메모리 트랩기법을 활용한 컨테이너 취약점 침입 탐지 프레임워크

국문 초록 (Abstract)

최근 클라우드 플랫폼을 효율적으로 사용하기 위한 컨테이너 기술들이 주목을 받고 있다. 컨테이너 가상화 기술은 기존 하이퍼바이저와 비교하였을 때 이식성이 뛰어나고 집적도가 높다는 장점을 가지고 있다. 하지만 컨테이너 가상 화 기술은 하나의 커널을 공유하여 복수개의 인스턴스를 구동하는 운영체제 레벨의 가상화 기술을 사용하기 때문에 인스턴스 간 공유 자원 요소가 많아져 취약성 또한 증가하는 보안 문제를 가지고 있다. 컨테이너는 컴퓨팅 자원의 효율적 운용을 위해 호스트 운영체제의 라이브러리를 공유하는 특성으로 인해 공격자는 커널의 취약점을 이용하여 호스트 운영체제의 루트 권한 획득 공격이 가능하다. 본 논문에서는 컨테이너가 사용하는 특정 메모리 영역의 변화 를 감지하고, 감지 시에는 해당 컨테이너의 동작을 중지시키는 메모리 트랩 기법을 사용하여 컨테이너 내부에서 발 생되는 호스트 운영체제의 루트 권한 탈취 공격을 효율적으로 탐지 및 대응하기 위한 프레임워크를 제안한다.

다국어 초록 (Multilingual Abstract)

Recently container technologies have been receiving attention for efficient use of the cloud platform. Container virtualization technology has the advantage of a highly portable, high density when compared with the existing hypervisor. Container virtualization technology, however, uses a virtualization technology at the operating system level, which is shared by a single kernel to run multiple instances. For this reason, the feature of container is that the attacker can obtain the root privilege of the host operating system internal the container. Due to the characteristics of the container, the attacker can attack the root privilege of the host operating system in the container utilizing the vulnerability of the kernel. In this paper, we propose a framework for efficiently detecting and responding to root privilege attacks of a host operating system in a container. This framework uses a memory trap technique to detect changes in a specific memory area of a container and to suspend the operation of the container when it is detected.

목차 (Table of Contents)

• 요약
• Abstract
• 1. 서론
• 2. 컨테이너 보안 관련연구
• 2.1 컨테이너의 리소스 공유에 따른 보안 위협
• 2.2 LXC 보안 관련 연구
• 3. 컨테이너 메모리 트랩 프레임워크
• 3.1 공유 메모리 변조 탐지 기법
• 3.2 컨테이너 탈출 취약점 분석
• 3.3 유저레벨 메모리 트랩 프레임워크 설계
• 3.4 커널 레벨 메모리 트랩 프레임워크 설계
• 4. 컨테이너 탈출 탐지 성능 평가
• 4.1 실험환경
• 4.2 유저 레벨 컨테이너 탈출 감지 성능평가
• 4.3 커널 레벨 컨테이너 탈출 감지 성능평가
• 5. 결론
• 참고문헌

참고문헌 (Reference)

1 Habib, Irfan, "Virtualization with kvm" 166 (166): 2008

2 Chisnall, David, "The definitive guide to the xen hypervisor" Pearson Education 2008

3 Mell, Peter, "The NIST definition of cloud computing"

4 Mattetti, Massimiliano, "Securing the infrastructure and the workloads of linux containers" 2015

5 Hayden, Major, "Securing Linux Containers"

6 Hayden, Major, "Securing Linux Containers"

7 Sanchez, Carlos, "Scaling Docker with Kubernetes"

8 Seo, Kyoung-Taek, "Performance comparison analysis of linux container and virtual machine for building cloud" 66 : 105-111, 2014

9 Biederman, Eric W., "Multiple instances of the global linux namespaces" 1 : 2006

10 Helsley, Matt, "LXC: Linux container tools" 11 : 2009

11 Love, Robert, "Kernel korner: Intro to inotify" 139 (139): 2005

12 "GDB"

13 Celesti, Antonio, "Exploring container virtualization in IoT clouds" 2016

14 Merkel, Dirk, "Docker: lightweight linux containers for consistent development and deployment" 239 (239): 2014

15 "Dirty Cow"

16 Bass, Len, "DevOps: A Software Architect's Perspective" Addison-Wesley Professional 2015

17 Httermann, Michael, "DevOps for developers" Apress 2012

18 Bernstein, David, "Containers and cloud: From lxc to docker to kubernetes" 1 (1): 81-84, 2014

19 "Container Escape Code"

20 Menage, Paul, "Cgroups"

21 Armbrust, Michael, "A view of cloud computing" 53 : 450-458, 2010