DOI: https://doi.org/10.1016/j.cosrev.2025.100810
تاريخ النشر: 2025-08-26
المؤلف: Ye Tian وآخرون
الموضوع الرئيسي: كشف البريد المزعج والاحتيال
نظرة عامة
تقدم هذه القسم نظرة عامة على التهديد المستمر الذي تشكله عناوين URL الضارة في مجال الأمن السيبراني، مع تسليط الضوء على سباق التسلح المستمر بين طرق الكشف والمهاجمين. تحدد أربعة فجوات حاسمة في المراجعات الحالية: الاعتماد على تصنيفات تركز على الخوارزميات، استبعاد الدفاعات المعتمدة على LLM/Transformer، نقص في تنفيذات المصدر المفتوح للمعايير، وعدم كفاية تغطية مجموعات البيانات. لمعالجة هذه القضايا، يقدم البحث مراجعة شاملة لتقنيات كشف عناوين URL الضارة، مقترحًا تصنيفًا جديدًا يعتمد على الأنماط يميز طرق الكشف وفقًا لبياناتها الأساسية (مثل: URL، HTML، بصري).
تحلل المراجعة بشكل منهجي مجموعة من التقنيات من القوائم السوداء التقليدية إلى الأساليب المتقدمة في التعلم العميق، بما في ذلك Transformers، والشبكات العصبية البيانية (GNNs)، ونماذج اللغة الكبيرة (LLMs). كما تجمع مجموعات بيانات متاحة للجمهور من 2016 إلى 2024 وتنفيذات مفتوحة المصدر من سنوات مختلفة لتأسيس معيار موحد للتقييم القابل للتكرار. يحدد المؤلفون مبادئ تصميم أساسية لتنفيذات على مستوى المنتج وينتهون بمناقشة التحديات الناشئة واتجاهات البحث المستقبلية، مع الحفاظ على مستودع GitHub لتنسيق مجموعات البيانات المستمرة والموارد مفتوحة المصدر. يهدف هذا العمل إلى تقديم منظور مدفوع بالأنماط حول كشف عناوين URL الضارة، مع معالجة قيود المراجعات السابقة التي تركز على الخوارزميات وتعزيز الموارد الأساسية في هذا المجال.
مقدمة
تسلط مقدمة ورقة البحث الضوء على الطبيعة ذات الحدين للتواصل الاجتماعي في العصر الرقمي، حيث يرافق زيادة الاتصال مخاطر متزايدة على الخصوصية والأمان. يشكل ارتفاع الهجمات السيبرانية، خاصة من خلال عناوين URL الضارة، تهديدات كبيرة، حيث يستخدم المهاجمون تكتيكات متنوعة مثل التصيد، والهندسة الاجتماعية، وتوزيع البرمجيات الضارة. تشير الورقة إلى اتجاه مقلق في انتشار مواقع التصيد، مع بيانات من مجموعة العمل لمكافحة التصيد تشير إلى زيادة مستمرة في مثل هذه التهديدات من الربع الأول من 2021 إلى الربع الأول من 2024، مما أدى إلى خسائر مالية كبيرة على مستوى العالم.
لمكافحة هذه التهديدات، كانت الطرق التقليدية مثل القوائم السوداء لعناوين URL الضارة المعروفة غير فعالة إلى حد كبير ضد التهديدات الجديدة الناشئة، مما أدى إلى اعتماد تقنيات استدلالية، ومؤخراً، أساليب تعلم الآلة. ومع ذلك، يتم انتقاد المراجعات الحالية حول كشف عناوين URL الضارة لتركيزها على الخوارزميات، ونقص التصنيف القائم على الأنماط، وعدم كفاية تغطية النماذج الناشئة مثل الشبكات العصبية البيانية ونماذج اللغة الكبيرة، وعدم كفاية توثيق مستودعات الشيفرة ومجموعات البيانات. تهدف هذه الورقة إلى تقديم فحص منهجي لأساليب الكشف، مقدمة تصنيفًا مدفوعًا بالأنماط يميز التقنيات بناءً على مصادر بياناتها الأساسية. بالإضافة إلى ذلك، تقوم بتقييم مستودعات الشيفرة المتاحة ومجموعات البيانات العامة لتسهيل البحث القابل للتكرار وتقييم الأداء، بينما تحدد أيضًا التحديات المستمرة وتقترح اتجاهات البحث المستقبلية.
