컨테이너 환경에서의 호스트 자원 고갈 공격 영향 분석 = Analysis of the Impact of Host Resource Exhaustion Attacksin a Container Environment

국문 초록 (Abstract)

컨테이너는 최근 주목받고 있는 서버 가상화 기술로, 기존 가상머신과 달리 더 가볍고 빠르게 독립 환경의 구축을 가능하게 한다. 이러한 장점으로 많은 기업들이 컨테이너를 활용하여 다양한 서비스들을 구축 및 배포하기 시작하였다. 하지만, 컨테이너가 도입 될수록 새로운 문제점 또한 노출하고 있는데, 특히 컨테이너 간 같은 커널을 공유하는 구조 때문에 발생하는 보안 취약점들이 지속적으로 발견되고 있다. 본 논문에서는 공격자가 컨테이너 환경의 구조적 취약점을 악용하여 할 수 있는 위협 중 호스트의 자원을 고갈시키는 공격, 이른바 호스트 자원 고갈 공격의 영향을 분석해보고자 한다. 특히, 가장 널리 사용되는 컨테이너 플랫폼인 도커를 이용해 구축한 컨테이너 환경에서 공격자가 CPU, 메모리, 디스크 공간, 프로세스 ID, 소켓 등의 주요 호스트 자원을 고갈 시켰을 때 발생하는 영향에 대해 분석하였다. 총 5가지 종류의 자원 고갈 공격 시나리오를 서로 다른 호스트 환경과 컨테이너 이미지에서 재현하였으며, 결과적으로 그 중 3가지의 공격이 효과적으로 다른 컨테이너를 서비스 불능을 만드는 것을 보였다.

참고문헌 (Reference)

1 K. McDonough, "TORPEDO : A Fuzzing Framework for Discovering Adversarial Container Workloads" 402-414, 2022

2 L. Lei, "SPEAKER : Split-phase execution of application containers" Springer 230-251, 2017

3 Docker Docs, "Runtime options with Memory, CPUs, and GPUs"

4 X. Gao, "Houdini's escape : Breaking the resource rein of linux control groups" 1073-1086, 2019

5 Docker Hub, "Docker hub"

6 N. Yang, "Demons in the shared kernel : Abstract resource attacks against os-level virtualization" 764-778, 2021

7 S. Ghavamnia, "Confine : Automated system call policy generation for container attack surface reduction" 443-458, 2020

8 Docker Docs, "Configure namespaced kernel parameters (sysctls) at runtime"

9 Aqua Sec, "CVE-2022-0185 in Linux Kernel Can Allow Container Escape in Kubernetes"

10 Gartner Research, "Best Practices for Running Containers and Kubernetes in Production"