Machine Learning for Anomaly Detection in Kernel Traces

En raison de l’étendue actuelle des systèmes informatiques, il existe un réel besoin de détecter efficacement toute déviation de leur comportement attendu. En effet, les interactions complexes entre le matériel et les logiciels entraînent souvent des comportements nouveaux et inattendus, y compris des comportements courants tels que des mises à jour logicielles, de nouveaux utilisateurs et des requêtes rares, mais aussi des anomalies telles que de mauvaises configurations, des latences, des intrusions, et des bogues. Le traçage est une approche légère et efficace pour enregistrer le comportement des systèmes informatiques au moment de l’exécution en collectant des événements de bas niveau générés chaque fois qu’une instruction spécifique appelée point de trace est exécutée. En particulier, cette thèse étudie un sous-ensemble d’événements générés par le noyau Linux appelés appels système. Les appels système comprennent un nom et plusieurs arguments tels qu’un horodatage et un identifiant de processus, et correspondent à des requêtes d’applications s’exécutant dans l’espace utilisateur vers le noyau afin d’accéder à des ressources telles que la mémoire ou le réseau. Le principal avantage des appels système est qu’ils exposent le comportement de l’ensemble du système sans avoir à modifier le code source, car le noyau Linux a déjà été instrumenté avec des points de trace. De nos jours, de nombreux chercheurs considèrent les appels système comme la source d’informations la plus détaillée et la plus précise pour analyser les systèmes informatiques. La première contribution de cette thèse est une méthode pour extraire le comportement interne des requêtes Web et une chaîne de traitement pour détecter les problèmes de performances qui permet également d’identifier leur cause. Tout d’abord, des informations de bas niveau sont collectées en traçant les espaces utilisateur et noyau du serveur Web. Ensuite, le chemin critique de chaque requête est calculé à partir duquel des attributs de plus haut niveau appelés états d’exécution sont extraits. Les valeurs aberrantes sont détectées et regroupées sur la base de ces caractéristiques, et le comportement de chaque groupe de valeurs aberrantes est analysé séparément. Les expériences réalisées ont révélé que ce pipeline est capable de détecter les requêtes Web lentes et de fournir des informations sur leurs causes. Notamment, un véritable problème de conflit de cache PHP a été découvert en utilisant l’approche proposée.