כותרת: ארכיטקטורה היברידית אדפטיבית לזיהוי ולהפחתת פישינג רב-ערוצי עם מידול פורמלי של איומים, חוסן אדברסרי ולמידה עצמי-מונחית

1. מבוא

הפישינג התבסס כווקטור ההגעה הראשוני המרכזי בשרשראות תקיפה מודרניות, כפי שתועד שוב ושוב ב-Data Breach Investigations Report (VERIZON, 2023; VERIZON, 2024). הטכניקה T1566 (Phishing) במסגרת MITRE ATT&CK נותרת קשורה באופן עקבי לקמפייני כופרה, לפגיעה באישורי גישה ולחדירות לסביבות ענן (MITRE, 2024). דוחות של Anti-Phishing Working Group מצביעים על צמיחה מתמשכת בהיקף הקמפיינים ועל תחלופה גבוהה של דומיינים זדוניים, במיוחד דומיינים שנרשמו לאחרונה (APWG, 2024).

מקרים עדכניים ממחישים את אופיים ההיברידי של קמפיינים אלה. הפגיעות CVE-2023-23397 ב-Microsoft Outlook אפשרה דליפת hashes מסוג NTLM באמצעות הודעות שנבנו במיוחד, ובכך הדגימה את ההצטלבות בין הנדסה חברתית לניצול טכני. קמפיינים המשלבים פישינג עם ניצול מאוחר יותר של CVE-2021-44228 (Log4Shell) מדגימים כי פישינג פועל לעיתים קרובות כמנגנון אתחול לשרשראות ניצול מורכבות.

הפישינג העכשווי מאופיין ב: (i) שימוש אינטנסיבי בדומיינים שנרשמו לאחרונה; (ii) ניצול הומוגרפים של Unicode; (iii) מקצרי URL והפניות מרובות; (iv) ערכות phishing-as-a-service; (v) התאמה הקשרית עם תמיכה של AI גנרטיבי; ו-(vi) תקיפות רב-ערוציות המשלבות דוא"ל, SMS ופלטפורמות שיתופיות (NETCRAFT, 2024; OWASP, 2023). רשימות שחורות מסורתיות, כגון Google Safe Browsing, סובלות מהשהיית עדכון מכיסוי מוגבל מול תשתיות ארעיות (GOOGLE, 2024).

ניסחנו את שאלות המחקר הבאות:

RQ1: כיצד ניתן לשלב ניתוח מבני פורמלי של URLs עם מידול סמנטי-הקשרי כדי להגביר חוסן כנגד התחמקויות פולימורפיות?

RQ2: האם ניתן להפחית באופן משמעותי את שיעור ה-false positives מבלי לפגוע ב-recall בתרחישים של חוסר איזון גבוה?

RQ3: כיצד ניתן לנסח באופן פורמלי תכונות של חוסן אדברסרי הספציפיות לדומיין של פישינג רב-ערוצי?

תרומותינו הן:

C1: אנו מציעים ארכיטקטורה היברידית המשלבת ניתוח לקסיקלי-מבני, טרנספורמרים הקשריים וזיהוי בקרה-עצמית.

C2: אנו מנסחים מודל אדברסרי מפורש ומגדירים מדד של חוסן תפעולי תחת הפרעות השומרות על הסמנטיקה.

C3: אנו מדגימים שיפורים מובהקים סטטיסטית בביצועים ובחוסן מול התקפות הומוגרפים של Unicode.

2. רקע ועבודה קשורה

2.1 הגדרות פורמליות

יהי $\mathcal{X}$ מרחב ההודעות הדיגיטליות, כולל זוגות $(t, u, m)$ המייצגים טקסט, URL ומטה-נתונים הקשריים. נגדיר פישינג כ-class $y=1$ בבעיית סיווג בינארית $y \in {0,1}$.

בהינתן קבוצת אימון $D = {(x_i, y_i)}{i=1}^{n}$, אנו מבקשים ללמוד $h\theta: \mathcal{X} \rightarrow [0,1]$ שממזער את הסיכון הצפוי:

$$ R(\theta) = \mathbb{E}{(x,y)\sim \mathcal{P}}[\ell(h\theta(x), y)] $$

כאשר $\ell$ היא פונקציית האיבוד של entropy צולבת ו-$\mathcal{P}$ היא ההתפלגות הבסיסית.

תחת חוסר איזון חמור, אנו שוקלים סיכון משוקלל:

$$ R_w(\theta) = \mathbb{E}[\alpha_y \ell(h_\theta(x), y)] $$

עם $\alpha_y \propto 1/\Pr(y)$.

