Το μοντέλο WebMail Catcher της Fortra συμβάλλει στην ανίχνευση κακόβουλων ή ύποπτων μηνυμάτων ηλεκτρονικού ταχυδρομείου που αποστέλλονται από νόμιμες υπηρεσίες προσωπικού ηλεκτρονικού ταχυδρομείου, οι οποίες ενδέχεται να «διαφεύγουν» από τους παραδοσιακούς ελέγχους υποδομής.

Αναλύει τη γλώσσα, την ταυτότητα του αποστολέα, το ιστορικό επικοινωνίας, τη δραστηριότητα εκστρατειών και τα μεταδεδομένα των μηνυμάτων προκειμένου να διαχωρίσει την καθημερινή επικοινωνία μέσω μηνυμάτων ηλεκτρονικού ταχυδρομείου από τις απάτες -όπως εκείνη με τις δωροκάρτες- και μάλιστα με ακρίβεια άνω του 99% σε περιβάλλον παραγωγής.

Γιατί οι απειλές ηλεκτρονικού ταχυδρομείου μπορούν να προέρχονται ακόμα και από έμπιστα domains;

Ένα μήνυμα ηλεκτρονικού ταχυδρομείου παραδίδεται από έναν οικείο πάροχο ηλεκτρονικού ταχυδρομείου. Η υποδομή αποστολής είναι νόμιμη και δεν υπάρχουν ύποπτα συνημμένα ή κακόβουλοι σύνδεσμοι. Παρόλα αυτά, το μήνυμα ζητά από έναν εργαζόμενο να αγοράσει δωροκάρτες, να αλλάξει τα στοιχεία μισθοδοσίας ή να ανταποκριθεί σε ένα δόλιο οικονομικό αίτημα.

Αυτές οι επιθέσεις αποκαλύπτουν μια πρόκληση για την ασφάλεια ηλεκτρονικού ταχυδρομείου: αξιόπιστες υπηρεσίες μπορούν να μεταφέρουν/παραδώσουν επικίνδυνα μηνύματα. Ο έλεγχος της προέλευσης ενός ηλεκτρονικού ταχυδρομείου παρέχει πολύτιμες πληροφορίες αλλά ωστόσο η κατανόηση του κατά πόσον το ίδιο το μήνυμα είναι άξιο εμπιστοσύνης απαιτεί πρόσθετο πλαίσιο (επιπλέον στοιχεία, διευκρινήσεις, πρόσθετες πληροφορίες).

Η Fortra προχώρησε στην ανάπτυξη του WebMail Catcher (WMC) για να ανταποκριθεί επιτυχώς σε αυτήν την πρόκληση. Το WMC εστιάζει σε μηνύματα που προέρχονται από υπηρεσίες προσωπικού ηλεκτρονικού ταχυδρομείου, συμπεριλαμβανομένων παρόχων webmail και παρόχων υπηρεσιών Διαδικτύου (ISPs) προκειμένου να εντοπίσει δυνητικά κακόβουλα μηνύματα ηλεκτρονικού ταχυδρομείου και ανεπιθύμητη αλληλογραφία (spam) που μπορούν να διαφεύγουν από τις άμυνες που επικεντρώνονται στην υποδομή του αποστολέα.

Οι υπηρεσίες προσωπικού ηλεκτρονικού ταχυδρομείου υποστηρίζουν ένα ευρύ φάσμα νόμιμων επικοινωνιών. Οι εργαζόμενοι στέλνουν έγγραφα από τους προσωπικούς τους λογαριασμούς, ανεξάρτητοι επαγγελματίες επικοινωνούν με πελάτες και ιδιώτες επικοινωνούν με επιχειρήσεις. Ο αποκλεισμός μηνυμάτων απλώς και μόνο επειδή προέρχονται από αυτές τις υπηρεσίες θα διέκοπτε τη συνηθισμένη, καθημερινή εργασία.

Οι επιτιθέμενοι μπορούν να χρησιμοποιήσουν την ίδια υποδομή για να παραδώσουν απάτες κοινωνικής μηχανικής. Όταν η επίθεση εξαρτάται από το να πειστεί ο παραλήπτης να αναλάβει δράση, ενδέχεται να μην υπάρχει κάποιο επιβλαβές αρχείο ή έστω ένας σύνδεσμος/ιστοσελίδα προς ανίχνευση. Αντιθέτως, τα προειδοποιητικά σημάδια σε αυτή την περίπτωση μπορούν να προκύπτουν από τη γλώσσα, την ταυτότητα του αποστολέα, το ιστορικό επικοινωνίας και την ευρύτερη διαδικασία/συμπεριφορά αποστολής.

Το μοντέλο

Το WMC είναι ένα κλασικό μοντέλο μηχανικής μάθησης (ML), το οποίο συνδυάζει αυτά τα σήματα μεταξύ τους μέσω της μηχανικής χαρακτηριστικών. Ταξινομεί κάθε μήνυμα σε μία από τρεις κατηγορίες:

• Κακόβουλο: Δυνητικά επικίνδυνα μηνύματα ηλεκτρονικού ταχυδρομείου.
• Ύποπτο: Ανεπιθύμητα μηνύματα, όπως επιθετικό μάρκετινγκ, τα οποία δεν είναι απαραίτητα επικίνδυνα.
• Ασφαλές: Μηνύματα που δεν μπορούν να θεωρηθούν κακόβουλα ή ύποπτα.

