A Novel System-Call Dataset for AI-Driven Host-Based Intrusion Detection in Containerized Cloud Environments

In der modernen digitalen Welt laufen Anwendungen oft in „Containern“, die wie leichte, tragbare Boxen sind, die alles enthalten, was ein Programm zum Betrieb benötigt. Diese Boxen sind beliebt, weil sie es einfach machen, Software von einem Computer auf einen anderen zu übertragen. Im Gegensatz zu einem vollkommen isolierten Raum teilen diese Container jedoch dasselbe zugrunde liegende Betriebssystem des Host-Computers. Dieses gemeinsame Fundament schafft eine Schwachstelle: Wenn ein Container kompromittiert wird, könnte ein Angreifer versuchen, aus seiner Box auszubrechen und die Kontrolle über das gesamte Host-System zu übernehmen. Um dies zu verhindern, setzen Sicherheitsexperten auf hostbasierte Intrusion-Detection-Systeme. Diese Systeme fungieren als wachsame Beobachter, die die grundlegenden Anfragen überwachen, die Programme an den Kern des Computers stellen. Diese Anfragen, bekannt als Systemaufrufe (System Calls), sind die Basisanweisungen, mit denen ein Programm Dinge wie das Öffnen einer Datei, das Verbinden mit einem Netzwerk oder die Nutzung von Arbeitsspeicher erledigt. Durch die Analyse der Muster dieser Anfragen kann die Sicherheitssoftware erkennen, wenn sich ein Programm seltsam verhält, beispielsweise wenn es versucht, Aktionen durchzuführen, für die es nie vorgesehen war.

Die Herausforderung bestand darin, dass bestehende Aufzeichnungen dieser Systemaufrufe oft zu simpel oder veraltet waren, um die ausgeklügelten Tricks abzufangen, die gegen moderne containerisierte Umgebungen eingesetzt werden. Ihnen fehlte der detaillierte Kontext, um nicht nur zu verstehen, was ein Programm tat, sondern auch wie es es tat, wann es geschah und welche Ressourcen es nutzte. Um dies zu lösen, erstellten die Forscher Ammar Moustafa, Ali Younes und Balsam Eid einen neuen, hochdetaillierten Datensatz namens CHASE. Diese Sammlung enthält fast 5.000 distinkte Datensätze von Computeraktivitäten, die sowohl normale Operationen als auch spezifische, schädliche Angriffe erfassen. Der Datensatz wurde in einer kontrollierten Laborumgebung erstellt, die reale Cloud-Umgebungen nachbildet, um sicherzustellen, dass die Daten die Komplexität moderner Computertechnik widerspiegeln. Er umfasst Spuren von 4.482 normalen Sitzungen und 498 schädlichen Sitzungen und deckt ein breites Spektrum von Szenarien ab, von Container-Escapes bis hin zu Angriffen auf KI-Ressourcen.

Was CHASE unterscheidet, ist die Tiefe der Informationen, die für jedes einzelne Ereignis aufgezeichnet werden. Anstatt nur die Befehle aufzulisten, die ein Programm ausgegeben hat, erfasst der Datensatz die Zeit, die jeder Befehl dauerte, den spezifischen Prozess und den Thread, der ihn auslöste, sowie den Zustand der Computerressourcen wie Speicher- und Netzwerkauslastung in genau diesem Moment. Er enthält auch Metadaten über den Container selbst und bietet so ein vollständiges Bild der Umgebung, in der die Aktivität stattfand. Die schädlichen Spuren wurden sorgfältig konstruiert, um zwanzig spezifische Angriffsszenarien darzustellen, die auf bekannten Sicherheitslücken und neun verschiedenen Angriffsfamilien basieren, wie etwa Command Injection und Resource Hijacking. Entscheidend war, dass die normalen Aktivitäten im Datensatz nicht nur aus leerem Hintergrundrauschen bestanden; sie enthielten reale, komplexe Arbeitslasten, die Webserver, Datenbanken und Aufgaben der künstlichen Intelligenz umfassten. Dies stellt sicher, dass die getesteten Sicherheitssysteme zwischen gefährlichem Verhalten und der komplexen, vielfältigen Realität legitimer Computernutzung unterscheiden müssen.