طرق
تحدد قسم طرق الكشف في ورقة البحث مجموعة من الأساليب لتحديد عناوين URL الضارة، مع التركيز بشكل أساسي على القوائم السوداء والأساليب الاستدلالية. تعتبر طريقة القوائم السوداء، التي تعتمد على قاعدة بيانات لعناوين URL الضارة التي تم تحديدها مسبقًا، مستخدمة على نطاق واسع بسبب انخفاض معدل الإيجابيات الكاذبة. ومع ذلك، تواجه تحديات مثل صعوبة الحفاظ على قائمة محدثة وعدم القدرة على التنبؤ بعناوين URL التي تم إنشاؤها حديثًا. لتعزيز هذه الطريقة، تم اقتراح قائمة سوداء تعتمد على السمعة، والتي يمكن أن تحدد المضيفين المخترقين والمحتوى الضار عبر شبكات مختلفة.
بالمقابل، تحلل الأساليب الاستدلالية الميزات من الهجمات الفعلية للتصيد لاكتشاف التهديدات الجديدة. هذه الأساليب، على الرغم من كونها متعددة الاستخدامات، يمكن أن تؤدي إلى معدلات إيجابية كاذبة مرتفعة بسبب تباين خصائص التصيد. تم استخدام تقنيات مثل استخراج الميزات من مكونات URL وتطبيق خوارزميات تعلم الآلة، بما في ذلك الانحدار اللوجستي (LR)، ونايف بايز (NB)، وآلات الدعم الناقل (SVM)، لتحسين دقة الكشف. تستفيد الأساليب المتقدمة مثل الشبكات العصبية التلافيفية (CNN) وTransformers من التعلم العميق لالتقاط أنماط معقدة في عناوين URL، مما يعزز قدرات الكشف. بشكل عام، تؤكد الورقة على الحاجة إلى نماذج تكيفية يمكن أن تتكيف ديناميكيًا مع التهديدات الناشئة في مجال كشف عناوين URL الضارة.
مناقشة
تحدد قسم المناقشة في ورقة البحث أنواعًا مختلفة من الهجمات القائمة على URL، بما في ذلك URL العشوائي، والبرمجيات الضارة، والتصيد، وتخريب المواقع، كل منها بأساليب ونتائج مميزة. تقوم هجمات URL العشوائي بالتلاعب بمتصفحات الويب للاعتراف بالصفحات الضارة كشرعية، مما يؤدي غالبًا إلى سرقة بيانات الاعتماد، أو تثبيت البرمجيات الضارة، أو توزيع البريد العشوائي. تركز هجمات البرمجيات الضارة على سرقة المعلومات الحساسة ويمكن أن تؤدي إلى أضرار جسيمة من خلال طرق مثل التنزيلات غير المرغوب فيها. تستخدم هجمات التصيد عناوين URL خادعة لخداع المستخدمين للكشف عن بيانات اعتماد تسجيل الدخول الخاصة بهم، بينما ينطوي تخريب المواقع على تغييرات غير مصرح بها في مظهر الموقع، غالبًا لأسباب سياسية أو شخصية، مما قد يضر بسمعة المنظمة.
يتناول القسم أيضًا تطبيق تعلم الآلة (ML) في كشف عناوين URL الضارة، مؤطرًا المهمة كمشكلة تصنيف ثنائية. يؤكد على أهمية تمثيل الميزات وتعلم دوال التنبؤ لتمييز بين عناوين URL الضارة والحميدة. يتم تسليط الضوء على خوارزميات ML المختلفة، بما في ذلك آلات الدعم الناقل (SVM)، والغابات العشوائية (RF)، وتقنيات التعلم العميق مثل الشبكات العصبية التلافيفية (CNN)، لفعاليتها في هذا المجال. كما تصنف الورقة طرق الكشف بناءً على نمط البيانات، مثل ميزات URL، وميزات HTML، وميزات بصرية، وتناقش دمج هذه الأنماط لتعزيز دقة الكشف وقوته. من الجدير بالذكر أن الدراسات أظهرت معدلات دقة عالية في كشف عناوين URL الضارة، حيث حققت بعض النماذج دقة تزيد عن 99%، مما يبرز إمكانيات تعلم الآلة في مكافحة التهديدات السيبرانية.
DOI: https://doi.org/10.1016/j.cosrev.2025.100810
Publication Date: 2025-08-26
Author(s): Ye Tian et al.
