A Novel System-Call Dataset for AI-Driven Host-Based Intrusion Detection in Containerized Cloud Environments

في العالم الرقمي الحديث، غالبًا ما تعمل التطبيقات داخل "حاويات" (containers)، وهي تشبه صناديق خفيفة الوزن وسهلة النقل تحتوي على كل ما يحتاجه البرنامج للعمل. تحظى هذه الصنادق بشعبية لأنها تسهل عملية نقل البرمجيات من جهاز كمبيوتر إلى آخر. ومع ذلك، وعلى عكس الغرفة المعزولة تمامًا، تشترك جميع هذه الحاويات في نظام التشغيل الأساسي لجهاز الكمبيوتر المضيف. هذا الأساس المشترك يخلق ثغرة أمنية: فإذا تم اختراق حاوية ما، فقد يتمكن المهاجم من التسلل خارج صندوقه والسيطرة على نظام المضيف بالكامل. ولإيقاف ذلك، يستخدم خبراء الأمن أنظمة كشف التسلل القائمة على المضيف. تعمل هذه الأنظمة كراصدين يقظين، حيث يراقبون الطلبات الجوهرية التي تقدمها البرامج إلى قلب الكمبيوتر. هذه الطلبات، المعروفة باسم "نداءات النظام" (system calls)، هي التعليمات الأساسية التي يستخدمها البرنامج للقيام بأمور مثل فتح ملف، أو الاتصال بشبكة، أو استخدام الذاكرة. ومن خلال تحليل نمط هذه الطلبات، يمكن للبرامج الأمنية رصد متى يتصرف برنامج ما بشكل غريب، مثل محاولته القيام بأفعال لم يكن من المفترض له القيام بها أبدًا.

كان التحدي يكمن في أن السجلات الحالية لنداءات النظام هذه كانت غالبًا بسيطة للغاية أو قديمة، بحيث لا تستطيع كشف الحيل المتطورة المستخدمة ضد البيئات الحديثة القائمة على الحاويات. لقد افتقرت هذه السجلات إلى السياق التفصيلي اللازم لفهم ليس فقط ما يفعله البرنامج، بل كيف يفعله، ومتى حدث ذلك، وما هي الموارد التي كان يستخدمها. ولحل هذه المشكلة، قام الباحثون عمار مصطفى، وعلي يونس، وبالسم عيد، بإنشاء مجموعة بيانات جديدة وتفصيلية للغاية تسمى CHASE. تحتوي هذه المجموعة على ما يقرب من 5,000 سجل متميز للنشاط الحاسوبي، حيث ترصد كلاً من العمليات الطبيعية والهجمات الضارة المحددة. تم بناء مجموعة البيانات في بيئة مختبرية محكومة تحاكي بيئات السحابة في العالم الحقيقي، مما يضمن أن تعكس البيانات تعقيد الحوسبة الحديثة. وهي تتضمن آثارًا من 4,482 جلسة طبيعية و498 جلسة ضارة، تغطي نطاقًا واسعًا من السيناريوهات، بدءًا من الهروب من الحاوية وصولًا إلى الهجمات على موارد الذكاء الاصطناعي.

ما يميز CHASE هو عمق المعلومات التي تسجلها لكل حدث على حد/على حد سواء. فبدلاً من مجرد سرد الأوامر التي أصدرها البرنامج، تلتقط مجموعة البيانات الوقت الذي استغرقه كل أمر، والعملية (process) والخيط (thread) المحدد الذي أصدره، وحالة موارد الكمبيوتر مثل الذاكرة واستخدام الشبكة في تلك اللحظة بالضبط. كما تتضمن بيانات وصفية (metadata) حول الحاوية نفسها، مما يوفر صورة كاملة للبيئة التي حدث فيها النشاط. وقد تم بناء الآثار الضارة بعناً لتتمثل في اثنين وعشرين سيناريو هجومًا محددًا بناءً على ثغرات أمنية معروفة وتسع عائلات مختلفة من الهجمات، مثل حقن الأوامر (command injection) واختطاف الموارد (resource hijacking). ومن الأهمية بمكان أن النشاط الطبيعي في مجموعة البيانات لم يكن مجرد ضجيج خلفي فارغ؛ بل تضمن أعباء عمل حقيقية ومعقدة تشمل خوادم ويب، وقواعد بيانات، ومهام ذكاء اصطناعي. وهذا يضمن أن الأنظمة الأمنية التي يتم اختبارها يجب أن تميز بين السلوك الضار والواقع الفوضوي والمتنوع للاستخدام المشروع للكمبيوتر.

