面向正态性迁移的基于日志的云攻击检测基准测试：CAShift
密码学与安全
2025-04-30 v4 软件工程
摘要
随着云原生计算的快速发展，保障云环境安全已成为重要任务。基于日志的异常检测（LAD）是不同系统中用于攻击检测和安全保障的最具代表性技术，已提出多种 LAD 方法和相关数据集。然而，尽管部分数据集专为云系统设计，却仅覆盖有限的云行为，缺乏整体系统视角的信息。另一个关键问题是正态性迁移，这意味着测试分布可能与训练分布不同，并显著影响 LAD 的性能。不幸的是，现有研究仅关注简单的时间迁移类型，而忽略了其他云特定的迁移类型。为填补这一空白，本文构建了一个名为 CAShift 的数据集，用于评估 LAD 在云环境中的表现，该数据集考虑了云系统中不同软件角色，支持三种真实世界的正态性迁移类型，并包含20种在各种云系统组件中的攻击情景。基于 CAShift，我们评估了现有 LAD 方法在正态性迁移情景下的有效性。此外，为探索迁移适应的可行性，我们进一步研究了三种持续学习方法以缓解分布迁移的影响。结果表明：1）所有 LAD 方法都会受到正态性迁移的影响，其中性能下降可达34%；2）现有的持续学习方法在缓解迁移缺陷方面具有前景，但配置方式对迁移适应影响巨大。基于我们的发现，我们为未来在设计更健壮的 LAD 模型和方法以适应 LAD 迁移提供了宝贵的建议。
引用
@article{arxiv.2504.09115,
title = {CAShift: Benchmarking Log-Based Cloud Attack Detection under Normality Shift},
author = {Jiongchi Yu and Xiaofei Xie and Qiang Hu and Bowen Zhang and Ziming Zhao and Yun Lin and Lei Ma and Ruitao Feng and Frank Liauw},
journal= {arXiv preprint arXiv:2504.09115},
year = {2025}
}
备注
Accepted by FSE 2025