Primary Topic: Spam and Phishing Detection
Overview
The section provides an overview of the persistent threat posed by malicious URLs in the cybersecurity landscape, highlighting the ongoing arms race between detection methods and attackers. It identifies four critical gaps in existing reviews: reliance on algorithm-centric taxonomies, exclusion of LLM/Transformer-based defenses, lack of open-source implementations for benchmarking, and insufficient dataset coverage. To address these issues, the paper introduces a comprehensive review of malicious URL detection technologies, proposing a novel modality-based taxonomy that categorizes detection methods according to their primary data modalities (e.g., URL, HTML, Visual).
The review systematically analyzes a range of techniques from traditional blacklisting to advanced deep learning approaches, including Transformers, Graph Neural Networks (GNNs), and Large Language Models (LLMs). It also curates publicly available datasets from 2016 to 2024 and open-source implementations from various years to establish a unified benchmark for reproducible evaluation. The authors outline essential design principles for product-level implementations and conclude by discussing emerging challenges and future research directions, maintaining a GitHub repository for ongoing dataset curation and open-source resources. This work aims to provide a modality-driven perspective on malicious URL detection, addressing the limitations of previous algorithm-centric reviews and enhancing the field’s foundational resources.
Introduction
The introduction of the research paper highlights the dual-edged nature of social networking in the digital age, where increased connectivity is accompanied by heightened risks to privacy and security. The rise in cyber attacks, particularly through malicious URLs, poses significant threats, as attackers employ various tactics such as phishing, social engineering, and the distribution of malware. The paper notes a concerning trend in the proliferation of phishing websites, with data from the Anti-Phishing Working Group indicating a steady increase in such threats from Q1 2021 to Q1 2024, resulting in substantial financial losses globally.
To combat these threats, traditional methods like blacklisting known malicious URLs have been largely ineffective against newly emerging threats, leading to the adoption of heuristic techniques and, more recently, machine learning approaches. However, existing reviews on malicious URL detection are criticized for their algorithm-centric focus, lack of modality-based taxonomy, insufficient coverage of emerging paradigms such as graph neural networks and large language models, and inadequate documentation of code repositories and datasets. This paper aims to provide a systematic examination of detection methodologies, introducing a modality-driven taxonomy that categorizes techniques based on their core data sources. Additionally, it benchmarks accessible code repositories and public datasets to facilitate reproducible research and performance evaluations, while also identifying ongoing challenges and proposing future research directions.
Methods
The section on detection methods in the research paper outlines various approaches to identifying malicious URLs, primarily focusing on blacklisting and heuristic methods. The blacklisting approach, which relies on a database of previously identified malicious URLs, is widely used due to its low false positive rate. However, it faces challenges such as the difficulty in maintaining an up-to-date list and the inability to predict newly generated URLs. To enhance this method, a reputation-based blacklist has been proposed, which can identify compromised hosts and malicious content across different networks.
In contrast, heuristic methods analyze features from actual phishing attacks to detect new threats. These methods, while versatile, can yield high false positive rates due to the variability of phishing characteristics. Techniques such as feature extraction from URL components and the application of machine learning algorithms, including logistic regression (LR), naive Bayes (NB), and support vector machines (SVM), have been employed to improve detection accuracy. Advanced methods like convolutional neural networks (CNN) and transformers leverage deep learning to capture complex patterns in URLs, enhancing detection capabilities. Overall, the paper emphasizes the need for adaptive models that can dynamically adjust to emerging threats in the landscape of malicious URL detection.
Discussion
The discussion section of the research paper outlines various types of URL-based attacks, including spam URL, malware, phishing, and website defacement, each with distinct methodologies and consequences. Spam URL attacks manipulate web browsers into recognizing malicious pages as legitimate, often leading to credential theft, malware installation, or spam distribution. Malware attacks focus on stealing sensitive information and can result in severe damage through methods like drive-by downloads. Phishing attacks utilize deceptive URLs to trick users into revealing their login credentials, while website defacement involves unauthorized alterations to a site’s appearance, often for political or personal motives, which can harm an organization’s reputation.
The section further delves into the application of machine learning (ML) for detecting malicious URLs, framing the task as a binary classification problem. It emphasizes the importance of feature representation and the learning of prediction functions to distinguish between malicious and benign URLs. Various ML algorithms, including Support Vector Machines (SVM), Random Forest (RF), and deep learning techniques like Convolutional Neural Networks (CNN), are highlighted for their effectiveness in this domain. The paper also categorizes detection methods based on data modality, such as URL features, HTML features, and visual features, and discusses the integration of these modalities to enhance detection accuracy and robustness. Notably, studies have demonstrated high accuracy rates in malicious URL detection, with some models achieving over 99% accuracy, underscoring the potential of ML in combating cyber threats.