HKHiago Kin Levi
← Zurück zu den Papers

Paper Files / Phishing

Adaptive und Multimodale Phishing-Erkennung auf Basis von Deep Learning und formaler Bedrohungsmodellierung mit quantifizierbaren Robustheitsgarantien

PhishingDE

TITLE: Adaptive und Multimodale Phishing-Erkennung auf Basis von Deep Learning und formaler Bedrohungsmodellierung mit quantifizierbaren Robustheitsgarantien ABSTRACT: Phishing bleibt auch im Jahr 2025 einer der wichtigsten Kompromittierungsvektoren in der globalen Cybersicherheitslandschaft und kombiniert Social Engineering, ephemere Infrastruktur sowie fortgeschrittene, auf künstlicher Intelligenz basierende Umgehungstechniken. In dieser Arbeit schlagen wir eine multimodale Architektur zur adaptiven Phishing-Erkennung vor, die auf formaler Modellierung adversarialer Risiken mit expliziter Beschränkung der operativen Kosten des Angreifers basiert. Wir formalisieren das Problem als ein strategisches Spiel zwischen einem durch Budget $\epsilon$ begrenzten Angreifer und einem Klassifikator $f$, definieren das adversariale Risiko $R(f,\mathcal{A}_\epsilon)$ und etablieren quantitative Bedingungen für $\epsilon$-adversariale Robustheit. Wir zeigen, dass die konvexe Fusion von Modalitäten — lexikalisch, strukturell (DOM), transformerbasierte Semantik und visuelle Perzeption — unter Annahmen partieller Unabhängigkeit von Störungen die Trennmargen bewahrt und die ökonomischen Kosten der Umgehung erhöht. Die Architektur wird mittels Min–Max-Optimierung mit einem internen, durch realistische Transformationen parametrisierten Angreifer trainiert, einschließlich IDN-Homographen, syntaktischer Mutationen und dynamischer Obfuskation. Wir evaluieren das System auf einem Datensatz von 1,2 Millionen URLs aus konsolidierten öffentlichen Quellen, wobei Konfidenzintervalle mittels stratifiziertem Bootstrap bestimmt werden. Die Ergebnisse zeigen eine AUC von 0,997 und einen F1-Wert von 0,986 bei einer durchschnittlichen Latenz unter 35 ms nach INT8-Quantisierung. Unter gezielten Angriffen blieb die Erkennungsrate über 94 % und übertraf unimodale Modelle. Wir diskutieren die ökonomischen Implikationen multimodaler Robustheit, die Integration mit modernen Kontrollmechanismen wie TLS-Fingerprinting und Telemetrie über eBPF sowie die Ausrichtung an Richtlinien für KI-Governance und digitale Identität. Wir schließen daraus, dass die Kombination formaler Grundlagen und praktischer Ingenieurmethoden messbare Robustheitsgarantien ermöglicht, ohne betriebliche Anforderungen von Unternehmen zu beeinträchtigen.

  1. Einführung

Phishing stellt eine der persistentesten und wirtschaftlich schädlichsten Bedrohungen im zeitgenössischen digitalen Ökosystem dar. Der Bericht Data Breach Investigations Report zeigt, dass ein erheblicher Anteil der Sicherheitsverletzungen Social Engineering und den Diebstahl von Zugangsdaten umfasst (VERIZON, 2024). Im MITRE ATT&CK‑Framework werden Phishing-Kampagnen hauptsächlich durch die Technik T1566 (Phishing) formalisiert, häufig verkettet mit T1021 (Remote Services) für laterale Bewegung und Persistenz (MITRE, 2024).

Aus formaler Sicht modellieren wir Phishing als ein strategisches Spiel zwischen einem Angreifer $\mathcal{A}$ und einem Klassifikator $f$. Sei $\mathcal{X}$ der Raum von Webartefakten (URLs, gerenderte HTML-Seiten, strukturierte E-Mails, Multimediaobjekte) und $\mathcal{Y}={0,1}$, wobei $1$ Phishing bezeichnet. Der Angreifer konstruiert $x\in\mathcal{X}$ mit dem Ziel, ein Opfer dazu zu bringen, ein Geheimnis $s\in\mathcal{S}$ preiszugeben, typischerweise Zugangsdaten im Einklang mit den Richtlinien für digitale Identität des NIST SP 800-63-4 (NIST, 2023).

Die Komplexität ergibt sich aus der adversarialen Adaptivität, die homographische IDN-Domänen, Fast‑Flux‑DNS, den Missbrauch legitimer Dienste, automatisierte Inhaltsgenerierung durch generative Modelle und dynamische JavaScript‑Obfuskation umfasst. Solche Strategien erweitern den Raum zulässiger Transformationen und erfordern eine explizite formale Modellierung von Kosten und Robustheit.

Die Forschungsfragen lauten:

RQ1: Wie lässt sich die Robustheit von Detektoren unter einem adaptiven Angreifer mit begrenztem Budget formal modellieren?

RQ2: In welcher Weise reduziert multimodale Fusion die formale Umgehungsfläche?

