Can Graph-Based Microservice Performance Detection Be Used for Microservice Intrusion Detection?

기술 요약: 그래프 기반 마이크로서비스 성능 탐지가 마이크로서비스 침입 탐지에 활용될 수 있는가?

문제 정의
마이크로서비스 아키텍처는 성능 이상 탐지와 침입 탐지를 위해 전통적으로 별도로 분석되는 풍부한 텔레메트리 스트림 (지표, 로그, 분산 추적) 을 생성합니다. 성능 모니터링은 지연 시간과 리소스 소비에 초점을 맞추는 반면, 침입 탐지는 악성 행위를 대상으로 합니다. 그러나 마이크로서비스 시스템에서는 이러한 영역이 중첩됩니다. 공격은 종종 성능 증상 (예: 지연 시간 증가, 비정상적인 요청률, 또는 변경된 서비스 의존성 경로) 으로 나타납니다. 본 논문은 원래 성능 이상 탐지를 위해 설계된 그래프 기반 방법이 마이크로서비스 침입 탐지의 효과적인 기반이 될 수 있는지 조사합니다. 핵심 질문은 서비스 의존성을 그래프로 모델링함으로써 정상 요청과 침입 요청을 분류할 수 있는지, 그리고 다양한 텔레메트리 모달리티가 이러한 탐지에 어떻게 기여하는지입니다.

방법론
본 연구는 Docker Compose 를 통해 배포된 합성 전자상거래 마이크로서비스 벤치마크를 사용한 재현 가능한 실험 설계를 채택했습니다. 시스템은 프론트엔드, 인증, 카탈로그, 장바구니, 주문, 결제 등 여섯 가지 서비스로 구성됩니다.

• 데이터 수집: 저자들은 정상 작업 부하 하에서 5 가지 공격 유형 (HTTP 플러드, 무차별 대입 로그인, SQL 인젝션 프로브, SSRF 유사 프로브, 그리고 유출 시뮬레이션) 에 걸쳐 50 건의 통제된 실험을 수행했습니다. 이를 통해 21,438 개의 레이블이 지정된 요청 수준 호출 그래프가 생성되었습니다.
• 그래프 표현: 각 요청 추적은 그래프 $G_i = (V_i, E_i, X_i, y_i)$로 변환됩니다.
  • 노드 ($V_i$): 요청에 관여하는 서비스를 나타냅니다.
  • 간선 ($E_i$): 추적에서 관찰된 런타임 호출 관계를 나타냅니다 (메시지 전달을 위해 대칭화됨).
  • 특징 ($X_i$): 타임스탬프가 있는 로그에서 추출한 16 차원 TF-IDF 벡터와 서비스별 성능 지표에서 추출한 9 차원 벡터를 연결한 노드당 25 차원 벡터입니다.
  • 레이블 ($y_i$): 6 개 클래스 (정상 및 5 가지 공격 유형).
• 모델:
  • 그래프 기반: 그래프 수준 분류를 위해 평균 풀링을 사용하는 지도식 2 층 그래프 합성곱 네트워크 (GCN).
  • 비그래프 베이스라인: 평탄화된 로그 및 지표 특징으로 훈련된 랜덤 포레스트 및 다층 퍼셉트론 (MLP) 분류기.
• 평가 전략: 본 연구는 "그래프 수준 무작위 분할" (낙관적, 분포 내) 과 "실험 수준 분할" (더 엄격하며 훈련과 테스트 실험 간 데이터 누출을 방지) 을 비교합니다. 또한 모달리티 제거 (추적만, 로그만, 지표만 입력을 테스트) 및 런타임 분석을 포함합니다.

주요 결과

1. 베이스라인 성능 (무작위 분할): 무작위 분할 하에서 2 층 GCN 은 96.2% 의 테스트 정확도와 0.955 의 매크로 F1을 달성했습니다. 이는 낙관적인 분포 내 기준점을 확립합니다.
2. 일반화 (실험 수준 분할): 더 엄격한 실험 수준 분할 (서로 다른 실험 실행 간의 일반화 테스트) 에서 평가되었을 때, GCN 의 성능은 0.777 의 매크로 F1으로 크게 하락했습니다.
3. 비그래프 우위: 놀랍게도 실험 수준 분할 하에서 비그래프 베이스라인 (랜덤 포레스트 및 MLP) 이 GCN 을 능가하여 각각 0.980과 0.974의 매크로 F1 점수를 달성했습니다. 이는 설계된 로그 및 지표 특징이 그래프 메시지 전달 없이도 매우 차별화적임을 시사합니다.
4. 모달리티 제거:
   • 추적 구조만: 탐지에 불충분함 (매크로 F1 0.405). 이는 호출 경로 토폴로지만으로는 모든 공격 의미를 식별할 수 없음을 나타냅니다.
   • 로그 및 지표: 두 모달리티 모두 추적만 있는 특징보다 탐지를 크게 향상시켰습니다. 지표는 성능이 가시적인 공격 (예: HTTP 플러드) 에 특히 효과적이었으며, 로그는 의미론적 프로브 (예: SQL 인젝션) 탐지에 도움이 되었습니다.
   • 결합: 로그와 지표의 결합은 가장 높은 정확도 (0.879) 를 보였으나, 짧은 5 에폭 훈련으로 인해 GCN 은 지표만 있는 경우와 비교하여 클래스 성능을 균형 있게 조정하는 능력이 제한되었습니다.
5. 오류 분석: GCN 은 "무차별 대입 로그인" 공격에서 가장 어려움을 겪었습니다 (탐색 실행에서 재현율이 0.033 으로 하락). 이러한 공격은 정상처럼 보이는 요청 경로를 유지하므로, 얕은 GCN 이 활용하는 것보다 더 강력한 시간적 또는 보안 이벤트 특징이 필요했습니다.

의의 및 주장
본 논문은 그래프 기반 마이크로서비스 성능 탐지가 보안 인식 침입 탐지를 위한 유용한 기반이지만 완전한 대체제는 아니다라고 결론지었습니다.

• 유틸리티: 요청 수준의 그래프 표현은 호출 경로와 성능 증상 및 보안 이벤트를 성공적으로 연결하여, 특히 서비스 동작이나 의존성 구조를 교란시키는 공격에 대해 침입 탐지를 위한 유망한 기질이 됩니다.
• 한계: 현재 얕은 GCN 은 설계된 특징 세트에서 강력한 비그래프 베이스라인을 능가하지 못합니다. 본 연구는 그래프 방법이 강력한 평탄화된 베이스라인과 비교하여 평가되어야 하며, 우월성을 주장하기 위해서는 더 풍부한 특징 (예: 간선 속성, 시간적 집계) 과 클래스 인식 훈련이 필요하다고 강조합니다.
• 미묘한 답변: 이 접근법은 공격이 가시적인 성능 흔적을 만들거나 로그 패턴을 변경할 때 가장 효과적입니다. 의미론적으로는 악의적이지만 운영상 조용한 공격은 추가적인 맥락 없이는 현재 그래프 방법으로 탐지 가능한 강력한 이상을 생성하지 못할 수 있습니다.

저자들은 이 작업을 탐구적 단계로 위치시키며, 재현 가능한 벤치마크를 제공하고 그래프 구조가 가치 있는 의존성 정보를 보존하지만, 이 특정 설정에서 침입 탐지에 대한 즉각적인 가치는 그래프 아키텍처 자체보다는 설계된 특징 (로그 및 지표) 의 품질에 있음을 입증했습니다.