Die Forscher testeten diesen neuen Datensatz, indem sie ihn verschiedenen Arten von Modellen der künstlichen Intelligenz zuführten, die darauf ausgelegt sind, Anomalien aufzuspüren. Sie wandten rigorose Methoden an, um sicherzustellen, dass die Ergebnisse zuverlässig sind, wie etwa das Testen der Modelle auf Angriffsarten, die sie zuvor noch nie gesehen hatten, und die Überprüfung, ob die Modelle weiterhin funktionieren können, wenn die Daten von einer anderen Computerumgebung stammen. Die Ergebnisse zeigten, dass der Datensatz äußerst effektiv war. Ein Modell namens Random Forest, das eine Sammlung von Entscheidungsbäumen zur Vorhersage nutzt, erreichte eine sehr hohe Punktzahl bei der Unterscheidung zwischen normaler und schädlicher Aktivität.ت Noch wichtiger war, dass das Modell, wenn die Forscher seine Fähigkeit zur Generalisierung testeten, über die meisten ungesehenen Angriffsfamilien hinweg außergewöhnlich gut abschnitt. In einem Test, bei dem das Modell auf allen Angriffsarten außer einer trainiert wurde, erreichte es eine nahezu perfekte Genauigkeit für mehrere Familien, wie Network Interception und Command Injection, obwohl die Leistung für andere variierte, wobei die Familie Web Injection mit 0,8204 niedriger bewertet wurde. Dies deutet darauf hin, dass der Datensatz die zugrunde liegenden Verhaltensmuster von Angriffen so gut erfasst, dass ein Sicherheitssystem lernen kann, neue Bedrohungen zu erkennen, ohne sie zuvor gesehen zu haben, wenngleich die Effektivität der Erkennung vom spezifischen Angriffstyp abhängen kann.

Die Studie untersuchte auch, welche Teile der Daten am wichtigsten für die Erkennung waren. Durch das Entfernen verschiedener Gruppen von Informationen, wie etwa der Zeitdetails oder der strukturellen Details der Befehle, fanden die Forscher heraus, dass die Verhaltensmerkmale (Behavioral Features) am entscheidendsten für die Identifizierung von Angriffen waren. Während das Timing der Ereignisse hilfreich war, waren die Kernaktionen und die Art und Weise, wie das Programm mit dem System interagierte, die primären Indikatoren für Gefahr. Der Datensatz erwies sich auch dadurch als wertvoll, dass er die Grenzen des unüberwachten Lernens (Unsupervised Learning) aufzeigte, bei dem ein System versucht, böswillige Akteure zu finden, ohne zu wissen, wie sie aussehen. In diesen Tests hatten die Modelle erhebliche Schwierigkeiten, was verdeutlicht, dass für diese spezifische Art von Sicherheitsproblem das Vorhandensein von gekennzeichneten (labeled) Beispielen für Angriffe für den Erfolg unerlässlich ist.

Letztendlich bietet der CHASE-Datensatz eine robuste Grundlage für die Entwicklung und das Testen der nächsten Generation von Sicherheitstools für containerisierte Clouds. Er geht über einfache Listen von Befehlen hinaus und bietet eine reichhaltige, kontextuelle Sicht auf das Computerverhalten, was es Forschern ermöglicht, Systeme zu bauen, die besser in der Lage sind, die komplexe, sich entwickelnde Landschaft der Cyberbedrohungen zu bewältigen. Die Arbeit zeigt, dass es mit der richtigen Art von Daten möglich ist, Erkennungssysteme zu schaffen, die nicht nur genau, sondern auch anpassungsfähig an neue und ungesehene Gefahren sind. Dieser Fortschritt ist ein bedeutender Schritt zur Sicherung der Infrastruktur, die einen Großteil des modernen Internets antreibt, und stellt sicher, dass die geteilte Natur der Container-Technologie nicht zu einer Schwachstelle für die Systeme wird, die auf sie angewiesen sind.