2.2 טקסונומיה של גישות

הספרות מתחלקת לארבעה קווים עיקריים:

קטגוריה	דוגמה	מגבלה עיקרית
רשימות שחורות	(WHITTAKER et al., 2010)	השהיה וכיסוי
היוריסטיקות לקסיקליות	(GARERA et al., 2007)	הכללה חלשה
ML קלאסי	(MA et al., 2009)	רגישות להתחמקויות
Deep Learning	(SAHINGOZ et al., 2019)	עלות חישובית גבוהה

Marchal et al. (2014) חקרו אותות זמניים, בעוד Thomas et al. (2014) ניתחו מוניטין גלובלי. Jain ו-Gupta (2018) העריכו דמיון חזותי. עם זאת, מעט עבודות מנסחות חוסן אדברסרי ספציפי להומוגרפים של Unicode.

2.3 מגבלות שזוהו

זיהינו: (i) הכללה מוגבלת לדומיינים שנרשמו לאחרונה; (ii) פגיעות להפרעות לקסיקליות מינימליות; (iii) שיעורי false positive גבוהים בסביבות ארגוניות; (iv) אינטגרציה נמוכה עם ארכיטקטורות ענן ו-CNAPP מודרניות.

3. מודל האיום וניסוח הבעיה

אנו מדמים יריב הסתברותי $\mathcal{A}$ בעל יכולות:

1. רישום אוטומטי של דומיינים ותת-דומיינים.
2. הפרעות לקסיקליות $\delta$ בעלות עלות מוגבלת.
3. יצירת טקסט אוטומטית באמצעות מודלים גנרטיביים.
4. רוטציה מהירה של תשתית.

איננו מניחים פגיעה בצינור האימון.

אנו מגדירים קבוצת הפרעות השומרות על הסמנטיקה:

$$ \Delta_\epsilon = {\delta : d_s(x, x+\delta)=0 \land ||\phi(x)-\phi(x+\delta)|| \leq \epsilon} $$

כאשר $d_s$ מודד שקילות סמנטית ו-$\phi$ מייצג חילוץ מבני.

אנו דורשים חוסן:

$$ \forall \delta \in \Delta_\epsilon,; h_\theta(x) = h_\theta(x+\delta) $$

אנו מגדירים חוסן תפעולי תחת תרחיש אדברסרי $\mathcal{S}$:

$$ \mathcal{R}{op} = 1 - \frac{FP{\mathcal{S}} + FN_{\mathcal{S}}}{N} $$

ניתוח מורכבות:

• חילוץ מבני: $O(|u|)$
• Transformer: $O(L^2)$
• Autoencoder: $O(d^2)$

המורכבות נשלטת על ידי $O(L^2)$.

4. המתודולוגיה המוצעת

4.1 ארכיטקטורה

הארכיטקטורה משלבת שלושה מודולים:

1. Analisador Estrutural de URL (AEU)
2. Encoder Semântico Contextual (ESC)
3. Detector Auto-Supervisionado de Anomalias (DASA)

הפונקציה הסופית היא:

$$ h(x) = \sigma(w_1 f_1(x) + w_2 f_2(x) + w_3 f_3(x)) $$

כאשר $\sigma$ היא פונקציית הלוגיסטית.

4.2 חילוץ מבני

ה-features כוללים אורך, entropy של Shannon

$$ H(u) = -\sum p_i \log p_i $$

יחס ספרות/אותיות, גיל הדומיין וזיהוי הומוגרפים באמצעות נרמול Unicode (IDNA2008).

4.3 למידה בקרה-עצמית

ה-autoencoder ממזער:

$$ \mathcal{L}{AE} = ||x - g\psi(f_\phi(x))||^2 $$

אנו מגדירים אנומליה כאשר השגיאה $> \tau$, מכויל באמצעות ולידציה.

5. מימוש

מימשנו ב-Python 3.11, PyTorch 2.x וספריית Transformers. השתמשנו ב-BERTimbau-base עבור פורטוגזית. הצינור מאורגן באמצעות Apache Kafka ו-Kubernetes, תואם לארכיטקטורות CNAPP.

דוגמה מפושטת של הסקה:

with torch.no_grad():
    url_features = aeu.extract(url)
    text_embedding = esc.encode(text)
    anomaly_score = dasa.score(text_embedding)
    logits = w1url_features + w2text_embedding + w3anomaly_score
    prob = torch.sigmoid(logits)

Redis משמשת ל-cache של שאילתות WHOIS ו-DNS.

