从被入侵内部邮箱账户发出的精准网络钓鱼邮件？
• RQ2 行为建模在区分合法邮件与冒充邮件方面有多有效，即使邮件内容看似正常？
• RQ3 系统能否检测到隐蔽的、一次性发生的精准网络钓鱼攻击，这些攻击不表现出如群发等明显异常？
• RQ4 攻击者在多大程度上能通过模仿用户的行为（包括发送时间与写作风格）绕过该系统？
• RQ5 结合多种行为信号（发送时间、收件人、语言）在多大程度上能提升检测效果，超越基于内容或来源的检测方法？

主要发现

• IdentityMailer 能够成功检测到那些传统垃圾邮件和钓鱼邮件过滤器无法识别的、从被入侵账户发出的高级精准网络钓鱼攻击。
• 即使邮件内容和来源均正常，系统仍能通过关注用户画像的行为偏差有效识别异常。
• 在真实世界邮件数据集上的实验表明，IdentityMailer 能够阻止最先进系统未能检测到的攻击。
• 系统具备抗欺骗能力：攻击者无法可靠地模仿用户全部行为模式而不被发现。
• 通过结合个体与组织级邮件模式，IdentityMailer 在保持高目标攻击检测准确率的同时，显著降低了误报率。
• IdentityMailer 是首个专门检测攻击者通过入侵合法账户从组织内部发出的精准网络钓鱼邮件的系统。