A Novel System-Call Dataset for AI-Driven Host-Based Intrusion Detection in Containerized Cloud Environments

Nel mondo digitale moderno, le applicazioni spesso girano all'interno di "container", che sono come scatole leggere e portatili che contengono tutto ciò di cui un programma ha bisogno per operare. Queste scatole sono popolari perché rendono facile spostare il software da un computer all'altro. Tuttavia, a differenza di una stanza completamente isolata, tutti questi container condividono lo stesso sistema operativo sottostante del computer host. Questa base condivisa crea una vulnerabilità: se un container viene compromesso, un attaccante potrebbe riuscire a scivolare fuori dalla propria scatola e prendere il controllo dell'intero sistema host. Per fermare questo, gli esperti di sicurezza utilizzano sistemi di rilevamento delle intrusioni basati sull'host. Questi sistemi agiscono come osservatori vigilanti, monitorando le richieste fondamentali che i programmi rivolgono al cuore del computer. Queste richieste, note come chiamate di sistema (system calls), sono le istruzioni di base che un programma usa per fare cose come aprire un file, connettersi a una rete o usare la memoria. Analizzando il modello di queste richieste, il software di sicurezza può individuare quando un programma si comporta in modo strano, come quando tenta di eseguire azioni che non era mai destinato a fare.

La sfida è stata che i record esistenti di queste chiamate di sistema erano spesso troppo semplici o obsoleti per intercettare i trucchi sofisticati usati contro i moderni ambienti containerizzati. Mancavano del contesto dettagliato necessario per capire non solo cosa un programma stesse facendo, ma come lo stesse facendo, quando accadeva e quali risorse stava utilizzando. Per risolvere questo problema, i ricercatori Ammar Moustafa, Ali Younes e Balsam Eid hanno creato un nuovo dataset altamente dettagliato chiamato CHASE. Questa collezione contiene quasi 5.000 record distinti di attività informatica, catturando sia operazioni normali che attacchi specifici e dannosi. Il dataset è stato costruito in un ambiente di laboratorio controllato che imita i veri ambienti cloud, garantendo che i dati riflettano la complessità dell'informatica moderna. Include tracce da 4.482 sessioni normali e 498 dannose, coprendo una vasta gamma di scenari, dalle fughe dai container agli attacchi alle risorse di intelligenza artificiale.

Ciò che rende speciale CHASE è la profondità delle informazioni che registra per ogni singolo evento. Invece di elencare solo i comandi emessi da un programma, il dataset cattura il tempo impiegato da ogni comando, il processo e il thread specifico che lo ha emesso, e lo stato delle risorse del computer come la memoria e l'uso della rete in quel preciso istante. Include anche metadati sul container stesso, fornendo un quadro completo dell'ambiente in cui è avvenuta l'attività. Le tracce dannose sono state accuratamente costruite per rappresentare ventidue scenari di attacco specifici basati su note falle di sicurezza e nove diverse famiglie di attacchi, come l'iniezione di comandi e l'hijacking delle risorse. Fondamentalmente, l'attività normale nel dataset non era solo rumore di fondo vuoto; includeva carichi di lavoro reali e complessi che coinvolgevano server web, database e compiti di intelligenza artificiale. Ciò assicura che i sistemi di sicurezza testati debbano distinguere tra comportamenti pericolosi e la realtà disordinata e varia dell'uso legittimo del computer.

I ricercatori hanno testato questo nuovo dataset alimentandolo in diversi tipi di modelli di intelligenza artificiale progettati per individuare anomalie. Hanno utilizzato metodi rigorosi per garantire che i risultati fossero affidabili, come testare i modelli su tipi di attacco che non avevano mai visto prima e verificare se i modelli potessero ancora funzionare quando i dati provenivano da un ambiente informatico diverso. I risultati hanno mostrato che il dataset era altamente efficace. Un modello chiamato Random Forest, che utilizza una collezione di alberi decisionali per fare previsioni, ha ottenuto un punteggio molto alto nel distinguere tra attività normali e dannose. Più importante ancora, quando i ricercatori hanno testato la capacità di generalizzazione del modello, esso si è comportato eccezionalmente bene nella maggior parte delle famiglie di attacchi non viste prima. In un test in cui il modello è stato addestrato su tutti i tipi di attacco tranne uno, ha raggiunto un'accuratezza quasi perfetta per diverse famiglie, come l'Intercettazione di Rete e l'Iniezione di Comandi, sebbene le prestazioni siano variate per altre, con la famiglia Web Injection che ha ottenuto un punteggio più basso di 0,8204. Ciò suggerisce che il dataset cattura così bene i modelli comportamentali degli attacchi che un sistema di sicurezza può imparare a riconoscere nuove minacce senza averle mai viste prima, sebbene l'efficacia del rilevamento possa dipendere dal tipo specifico di attacco.

Lo studio ha anche esaminato quali parti dei dati fossero più importanti per il rilevamento. Rimuovendo diversi gruppi di informazioni, come i dettagli temporali o i dettagli strutturali dei comandi, i ricercatori hanno scoperto che le caratteristiche comportamentali erano le più critiche per identificare gli attacchi. Sebbene la tempistica degli eventi aiutasse, le azioni fondamentali e il modo in cui il programma interagiva con il sistema erano gli indicatori primari di pericolo. Il dataset ha inoltre dimostrato il suo valore aiutando a mostrare i limiti dell'apprendimento non supervisionato, dove un sistema cerca di trovare malintenzionati senza sapere che aspetto abbiano. In questi test, i modelli hanno faticato significativamente, evidenziando che per questo specifico tipo di problema di sicurezza, avere esempi etichettati di attacchi è essenziale per il successo.

In definitiva, il dataset CHASE fornisce una base robusta per sviluppare e testare la prossima generazione di strumenti di sicurezza per i cloud containerizzati. Esso va oltre i semplici elenchi di comandi per offrire una visione ricca e contestuale del comportamento del computer, permettendo ai ricercatori di costruire sistemi meglio equipaggiati per gestire il panorama complesso ed evolutivo delle minacce informatiche. Il lavoro dimostra che con il tipo giusto di dati, è possibile creare sistemi di rilevamento che siano non solo accurati, ma anche capaci di adattarsi a pericoli nuovi e imprevisti. Questo progresso è un passo significativo verso la messa in sicurezza delle infrastrutture che alimentano gran parte dell'internet moderno, garantendo che la natura condivisa della tecnologia dei container non diventi una debolezza per i sistemi che ne fanno affidamento.