Can Graph-Based Microservice Performance Detection Be Used for Microservice Intrusion Detection?

Resumen Técnico: ¿Puede la Detección de Rendimiento de Microservicios Basada en Grafos Utilizarse para la Detección de Intrusos en Microservicios?

Enunciado del Problema
Las arquitecturas de microservicios generan flujos ricos de telemetría (métricas, registros y trazas distribuidas) que tradicionalmente se analizan por separado para la detección de anomalías de rendimiento y la detección de intrusos. La supervisión del rendimiento se centra en la latencia y el consumo de recursos, mientras que la detección de intrusos apunta a comportamientos maliciosos. Sin embargo, en los sistemas de microservicios, estos dominios se superponen: los ataques a menudo se manifiestan como síntomas de rendimiento (por ejemplo, aumento de la latencia, tasas de solicitud inusuales o rutas de dependencia de servicios alteradas). Este artículo investiga si los métodos basados en grafos, diseñados originalmente para la detección de anomalías de rendimiento, pueden servir eficazmente como base para la detección de intrusos en microservicios. La pregunta central es si modelar las dependencias de servicios como grafos permite clasificar las solicitudes normales frente a las intrusivas, y cómo contribuyen las diferentes modalidades de telemetría a esta detección.

Metodología
El estudio emplea un diseño experimental reproducible utilizando un punto de referencia sintético de comercio electrónico de microservicios desplegado mediante Docker Compose. El sistema consta de seis servicios: frontend, autenticación, catálogo, carrito, pedido y pago.

• Recopilación de Datos: Los autores realizaron 50 ensayos controlados en cinco tipos de ataques (inundación HTTP, fuerza bruta de inicio de sesión, sondeo de inyección SQL, sondeo similar a SSRF y simulación de exfiltración) bajo cargas de trabajo normales. Esto generó 21.438 grafos de invocación a nivel de solicitud etiquetados.
• Representación de Grafos: Cada traza de solicitud se convierte en un grafo $G_i = (V_i, E_i, X_i, y_i)$.
  • Nodos ($V_i$): Representan los servicios involucrados en una solicitud.
  • Aristas ($E_i$): Representan las relaciones de llamada en tiempo de ejecución observadas en la traza (simetrizadas para el paso de mensajes).
  • Características ($X_i$): Un vector de 25 dimensiones por nodo, que concatena 16 dimensiones TF-IDF de registros con marcas de tiempo y 9 dimensiones de métricas de rendimiento por servicio.
  • Etiquetas ($y_i$): Seis clases (normal más cinco tipos de ataques).
• Modelos:
  • Basados en Grafos: Una Red de Convolución de Grafos (GCN) supervisada de dos capas que utiliza agrupación media (mean pooling) para la clasificación a nivel de grafo.
  • Líneas Base No Basadas en Grafos: Clasificadores Random Forest y Perceptrón Multicapa (MLP) entrenados con características de registros y métricas aplanadas.
• Estrategia de Evaluación: El estudio compara una "división aleatoria a nivel de grafo" (optimista, dentro de la distribución) frente a una "división a nivel de ensayo" (más estricta, asegurando que no haya filtración de datos entre ensayos de entrenamiento y prueba). También incluye ablación de modalidades (probando entradas solo de trazas, solo de registros y solo de métricas) y análisis de tiempo de ejecución.

Resultados Clave

1. Rendimiento de la Línea Base (División Aleatoria): Bajo una división aleatoria, la GCN de dos capas logró una precisión de prueba del 96,2% y un F1 macro de 0,955. Esto establece un punto de referencia optimista dentro de la distribución.
2. Generalización (División a Nivel de Ensayo): Cuando se evaluó bajo la división más estricta a nivel de ensayo (probando la generalización a través de diferentes ejecuciones experimentales), el rendimiento de la GCN disminuyó significativamente a un F1 macro de 0,777.
3. Superioridad No Basada en Grafos: Sorprendentemente, bajo la división a nivel de ensayo, las líneas base no basadas en grafos (Random Forest y MLP) superaron a la GCN, logrando puntuaciones F1 macro de 0,980 y 0,974, respectivamente. Esto sugiere que las características de registros y métricas diseñadas son altamente discriminativas incluso sin el paso de mensajes del grafo.
4. Ablación de Modalidades:
   • Estructura de Trazas Solamente: Insuficiente para la detección (F1 macro 0,405), lo que indica que la topología de la ruta de llamada por sí sola no puede identificar todas las semánticas de ataque.
   • Registros y Métricas: Ambas modalidades mejoraron significativamente la detección en comparación con las características solo de trazas. Las métricas fueron particularmente efectivas para ataques visibles en el rendimiento (por ejemplo, inundación HTTP), mientras que los registros ayudaron a detectar sondas semánticas (por ejemplo, inyección SQL).
   • Combinada: La combinación de registros y métricas produjo la mayor precisión (0,879), aunque el entrenamiento corto de 5 épocas limitó la capacidad de la GCN para equilibrar el rendimiento de las clases en comparación con las métricas solas.
5. Análisis de Errores: La GCN tuvo más dificultades con los ataques de "fuerza bruta de inicio de sesión" (la recuperación cayó a 0,033 en la ejecución exploratoria), a menudo clasificándolos incorrectamente como normales. Estos ataques preservaron rutas de solicitud con apariencia normal, requiriendo características temporales o de eventos de seguridad más fuertes que las utilizadas por la GCN superficial.

Significado y Afirmaciones
El artículo concluye que la detección de rendimiento de microservicios basada en grafos es una base útil pero no un reemplazo completo para la detección de intrusos consciente de la seguridad.

• Utilidad: Las representaciones de grafos a nivel de solicitud conectan con éxito las rutas de invocación con síntomas de rendimiento y eventos de seguridad, lo que las convierte en un sustrato prometedor para la detección de intrusos, particularmente para ataques que alteran el comportamiento del servicio o las estructuras de dependencia.
• Limitaciones: La GCN superficial actual aún no supera a las líneas base no basadas en grafos fuertes en el conjunto de características diseñadas. El estudio enfatiza que los métodos basados en grafos deben evaluarse frente a líneas base aplanadas fuertes y requieren características más ricas (por ejemplo, atributos de aristas, agregación temporal) y entrenamiento consciente de las clases para reclamar superioridad.
• Respuesta Matizada: El enfoque es más efectivo cuando los ataques generan huellas digitales de rendimiento visibles o alteran los patrones de registros. Los ataques que son semánticamente maliciosos pero operativamente silenciosos pueden no producir anomalías fuertes detectables por los métodos de grafos actuales sin contexto adicional.

Los autores posicionan este trabajo como un paso exploratorio, proporcionando un punto de referencia reproducible y demostrando que, si bien las estructuras de grafos preservan información valiosa de dependencia, el valor inmediato para la detección de intrusos en esta configuración específica reside actualmente en la calidad de las características diseñadas (registros y métricas) más que en la arquitectura del grafo en sí.