Can Graph-Based Microservice Performance Detection Be Used for Microservice Intrusion Detection?

Technische Samenvatting: Kan Graph-Based Microservice Performance Detection worden gebruikt voor Microservice Intrusion Detection?

Probleemstelling
Microservice-architecturen genereren rijke telemetriestromen (metrieken, logs en gedistribueerde traces) die traditioneel afzonderlijk worden geanalyseerd voor prestatie-anomaliedetectie en detectie van indringers. Prestatiemonitoring richt zich op latentie en resourceverbruik, terwijl detectie van indringers zich richt op kwaadaardig gedrag. In microservicesystemen overlappen deze domeinen echter: aanvallen manifesteren zich vaak als prestatiesymptomen (bijvoorbeeld verhoogde latentie, ongebruikelijke aanvraagfrequenties of gewijzigde paden van service-afhankelijkheden). Dit artikel onderzoekt of grafgebaseerde methoden, oorspronkelijk ontworpen voor prestatie-anomaliedetectie, effectief kunnen dienen als basis voor detectie van indringers in microservices. De kernvraag is of het modelleren van service-afhankelijkheden als grafen toelaat om normale versus indringende aanvragen te classificeren, en hoe verschillende telemetriemodaliteiten bijdragen aan deze detectie.

Methodologie
Het onderzoek maakt gebruik van een reproduceerbaar experimenteel ontwerp met een synthetische e-commerce microservice-benchmark, gedeployed via Docker Compose. Het systeem bestaat uit zes services: frontend, auth, catalogus, winkelwagen, bestelling en betaling.

• Dataverzameling: De auteurs voerden 50 gecontroleerde proeven uit over vijf aanvaltypes (HTTP-flood, brute-force login, SQL-injectie-probe, SSRF-achtige probe en simulatie van data-exfiltratie) onder normale werklasten. Dit resulteerde in 21.438 gelabelde invocation-grafen op aanvraagniveau.
• Grafische Representatie: Elke aanvraagtrace wordt omgezet in een graf $G_i = (V_i, E_i, X_i, y_i)$.
  • Knopen ($V_i$): Vertegenwoordigen de services die bij een aanvraag betrokken zijn.
  • Randen ($E_i$): Vertegenwoordigen de tijdens runtime waargenomen call-relaties in de trace (gesymmetriseerd voor berichtoverdracht).
  • Features ($X_i$): Een 25-dimensionale vector per knoop, bestaande uit de concatenatie van 16 TF-IDF-dimensies uit getimestampede logs en 9 dimensies uit prestatie-metrieken per service.
  • Labels ($y_i$): Zes klassen (normaal plus vijf aanvaltypes).
• Modellen:
  • Grafgebaseerd: Een supervised twee-laags Graph Convolutional Network (GCN) met gebruik van mean pooling voor classificatie op graf-niveau.
  • Niet-grafische Baselines: Random Forest en Multi-Layer Perceptron (MLP) classifiers getraind op afgevlakte log- en metriekfeatures.
• Evaluatiestrategie: Het onderzoek vergelijkt een "random split op graf-niveau" (optimistisch, binnen-distributie) met een "split op trial-niveau" (strenger, waarbij geen datalek tussen trainings- en testtrials wordt gegarandeerd). Daarnaast wordt modale ablatie uitgevoerd (testen van alleen trace, alleen logs en alleen metrieken als input) en runtime-analyse.

Belangrijkste Resultaten

1. Baseline Prestaties (Random Split): Onder een random split behaalde het twee-laags GCN een testnauwkeurigheid van 96,2% en een macro F1-score van 0,955. Dit vestigt een optimistisch referentiepunt binnen de distributie.
2. Generalisatie (Split op Trial-niveau): Bij evaluatie onder de strengere split op trial-niveau (testen van generalisatie over verschillende experimentele runs) daalde de prestatie van het GCN aanzienlijk tot een macro F1-score van 0,777.
3. Superioriteit van Niet-grafische Methoden: Verrassend genoeg presteerden niet-grafische baselines (Random Forest en MLP) onder de split op trial-niveau beter dan het GCN, met macro F1-scores van respectievelijk 0,980 en 0,974. Dit suggereert dat de ontworpen log- en metriekfeatures zeer discriminerend zijn, zelfs zonder graf-berichtoverdracht.
4. Modale Ablatie:
   • Alleen Trace-structuur: Onvoldoende voor detectie (Macro F1 0,405), wat aangeeft dat de topologie van call-paden alleen niet alle aanvalssemantiek kan identificeren.
   • Logs en Metrieken: Beide modaliteiten verbeterden de detectie aanzienlijk ten opzichte van alleen trace-features. Metrieken waren bijzonder effectief voor aanvallen die zichtbaar zijn in prestaties (bijvoorbeeld HTTP-flood), terwijl logs hielpen bij het detecteren van semantische probes (bijvoorbeeld SQL-injectie).
   • Gecombineerd: De combinatie van logs en metrieken leverde de hoogste nauwkeurigheid op (0,879), hoewel de korte training van 5 epoch de capaciteit van het GCN beperkte om de prestaties per klasse in balans te brengen in vergelijking met alleen metrieken.
5. Foutanalyse: Het GCN had de meeste moeite met "brute-force login"-aanvallen (recall daalde tot 0,033 in de verkennende run), waarbij ze vaak ten onrechte als normaal werden geclassificeerd. Deze aanvallen behielden er normaal uitziende aanvraagpaden, wat sterkere temporale of beveiligings-event-features vereiste dan het ondiepe GCN gebruikte.

Betekenis en Claims
Het artikel concludeert dat grafgebaseerde prestatiedetectie voor microservices een nuttige basis is, maar geen volledige vervanging voor beveiligingsbewuste detectie van indringers.

• Nuttigheid: Invocatie-grafen op aanvraagniveau verbinden succesvol invocation-paden met prestatiesymptomen en beveiligingsgebeurtenissen, waardoor ze een veelbelovende ondergrond vormen voor detectie van indringers, met name voor aanvallen die servicegedrag of afhankelijkheidsstructuren verstoren.
• Beperkingen: Het huidige ondiepe GCN presteert op de ontworpen feature-set nog niet beter dan sterke, niet-grafische baselines. Het onderzoek benadrukt dat grafmethoden moeten worden geëvalueerd tegen sterke afgevlakte baselines en rijker features vereisen (bijvoorbeeld randattributen, temporale aggregatie) en klasse-bewuste training om superioriteit te claimen.
• Nuancering: De aanpak is het meest effectief wanneer aanvallen zichtbare prestatie-voetafdrukken creëren of logpatronen wijzigen. Aanvallen die semantisch kwaadaardig zijn maar operationeel stil, produceren mogelijk geen sterke anomalieën die door huidige grafmethoden kunnen worden gedetecteerd zonder aanvullende context.

De auteurs positioneren dit werk als een verkennende stap, waarbij een reproduceerbare benchmark wordt geboden en wordt aangetoond dat, hoewel grafstructuren waardevolle afhankelijkheidsinformatie behouden, de directe meerwaarde voor detectie van indringers in deze specifieke opstelling momenteel ligt in de kwaliteit van de ontworpen features (logs en metrieken) en niet in de grafarchitectuur zelf.