Szybciej, stabilniej, z myślą o skali.

Artykuł analizuje skuteczność modeli XGBoost na różnorodnych zbiorach danych w kontekście wykrywania phishingowych adresów URL, rozszerzając naszą wcześniejszą pracę konferencyjną o kompleksową walidację krzyżową oraz pogłębioną analizę porównawczą.

Na podstawie trzech niezależnych zbiorów danych – autorskiego zbioru phishingowego (75 738 próbek), rozbudowanego zestawu GramBeddings (639 723 próbek) oraz PhiUSIIL (47 103 próbek) – wykazujemy, że algorytm XGBoost zapewnia wysoką i stabilną skuteczność niezależnie od źródła danych. Zaproponowane podejście skutecznie minimalizuje problem niestabilności cech (feature instability), dowodząc, że staranna inżynieria cech jest podstawą niezawodnej detekcji.

Model osiąga dokładność 90,7% i wynik F1 na poziomie 91,2% na autorskim zbiorze, przy średniej dokładności 77,8% na trzech niezależnych zbiorach testowych. W porównaniu z sieciami neuronowymi XGBoost okazał się lepszy pod względem efektywności trenowania i jakości detekcji – o 2,1% wyższa dokładność, 12,6-krotnie szybsze trenowanie (0,95 s vs 12,01 s) i 3,6-krotnie mniejsze zużycie pamięci. Choć sieci neuronowe oferują szybsze wnioskowanie (7,51 ms vs 20,6 ms) i mniejsze modele, równowaga między dokładnością a szybkością trenowania czyni XGBoost wysoce praktycznym narzędziem do wykrywania phishingu w rzeczywistych systemach.

Skuteczną metodą ochrony użytkowników przed złośliwymi linkami jest bieżąca analiza wszystkich adresów URL wyświetlanych na stronie i ostrzeganie o potencjalnym zagrożeniu.

W artykule zaprezentowano wtyczkę do przeglądarki, która wykrywa adresy wykorzystywane w atakach phishingowych. Narzędzie to opiera się na modelu uczenia maszynowego wykorzystującym algorytm Extreme Gradient Boosting (XGBoost). Osiągnięte wyniki potwierdzają wysoką skuteczność w identyfikacji złośliwych adresów URL.

Choć model XGBoost nie osiąga najwyższej możliwej dokładności, oferuje doskonały kompromis między kluczowymi metrykami. Jego główne atuty to wydajność obliczeniowa i prosta interpretowalność wyników, co stanowi solidną podstawę do dalszego rozwoju oraz wdrożenia w systemach antyphishingowych, np. w mediach społecznościowych. Rozszerzenie automatycznie oznacza wszystkie zewnętrzne linki na przeglądanej stronie, informując użytkownika o stopniu ich bezpieczeństwa.