A Novel System-Call Dataset for AI-Driven Host-Based Intrusion Detection in Containerized Cloud Environments

Dans le monde numérique moderne, les applications fonctionnent souvent à l'intérieur de « conteneurs », qui sont comme des boîtes légères et transportables contenant tout ce dont un programme a besoin pour fonctionner. Ces boîtes sont populaires car elles facilitent le déplacement de logiciels d'un ordinateur à un autre. Cependant, contrairement à une pièce entièrement isolée, tous ces conteneurs partagent le même système d'exploitation sous-jacent de l'ordinateur hôte. Ce fondement partagé crée une vulnérabilité : si un conteneur est compromis, un attaquant pourrait réussir à s'échapper de sa boîte et à prendre le contrôle de l'ensemble du système hôte. Pour empêcher cela, les experts en sécurité utilisent des systèmes de détection d'intrusion basés sur l'hôte. Ces systèmes agissent comme des observateurs vigilants, surveillant les requêtes fondamentales que les programmes adressent au cœur de l'ordinateur. Ces requêtes, appelées appels système (system calls), sont les instructions de base qu'un programme utilise pour effectuer des tâches telles qu'ouvrir un fichier, se connecter à un réseau ou utiliser la mémoire. En analysant le schéma de ces requêtes, les logiciels de sécurité peuvent détecter lorsqu'un programme se comporte de manière étrange, par exemple lorsqu'il tente d'effectuer des actions qu'il n'était pas censé faire.

Le défi résidait dans le fait que les enregistrements existants de ces appels système étaient souvent trop simples ou obsolètes pour détecter les ruses sophistiquées utilisées contre les environnements conteneurisés modernes. Ils manquaient du contexte détaillé nécessaire pour comprendre non seulement ce qu'un programme faisait, mais aussi comment il le faisait, quand cela se produisait et quelles ressources il utilisait. Pour résoudre ce problème, les chercheurs Ammar Moustafa, Ali Younes et Balsam Eid ont créé un nouvel ensemble de données hautement détaillé appelé CHASE. Cette collection contient près de 5 000 enregistrements distincts d'activité informatique, capturant à la fois des opérations normales et des attaques spécifiques et nuisibles. L'ensemble de données a été construit dans un environnement de laboratoire contrôlé qui imite les environnements cloud réels, garantissant que les données reflètent la complexité de l'informatique moderne. Il comprend des traces de 4 482 sessions normales et 498 sessions malveillantes, couvrant un large éventail de scénarios allant de l'évasion de conteneur aux attaques sur les ressources d'intelligence artificielle.

Ce qui différencie CHASE, c'est la profondeur des informations qu'il enregistre pour chaque événement. Au lieu de simplement lister les commandes qu'un programme a émises, l'ensemble de données capture le temps que chaque commande a pris, le processus et le thread spécifiques qui l'ont émise, ainsi que l'état des ressources de l'ordinateur, comme la mémoire et l'utilisation du réseau, à ce moment précis. Il inclut également des métadonnées sur le conteneur lui-même, fournissant une image complète de l'environnement dans lequel l'activité s'est produite. Les traces malveillantes ont été soigneusement construites pour représenter vingt-deux scénarios d'attaque spécifiques basés sur des failles de sécurité connues et neuf familles d'attaques différentes, telles que l'injection de commandes et le détournement de ressources. Crucialement, l'activité normale dans l'ensemble de données n'était pas un simple bruit de fond ; elle comprenait des charges de travail réelles et complexes impliquant des serveurs web, des bases de données et des tâches d'intelligence artificielle. Cela garantit que les systèmes de sécurité testés doivent distinguer un comportement dangereux de la réalité complexe et variée de l'utilisation légitime de l'ordinateur.

Les chercheurs ont testé ce nouvel ensemble de données en le soumettant à plusieurs types différents de modèles d'intelligence artificielle conçus pour détecter les anomalies. Ils ont utilisé des méthodes rigoureuses pour garantir la fiabilité des résultats, comme tester les modèles sur des types d'attaques qu'ils n'avaient jamais vus auparavant et vérifier si les modèles pouvaient toujours fonctionner lorsque les données provenaient d'un environnement informatique différent. Les résultats ont montré que l'ensemble de données était extrêmement efficace. Un modèle appelé Random Forest, qui utilise une collection d'arbres de décision pour faire des prédictions, a obtenu un score très élevé pour distinguer l'activité normale de l'activité malveillante. Plus important encore, lorsque les chercheurs ont testé la capacité de généralisation du modèle, celui-ci a obtenu des performances exceptionnelles sur la plupart des familles d'attaques non vues. Dans un test où le modèle a été entraîné sur tous les types d'attaques sauf un, il a atteint une précision quasi parfaite pour plusieurs familles, telles que l'interception de réseau (Network Interception) et l'injection de commandes (Command Injection), bien que les performances varient pour d'autres, la famille de l'injection web (Web Injection) obtenant un score plus faible de 0,8204. Cela suggère que l'ensemble de données capture si bien les schémas comportementaux des attaques qu'un système de sécurité peut apprendre à reconnaître de nouvelles menaces sans les avoir déjà rencontrées, bien que l'efficacité de la détection puisse dépendre du type d'attaque spécifique.

L'étude a également examiné quelles parties des données étaient les plus importantes pour la détection. En supprimant différents groupes d'informations, tels que les détails de synchronisation ou les détails structurels des commandes, les chercheurs ont découvert que les caractéristiques comportementales étaient les plus critiques pour identifier les attaques. Bien que la chronologie des événements ait aidé, les actions de base et la façon dont le programme interagissait avec le système étaient les principaux indicateurs de danger. L'ensemble de données a également prouvé sa valeur en montrant les limites de l'apprentissage non supervisé, où un système tente de trouver des acteurs malveillants sans savoir à quoi ils ressemblent. Dans ces tests, les modèles ont rencontré des difficultés significatives, soulignant que pour ce type spécifique de problème de sécurité, disposer d'exemples d'attaques étiquetés est essentiel pour réussir.

En fin de compte, l'ensemble de données CHASE fournit une base robuste pour le développement et le test de la prochaine génération d'outils de sécurité pour les clouds conteneurisés. Il dépasse la simple liste de commandes pour offrir une vue riche et contextuelle du comportement de l'ordinateur, permettant aux chercheurs de construire des systèmes mieux équipés pour faire face au paysage complexe et évolutif des cybermenaces. Ce travail démontre qu'avec le bon type de données, il est possible de créer des systèmes de détection qui sont non seulement précis, mais aussi capables de s'adapter à de nouveaux dangers inconnus. Cette avancée est une étape significative vers la sécurisation de l'infrastructure qui alimente une grande partie de l'internet moderne, garantissant que la nature partagée de la technologie des conteneurs ne devienne pas une faiblesse pour les systèmes qui en dépendent.