Machine Learning Based Intrusion Detection for Cloud Storage: An Empirical Evaluation of Signature and Random Forest Fusion
Deze studie evalueert empirisch een semi-synthetisch prototype voor intrusiedetectie in cloudopslag door aanvallen te injecteren in niet-gelabelde Microsoft Azure-traces, waarbij wordt vastgesteld dat hoewel Random Forest-modellen nuttige rangschikkingssignalen bieden, hun instabiele prestaties onder temporele workload-drift en de slechte detectie van low-and-slow aanvallen aangeven dat zij nog niet klaar zijn voor productie-implementatie.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
In de moderne digitale wereld leeft een enorme hoeveelheid persoonlijke en zakelijke informatie in cloudopslag, een systeem waarbij gegevens op externe servers worden bewaard in plaats van op één enkele computer. Omdat deze gegevens overal kunnen worden geraadpleegd, is de potentie voor ongeautoriseerde toegang veel groter dan bij traditionele, geïsoleerde opslagsystemen. Om deze informatie te beschermen, vertrouwen beveiligingsteams op intrusiedetectiesystemen, die fungeren als digitale wachttorens. Deze systemen werken over het algemeen op twee manieren: sommige zoeken naar bekende patronen van kwaadaardig gedrag, zoals een beveiliger die het gezicht van een specifieke crimineel herkent, terwijl andere leren hoe normale activiteit eruitziet en een alarm slaan wanneer er iets ongewoons gebeurt. De uitdaging is dat legitieme gebruikers zich vaak op een verdachte manier gedragen, en aanvallers kunnen normaal gedrag nabootsen, wat het moeilijk maakt om het verschil te zien zonder een vloedgolf aan valse alarmen te veroorzaken.
Onderzoekers Simon Usifoh en Olawale Olaniyi zetten zich in om een specifieke aanpak voor het oplossen van dit probleem te testen met behulp van echte gegevens van Microsoft Azure, een grote cloudprovider. Ze bouwden een prototype systeem ontworpen om indringers in cloudopslag op te sporen door twee methoden te combineren: een reeks vaste regels die zoeken naar duidelijke tekenen van problemen, en een machine learning-model dat leert van datapatronen. Het team gebruikte geen samengestelde dataset van nepaanvallen, wat gebruikelijk is in dit vakgebied, maar begon in plaats daarvan met dertig duizend records van werkelijke, ongelabelde toegangslogs van echte applicaties. Omdat deze logs niet voorzien waren van beveiligingslabels, beschouwden de onderzoekers ze als een neutrale achtergrond van normale activiteit. Vervolgens injecteerden zij zorgvuldig gecontroleerde simulaties van aanvalscampagnes in deze echte gegevens. Drie specifieke aanvalstemplates — burst exfiltration, broad access probing en overwrite bursts — kwamen voor in alle trainings-, validatie- en testperiodes, terwijl een vierde type, low-and-slow exfiltration, alleen in de testperiode werd geïnjecteerd. Dit stelde hen in staat om te zien hoe hun detectiesysteem presteerde wanneer het werd geconfronteerd met dreigingen die verborgen waren in authentieke, rommelige menselijke activiteit.
De resultaten onthulden een complex beeld van wat wel en niet werkt in een echte omgeving. Het machine learning-model, bekend als een Random Forest, bleek vrij goed in het rangschikken van gebeurtenissen, wat betekent dat het succesvol kon identificeren welke activiteiten meer waarschijnlijk aanvallen waren dan andere. Echter, toen de onderzoekers probeerden een specifieke grens in te stellen om te beslissen wanneer er een alarm geslagen moest worden, werd het systeem instabiel. In sommige tests ving het model ongeveer eenentwintig procent van de aanvallen op, maar het markeerde ook een aanzienlijk aantal onschuldige activiteiten als gevaarlijk. Toen ze het machine learning-model combineerden met de vaste regels om de prestaties te verbeteren, werd het systeem niet beter; in plaats daarvan werd het slechter en genereerde het zelfs meer valse alarmen. Sterker nog, de meest effectieve versie van het systeem was simpelweg het machine learning-model alleen, aangezien de poging om het met andere methoden te fuseren geen waarde toevoegde en alleen maar meer ruis veroorzaakte.
Een bijzonder opvallende bevinding was het onvermogen van het systeem om langzame, subtiele aanvallen te detecteren. Hoewel het model redelijk succesvol was in het opsporen van snelle bursts van datadiefstal, breed reikend scannen en overwrite bursts, merkte het de specifieke vorm van aanval waarbij gegevens zeer langzaam over een bepaalde tijd worden gestolen bijna volledig niet op. Dit "low-and-slow" gedrag, dat vaak het gevaarlijkst is omdat het standaardalarmen vermijdt, werd in meer dan vierennegentig procent van de gevallen gemist. De studie benadrukte ook een groot probleem met tijd. Het systeem werd getraind op gegevens van één week en getest op gegevens van de daaropvolgende week. Hoewel de onderliggende technologie hetzelfde was, veranderde de manier waarop applicaties zich gedroegen van nature in de loop van de tijd, een fenomeen dat de onderzoekers temporal drift noemen. Deze verschuiving zorgde ervoor dat de vertrouwensinstellingen van het systeem, die geoptimaliseerd waren op de eerdere gegevens, volledig faalden wanneer ze op de latere gegevens werden toegepast, wat bewees dat een model dat op één moment goed werkt, niet noodzakelijkerwijs in het volgende moment goed werkt.
Uiteindelijk concludeert de studie dat hoewel de machine learning-aanpak veelbelovend is voor het identificeren van verdachte patronen, het in zijn huidige vorm nog niet klaar is voor implementatie in de echte wereld. Het systeem produceert te veel valse alarmen om praktisch te zijn, en het vermogen om langzame, sluipende aanvallen te detecteren is momenteel te zwak. De onderzoekers benadrukken dat de waarde van hun werk niet ligt in een afgewerkt product, maar in een reproduceerbaar kader dat echt gegevens gebruikt om de beperkingen van huidige methoden aan te tonen. Ze suggereren dat toekomstige inspanningen zich moeten richten op het creëren van systemen die kunnen aanpassen aan veranderend gebruikersgedrag in de loop van de tijd en het vinden van betere manieren om onderscheid te maken tussen langzame, kwaadaardige activiteit en normale, rustige periodes van operatie. Totdat deze uitdagingen zijn opgelost, blijven dergelijke systemen nuttige instrumenten voor onderzoek en auditing, maar nog niet voor de kritieke taak van het beschermen van live cloudopslag.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.