A Novel System-Call Dataset for AI-Driven Host-Based Intrusion Detection in Containerized Cloud Environments

In de moderne digitale wereld draaien applicaties vaak binnen "containers", die lijken op lichtgewicht, draagbare dozen die alles bevatten wat een programma nodig heeft om te functioneren. Deze dozen zijn populair omdat ze het gemakkelijk maken om software van de ene computer naar de andere te verplaatsen. Echter, in tegenstelling tot een volledig geïsoleerde kamer, delen al deze containers hetzelfde onderliggende besturingssysteem van de hostcomputer. Dit gedeelde fundament creëert een kwetsbaarheid: als een container wordt gecompromitteerd, kan een aanvaller proberen uit hun doos te glippen en de controle over het hele hostsysteem over te nemen. Om dit te stoppen, gebruiken experts op het gebied van beveiliging host-gebaseerde intrusiedetectiesystemen. Deze systemen fungeren als waakzame observatoren die de fundamentele verzoeken in de gaten houden die programma's doen aan de kern van de computer. Deze verzoeken, bekend als systeemoproepen (system calls), zijn de basisinstructies die een programma gebruikt om dingen te doen zoals een bestand openen, verbinding maken met een netwerk of geheugen gebruiken. Door het patroon van deze verzoeken te analyseren, kan beveiligingssoftware opmerken wanneer een programma zich vreemd gedraagt, zoals wanneer het probeert acties uit te voeren waar het nooit voor bedoeld was.

De uitdaging was dat bestaande registers van deze systeemoproepen vaak te eenvoudig of verouderd waren om de geraffineerde trucs te vangen die worden gebruikt tegen moderne gecontaineriseerde omgevingen. Ze misten de gedetailleerde context die nodig is om niet alleen te begrijpen wat een programma deed, maar ook hoe het dat deed, wanneer het gebeurde en welke middelen het gebruikte. Om dit op te lossen, creëerden onderzoekers Ammar Moustafa, Ali Younes en Balsam Eid een nieuwe, zeer gedetailleerde dataset genaamd CHASE. Deze collectie bevat bijna 5.000 afzonderlijke records van computeractiviteit, waarbij zowel normale operaties als specifieke, schadelijke aanvallen worden vastgelegd. De dataset werd gebouwd in een gecontroleerde laboratoriumsetting die real-world cloudomgevingen nabootst, waardoor de data de complexiteit van moderne computing weerspiegelt. Het bevat sporen van 4.482 normale sessies en 498 schadelijke sessies, variërend van scenario's zoals container escapes tot aanvallen op kunstmatige intelligentie-bronnen.

Wat CHASE anders maakt, is de diepgang van de informatie die voor elk evenement wordt vastgelegd. In plaats van alleen een lijst met de commando's die een programma heeft uitgegeven, legt de dataset de tijd vast die elk commando in beslag nam, het specifieke proces en de thread die het uitliet, en de staat van de bronnen van de computer zoals geheugen- en netwerkgebruik op dat exacte moment. Het bevat ook metadata over de container zelf, wat een volledig beeld geeft van de omgeving waarin de activiteit plaatsvond. De schadelijke sporen zijn zorgvuldig geconstrueerd om twintig twee specifieke aanvalsscenario's te vertegenwoordigen op basis van bekende beveiligingsfouten en negen verschillende families van aanvallen, zoals command injection en resource hijacking. Cruciaal is dat de normale activiteit in de dataset niet slechts lege achtergrondruis was; het bevatte echte, complexe workloads met betrekking tot webservers, databases en taken voor kunstmatige intelligentie. Dit zorgt ervoor dat de geteste beveiligingssystemen onderscheid moeten maken tussen gevaarlijk gedrag en de rommelige, gevarieerde realiteit van legitiem computergebruik.

De onderzoekers testten deze nieuwe dataset door deze in verschillende soorten kunstmatige intelligentie-modellen te voeren die ontworpen zijn om anomalieën op te sporen. Ze gebruikten rigoureuze methoden om ervoor te zorgen dat de resultaten betrouwbaar waren, zoals het testen van de modellen op aanvalstypes die ze nog nooit eerder hadden gezien, en het controleren of de modellen nog steeds konden werken wanneer de data afkomstig was van een andere computermgeving. De resultaten toonden aan dat de dataset zeer effectief was. Een model genaamd Random Forest, dat gebruik maakt van een verzameling beslissingsbomen om voorspellingen te doen, behaalde een zeer hoge score in het onderscheiden van normale en schadelijke activiteit. Belangrijker nog, toen de onderzoekers het vermogen van het model om te generaliseren testten, presteerde het uitzonderlijk goed over de meeste ongeziene aanvalsfamilies. In een test waarbij het model werd getraind op alle aanvalstypes behalve één, bereikte het een bijna perfecte nauwkeurigheid voor verschillende families, zoals Network Interception en Command Injection, hoewel de prestaties varieerden voor anderen, waarbij de Web Injection-familie lager scoorde op 0,8204. Dit suggereert dat de dataset de onderliggende gedragspatronen van aanvallen zo goed vastlegt dat een beveiligingssysteem nieuwe dreigingen kan herkennen zonder ze eerder te hebben gezien, hoewel de detectie-effectiviteit kan afhangen van het specifieke aanvalstype.

De studie onderzocht ook welke delen van de data het belangrijkst waren voor detectie. Door verschillende groepen informatie te verwijderen, zoals de tijdsdetails of de structurele details van de commando's, ontdekten de onderzoekers dat de gedragsfeatures het meest cruciaal waren voor het identificeren van aanvallen. Hoewel de timing van gebeurtenissen hielp, waren de kernacties en de manier waarop het programma met het systeem interageerde de primaire indicatoren van gevaar. De dataset bewees ook zijn waarde door te helpen aantonen wat de beperkingen zijn van unsupervised learning (ongesuperviseerd leren), waarbij een systeem probeert slechte actoren te vinden zonder te worden verteld hoe ze eruitzien. In deze tests hadden de modellen aanzienlijke problemen, wat benadrukt dat voor dit specifieke type beveiligingsprobleem, het hebben van gelabelde voorbeelden van aanvallen essentieel is voor succes.

Uiteindelijk biedt de CHASE-dataset een robuust fundament voor het ontwikkelen en testen van de volgende generatie beveiligingstools voor gecontaineriseerde clouds. Het gaat verder dan eenvoudige lijsten met commando's om een rijk, contextueel beeld van computergedrag te bieden, waardoor onderzoekers systemen kunnen bouwen die beter uitgerust zijn om de complexe, evoluerende landschappen van cyberdreigingen aan te kunnen. Het werk laat zien dat het met de juiste soort data mogelijk is om detectiesystemen te creëren die niet alleen accuraat zijn, maar ook aanpasbaar aan nieuwe en ongeziene gevaren. Deze vooruitgang is een belangrijke stap naar het beveiligen van de infrastructuur die veel van het moderne internet aandrijft, om ervoor te zorgen dat het gedeelde karakter van containertechnologie geen zwakte wordt voor de systemen die erdoor worden aangedreven.