A Novel System-Call Dataset for AI-Driven Host-Based Intrusion Detection in Containerized Cloud Environments

En el mundo digital moderno, las aplicaciones a menudo se ejecutan dentro de "contenedores", que son como cajas ligeras y portátiles que contienen todo lo que un programa necesita para operar. Estas cajas son populares porque facilitan el movimiento de software de una computadora a otra. Sin embargo, a diferencia de una habitación completamente aislada, todos estos contenedores comparten el mismo sistema operativo subyacente del equipo host. Esta base compartida crea una vulnerabilidad: si un contenedor se ve comprometido, un atacante podría ser capaz de escabullirse fuera de su caja y tomar el control de todo el sistema host. Para detener esto, los expertos en seguridad utilizan sistemas de detección de intrusiones basados en el host. Estos sistemas actúan como observadores vigilantes, vigilando las peticiones fundamentales que los programas hacen al núcleo de la computadora. Estas peticiones, conocidas como llamadas al sistema (system calls), son las instrucciones básicas que un programa utiliza para hacer cosas como abrir un archivo, conectarse a una red o usar la memoria. Al analizar el patrón de estas peticiones, el software de seguridad puede detectar cuando un programa se está comportando de manera extraña, como cuando intenta realizar acciones para las que nunca fue diseñado.

El desafío ha sido que los registros existentes de estas llamadas al sistema eran a menudo demasiado simples o anticuados para detectar los trucos sofisticados utilizados contra los entornos de contenedores modernos. Carecían del contexto detallado necesario para entender no solo qué estaba haciendo un programa, sino cómo lo estaba haciendo, cuándo sucedía y qué recursos estaba utilizando. Para resolver esto, los investigadores Ammar Moustafa, Ali Younes y Balsam Eid crearon un nuevo conjunto de datos altamente detallado llamado CHASE. Esta colección contiene casi 5,000 registros distintos de actividad informática, capturando tanto operaciones normales como ataques específicos y dañinos. El conjunto de datos fue construido en un entorno de laboratorio controlado que imita los entornos de nube del mundo real, asegurando que los datos reflejen la complejidad de la computación moderna. Incluye trazas de 4,482 sesiones normales y 498 sesiones dañinas, cubriendo una amplia gama de escenarios, desde escapes de contenedores hasta ataques a recursos de inteligencia artificial.

Lo que hace que CHASE sea diferente es la profundidad de la información que registra para cada evento. En lugar de solo enumerar los comandos que un programa emitió, el conjunto de datos captura el tiempo que tomó cada comando, el proceso y el hilo (thread) específico que lo emitió, y el estado de los recursos de la computadora, como la memoria y el uso de la red, en ese momento exacto. También incluye metadatos sobre el propio contenedor, proporcionando una imagen completa del entorno en el que ocurrió la actividad. Las trazas dañinas fueron cuidadosamente construidas para representar veinte y dos escenarios de ataque específicos basados en fallos de seguridad conocidos y nueve familias diferentes de ataques, tales como la inyección de comandos y el secuestro de recursos. Crucialmente, la actividad normal en el conjunto de datos no fue solo ruido de fondo vacío; incluyó cargas de trabajo reales y complejas que involucraban servidores web, bases de datos y tareas de inteligencia artificial. Esto asegura que los sistemas de seguridad que se prueban tengan que distinguir entre un comportamiento peligroso y la realidad desordenada y variada del uso legítimo de la computadora.

Los investigadores probaron este nuevo conjunto de datos alimentándolo en varios tipos diferentes de modelos de inteligencia artificial diseñados para detectar anomalías. Utilizaron métodos rigurosos para asegurar que los resultados fueran fiables, como probar los modelos con tipos de ataque que nunca habían visto antes y verificar si los modelos aún podían funcionar cuando los datos provenían de un entorno de computadora diferente. Los resultados mostraron que el conjunto de datos era altamente efectivo. Un modelo llamado Random Forest, que utiliza una colección de árboles de decisión para realizar predicciones, logró una puntuación muy alta en la distinción entre la actividad normal y la dañina. Más importante aún, cuando los investigadores probaron la capacidad de generalización del modelo, este se desempeñó excepcionalmente bien en la mayoría de las familias de ataques no vistos. En una prueba donde el modelo fue entrenado en todos los tipos de ataque excepto en uno, logró una precisión casi perfecta para varias familias, como Intercepción de Red e Inyección de Comandos, aunque el rendimiento varió para otras, con la familia de Inyección Web puntuando más bajo con 0.8204. Esto sugiere que el conjunto de datos captura los patrones de comportamiento subyacentes de los ataques tan bien que un sistema de seguridad puede aprender a reconocer nuevas amenazas sin haberlas visto antes, aunque la efectividad de la detección puede depender del tipo de ataque específico.

El estudio también examinó qué partes de los datos eran más importantes para la detección. Al eliminar diferentes grupos de información, como los detalles de tiempo o los detalles estructurales de los comandos, los investigadores encontraron que las características de comportamiento eran las más críticas para identificar ataques. Si bien el tiempo de los eventos ayudaba, las acciones principales y la forma en que el programa interactuaba con el sistema eran los indicadores primarios de peligro. El conjunto de datos también demostró su valor al ayudar a mostrar las limitaciones del aprendizaje no supervisado, donde un sistema intenta encontrar malos actores sin que se le diga cómo lucran. En estas pruebas, los modelos tuvieron dificultades significativas, resaltando que para este tipo específico de problema de seguridad, tener ejemplos etiquetados de ataques es esencial para el éxito.

En última instancia, el conjunto de datos CHASE proporciona una base robusta para desarrollar y probar la próxima generación de herramientas de seguridad para nubes de contenedores. Va más allá de simples listas de comandos para ofrecer una visión rica y contextual del comportamiento de la computadora, permitiendo a los investigadores construir sistemas que estén mejor equipados para manejar el complejo y cambiante panorama de las amenazas cibernéticas. El trabajo demuestra que, con el tipo de datos adecuado, es posible crear sistemas de detección que no solo sean precisos, sino también adaptables a peligros nuevos e imprevistos. Este avance es un paso significativo hacia la seguridad de la infraestructura que impulsa gran parte de la internet moderna, asegurando que la naturaleza compartida de la tecnología de contenedores no se convierta en una debilidad para los sistemas que dependen de ella.