분산 사이드카 아키텍처 기반 클라우드-네이티브 시스템 콜 모니터링 = Cloud-Native System Call Monitoring with a Distributed Sidecar Architecture

국문 초록 (Abstract)

클라우드 네이티브 환경이 점점 대규모화되고 복잡해짐에 따라, 컨테이너화된 애플리케이션을 효율적이고 세밀하게 모니터링하는 능력이 중요해지고 있다. 이러한 가시성을 확보하기 위한 핵심 접근법으로 시스템 콜 모니터링이 주목받고 있으며, 많은 연구들이 개별 컨테이너 내에서 발생하는 시스템 콜을 관찰하는 데 집중해 왔다. 그러나 기존의 시스템 콜 수집, 분석, 그리고 위협 대응 설계 패턴들은 근본적인 한계를 지닌다. 중앙집중식 접근 방식은 병목현상과 단일 장애 지점을 초래하며, 분산 수집 방식은 중복 오버헤드와 공격 표면 확장을 유발해 확장성과 안정성을 모두 저해한다. 이러한 한계를 해결하기 위해, 본 논문에서는 분산형 사이드카 아키텍처 기반 디자인을 활용한 시스템 콜 이벤트 수집 프레임워크를 제안한다. 제안된 디자인은 다양한 아키텍처와 커널 버전 간의 일반화 문제를 해결하며, 커널 수준 디스패처와 컨테이너 전용 프로브를 도입함으로써 최소한의 권한으로 높은 효율을 달성한다. 본 논문에서는 제안된 시스템을 Perf, ftrace, Sysdig, Tracee, Tetragon 등 최신 도구들과 비교 평가하였으며, 중앙집중식 및 분산형 환경 모두에서 실험을 수행하였다. 그 결과, 수집 대상인 애플리케이션 컨테이너가 30개인 환경에서 Proposed Design은 Tracee와 Tetragon 대비 최소 약 5,100% 이상의 처리량 향상을 보였다. 또한, 지연 시간은 99.998% 이상 감소하였으며, 기존 시스템이 97–99% 수준의 드롭률을 보인 것과 달리 Proposed Design은 드롭률 0%를 유지하여 안정적이고 일관된 동작을 확인하였다. 이러한 결과는 제안된 디자인이 클라우드 네이티브 환경에서 실용적이고 확장 가능한 시스템 콜 모니터링 솔루션임을 입증한다.

다국어 초록 (Multilingual Abstract)

The growing complexity of cloud-native environments demand efficient, fine-grained monitoring of containerized applications. System call monitoring has emerged as a key approach for achieving this visibility, with extensive research focusing on monitoring system calls generated within individual containers. However, existing design patterns for system call collection, analysis, and threat response often suffer from fundamental limitations. Centralized approaches introduce bottlenecks and single points of failure, while distributed collection incurs redundant overhead and expands the attack surface, both constraining scalability and robustness. To address these limitations, this paper propose a system call event collection framework that leverages a distributed, sidecar-based design.
The proposed design addresses the generalization challenge across diverse architectures and kernel versions, while introducing kernel-level dispatchers and container-specific probes that minimize privilege requirements while maintaining efficiency. This paper evaluated the proposed design against state-of-the-art tools, including Perf, ftrace, Sysdig, Tracee, and Tetragon. As a result, in an environment with 30 application containers as monitoring targets, the proposed design achieved at least a 5,100% throughput improvement compared to Tracee and Tetragon. In addition, latency decreased by more than 99.998%, and unlike the existing systems, which exhibited 97–99% drop rates, the proposed design maintained a 0% drop rate. These results demonstrate the proposed design’s practicality and robustness as a scalable solution for system call monitoring in cloud-native environments.

목차 (Table of Contents)

• I. 서론 1
• II. 배경지식 및 연구 동기 4
• 1. 클라우드 네티이브 아키텍처 4
• 2. 시스템 콜 이벤트 수집 메커니즘 5
• 3. 시스템 콜 이벤트 수집, 분석 및 위협 대응을 위한 디자인 패턴 9
• 4. 기존 연구 11
• 5. 연구 동기 12
• III. 제안 디자인 16
• 1. 설계 목표 16
• 2. 전체 동작 흐름 17
• 3. 상세 동작 과정 18
• IV. 제안 디자인 평가 21
• 1. 실험 방법론 21
• 2. 수집 성능 평가 26
• 3. 중앙 집중식 패턴과의 비교 27
• 4. 분산형 패턴과의 비교 30
• 5. 커널-사용자 공간 수집 지연 분석 32
• 6. 기존 시스템과의 비교 34
• 7. 보안 분석 37
• V. 결론 38