1

以URL 資訊為基礎之網路釣魚偵測系統

作者：國立中央大學 黃克仲報告人：碩資工一甲 蘇柏榕

2

緒論 論文探討 研究方法 研究結果 結論

OUTLINE

3

網路提供的服務越來越多樣化，使得使用者資訊變得相對地更加有價值。

多數的釣魚網站是讓使用者誤以為正在瀏覽正當網站的網頁，以複製或側錄的方式使得使用者所輸入的資訊可以被記錄下來。

想要防禦釣魚攻擊可從兩點兩方面下手，兩點分別是伺服端點與客戶端點，而兩方面則是 Mail 與Web 。

緒論

4

緒論

防禦釣魚攻擊的切入面之優缺點

5

什麼是釣魚－網路詐騙◦ 釣魚 (Phishing) 又稱為網路詐騙 (Web Spoofing)◦ 起源於駭客利用電話線實行犯罪，將 Phone 與 Fishing

結合在一起創造出 Phishing◦ 定義是“釣魚者將使用者導向到一個偽造的釣魚網站，讓

使用者誤以為是正當網站，並在瀏覽網站的過程中洩露個人資訊”

論文探討

6

◦ 釣魚這的最終目的就是想得到有價值的使用者個人資訊◦ 會使用社會工程的技巧誤導使用者外亦需要有偽造或複製

的能力，甚至於對一些正當網站的防禦技術亦要有能力可以破解

◦ 釣魚網站設立技術可以概分為兩種：1. 複製正當網站，並修改有關個人登錄資訊的網頁紀錄表

單2. 使用 script 或是類似手法，在視窗內載入正當網站，

並側錄使用者鍵盤輸入。

論文探討

7

為何釣魚能成功 ?◦ 知識的缺乏：缺乏電腦系統的知識、缺乏資訊安全及安全

警示器的知識、缺乏網頁欺騙的知識、錯誤的安全概念◦ 被視覺欺騙：相似的字詞、以連結的圖片替代連結文字、

以圖片替代網頁版面物件、以視窗混淆視窗、幾可亂真的外觀

◦ 不佳的注意力：對於安全標示的忽視、對於安全標示缺少的忽視

論文探討

8

系統比較 ( 針對預防、 UI 及偵測部分 )◦ 評估項目做概略說明：1. 分類：依功用性質分為預防 (Prevention) 、使用者介

面 (User Interface) 及偵測 (Detection) 。2. 對象：依使用對象分為 Server 端及 End-User 端。3. 方法：該項目所採用之抵禦釣魚攻擊的手段。

論文探討

9

4. PDR ：為 PDR 模型之分類，分別為Prevention 、 Detection 、 Response 。

5. 所需資訊：該項目於運作時所需之資訊。6. Privacy ：使用者隱私權是否有保障。

論文探討

10

預防系統比較CVC TrustLogo E-Mail 認證

分類 Prevention Prevention Prevention

對象 Web Server Web Server End-user

方法 1.PKI2.Verification Engine

Real-Time Logo Sender 認證

PDR P P P

所需資訊 Web page Web site Sender info

Privacy N/A N/A N/A

論文探討

11

UI 及偵測系統比較Web Wallet CANTINA SpoofGuard

分類 UI Detection Detection

對象 End-user End-user End-user

方法 List Check 1.Signature2.Search Engine

History Check

PDR D+R D D

所需資訊 1.Web page2.URL3.User info

Web page 1.Web page2.URL3.User info

Privacy X N/A V

論文探討

12

UI 及偵測系統比較Cloudmark VSA Web Bug

Honeytoken

分類 Detection Detection Detection

對象 End-user End-user Web Server

方法 1.User report2.Fingerprint

Layout analysis 1.Web Bug2.Honeytoken

PDR D+R D D+R

所需資訊 Web page Web page 1.Bug Report2.Honeytoken

Privacy N/A N/A N/A

論文探討

13

本文所提系統

分類 Detection

對象 Mail Server & End-user

方法 URL Check

PDR D+R

所需資訊 1.URL2.Web page

Privacy V

論文探討

14

系統架構◦ 為維護使用者的隱私權，因此採取針對公開資訊，亦即

URL 作為偵測的基礎資料來源◦ URL 為公開的網路資訊，因此對於使用者隱私權並不會

造成侵犯的問題◦ URL 資訊是屬於比較容易取得的資料

研究方法

15

研究方法

16

研究方法

Phishing Detector 組成元件

17

運作流程

研究方法

白名單模組流程圖

18

研究方法

黑名單模組流程圖

19

研究方法

Relativity 模組流程圖

20

研究方法

Redirection 模組流程圖

21

White List Checker◦讀入白名單檔案，與待測 URL 做字串比較

Black List Checker◦讀入黑名單檔案，與待測 URL 做字串比較

Relativity Checker◦ 會比對多種資訊，例如： herf 、 src…等

Redirection Checker◦專找尋網頁文字檔中的” FORM” 資訊

研究方法

22

研究方法

UI 設計樣式

23

實驗資料來源◦ APWG 、 PhishTank 、 MillerSmiles

實驗資料組成◦隨機抽取 10 個釣魚網站及 10 個正當網站，樣本不取在同一網域內之網站

研究結果

24

實驗步驟 1.因黑白名單為靜態設定，故不另做實驗測試。 2.先單獨測試 Relativity Checker 以及 Redirection Checker 。3.再將上述兩個 component 聯合測試

研究結果

25

實驗一： Relativity Checker Only

研究結果

26

實驗二： Redirection Checker Only

研究結果

正確率平均約為 52%誤報率平均約為 0%

27

實驗三： Both component

研究結果

28

根據的實驗數據， 80%左右的正確率已經是非常不錯的

將來若能再使用更多的釣魚網頁做實驗，或許能將系統更精確的偵測率測出來

使用 script 或是其他網頁語言直接載入正當網站，會造成偵測漏報

對於網頁資訊輸入有嚴格的檢查，會造成系統無法偵測

研究結果

29

研究結果

30

研究結果

31

研究結果

32

本文所提出的偵測系統只需要 URL 資訊，且偵測過程不會造成機器的太大的負擔

可以將本系統與垃圾信過濾系統結合，使得使用者可以免於垃圾郵件以及釣魚郵件的侵害

本文的偵測系統加入了偵測與自動填寫表單的功能，因此使得偵測釣魚網站的功能不再侷限於剛開始連結的畫面讓有隨後轉向 (redirection) 性質的釣魚網站更加的無所遁形

結論

33

目前只針對 HTML-Based 的網頁進行偵測，對於其他程式語言組成的網站目前沒有辦法偵測

未來能擴大程式語言的支援，相信必能防堵更多的釣魚攻擊，使得更多的使用者免於受害。

34

Q&A

35

感謝觀看