Τα χαρακτηριστικά μπορούν να ομαδοποιηθούν σε τέσσερις βασικούς τύπους:

• Γλώσσα και πληροφορίες αποστολέα: Τα μοντέλα επεξεργασίας φυσικής γλώσσας (NLP) παρέχουν ενδείξεις/σήματα σχετικά με τη θεματολογία, κατά πόσο προκαλεί καχυποψία και κατά πόσο η γλώσσα που χρησιμοποιείται αποσκοπεί στην προσέλκυση της προσοχής, παράλληλα με τη ταξινόμηση/ διαβάθμιση των ονομάτων που εμφανίζονται.
• Ιστορικό επικοινωνίας: Τα χαρακτηριστικά UPI (υποδομή κατάρτισης προφίλ χρηστών) αποτυπώνουν προηγούμενες εισερχόμενες και εξερχόμενες αλληλεπιδράσεις, συμπεριλαμβανομένων μετρήσεων/αριθμητικών δεικτών αλλά και δεικτών που σχετίζονται με την ηλικία. Τα συγκεκριμένα χαρακτηριστικά βοηθούν το μοντέλο να αξιολογήσει τη σχέση μεταξύ αποστολέα και παραλήπτη.
• Όγκος αποστολών και χαρακτηριστικά δραστηριότητας εκστρατειών: Περιγράφουν τους όγκους αποστολών, τον αριθμό των οργανισμών που λαμβάνουν παρόμοια μηνύματα, καθώς και το αν ένα μήνυμα ηλεκτρονικού ταχυδρομείου ανήκει σε εκστρατεία που έχει ανιχνευθεί στο παρελθόν.
• Δομή μηνύματος και μεταδεδομένα: Πρόσθετες ενδείξεις/σήματα περιλαμβάνουν τη δομή του μηνύματος, τον αριθμό των συνδέσμων (URL), την παρουσία συνημμένων και συγκρίσεις βάσει κειμένου που αφορούν πληροφορίες του αποστολέα και του παραλήπτη.

Οι παραπάνω ενδείξεις/σήματα παρέχουν στον ταξινομητή (classifier) το πλαίσιο (πληροφορίες, δεδομένα κ.ά.), το οποίο στερείται οποιοσδήποτε μεμονωμένος δείκτης. Ένας άγνωστος αποστολέας δεν είναι αυτόματα κακόβουλος, και ένα θέμα που τραβάει την προσοχή ενδέχεται να εμφανιστεί μεταξύ της νόμιμης αλληλογραφίας. Η σημασία τους εξαρτάται από τα συναφή στοιχεία που περιέχονται στο μήνυμα.

Παραδείγματα

Δείτε για παράδειγμα την περίπτωση μίας απάτης με δωροκάρτες. Ένας προσωπικός λογαριασμός ηλεκτρονικού ταχυδρομείου στέλνει σε έναν εργαζόμενο ένα μήνυμα με θέμα:

«Χρειάζομαι μια γρήγορη χάρη»

ακολουθούμενο από ένα αίτημα για αγορά δωροκαρτών. Η φήμη του παρόχου δεν προσφέρει πολλές πληροφορίες σχετικά με το αίτημα. Ωστόσο, το περιορισμένο ιστορικό επικοινωνίας, τα ύποπτα γλωσσικά στοιχεία και τα αποδεικτικά στοιχεία που υποδηλώνουν ότι παρόμοια μηνύματα έχουν φτάσει σε άλλους οργανισμούς θα μπορούσαν, συνολικά, να υποστηρίξουν τον χαρακτηρισμό του μηνύματος ως κακόβουλου.

Τώρα ας εξετάσουμε την περίπτωση ενός υπαλλήλου που στέλνει ένα έγγραφο από έναν προσωπικό λογαριασμό σε μια επαγγελματική διεύθυνση. Το μήνυμα αυτό προέρχεται επίσης από έναν πάροχο webmail αλλά το ιστορικό επικοινωνίας και οι πληροφορίες αποστολέα-παραλήπτη μπορεί να παρέχουν στοιχεία που υποδηλώνουν μια νόμιμη αλληλεπίδραση. Ο συνδυασμός λειτουργιών του WMC έχει σχεδιαστεί για να βοηθά στη διάκριση τέτοιων καθημερινών ανταλλαγών από ύποπτες επικοινωνίες.

Απόδοση μοντέλου

Το μοντέλο εκπαιδεύτηκε σε ένα εσωτερικά επιμελημένο και απαιτητικό σύνολο δεδομένων. Προσθέτοντας έναν μηχανισμό για τη μείωση των ψευδών θετικών (FP), καταφέραμε να αυξήσουμε την ακρίβεια του μοντέλου σε περιβάλλον παραγωγής σε ποσοστό άνω του 99%. Το μοντέλο έχει «σταθμισμένη» επίδραση στη βαθμολογία αξιοπιστίας του μηνύματος. Οι ταξινομήσεις ως κακόβουλο περιεχόμενο με υψηλό βαθμό βεβαιότητας μειώνουν τη βαθμολογία στο χαμηλότερο εύρος ενώ οι ταξινομήσεις ως ανεπιθύμητο περιεχόμενο (spam) και εκείνες με χαμηλότερο βαθμό βεβαιότητας υφίστανται μια πιο ήπια αρνητική προσαρμογή της βαθμολογίας.

Αυτό επιτρέπει στο σύστημα να διακρίνει την αξιολόγηση του μοντέλου από τη δράση που υποστηρίζεται από την ίδια την αξιολόγηση. 

Πηγή: Fortra