인증 신호를 증거로 활용한 Explainable Phishing Detection 설계

Context

SPF, DKIM, DMARC 인증 통과 여부를 단순 판별 기준으로 삼는 기존 방식의 한계 분석. 인증 성공이 메일의 안전성을 보장하지 않으며, 단순 실패가 반드시 피싱을 의미하지 않는 신호 불확실성 존재.

Technical Solution

• 인증 결과를 독립적 쿼리가 아닌 신뢰할 수 있는 수신자의 Authentication-Results 헤더 파싱을 통한 간접 참조 구조 설계
• 인증 실패를 확정적 판결이 아닌 보조 증거(Supporting Evidence)로 처리하여 False Positive 발생 억제
• 인증 성공 시 리스크를 낮추지 않는 보수적 스코어링 모델을 통해 인증된 인프라발 악성 메일 탐지 가능성 확보
• 분석 결과의 투명성 확보를 위해 내부 피처 셋을 JSON 및 SARIF 2.1.0 표준 포맷으로 출력하는 가시성 체계 구축
• Python 3.10~3.13 버전 호환성 및 CodeQL 정적 분석을 통한 구현 안정성 검증