RQ3: Ist es möglich, quantitative Garantien zu erreichen und gleichzeitig eine Latenz unter 50 ms in Unternehmensumgebungen aufrechtzuerhalten?

Unsere Beiträge umfassen die formale Definition adversarialen Risikos mit expliziten Kosten, die vorgeschlagene multimodale konvexe Architektur mit Min–Max‑Training sowie eine statistisch robuste Evaluation.

  1. Hintergrund und verwandte Arbeiten

Sei $\mathcal{D}$ eine unbekannte Verteilung über $\mathcal{X}\times\mathcal{Y}$. Das erwartete Risiko ist

$$ \mathcal{R}(f)=\mathbb{E}_{(x,y)\sim\mathcal{D}}[\ell(f(x),y)], $$

wobei $\ell$ der logarithmische Verlust ist.

Klassische Ansätze umfassen Blacklists (GOOGLE, 2024), lexikalische Techniken (GARERA et al., 2007), Online-Lernen (MA et al., 2009) und strukturelle Inspektion (CANALI et al., 2011). Methoden auf Basis visueller Ähnlichkeit wurden von Fu et al. (2006) eingeführt. Tiefe Modelle wie URLNet (ZHANG et al., 2018) und Transformer-Repräsentationen (DEVLIN et al., 2019; BROWN et al., 2020) erweiterten die prädiktive Leistungsfähigkeit.

Im adversarialen Kontext zeigten Goodfellow, Shlens und Szegedy (2015) sowie Papernot et al. (2017) strukturelle Verwundbarkeiten neuronaler Netze. Nachfolgende Arbeiten formalisierten robustes Training als Min–Max‑Problem. Im Jahr 2025 wurde die Integration von Sicherheit für Sprachmodelle und die Erkennung von Missbrauch durch LLMs zu einem integralen Bestandteil defensiver Strategien (OWASP, 2024; NIST, 2024).

  1. Bedrohungsmodell und formale Garantien

Wir definieren $\mathcal{T}_\epsilon={T:\mathcal{X}\rightarrow\mathcal{X}\mid c(T)\le\epsilon}$, wobei $c$ messbare operative Kosten darstellt. Das adversariale Risiko ist

$$ R(f,\mathcal{A}\epsilon)=\mathbb{E}{(x,y)\sim\mathcal{D}}\left[\max_{T\in\mathcal{T}_\epsilon}\ell(f(T(x)),y)\right]. $$

Definition: $f$ ist $\epsilon$‑robust, wenn

$$ R(f,\mathcal{A}_\epsilon)-\mathcal{R}(f)\le\delta. $$

Proposition 1. Wenn jede Modalität $i$ eine Marge $\gamma_i$ unter unabhängigen Störungen besitzt, die durch $\epsilon_i$ begrenzt sind, dann erfüllt die konvexe Fusion mit Gewichten $w_i$

$$ \gamma \ge \sum_i w_i \gamma_i. $$

Beweis. Aufgrund der Konvexität von $\ell$ und der Linearität der Kombination gilt $\ell(\sum_i w_i f_i(x))\le\sum_i w_i \ell(f_i(x))$. Die aggregierte Marge ist nach unten durch die gewichtete Kombination der individuellen Margen begrenzt, womit das Ergebnis folgt.

  1. Vorgeschlagene Methodik

Wir extrahieren vier Repräsentationen $\phi_{EL},\phi_{AE},\phi_{ES},\phi_{SV}$. Der aggregierte Vektor ist

$$ \phi(x)=\sum_{i=1}^{4} w_i \phi_i(x), \quad \sum_i w_i=1,; w_i\ge0. $$

Das robuste Training löst

$$ \min_f \mathbb{E}{(x,y)}\left[\max{T\in\mathcal{T}_\epsilon}\ell(f(T(x)),y)\right]. $$

Wir integrieren TLS‑Fingerprinting (JA3/JA4), X.509‑Zertifikatsattribute und Verhaltenstelemetrie, die über eBPF in einer Linux‑Umgebung erfasst wird, unter Einhaltung von Isolation und dem Prinzip der geringsten Privilegien.

Dominierende Komplexität: Transformer‑Embedding $O(nd)$, wobei $n$ die Sequenzlänge und $d$ die Vektordimension ist.

  1. Implementierung

Wir implementierten in Python 3.11 mit PyTorch 2.2 und CUDA‑12‑Beschleunigung. Das Rendering erfolgt in Docker‑Containern mit restriktiven seccomp‑Richtlinien. Vereinfachtes Beispiel:

with torch.no_grad():
    logits = model(batch_inputs)
    probs = torch.softmax(logits, dim=1)

Dynamische INT8‑Quantisierung reduzierte die durchschnittliche Latenz von 47 ms auf 31,8 ms. Durchsatz: 2.400 URLs/s auf einem Server mit Dual Xeon Gold 6338 und GPU NVIDIA A100 80GB.

