kanca

Oltalama link analizi

Kancayı yemeden önce gör.

Şüpheli bir link ya da mesajın tamamını yapıştır. Kanca linkleri bulur; alan adını makine öğrenmesi, alan adı yaşı ve Google'ın tehdit listesiyle inceler, risk skorunu ve nedenlerini tıklamadan önce gösterir.

Dene:

235 bin gerçek link ile eğitildi·%93 kesinlik·Alan adı yaşı + Google Safe Browsing·Linkler kaydedilmez.

Nasıl çalışır

Her link dört katmandan geçer.

  1. 00 m · Yüzey

    İtibar ve tehdit listeleri

    Link önce Google Safe Browsing'in bilinen tehlikeli siteler listesinde aranır. Ardından elle seçilmiş güvenilir alan adları ve dünyanın en çok ziyaret edilen 10.000 sitesi (Tranco listesi) kontrol edilir. Herkesin sayfa açabildiği barındırma platformları ve link kısaltıcılar bilerek güvenilir sayılmaz.

  2. 12 m · Orta su

    Makine öğrenmesi

    Bilinmeyen alan adlarını gradient boosting modeli değerlendirir: uzunluk, alt alan adları, rakamlar, entropi, uzantı ve marka taklidi ve alt alan adının yapısı gibi 19 özellik.

  3. 24 m · Derin su

    Alan adının yaşı

    Alan adının ne zaman alındığı RDAP kayıtlarından sorgulanır. Oltalama siteleri genelde birkaç günlük alan adları kullanır; birkaç yıllık köklü alan adları daha düşük risk taşır.

  4. 36 m · Dip

    Açıklanabilir sonuç

    Yoldaki ve protokoldeki işaretler (@ hilesi, yönlendirme, HTTPS eksikliği) kurallarla puanlanır. Her skor, onu tetikleyen nedenlerle gelir; somut bir neden yoksa sonuç asla "tehlikeli" olmaz. Mesaj sekmesine SMS'in tamamını yapıştırırsan içindeki linkler otomatik bulunup tek tek taranır.

Model

Yüksek skor değil, doğru skor.

UCI PhiUSIIL veri setindeki 235 bin gerçek link üzerinde eğitildi; daha önce hiç görmediği alan adlarında test edildi.

Doğruluk
%85,2
Kesinlik (phishing)
%93,7
F1
0,775
ROC AUC
0,862

%99,6

v1 · tam link

%85,4

v2 · yalnızca alan adı

İlk model %99,6 aldı. Kullanmadık.

Veri setindeki güvenli linklerin tamamı yolsuz ana sayfalardı. Model, phishing'i değil "linkte yol var mı" sorusunu öğrenmişti ve github.com/... gibi adreslere tehlikeli diyordu. Model yalnızca alan adı özellikleriyle yeniden eğitildi ve aynı alan adının hem eğitim hem test setine düşmesi engellendi.

%86,7

→

%16,7

gerçek alt alan adlı sitelerde yanlış alarm

Sonra aynı sorunun küçük kardeşini bulduk: alt alan adları.

Veri setindeki güvenli sitelerin hiçbirinde alt alan adı yoktu; model docs.python.org veya tr.wikipedia.org gibi adreslere de şüpheli diyordu. Eğitim verisine yaygın alt alan adlı (docs., blog., api.) güvenli örnekler eklendi (veri artırma) ve alt alan adının yapısını ölçen 3 yeni özellik tanımlandı. Phishing yakalama oranı korunurken yanlış alarmlar 5 kat azaldı. Kalan ürün adlı alt alan adları (sqlmodel.tiangolo.com gibi) için ise yıllardır kayıtlı ana alan adına bakılıyor.