Can Graph-Based Microservice Performance Detection Be Used for Microservice Intrusion Detection?

Riepilogo Tecnico: È Possibile Utilizzare il Rilevamento delle Prestazioni dei Microservizi Basato su Grafi per il Rilevamento delle Invasioni nei Microservizi?

Enunciato del Problema
Le architetture a microservizi generano flussi ricchi di telemetria (metriche, log e tracce distribuite) che tradizionalmente vengono analizzati separatamente per il rilevamento di anomalie nelle prestazioni e per il rilevamento delle intrusioni. Il monitoraggio delle prestazioni si concentra sulla latenza e sul consumo di risorse, mentre il rilevamento delle intrusioni mira a comportamenti malevoli. Tuttavia, nei sistemi a microservizi, questi domini si sovrappongono: gli attacchi spesso si manifestano come sintomi di prestazioni (ad esempio, aumento della latenza, tassi di richiesta insoliti o percorsi di dipendenza del servizio alterati). Questo documento indaga se i metodi basati su grafi, originariamente progettati per il rilevamento di anomalie nelle prestazioni, possano efficacemente servire come fondamento per il rilevamento delle intrusioni nei microservizi. La domanda centrale è se la modellazione delle dipendenze tra servizi come grafi consenta la classificazione delle richieste normali rispetto a quelle intrusive, e come le diverse modalità di telemetria contribuiscano a tale rilevamento.

Metodologia
Lo studio adotta un disegno sperimentale riproducibile utilizzando un benchmark sintetico di e-commerce a microservizi distribuito tramite Docker Compose. Il sistema è composto da sei servizi: frontend, auth, catalog, cart, order e payment.

• Raccolta Dati: Gli autori hanno condotto 50 prove controllate su cinque tipi di attacco (inondazione HTTP, login a forza bruta, sonda di iniezione SQL, sonda simile a SSRF e simulazione di esfiltrazione) sotto carichi di lavoro normali. Ciò ha generato 21.438 grafi di invocazione a livello di richiesta etichettati.
• Rappresentazione del Grafo: Ogni traccia di richiesta viene convertita in un grafo $G_i = (V_i, E_i, X_i, y_i)$.
  • Nodi ($V_i$): Rappresentano i servizi coinvolti in una richiesta.
  • Archi ($E_i$): Rappresentano le relazioni di chiamata in runtime osservate nella traccia (simmetrizzate per il passaggio di messaggi).
  • Caratteristiche ($X_i$): Un vettore di 25 dimensioni per nodo, che concatena 16 dimensioni TF-IDF dai log con timestamp e 9 dimensioni dalle metriche di prestazioni per servizio.
  • Etichette ($y_i$): Sei classi (normale più cinque tipi di attacco).
• Modelli:
  • Basati su Grafi: Una rete convolutiva su grafo (GCN) supervisionata a due livelli che utilizza il pooling medio per la classificazione a livello di grafo.
  • Baseline Non Basate su Grafi: Classificatori Random Forest e Multi-Layer Perceptron (MLP) addestrati su caratteristiche di log e metriche appiattite.
• Strategia di Valutazione: Lo studio confronta una "divisione casuale a livello di grafo" (ottimistica, all'interno della distribuzione) con una "divisione a livello di prova" (più rigorosa, che garantisce nessuna perdita di dati tra le prove di addestramento e quelle di test). Include inoltre l'ablazione delle modalità (testando input basati solo su tracce, solo su log e solo su metriche) e l'analisi del runtime.

Risultati Chiave

1. Prestazioni di Base (Divisione Casuale): Sotto una divisione casuale, la GCN a due livelli ha raggiunto un'accuratezza di test del 96,2% e un F1 macro di 0,955. Ciò stabilisce un punto di riferimento ottimistico all'interno della distribuzione.
2. Generalizzazione (Divisione a Livello di Prova): Quando valutata sotto la divisione più rigorosa a livello di prova (testando la generalizzazione tra diverse esecuzioni sperimentali), le prestazioni della GCN sono diminuite significativamente fino a un F1 macro di 0,777.
3. Superiorità delle Soluzioni Non Basate su Grafi: Sorprendentemente, sotto la divisione a livello di prova, le baseline non basate su grafi (Random Forest e MLP) hanno superato la GCN, ottenendo punteggi F1 macro di 0,980 e 0,974, rispettivamente. Ciò suggerisce che le caratteristiche ingegnerizzate di log e metriche sono altamente discriminative anche senza il passaggio di messaggi sul grafo.
4. Ablazione delle Modalità:
   • Struttura della Traccia da Soli: Insufficiente per il rilevamento (F1 macro 0,405), indicando che la sola topologia del percorso di chiamata non può identificare tutte le semantiche degli attacchi.
   • Log e Metriche: Entrambe le modalità hanno migliorato significativamente il rilevamento rispetto alle sole caratteristiche della traccia. Le metriche sono state particolarmente efficaci per gli attacchi visibili nelle prestazioni (ad esempio, inondazione HTTP), mentre i log hanno aiutato a rilevare sonde semantiche (ad esempio, iniezione SQL).
   • Combinata: La combinazione di log e metriche ha prodotto la massima accuratezza (0,879), sebbene il breve addestramento di 5 epoche abbia limitato la capacità della GCN di bilanciare le prestazioni delle classi rispetto alle sole metriche.
5. Analisi degli Errori: La GCN ha avuto maggiori difficoltà con gli attacchi "login a forza bruta" (il richiamo è sceso a 0,033 nell'esecuzione esplorativa), spesso classificandoli erroneamente come normali. Questi attacchi preservavano percorsi di richiesta dall'aspetto normale, richiedendo caratteristiche temporali o di eventi di sicurezza più forti di quelle utilizzate dalla GCN superficiale.

Significato e Affermazioni
Il documento conclude che il rilevamento delle prestazioni dei microservizi basato su grafi è una base utile ma non un sostituto completo per il rilevamento delle intrusioni consapevole della sicurezza.

• Utilità: Le rappresentazioni grafiche a livello di richiesta collegano con successo i percorsi di invocazione con i sintomi delle prestazioni e gli eventi di sicurezza, rendendole un substrato promettente per il rilevamento delle intrusioni, in particolare per gli attacchi che disturbano il comportamento del servizio o le strutture di dipendenza.
• Limitazioni: La GCN superficiale attuale non supera ancora le solide baseline non basate su grafi sull'insieme di caratteristiche ingegnerizzate. Lo studio sottolinea che i metodi basati su grafi devono essere valutati rispetto a solide baseline appiattite e richiedono caratteristiche più ricche (ad esempio, attributi degli archi, aggregazione temporale) e un addestramento consapevole delle classi per rivendicare la superiorità.
• Risposta Sfumata: L'approccio è più efficace quando gli attacchi creano impronte digitali visibili nelle prestazioni o alterano i pattern dei log. Gli attacchi che sono semanticamente malevoli ma operativamente silenziosi potrebbero non produrre anomalie forti rilevabili dai metodi grafici attuali senza un contesto aggiuntivo.

Gli autori posizionano questo lavoro come un passo esplorativo, fornendo un benchmark riproducibile e dimostrando che, sebbene le strutture a grafo preservino informazioni preziose sulle dipendenze, il valore immediato per il rilevamento delle intrusioni in questa configurazione specifica risiede attualmente nella qualità delle caratteristiche ingegnerizzate (log e metriche) piuttosto che nell'architettura del grafo in sé.