A Novel System-Call Dataset for AI-Driven Host-Based Intrusion Detection in Containerized Cloud Environments

No mundo digital moderno, as aplicações frequentemente rodam dentro de "containers", que são como caixas leves e portáteis que contêm tudo o que um programa precisa para operar. Essas caixas são populares porque facilitam o movimento de software de um computador para outro. No entanto, ao contrário de um quarto totalmente isolado, todos esses containers compartilham o mesmo sistema operacional subjacente do computador hospedeiro. Essa base compartilhada cria uma vulnerabilidade: se um container for comprometido, um invasor pode conseguir escapar de sua caixa e assumir o controle de todo o sistema hospedeiro. Para impedir isso, especialistas em segurança utilizam sistemas de detecção de intrusão baseados no hospedeiro. Esses sistemas atuam como observadores vigilantes, monitorando as solicitações fundamentais que os programas fazem ao núcleo do computador. Essas solicitações, conhecidas como chamadas de sistema (system calls), são as instruções básicas que um programa usa para fazer coisas como abrir um arquivo, conectar-se a uma rede ou usar memória. Ao analisar o padrão dessas solicitações, o software de segurança pode detectar quando um programa está se comportando de maneira estranha, como quando tenta realizar ações para as quais nunca foi destinado a fazer.

O desafio tem sido que os registros existentes dessas chamadas de sistema eram frequentemente simples demais ou obsoletos para detectar os truques sofisticados usados contra ambientes conteinerizados modernos. Eles careciam do contexto detalhado necessário para entender não apenas o que um programa estava fazendo, mas como ele estava fazendo, quando acontecia e quais recursos estava utilizando. Para resolver isso, os pesquisadores Ammar Moustafa, Ali Younes e Balsam Eid criaram um novo conjunto de dados altamente detalhado chamado CHASE. Esta coleção contém quase 5.000 registros distintos de atividade de computador, capturando tanto operações normais quanto ataques prejudiciais específicos. O conjunto de dados foi construído em um ambiente de laboratório controlado que mimetiza ambientes de nuvem do mundo real, garantindo que os dados reflitam a complexidade da computação moderna. Ele inclui traços de 4.482 sessões normais e 498 sessões prejudiciais, cobrindo uma ampla gama de cenários, desde escapes de containers até ataques a recursos de inteligência artificial.

O que torna o CHASE diferente é a profundidade das informações que ele registra para cada evento. Em vez de apenas listar os comandos que um programa emitiu, o conjunto de dados captura o tempo que cada comando levou, o processo e a thread específicos que o emitiram, e o estado dos recursos do computador, como uso de memória e de rede, naquele exato momento. Também inclui metadados sobre o próprio container, fornecendo um quadro completo do ambiente no qual a atividade ocorreu. Os traços prejudiciais foram cuidadosamente construídos para representar vinte e duas cenas de ataque específicas baseadas em falhas de segurança conhecidas e nove famílias diferentes de ataques, como injeção de comando e sequestro de recursos. Crucialmente, a atividade normal no conjunto de dados não foi apenas ruído de fundo vazio; ela incluiu cargas de trabalho reais e complexas envolvendo servidores web, bancos de dados e tarefas de inteligência artificial. Isso garante que os sistemas de segurança testados tenham que distinguir entre comportamento perigoso e a realidade desordenada e variada do uso legítimo do computador.

Os pesquisadores testaram este novo conjunto de dados alimentando-o em vários tipos diferentes de modelos de inteligência artificial projetados para detectar anomalias. Eles utilizaram métodos rigorosos para garantir que os resultados fossem confiáveis, como testar os modelos em tipos de ataque que eles nunca tinham visto antes e verificar se os modelos ainda poderiam funcionar quando os dados viessem de um ambiente de computador diferente. Os resultados mostraram que o conjunto de dados era altamente eficaz. Um modelo chamado Random Forest, que utiliza uma coleção de árvores de decisão para fazer previsões, alcançou uma pontuação muito alta na distinção entre atividade normal e prejudicial. Mais importante ainda, quando os pesquisadores testaram a capacidade de generalização do modelo, ele teve um desempenho excepcional na maioria das famílias de ataques não vistos. Em um teste onde o modelo foi treinado em todos os tipos de ataque, exceto um, ele alcançou precisão quase perfeita para várias famílias, como Intercepção de Rede e Injeção de Comando, embora o desempenho tenha variado para outras, com a família de Injeção Web pontuando mais baixo, em 0,8204. Isso sugere que o conjunto de dados captura os padrões comportamentais subjacentes dos ataques tão bem que um sistema de segurança pode aprender a reconhecer novas ameaças sem tê-las visto antes, embora a eficácia da detecção possa depender do tipo específico de ataque.

O estudo também examinou quais partes dos dados eram mais importantes para a detecção. Ao remover diferentes grupos de informações, como detalhes de tempo ou detalhes estruturais dos comandos, os pesquisadores descobriram que as características comportamentais eram as mais críticas para identificar ataques. Embora o tempo dos eventos ajudasse, as ações principais e a forma como o programa interagia com o sistema eram os indicadores primários de perigo. O conjunto de dados também provou seu valor ao ajudar a mostrar as limitações do aprendizado não supervisionado, onde um sistema tenta encontrar agentes maldosos sem ser informado sobre como eles se parecem. Nesses testes, os modelos tiveram dificuldades significativas, destacando que, para este tipo específico de problema de segurança, ter exemplos rotulados de ataques é essencial para o sucesso.

Em última análise, o conjunto de dados CHASE fornece uma base robusta para o desenvolvimento e teste da próxima geração de ferramentas de segurança para nuvens conteinerizadas. Ele vai além de simples listas de comandos para oferecer uma visão rica e contextual do comportamento do computador, permitindo que pesquisadores construam sistemas que estejam melhor equipados para lidar com o cenário complexo e em constante evolução das ameaças cibernéticas. O trabalho demonstra que, com o tipo certo de dados, é possível criar sistemas de detecção que não sejam apenas precisos, mas também adaptáveis a novos e imprevistos perigos. Este avanço é um passo significativo para proteger a infraestrutura que alimenta grande parte da internet moderna, garantindo que a natureza compartilhada da tecnologia de containers não se torne uma fraqueza para os sistemas que dependem dela.