МОДЕЛЬ КІБЕРЗАГРОЗ КОНТЕЙНЕРІЗОВАНИХ ХМАРНИХ СЕРЕДОВИЩ

Дмитро Фісенко; Андрій Ільков

doi:10.28925/2663-4023.2026.35.1469

Автор(и)

Дмитро Фісенко Харківський національний університет радіоелектроніки https://orcid.org/0009-0008-4182-3317
Андрій Ільков Харківський національний університет Повітряних Сил ім. І. Кожедуба https://orcid.org/0000-0002-9709-2946

DOI:

https://doi.org/10.28925/2663-4023.2026.35.1469

Ключові слова:

кібербезпека, модель загроз, Kubernetes, контейнеризовані хмарні середовища, оркестрування контейнерів, служба допуску, виявлення аномалій, напівкероване навчання

Анотація

Контейнеризовані хмарні середовища, керовані оркестраторами класу Kubernetes, мають власну площину керування: API-сервер, службу допуску (admission), планувальник і контролери масштабування. Кожен із цих компонентів утворює окрему поверхню атаки, а відповідні атаки здебільшого не мають виразних ознак на рівні мережевих потоків. У статті розроблено формальну модель кіберзагроз оркестрованого хмарного середовища, яка визначає компоненти інфраструктури, класифікує шість векторів атак інфраструктурного рівня (витік з контейнера, підвищення привілеїв, зловживання API оркестратора, латеральний рух, виснаження ресурсів, атаки на ланцюг постачання образів) і відображає їх на спостережувані телеметричні ознаки. Кожен вектор описано початковими можливостями порушника, передумовами, цільовими компонентами, стадіями та множиною ознак. Сформовано ознаковий простір із 51 ознакою у шести групах, зокрема, з групою ознак автентифікації, що розрізняє підвищення привілеїв і зловживання API. На основі моделі поставлено задачу прогнозування інфраструктурних загроз як виявлення атакувальних епізодів до стадії впливу за заданої частоти хибних спрацювань. Запропоновано метод HMS-AE-AT, що розвиває метод SAE-AT і додає чотири нові складові: багатомасштабну оцінку аномальності для скритних атак, стійкий до отруєння буфера адаптивний поріг, дворівневий детектор з аналізом узгодженості тривог між просторами імен (він відрізняє планові кластерні зміни від атак і виявляє розподілені атаки) та ознаки автентифікації суб’єктів. Експеримент проведено на навмисно ускладненій, незамкненій телеметрії кластера з 12 просторів імен (5 прогонів; звичайні, скритні та розподілені атаки; дрейф навантаження й нова легітимна подія оновлення кластера). Метод має найвищу серед напівкерованих методів якість ранжування (ROC-AUC 0,881 проти 0,811 у прямого перенесення SAE-AT); дворівневий детектор удвічі знижує повний FPR на оновленні кластера (0,035 проти 0,018) майже без втрати повноти; стійкий поріг не дає повільній атаці підняти поріг (наївний поріг зростає у 43 раза, стійкий – у 1,12); введення ознак автентифікації зменшило перекриття сигнатур V2 і V3 з 0,43 до 0,29 і підвищило точність атрибуції. Без прикладів вектора в навчанні повнота керованого Random Forest різко падає, тоді як запропонований метод її зберігає. Зазначено компроміс: контекстна нормалізація покращує ранжування й знижує FPR, але послаблює чутливість до найскритніших атак; перевірку виконано на емульованих, а не на реальних даних.

Завантаження

Дані завантаження ще не доступні.

Посилання

Wong, A. Y., Chekole, E. G., Ochoa, M., & Zhou, J. (2023). On the security of containers: Threat modeling, attack analysis, and mitigation strategies. Computers & Security, 128, Article 103140. https://doi.org/10.1016/j.cose.2023.103140

Morić, Z., Dakić, V., & Čavala, T. (2025). Security hardening and compliance assessment of Kubernetes control plane and workloads. Journal of Cybersecurity and Privacy, 5(2), Article 30. https://doi.org/10.3390/jcp5020030

Rahman, A., Shamim, S. I., Bose, D. B., & Pandita, R. (2023). Security misconfigurations in open source Kubernetes manifests: An empirical study. ACM Transactions on Software Engineering and Methodology, 32(4), 1–36. https://doi.org/10.1145/3579639

Eom, H., Suk, B., & Hwang, S. (2026). An empirical study and benchmark of Kubernetes misconfiguration scanners. Proceedings of the ACM on Software Engineering, 3(ISSTA), 4720–4741. https://doi.org/10.1145/3832297

Ladisa, P., Plate, H., Martinez, M., & Barais, O. (2023). SoK: Taxonomy of attacks on open-source software supply chains. In 2023 IEEE Symposium on Security and Privacy (SP) (pp. 1509–1526). IEEE. https://doi.org/10.1109/SP46215.2023.10179304

Mills, A., White, J., & Legg, P. (2023). Longitudinal risk-based security assessment of Docker software container images. Computers & Security, 135, Article 103478. https://doi.org/10.1016/j.cose.2023.103478

