[論文レビュー] Analysis of Docker Security

Thanh Nhan Bui, Behnam, Moris+2 more|arXiv (Cornell University)|Jan 13, 2015

Cloud Computing and Resource Management参考文献 12被引用数 136

ひとこと要約

この論文は、Dockerのセキュリティポジションを、名前空間、cgroups、およびコピーオンライトファイルシステムといった内部隔離メカニズム、およびSELinuxやAppArmorといったLinuxカーネルセキュリティ機能との統合を評価することで分析している。研究では、Dockerはデフォルトで強固なセキュリティを提供しているが、攻撃表面をさらに縮小するため、非特権コンテナとカーネルレベルのハードニングを推奨している。

ABSTRACT

Container-based virtualization has gained a significant importance in a deployment of software applications in cloud-based environments. The technology fully relies on operating system features and does not require a virtualization layer (hypervisor) that introduces a performance degradation. Container-based virtualization allows to co-locate multiple isolated containers on a single computation node as well as to decompose an application into multiple containers distributed among several hosts (e.g., in fog computing layer). Such a technology seems very promising in other domains as well, e.g., in industrial automation, automotive, and aviation industry where mixed criticality containerized applications from various vendors can be co-located on shared resources. However, such industrial domains often require real-time behavior (i.e, a capability to meet predefined deadlines). These capabilities are not fully supported by the container-based virtualization yet. In this work, we provide a systematic literature survey study that summarizes the effort of the research community on bringing real-time properties in container-based virtualization. We categorize existing work into main research areas and identify possible immature points of the technology.

研究の動機と目的

• Dockerをコンテナベースの仮想化プラットフォームとしてのセキュリティレベルを評価すること。
• DockerがSELinux や AppArmor などのLinuxカーネルセキュリティ機能をどのように活用してホストシステムのセキュリティを強化しているかを評価すること。
• 特にネットワーキングと特権昇格の分野における、Dockerのデフォルト設定における脆弱性を特定すること。
• 生産環境におけるDockerのセキュリティ向上に向けた実行可能な推奨事項を提示すること。

提案手法

• 名前空間、cgroups、およびコピーオンライトファイルシステムに焦点を当てた、Dockerのアーキテクチャとコンponent間の相互作用の静的解析。
• タイプエンforcementおよびMCS（マルチカテゴリセキュリティ）ラベルを用いたSELinux統合の評価による、コンテナ間およびホストエスケープ攻撃の防止。
• AppArmor統合の分析、特にデフォルトプロファイルの読み込みとプロセスの拘束モード。
• 仮想イーサーネットブリッジに基づくDockerのデフォルトネットワーキングモデルの評価、ARPスプーフィングおよびMACフラッディングに対する脆弱性。
• 特権コンテナモードのセキュリティ評価と、ホストの損傷に与える影響。
• コンテナとハイパーバイザーベースのVMとの間の攻撃表面の比較的評価、ハイブリッドデプロイメントモデルへの推奨事項を含む。

実験結果

リサーチクエスチョン

• RQ1 Dockerの内部隔離メカニズム（名前空間、cgroups、ファイルシステム）は、コンテナのセキュリティをどの程度効果的に実現しているか？
• RQ2 Dockerは、SELinux や AppArmor をどの程度活用してホストおよびコンテナのセキュリティを強化しているか？
• RQ3 特にネットワーキングと特権管理分野において、Dockerのデフォルト設定における深刻なセキュリティ上の弱みは何か？
• RQ4 Dockerコンテナの攻撃表面は、従来の仮想マシンと比べてどの程度か？
• RQ5 どの設定およびデプロイメントの実践が、Dockerのセキュリティポジションを顕著に改善できるか？

主な発見

• Dockerは、追加のハードニングがなくても、名前空間、cgroups、およびコピーオンライトファイルシステムといった隔離メカニズムにより、強固なデフォルトセキュリティを提供している。
• タイプエンforcementおよびMCSラベルを用いたSELinux統合により、強制アクセス制御を適用することで、コンテナ間およびホストエスケープ攻撃が効果的に防止されている。
• AppArmor統合により、管理者は事前定義されたプロファイルを用いてコンテナプロセスを拘束できる。Dockerは、指定されたプロファイルがない場合、自動的に制限的なデフォルトプロファイルを適用する。
• Dockerのデフォルトの仮想イーサーネットブリッジは、トラフィックフィルタリングが欠如しているため、ARPスプーフィングおよびMACフラッディング攻撃に対して脆弱であり、ネットワークレベルのセキュリティリスクを孕んでいる。
• 特権モードでコンテナを実行すると、ほぼ完全なホストアクセス権が与えられ、攻撃表面が著しく拡大するため、生産環境では避けるべきである。
• コンテナはカーネルへの直接アクセスを有するため、VMよりも攻撃表面が大きいが、VM内にコンテナをデプロイする、または厳密なセキュリティポリシーを適用した非特権コンテナを使用することで、これを緩和できる。