[論文レビュー] Comparison between security majors in virtual machine and linux containers

Udit Gupta|arXiv (Cornell University)|Jul 28, 2015

Cloud Computing and Resource Management参考文献 8被引用数 14

ひとこと要約

この論文は、仮想マシン（VM）とLinuxコンテナ（LXC）のセキュリティ特性を、隔離性、攻撃表面積、特権昇格リスクの観点から比較している。VMはより強固な隔離性とより強いセキュリティ保証を提供するが、コンテナはパフォーマンスとリソース効率に優れるが、誤設定された場合、攻撃表面積が大きく、特権昇格のリスクも高くなることが判明した。

ABSTRACT

Virtualization started to gain traction in the domain of information technology in the early 2000s when managing resource distribution was becoming an uphill task for developers. As a result, tools like VMWare, Hyper V (hypervisor) started making inroads into the software repository on different operating systems. VMWare and Hyper V could support multiple virtual machines running on them with each having their own isolated environment. Due to this isolation, the security aspects of virtual machines (VMs) did not differ much from that of physical machines (having a dedicated operating system on hardware). The advancement made in the domain of linux containers (LXC) has taken virtualization to an altogether different level where resource utilization by various applications has been further optimized. But the container security has assumed primary importance amongst the researchers today and this paper is inclined towards providing a brief overview about comparisons between security of container and VMs.

研究の動機と目的

• 現代のコンピューティング環境における仮想マシン（VM）とLinuxコンテナ（LxC）のセキュリティ的強みと弱みを分析・比較すること。
• VMとコンテナの間で異なる隔離メカニズムとそのシステムセキュリティへの影響を評価すること。
• 特にマルチテナントまたはクラウド環境における、各仮想化モデルに関連する主なセキュリティリスクを特定すること。
• システムアーキテクトや開発者が適切な仮想化技術を選定するための、セキュリティに焦点を当てた概要を提供すること。

提案手法

• 本研究は、仮想マシンとコンテナアーキテクチャの比較分析を実施し、その基盤となる隔離メカニズムに注目している。
• 特権分離、カーネルレベルへのアクセス、プロセス間通信のセキュリティといったセキュリティ特性を評価している。
• 両方の仮想化技術に関する既存の文献および既知の脆弱性を基に分析を行っている。
• 特に特権昇格およびコンテナ脱出攻撃を含む実世界の攻撃シナリオを検討している。
• 脅威モデリングを用いて、両環境における攻撃表面積と潜在的な侵害経路を比較している。

実験結果

リサーチクエスチョン

• RQ1 仮想マシンとLinuxコンテナにおける隔離メカニズムは、セキュリティ保証の観点からどのように異なるか？
• RQ2 コンテナ環境における主な攻撃ベクトルは、仮想マシンと比べてどのような点か？
• RQ3 コンテナは仮想マシンに比べてどれほど大きな攻撃表面積を露呈するか？
• RQ4 コンテナワークロードにおける特権昇格の可能性は、仮想マシンと比べてどの程度高いか？
• RQ5 コンテナにおける共有カーネルアーキテクチャが、システムレベルのセキュリティに与える影響は何か？

主な発見

• VMはハードウェアレベルの仮想化により、より強固な隔離性を提供するため、相互のテナント間での侵害リスクが著しく低減される。
• コンテナはホストカーネルを共有するため、攻撃表面積が大きくなり、特権昇格やコンテナ脱出攻撃のリスクが高まる。
• VMは、各VMが個別のOSインスタンスとカーネル、リソース管理を備えるため、より強固なディフェンスインデプス（防御の多重性）を提供する。
• コンテナのセキュリティは、適切な設定とアクセス制御に大きく依存しており、設定ミスによりホスト全体が侵害される可能性がある。
• コンテナはリソース利用効率に優れるが、その分VMに比べてセキュリティ境界が弱くなるという代償がある。
• 本研究の結論として、VMは高信頼性を求めるセキュリティワークロードに適しており、コンテナはパフォーマンスに敏感で、しっかりと硬化された環境に適している。