Shi, H., Ying, L., Chen, L., Duan, H., Liu, M., & Xue, Z. (2025). Dr. Docker: A large-scale security measurement of Docker image ecosystem. In Proceedings of the ACM on Web Conference 2025 (pp. 2813–2823). ACM. https://doi.org/10.1145/3696410.3714653

He, Y., Guo, R., Xing, Y., Che, X., Sun, K., Liu, Z., Xu, K., & Li, Q. (2023). Cross container attacks: The bewildered eBPF on clouds. In 32nd USENIX Security Symposium (USENIX Security 23). USENIX Association. https://www.usenix.org/conference/usenixsecurity23/presentation/he

Abbas, M., Khan, S., Monum, A., Zaffar, F., Tahir, R., Eyers, D. M., Irshad, H., Gehani, A., Yegneswaran, V., & Pasquier, T. (2022). PACED: Provenance-based automated container escape detection. In 2022 IEEE International Conference on Cloud Engineering (IC2E) (pp. 261–272). IEEE. https://doi.org/10.1109/IC2E55432.2022.00035

Chen, K., Zhao, Y., Guo, J., Gu, Z., Han, L., & Tang, K. (2024). A container escape detection method based on a dependency graph. Electronics, 13(23), Article 4773. https://doi.org/10.3390/electronics13234773

El Khairi, A., Bassit, A., Peter, A., & Continella, A. (2026). ImmuCheck: Selective immutability for container escape detection in containerized microservices. In Proceedings of the ACM Asia Conference on Computer and Communications Security (ASIA CCS) (pp. 774–787). ACM. https://doi.org/10.1145/3779208.3807484

El Khairi, A., Caselli, M., Knierim, C., Peter, A., & Continella, A. (2022). Contextualizing system calls in containers for anomaly-based intrusion detection. In Proceedings of the 2022 Cloud Computing Security Workshop (CCSW ’22) (pp. 9–21). ACM. https://doi.org/10.1145/3560810.3564266

Zhou, N., Chen, H., Chen, Z., Li, C., & Li, F. (2026). An abnormal file access detection model for containers based on eBPF listening. Mathematics, 14(6), Article 991. https://doi.org/10.3390/math14060991

Cao, C., Blaise, A., Verwer, S., & Rebecchi, F. (2022). Learning state machines to monitor and detect anomalies on a Kubernetes cluster. In Proceedings of the 17th International Conference on Availability, Reliability and Security (ARES ’22). ACM. https://doi.org/10.1145/3538969.3543810

Kosińska, J., & Tobiasz, M. (2022). Detection of cluster anomalies with ML techniques. IEEE Access, 10, 110742–110753. https://doi.org/10.1109/ACCESS.2022.3216080

Aly, A., Hamad, A. M., Al-Qutt, M., & Fayez, M. (2025). Real-time multi-class threat detection and adaptive deception in Kubernetes environments. Scientific Reports, 15, Article 8924. https://doi.org/10.1038/s41598-025-91606-8

Zehra, S., Syed, H. J., & Faseeha, U. (2025). FedMon: Federated eBPF monitoring for distributed anomaly detection in multi-cluster cloud environments (arXiv:2510.10126). arXiv. https://doi.org/10.48550/arXiv.2510.10126

Verma, G., Pandey, D., Chawda, E., Karke, Y., & Bapat, J. (2025). Pod-level labelled resource utilization dataset for intrusion detection in Kubernetes [Data set]. IEEE DataPort. https://doi.org/10.21227/mg8w-cs31

Soldani, J., & Brogi, A. (2022). Anomaly detection and failure root cause analysis in (micro)service-based cloud applications: A survey. ACM Computing Surveys, 55(3), 1–39. https://doi.org/10.1145/3501297

Han, S., Hu, X., Huang, H., Jiang, M., & Zhao, Y. (2022). ADBench: Anomaly detection benchmark. In Advances in Neural Information Processing Systems 35 (NeurIPS 2022), Datasets and Benchmarks Track. https://proceedings.neurips.cc/paper_files/paper/2022/hash/cf93972b116ca5268827d575f2cc226b-Abstract-Datasets_and_Benchmarks.html

Bates, S., Candès, E., Lei, L., Romano, Y., & Sesia, M. (2023). Testing for outliers with conformal p-values. The Annals of Statistics, 51(1), 149–178. https://doi.org/10.1214/22-AOS2244

Фісенко, Д. М., Мазепа, А. Д., & Пантєлєєв, В. О. (2026). Методи виявлення кіберзагроз у хмарних середовищах на основі автоенкодерів. Радіоелектроніка та молодь у XXI столітті : матеріали 30-го Міжнар. молодіж. форуму, 22–24 квітня 2026 р. Харків. Т. 4. С. 79-80. https://openarchive.nure.ua/handle/document/35127

Ageyev, D., Radivilova, T., Mulesa, O., Bondarenko, O., & Mohammed, O. (2022). Traffic monitoring and abnormality detection methods for decentralized distributed networks. In R. Oliynykov, O. Kuznetsov, O. Lemeshko, & T. Radivilova (Eds.), Information security technologies in the decentralized distributed networks (pp. 241–265). Springer. https://doi.org/10.1007/978-3-030-95161-0_13