[論文レビュー] BPFContain: Fixing the Soft Underbelly of Container Security

William Findlay, David Barrera+1 more|arXiv (Cornell University)|Feb 13, 2021

Security and Verification in Computing参考文献 19被引用数 9

ひとこと要約

BPFContain は、シンプルな YAML 政策言語を用いて細粒度で監査可能な封印ポリシーを強制する、eBPF に基づく新規のコンテナーセキュリティフレームワークです。カーネルの修正なしに Docker などの既存のコンテナランタイムと統合でき、実行時における LSM ハックのインストルメント化により強力な隔離を実現し、従来の seccomp-bpf や SELinux などのメカニズムよりも優れたセキュリティとシンプルさを実現しています。

ABSTRACT

Linux containers currently provide limited isolation guarantees. While containers separate namespaces and partition resources, the patchwork of mechanisms used to ensure separation cannot guarantee consistent security semantics. Even worse, attempts to ensure complete coverage results in a mishmash of policies that are difficult to understand or audit. Here we present BPFContain, a new container confinement mechanism designed to integrate with existing container management systems. BPFContain combines a simple yet flexible policy language with an eBPF-based implementation that allows for deployment on virtually any Linux system running a recent kernel. In this paper, we present BPFContain's policy language, describe its current implementation as integrated into docker, and present benchmarks comparing it with current container confinement technologies.

研究の動機と目的

• コンテナのセキュリティメカニズムが分散的かつ複雑であるため、Linux コンテナーにおける隔離保証が弱いという問題に対処すること。
• カーネルのセキュリティメカニズムとハイレベルなコンテナー封印ポリシーとの間の意味的ギャップを埋めること。
• 既存のコンテナランタイムと互換性があり、展開可能で攻撃表面が最小限のコンテナーセキュリティソリューションを提供すること。
• 書く、監査する、実行するのに簡単な細粒度でデフォルトドメインのセキュリティポリシーを提供すること。
• seccomp-bpf や SELinux、AppArmor といったレガシーメカニズムへの依存を減らし、統一的かつ eBPF ネイティブな強制レイヤーに置き換えること。

提案手法

• eBPF を活用して、実行時における LSM ハックおよび重要なカーネル関数を動的にインストルメント化し、セキュリティ強制を実現すること。
• YAML ベースのポリシー言語を用いて、デフォルトドメインおよびデフォルトアロウの意味論をサポートするコンテナーごとのアクセスルールを定義すること。
• カーネルパッチや外部モジュールを一切使用せず、実行時における eBPF プログラムのデプロイにより、ポータビリティと安全性を確保すること。
• 軽量な Rust で実装されたデーモンと制御インターフェースを介して、OCI準拠のコンテナランタイム（例：Docker）と統合すること。
• ポリシー規則を eBPF マップベースで保存し、ポリシー ファイルの分析に基づいて事前にサイズを割り当てることで、実行時の制限を回避すること。
• 新しい eBPF ヘルパー関数を用いた今後の拡張性を実現し、ネームスペースおよび cgroup 管理を透明にすること。

実験結果

リサーチクエスチョン

• RQ1 eBPF を用いて、ポリシー管理を単純化する統一的かつ実行時強制のコンテナーファンチオンメカニズムを構築できるか？
• RQ2 低レベルのカーネル API に依存せずに、コンテナー固有のセキュリティ意味論を表現できる高レベルで監査可能なポリシー言語をどのように設計できるか？
• RQ3 BPFContain は、seccomp-bpf や SELinux よりも強力な隔離を実現できるか、かつ軽量で展開可能であるか？
• RQ4 eBPF を用いて大規模なスケールでコンテナポリシーを強制する場合、パフォーマンスおよびスケーラビリティへの影響は何か？
• RQ5 BPFContain デーモンを完全に削除できる範囲はどの程度か、またその実現を可能にする eBPF 機能は何か？

主な発見

• BPFContain は、ソースコードを変更せずに Docker やその他の OCI 準拠ランタイムと正常に統合された。
• フレームワークは、LSM ハックにアタッチされた eBPF プログラムを通じてコンテナーごとのポリシーを強制することで、強力な隔離を実現し、レガシーメカニズムへの依存を排除した。
• ベンチマークの結果、BPFContain のパフォーマンスオーバーヘッドは最小限であり、制限なしのコンテナーと比較して測定可能ではあるが許容できる遅延増加が見られた。
• eBPF の使用により、安全でポータブルな実装が可能であり、カーネルパッチや外部モジュールの必要がなかった。
• ポリシー言語により、ハイレベルで人間が読みやすいルールと低レベルの LSM API の制御が両立可能で、多様な展開シナリオをカバーした。
• 将来的な eBPF ヘルパー関数の拡張により、デーモンの完全な削除が可能になり、攻撃表面をさらに縮小し、完全にカーネルが管理するコンテナライフサイクル操作を実現できるようになった。