6. הערכה ניסויית

6.1 תצורה

Dataset: 3.2 מיליון הודעות המאגדות את OpenPhish (OPENPHISH, 2025), PhishTank (PHISHTANK, 2025) ו-Enron (CMU, 2015). השתמשנו ב-5-fold cross-validation מרובדת.

6.2 תוצאות

מודל	Accuracy	Precision	Recall	F1	AUC
הצעה	98.7%	98.1%	99.2%	98.6%	0.997
Random Forest	93.4%	91.8%	92.6%	92.2%	0.962
CNN	95.1%	94.2%	95.4%	94.8%	0.978

מבחן t מזווג מצביע על $p < 0.01$.

השהיה ממוצעת: 18.4 ms/sample.

6.3 חוסן

תחת התקפות הומוגרפים:

מודל	ΔF1
Random Forest	−18%
CNN	−12%
הצעה	−3.1%

7. דיון

האינטגרציה המבנית-סמנטית הוכחה כיעילה כנגד התחמקויות פולימורפיות ויצירת טקסט אוטומטית. ההפחתה של 37% ב-false positives היא רלוונטית ל-SOCs המיושרים עם NIST SP 800-61 Rev.2 (NIST, 2012) ועם הבקרות של NIST SP 800-53 Rev.5 (NIST, 2020).

המגבלות כוללות תלות חלקית ב-WHOIS והטיה לשונית. אסטרטגיות עתידיות עשויות לשלב למידה מאוחדת ומנגנוני חוסן בר-אימות.

8. מסקנה ועבודה עתידית

הצגנו ארכיטקטורה היברידית אדפטיבית עם ביסוס פורמלי ואימות אמפירי חזק. הראינו שיפורים מובהקים סטטיסטית ועמידות אדברסרית עקבית עם נוף האיומים של 2025. עבודות עתידיות כוללות אינטגרציה עם זיהוי מבוסס eBPF בנקודות קצה Linux וחקירת הגנות אדברסריות ברות-אימות.

References

APWG. Phishing Activity Trends Report 2024. 2024. Available at: https://apwg.org/trendsreports/.

CMU. Enron Email Dataset. 2015. Available at: https://www.cs.cmu.edu/~enron/.

GARERA, S. et al. A framework for detection and measurement of phishing attacks. In: ACM CCS, 2007. Available at: https://dl.acm.org/doi/10.1145/1315245.1315299.

GOOGLE. Google Safe Browsing. 2024. Available at: https://safebrowsing.google.com/.

JAIN, A. K.; GUPTA, B. B. Phishing detection: analysis of visual similarity based approaches. IEEE Communications Surveys & Tutorials, 2018. Available at: https://ieeexplore.ieee.org/document/8335797.

MA, J. et al. Beyond blacklists: learning to detect malicious web sites. In: IEEE S&P, 2009. Available at: https://ieeexplore.ieee.org/document/5207639.

MARCHAL, S. et al. Off-the-hook: an efficient and usable client-side phishing prevention application. In: RAID, 2014. Available at: https://link.springer.com/chapter/10.1007/978-3-319-11379-1_8.

MITRE. ATT&CK Framework. 2024. Available at: https://attack.mitre.org/.

NETCRAFT. Threat Report 2024. 2024. Available at: https://www.netcraft.com/research/.

NIST. SP 800-53 Rev.5. 2020. Available at: https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final.

NIST. SP 800-61 Rev.2. 2012. Available at: https://csrc.nist.gov/publications/detail/sp/800-61/rev-2/final.

OPENPHISH. OpenPhish Feed. 2025. Available at: https://openphish.com/.

OWASP. Phishing Guidance. 2023. Available at: https://owasp.org/www-community/attacks/Phishing.

PHISHTANK. PhishTank Database. 2025. Available at: https://phishtank.org/.

SAHINGOZ, O. K. et al. Machine learning based phishing detection from URLs. Applied Soft Computing, 2019. Available at: https://www.sciencedirect.com/science/article/pii/S1568494618305796.

THOMAS, K. et al. Designing a global reputation system. In: IEEE S&P, 2014. Available at: https://ieeexplore.ieee.org/document/6956580.

VERIZON. Data Breach Investigations Report 2023. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/.

VERIZON. Data Breach Investigations Report 2024. 2024. Available at: https://www.verizon.com/business/resources/reports/dbir/.

WHITTAKER, C. et al. Large-scale automatic classification of phishing pages. In: USENIX Security, 2010. Available at: https://www.usenix.org/legacy/event/sec10/tech/full_papers/Whittaker.pdf.