Can Graph-Based Microservice Performance Detection Be Used for Microservice Intrusion Detection?

技术摘要：基于图的微服务性能检测能否用于微服务入侵检测？

问题陈述
微服务架构生成丰富的遥测流（指标、日志和分布式追踪），传统上这些流被分别用于性能异常检测和入侵检测。性能监控侧重于延迟和资源消耗，而入侵检测则针对恶意行为。然而，在微服务系统中，这些领域存在重叠：攻击往往表现为性能症状（例如延迟增加、异常请求率或服务依赖路径改变）。本文研究了最初为性能异常检测设计的基于图的方法，能否有效地作为微服务入侵检测的基础。核心问题在于：将服务依赖建模为图，是否允许对正常请求与入侵请求进行分类，以及不同的遥测模态如何促成这种检测。

方法论
本研究采用可复现的实验设计，使用通过 Docker Compose 部署的合成电子商务微服务基准测试。该系统由六个服务组成：前端、认证、目录、购物车、订单和支付。

• 数据收集：作者在正常负载下，针对五种攻击类型（HTTP 洪水、暴力破解登录、SQL 注入探测、SSRF 类探测和渗出模拟）进行了 50 次受控试验。这生成了 21,438 个带标签的请求级调用图。
• 图表示：每个请求追踪被转换为图 $G_i = (V_i, E_i, X_i, y_i)$。
  • 节点 ($V_i$)：代表请求中涉及的服务。
  • 边 ($E_i$)：代表追踪中观察到的运行时调用关系（为消息传递进行了对称化处理）。
  • 特征 ($X_i$)：每个节点一个 25 维向量，由 16 个来自带时间戳日志的 TF-IDF 维度和 9 个来自各服务性能指标的维度拼接而成。
  • 标签 ($y_i$)：六个类别（正常加上五种攻击类型）。
• 模型：
  • 基于图的模型：一个监督式两层图卷积网络（GCN），使用平均池化进行图级分类。
  • 非图基线：在展平的日志和指标特征上训练的随机森林和多层感知机（MLP）分类器。
• 评估策略：本研究比较了“图级随机划分”（乐观的、分布内的）与“试验级划分”（更严格的，确保训练和测试试验之间无数据泄露）。此外，还包括模态消融（仅测试追踪、仅日志和仅指标输入）和运行时分析。

关键结果

1. 基线性能（随机划分）：在随机划分下，两层 GCN 达到了 96.2% 的测试准确率和 0.955 的宏观 F1 分数。这确立了一个乐观的分布内参考点。
2. 泛化能力（试验级划分）：当在更严格的试验级划分下评估（测试跨不同实验运行的泛化能力）时，GCN 的性能显著下降，宏观 F1 分数降至 0.777。
3. 非图模型的优越性：令人惊讶的是，在试验级划分下，非图基线（随机森林和 MLP）的表现优于 GCN，分别达到了 0.980 和 0.974 的宏观 F1 分数。这表明，即使没有图消息传递，工程化的日志和指标特征也具有高度的判别力。
4. 模态消融：
   • 仅追踪结构：不足以进行检测（宏观 F1 为 0.405），表明仅靠调用路径拓扑无法识别所有攻击语义。
   • 日志和指标：这两种模态均显著提升了基于纯追踪特征的检测效果。指标对于性能可见的攻击（如 HTTP 洪水）特别有效，而日志有助于检测语义探测（如 SQL 注入）。
   • 组合：日志和指标的组合产生了最高的准确率（0.879），尽管 5 个 epoch 的短训练限制了 GCN 平衡各类性能的能力，使其不如仅使用指标时有效。
5. 误差分析：GCN 在“暴力破解登录”攻击上表现最差（在探索性运行中召回率降至 0.033），经常将其误分类为正常。这些攻击保留了外观正常的请求路径，需要比浅层 GCN 所使用的更强的时间特征或安全事件特征。

意义与主张
本文结论认为，基于图的微服务性能检测是安全感知入侵检测的一个有用基础，但并非完全替代。

• 效用：请求级图表示成功地将调用路径与性能症状及安全事件联系起来，使其成为入侵检测的有前景的基底，特别是对于那些扰乱服务行为或依赖结构的攻击。
• 局限性：当前的浅层 GCN 在工程化特征集上尚未超越强大的非图基线。研究强调，图方法必须与强大的展平基线进行比较，并且需要更丰富的特征（例如边属性、时间聚合）和类别感知训练，才能宣称具有优越性。
• 细微的回答：当攻击产生可见的性能足迹或改变日志模式时，该方法最有效。那些语义上恶意但在操作上安静的攻击，如果没有额外上下文，可能不会产生当前图方法可检测到的强异常。

作者将这项工作定位为探索性步骤，提供了一个可复现的基准，并证明了虽然图结构保留了有价值的依赖信息，但在该特定设置下，入侵检测的即时价值目前在于工程化特征（日志和指标）的质量，而非图架构本身。