A Novel System-Call Dataset for AI-Driven Host-Based Intrusion Detection in Containerized Cloud Environments

現代のデジタル世界において、アプリケーションはしばしば「コンテナ」と呼ばれるものの中で動作しています。コンテナとは、プログラムが動作するために必要なすべてを収めた、軽量で持ち運び可能な箱のようなものです。これらの箱は、ソフトウェアをあるコンピュータから別のコンピュータへと簡単に移動できるため、広く普及しています。しかし、完全に隔離された部屋とは異なり、これらのコンテナはすべて、ホストコンピュータの共通のオペレーティングシステムを共有しています。この共有された基盤は脆弱性を生み出します。つまり、もしコンテナが侵害された場合、攻撃者がその箱から抜け出し、ホストシステム全体の制御を奪う可能性があるのです。これを阻止するために、セキュリティの専門家はホストベースの侵入検知システムを使用しています。これらのシステムは、プログラムがコンピュータの核に対して行う基本的なリクエストを監視する、警戒心の強い観察者として機能します。これらのリクエストは「システムコール」と呼ばれ、ファイルを開く、ネットワークに接続する、メモリを使用するといった操作を行うためにプログラムが使用する基本的な命令です。これらのリクエストのパターンを分析することで、セキュリティソフトウェアは、プログラムが本来意図されていない動作を行おうとしているといった、不審な挙動を検知することができます。

課題となっていたのは、既存のシステムコールの記録が、現代のコンテナ化された環境に対する巧妙なトリックを捉えるには、あまりにも単純すぎるか、あるいは時代遅れであったことです。それらは、プログラムが何をしていたかだけでなく、それをどのように行っていたのか、いつ発生したのか、そしてどのようなリソースを使用していたのかを理解するために必要な詳細なコンテキスト（文脈）を欠いていました。この問題を解決するために、研究者のアマル・ムスタファ、アリ・ユネス、およびバルサム・エイドは、「CHASE」と呼ばれる、極めて詳細な新しいデータセットを作成しました。このコレクションには、約5,000件の異なるコンピュータ活動の記録が含まれており、正常な操作と特定の有害な攻撃の両方を捉えています。このデータセットは、現実世界のクラウド環境を模した制御された実験室環境で構築されており、データが現代のコンピューティングの複雑さを反映するように設計されています。これには、4,482件の正常なセッションと498件の有害なセッションのトレースが含まれており、コンテナ脱出から人工知能リソースへの攻撃まで、幅広いシナリオをカバーしています。

CHASEが異なる点は、あらゆるイベントに対して記録される情報の深さにあります。単にプログラムが発行したコマンドをリストアップするのではなく、このデータセットは各コマンドに要した時間、それを発行した特定のプロセスとスレッド、そしてその瞬間のメモリやネットワーク使用量といったコンピュータのリソースの状態までも捉えています。また、コンテナ自体のメタデータも含まれており、その活動が発生した環境の全体像を提供します。有害なトレースは、既知のセキュリティ上の欠陥に基づく22の特定の攻撃シナリオと、コマンドインジェクションやリソースハイジャックといった9つの異なる攻撃ファミリーに基づいて、注意深く構築されました。極めて重要な点として、データセット内の正常な活動は、単なる空っぽの背景ノイズではありませんでした。そこには、ウェブサーバー、データベース、および人工知能タスクを含む、実際の複雑なワークロードが含まれていました。これにより、テストされるセキュリティシステムは、危険な振る舞いと、正当なコンピュータ利用の乱雑で多様な現実とを区別しなければならなくなります。

研究者たちは、異常を検知するために設計されたいくつかの異なるタイプの人工知能モデルにこの新しいデータセットを投入することで、このデータセットをテストしました。彼らは、モデルがこれまで見たことのない攻撃タイプに対してテストを行ったり、データが異なるコンピュータ環境から来た場合でもモデルが機能するかどうかを確認したりするなど、結果の信頼性を確保するための厳格な手法を用いました。結果は、このデータセットが非常に効果的であることを示しました。「ランダムフォレスト」と呼ばれる、予測を行うための決定木の集合を用いるモデルは、正常な活動と有害な活動を区別する上で非常に高いスコアを達成しました。より重要なことに、モデルの汎化能力をテストした際、モデルは未知の攻撃ファミリーに対しても例外なく優れたパフォーマンスを発揮しました。あるモデルに対し、一つの攻撃タイプを除いたすべての攻撃タイプで学習させたテストでは、ネットワークインターセプションやコマンドインジェクションなどのいくつかのファミリーに対してほぼ完璧な精度を達成しましたが、Webインジェクションのファミリーなどは0り0.8204と低い値になりました。このことは、データセットが攻撃の潜在的な行動パターンを非常にうまく捉えているため、セキュリティシステムが未知の脅威を未体験のまま認識できることを示唆していますが、検出の有効性は特定の攻撃タイプに依存する場合があることも示しています。

この研究では、どの部分のデータが検出に最も重要であるかも調査されました。タイミングの詳細やコマンドの構造的な詳細など、異なるグループの情報を削除することで、研究者たちは「行動的特徴」が攻撃を特定するための最も重要な要素であることを発見しました。イベントのタイミングも役立ちましたが、プログラムの核となるアクションとそのシステムとの相互作用こそが、主要な危険指標でした。また、このデータセットは、悪意のある存在がどのような姿をしているか教えられないまま、システムが不正なアクターを見つけ出そうとする「教師なし学習」の限界を示すことでも価値を証明しました。これらのテストにおいて、モデルは著しく苦戦しており、この特定の種類のセキュリティ問題においては、ラベル付けされた攻撃の例を持つことが成功のために不可欠であることを浮き彫りにしました。

最終的に、CHASEデータセットは、次世代のセキュリティツールを開発し、テストするための強固な基盤を提供します。それは単なるコマンドのリストを超え、コンピュータの振る舞いに関する豊かなコンテキスト（文脈）を提示することで、研究者がより複雑で進化するサイバー脅威の景観に対処できるシステムを構築することを可能にします。この研究は、適切なデータがあれば、正確であるだけでなく、未知の危険に対しても適応可能な検出システムを作ることが可能であることを実証しています。この進歩は、現代のインターネットの多くを支えるインフラを保護するための重要な一歩であり、コンテナ技術の共有された性質が、それを利用するシステムにとっての弱点とならないようにするものです。