Can Graph-Based Microservice Performance Detection Be Used for Microservice Intrusion Detection?

Resumo Técnico: A Detecção de Desempenho de Microsserviços Baseada em Grafos Pode Ser Utilizada para Detecção de Intrusão em Microsserviços?

Declaração do Problema
Arquiteturas de microsserviços geram fluxos ricos de telemetria (métricas, logs e rastreamentos distribuídos) que são tradicionalmente analisados separadamente para detecção de anomalias de desempenho e detecção de intrusão. O monitoramento de desempenho foca em latência e consumo de recursos, enquanto a detecção de intrusão visa comportamentos maliciosos. No entanto, em sistemas de microsserviços, esses domínios se sobrepõem: ataques frequentemente se manifestam como sintomas de desempenho (por exemplo, aumento de latência, taxas de solicitação incomuns ou caminhos de dependência de serviço alterados). Este artigo investiga se métodos baseados em grafos, originalmente projetados para detecção de anomalias de desempenho, podem servir efetivamente como base para detecção de intrusão em microsserviços. A questão central é se modelar dependências de serviço como grafos permite a classificação de solicitações normais versus intrusivas, e como diferentes modalidades de telemetria contribuem para essa detecção.

Metodologia
O estudo emprega um desenho experimental reproduzível utilizando um benchmark sintético de microsserviços de comércio eletrônico implantado via Docker Compose. O sistema consiste em seis serviços: frontend, auth, catalog, cart, order e payment.

• Coleta de Dados: Os autores conduziram 50 ensaios controlados em cinco tipos de ataque (inundação HTTP, força bruta em login, sondagem de injeção SQL, sondagem semelhante a SSRF e simulação de exfiltração) sob cargas de trabalho normais. Isso gerou 21.438 grafos de invocação em nível de solicitação rotulados.
• Representação em Grafo: Cada rastreamento de solicitação é convertido em um grafo $G_i = (V_i, E_i, X_i, y_i)$.
  • Nós ($V_i$): Representam os serviços envolvidos em uma solicitação.
  • Arestas ($E_i$): Representam as relações de chamada em tempo de execução observadas no rastreamento (simetrizadas para passagem de mensagens).
  • Recursos ($X_i$): Um vetor de 25 dimensões por nó, concatenando 16 dimensões TF-IDF de logs com carimbo de data/hora e 9 dimensões de métricas de desempenho por serviço.
  • Rótulos ($y_i$): Seis classes (normal mais cinco tipos de ataque).
• Modelos:
  • Baseado em Grafo: Uma Rede de Convolução em Grafo (GCN) supervisionada de duas camadas usando agrupamento médio para classificação em nível de grafo.
  • Baselines Não Baseadas em Grafo: Classificadores Random Forest e Perceptron Multicamadas (MLP) treinados em recursos de log e métrica achatados.
• Estratégia de Avaliação: O estudo compara uma "divisão aleatória em nível de grafo" (otimista, dentro da distribuição) contra uma "divisão em nível de ensaio" (mais rigorosa, garantindo que não haja vazamento de dados entre ensaios de treinamento e teste). Também inclui ablação de modalidade (testando entradas apenas de rastreamento, apenas de logs e apenas de métricas) e análise de tempo de execução.

Principais Resultados

1. Desempenho da Baseline (Divisão Aleatória): Sob uma divisão aleatória, a GCN de duas camadas alcançou 96,2% de precisão no teste e um F1 macro de 0,955. Isso estabelece um ponto de referência otimista dentro da distribuição.
2. Generalização (Divisão em Nível de Ensaio): Quando avaliada sob a divisão em nível de ensaio mais rigorosa (testando generalização entre diferentes execuções experimentais), o desempenho da GCN caiu significativamente para um F1 macro de 0,777.
3. Superioridade Não Baseada em Grafo: Surpreendentemente, sob a divisão em nível de ensaio, as baselines não baseadas em grafos (Random Forest e MLP) superaram a GCN, alcançando pontuações F1 macro de 0,980 e 0,974, respectivamente. Isso sugere que os recursos de log e métrica projetados são altamente discriminativos mesmo sem passagem de mensagens em grafo.
4. Ablação de Modalidade:
   • Estrutura de Rastreamento Sozinha: Insuficiente para detecção (F1 macro 0,405), indicando que a topologia do caminho de chamada sozinha não pode identificar todas as semânticas de ataque.
   • Logs e Métricas: Ambas as modalidades melhoraram significativamente a detecção em relação aos recursos apenas de rastreamento. As métricas foram particularmente eficazes para ataques visíveis no desempenho (por exemplo, inundação HTTP), enquanto os logs ajudaram a detectar sondas semânticas (por exemplo, injeção SQL).
   • Combinado: A combinação de logs e métricas rendeu a maior precisão (0,879), embora o treinamento curto de 5 épocas tenha limitado a capacidade da GCN de equilibrar o desempenho das classes em comparação com as métricas isoladamente.
5. Análise de Erros: A GCN teve mais dificuldade com ataques de "força bruta em login" (o recall caiu para 0,033 na execução exploratória), frequentemente classificando-os erroneamente como normais. Esses ataques preservaram caminhos de solicitação com aparência normal, exigindo recursos temporais ou de eventos de segurança mais fortes do que a GCN rasa utilizada.

Significado e Afirmativas
O artigo conclui que a detecção de desempenho de microsserviços baseada em grafos é uma base útil, mas não uma substituição completa para detecção de intrusão consciente de segurança.

• Utilidade: Representações de grafos em nível de solicitação conectam com sucesso caminhos de invocação com sintomas de desempenho e eventos de segurança, tornando-as um substrato promissor para detecção de intrusão, particularmente para ataques que perturbam o comportamento do serviço ou estruturas de dependência.
• Limitações: A GCN rasa atual ainda não supera baselines não baseadas em grafos fortes no conjunto de recursos projetados. O estudo enfatiza que métodos baseados em grafos devem ser avaliados contra baselines achatadas fortes e requerem recursos mais ricos (por exemplo, atributos de aresta, agregação temporal) e treinamento consciente de classes para reivindicar superioridade.
• Resposta Nuanceada: A abordagem é mais eficaz quando ataques criam pegadas de desempenho visíveis ou alteram padrões de log. Ataques que são semanticamente maliciosos, mas operacionalmente silenciosos, podem não produzir anomalias fortes detectáveis pelos métodos de grafos atuais sem contexto adicional.

Os autores posicionam este trabalho como um passo exploratório, fornecendo um benchmark reproduzível e demonstrando que, embora as estruturas de grafos preservem informações valiosas de dependência, o valor imediato para detecção de intrusão nesta configuração específica reside atualmente na qualidade dos recursos projetados (logs e métricas) e não na própria arquitetura de grafo.