<p class="section-text"><b>Цель исследования:</b> систематизация и сравнительный анализ современных методов обнаружения атак в контейнерных средах на основе системных вызовов с выявлением их сильных сторон, ограничений и областей применимости.</p><p class="section-text"><b>Методы исследования:</b> исследование основано на комплексном анализе существующих подходов к обнаружению атак в контейнерных средах, их систематизации и классификации по ключевым характеристикам: полноте используемой информации о системных вызовах, необходимости предварительного обучения и спектру обнаруживаемых угроз. Сравнительная оценка методов проведена на основе количественных метрик с использованием публичного набора данных LID-DS и результатов экспериментов на реальных микросервисных приложениях.</p><p class="section-text"><b>Результаты исследования:</b> выполнена систематизация современных подходов к обнаружению аномалий в контейнерных средах по критериям полноты анализируемых данных, спектра обнаруживаемых угроз и операционных требований. Количественное сравнение на наборе LID-DS показало, что нейросетевой метод на основе двухэтапного автоэнкодера с механизмом внимания превосходит графовый метод, так как оказался единственным, обнаружившим все рассмотренные сценарии, включая CVE-2014-0160 и CVE-2020-13942. Выявлено, что PROCATCH при F1-score 0,999 для исполнительных атак принципиально не обнаруживает неисполняемые атаки (SQL-инъекции, утечки данных через уязвимости протоколов, эксплуатацию уязвимостей веб-приложений), а CHIDS не способен выявить аномалии, проявляющиеся исключительно в параметрах системных вызовов. На основе полученных результатов сформулированы практические рекомендации по выбору метода обнаружения атак в зависимости от требований к безопасности системы.</p><p class="section-text"><b>Научная новизна:</b> заключается в систематизации и сравнительном анализе методов обнаружения вторжений в контейнерных средах по критериям полноты используемой информации, спектра обнаруживаемых угроз и операционных требований. Выявлении компромисса между простотой методов без обучения и полнотой обнаружения нейросетевых методов. Предложена классификация методов по типу анализируемых данных и уровню абстракции.</p>
<p class="section-text"><b>Purpose of the study:</b> to systematize and conduct a comparative analysis of modern attack detection methods in containerized environments based on system calls, identifying their strengths, limitations, and areas of applicability.</p><p class="section-text"><b>Methods of research:</b> the study is based on a comprehensive analysis of existing approaches to attack detection in containerized environments, including their systematization and classification according to key characteristics: completeness of system call information utilized, requirement for prior training, and the spectrum of detectable threats. A comparative evaluation was performed using quantitative metrics on the public LID-DS dataset, as well as experimental results obtained from real microservice-based applications.</p><p class="section-text"><b>Results:</b> a systematic classification of modern detection approaches in containerized environments was performed based on the completeness of analyzed data, the range of detectable threats, and operational requirements. Quantitative comparison on the LID-DS dataset demonstrated that the neural network-based two-stage autoencoder method with an attention mechanism outperforms the graph-based method, as it was the only approach that successfully detected all considered attack scenarios, including CVE-2014-0160 and CVE-2020-13942. It was found that PROCATCH, despite achieving an F1-score of 0.999 for executable attacks, fundamentally fails to detect non-executable attacks (such as SQL injections, data exfiltration via protocol vulnerabilities, and exploitation of web application vulnerabilities). CHIDS was shown to be incapable of detecting anomalies manifested exclusively in system call parameters. Based on the obtained results, practical recommendations were formulated for selecting an attack detection method depending on system security requirements.</p><p class="section-text"><b>Scientific novelty:</b> the novelty of this research lies in the systematization and comparative analysis of intrusion detection methods in containerized environments according to the completeness of utilized information, the spectrum of detectable threats, and operational requirements. A trade-off between the simplicity of training-free methods and the detection completeness of neural network–based approaches is identified. A classification of methods based on the type of analyzed data and the level of abstraction is proposed.</p>