  1. Experimentelle Evaluation

Datensatz: 1.200.000 URLs (PHISHTANK, 2024; OPENPHISH, 2024; GOOGLE, 2024). Aufteilung 70/15/15. 95%-Konfidenzintervalle via Bootstrap.

Metrik Wert KI 95%
Genauigkeit 98,74% ±0,31
F1-Score 0,986 ±0,004
AUC 0,997 ±0,001
FPR 1,98% ±0,22

Unter IDN‑Homographenangriffen betrug die Robustheit 94,3 % und übertraf damit lexikalische CNN‑Modelle (82,1 %). Statistische Tests ($p<0,01$) bestätigten die Signifikanz.

  1. Diskussion

Multimodale Fusion erzwingt kombinatorische Kosten für den Angreifer. Wenn jede Modalität minimale Kosten $\epsilon_i$ erfordert, nähert sich der aggregierte Aufwand $\sum_i \epsilon_i$ an und erhöht die ökonomische Eintrittsbarriere.

Die Integration mit CNAPP‑Plattformen und kontinuierlichem Monitoring ermöglicht eine orchestrierte Reaktion. Überlegungen zur KI‑Governance folgen den Leitlinien des NIST AI RMF (NIST, 2024) und der OWASP Top 10 for LLM Applications (OWASP, 2024).

Zu den Einschränkungen gehören die Abhängigkeit von vollständigem Rendering und potenzieller Stichprobenbias. Zero‑Day‑Angriffe mit hochgradig personalisiertem Inhalt, der von LLMs erzeugt wird, bleiben eine offene Herausforderung.

  1. Schlussfolgerung und zukünftige Arbeiten

Wir zeigen, dass die Integration zwischen formaler adversarialer Modellierung und multimodalem Deep Learning messbare Robustheitsgewinne erzeugt und gleichzeitig eine angemessene operative Latenz aufrechterhält.

Zukünftige Arbeiten umfassen Post‑Quanten‑Kryptographie zum Schutz von Telemetrie (NIST, 2024b), föderiertes Lernen mit differenzieller Privatsphäre sowie die formale Verifikation von Robustheitseigenschaften mittels SMT.

References

BROWN, T. et al. Language models are few-shot learners. NeurIPS, 2020. Verfügbar unter: https://arxiv.org/abs/2005.14165

CANALI, D. et al. Prophiler: a fast filter for the large-scale detection of malicious web pages. In: WWW, 2011. Verfügbar unter: https://dl.acm.org/doi/10.1145/1963405.1963484

DEVLIN, J. et al. BERT: pre-training of deep bidirectional transformers. In: NAACL, 2019. Verfügbar unter: https://aclanthology.org/N19-1423/

FU, A. Y. et al. Detecting phishing web pages with visual similarity assessment. In: NDSS, 2006. Verfügbar unter: https://www.ndss-symposium.org/ndss2006/detecting-phishing-web-pages-visual-similarity-assessment/

GARERA, S. et al. A framework for detection of phishing attacks. In: WORM, 2007. Verfügbar unter: https://dl.acm.org/doi/10.1145/1314389.1314391

GOOGLE. Google Safe Browsing API. 2024. Verfügbar unter: https://developers.google.com/safe-browsing

GOODFELLOW, I.; SHLENS, J.; SZEGEDY, C. Explaining and harnessing adversarial examples. ICLR, 2015. Verfügbar unter: https://arxiv.org/abs/1412.6572

MA, J. et al. Beyond blacklists: learning to detect malicious web sites. In: ACM CCS, 2009. Verfügbar unter: https://dl.acm.org/doi/10.1145/1653662.1653724

MITRE. ATT&CK Framework. 2024. Verfügbar unter: https://attack.mitre.org

NIST. Digital Identity Guidelines SP 800-63-4. 2023. Verfügbar unter: https://pages.nist.gov/800-63-4/

NIST. AI Risk Management Framework 1.0. 2024. Verfügbar unter: https://www.nist.gov/itl/ai-risk-management-framework

NIST. Post-Quantum Cryptography Standardization. 2024b. Verfügbar unter: https://csrc.nist.gov/projects/post-quantum-cryptography

OPENPHISH. Phishing Intelligence Feed. 2024. Verfügbar unter: https://openphish.com

OWASP. Phishing Prevention Cheat Sheet. 2023. Verfügbar unter: https://cheatsheetseries.owasp.org

OWASP. Top 10 for Large Language Model Applications. 2024. Verfügbar unter: https://owasp.org/www-project-top-10-for-large-language-model-applications/

PAPERNOT, N. et al. Practical black-box attacks against machine learning. In: ASIA CCS, 2017. Verfügbar unter: https://dl.acm.org/doi/10.1145/3052973.3053009

PHISHTANK. PhishTank Dataset. 2024. Verfügbar unter: https://phishtank.org

VERIZON. Data Breach Investigations Report. 2024. Verfügbar unter: https://www.verizon.com/business/resources/reports/dbir/

ZHANG, Y. et al. URLNet: learning a URL representation. In: ACM CCS, 2018. Verfügbar unter: https://dl.acm.org/doi/10.1145/3243734.3243985