اختبر الباحثون مجموعة البيانات الجديدة هذه عن طريق تغذيتها في عدة أنواع مختلفة من نماذج الذكاء الاصطناعي المصممة لرصد الشذوذ. وقد استخدموا أساليب صارمة لضمان موثوقية النتائج، مثل اختبار النماذج على أنواع هجمات لم ترها من قبل، والتحقق مما إذا كانت النماذج لا تزال قادرة على العمل عندما تأتي البيانات من بيئة كمبيوتر مختلفة. وأظهرت النتائج أن مجموعة البيانات كانت فعالة للغاية. فقد حقق نموذج "الغابة العشوائية" (Random Forest)، الذي يستخدم مجموعة من أشجار القرار لاتخاذ التنبؤات، درجة عالية جدًا في التمييز بين النشاط الطبيعي والضار. والأهم من ذلك، عندما اختبر الباحثون قدرة النموذج على التعميم، فقد أدى أداءً استثنائيًا عبر معظم عائلات الهجمات غير المرئية. وفي اختبار تم فيه تدريب النموذج على جميع أنواع الهجمات باستثناء نوع واحد، حقق دقة تقترب من المثالية لعدة عائلات، مثل اعتراض الشبكة (Network Interception) وحقن الأوامر (Command Injection)، رغم أن الأداء تباين بالنسبة لبعض الأنواع الأخرى، حيث سجلت عائلة "حقن الويب" (Web Injection) درجة أقل بلغت 0.8204. يشير هذا إلى أن مجموعة البيانات تلتقط الأنماط السلوكية للهجمات بشكل جيد لدرجة أن النظام الأمني يمكنه تعلم التعرف على التهديدات الجديدة دون أن يكون قد رآها من قبل، وإن كان تأثير الكشف يعتمد على نوع الهجوم المحدد.

كما بحثت الدراسة في الأجزاء الأكثر أهمية للرصد من البيانات. ومن خلال إزالة مجموعات مختلفة من المعلومات، مثل تفاصيل التوقيت أو التفاصيل الهيكلية للأوامر، وجد الباحثون أن السمات السلوكية كانت الأكثر حسمًا لتحديد الهجمات. وبينما ساعد توقيت الأحداث، إلا أن الأفعال الجوهرية والطريقة التي يتفاعل بها البرنامج مع النظام كانت المؤشرات الأساسية للخطر. كما أثبتت مجموعة البيانات قيمتها من خلال المساعدة في إظهار حدود التعلم غير الخاضع للإشراف (unsupervised learning)، حيث يحاول النظام العثور على المعتدين دون أن يتم إخباره بكيفية ظهورهم. وفي هذه الاختبارات، عانت النماذج بشكل كبير، مما يسلط الض الضوء على أنه بالنسبة لهذا النوع المحدد من المشكلات الأمنية، فإن امتلاك أمثلة مصنفة للهجمات أمر ضروري للنجاح.

في نهاية المطاف، توفر مجموعة بيانات CHASE أساسًا قويًا لتطوير واختبار الجيل القادم من الأدوات الأمنية للسحب القائمة على الحاويات. فهي تتجاوز مجرد قوائم الأوامر البسيطة لتقدم رؤية غنية وسياقية لسلوك الكمبيوتر، مما يسمح للباحثين ببناء أنظمة تكون أكثر قدرة على التعامل مع المشهد المعقد والمتطور للتهديدات السيبرانية. ويؤكد هذا العمل أنه مع وجود النوع الصحيح من البيانات، من الممكن إنشاء أنظمة كشف ليست دقيقة فحسب، بل قابلة للتكيف أيضًا مع المخاطر الجديدة وغير المرئية. يعد هذا التقدم خطوة مهمة نحو تأمين البنية التحتية التي تشغل جزءًا كبيرًا من الإنترنت الحديث، مما يضمن أن الطبيعة المشتركة لتقنية الحاويات لن تصبح نقطة ضعف للأنظمة التي تعتمد عليها.