[論文レビュー] On Security Measures for Containerized Applications Imaged with Docker

Samuel P. Mullinix, Erikton Konomi+2 more|arXiv (Cornell University)|Aug 11, 2020

Advanced Malware Detection Techniques参考文献 7被引用数 5

ひとこと要約

この論文は、Dockerコンテナ化されたアプリケーションのセキュリティ対策について包括的なサーベイを提供しており、Dockerイメージ内の内在的脆弱性を分析し、その背後にあるLinuxテクノロジを検討し、セキュリティスキャンおよびアナリティクスのための現代的なツールと手法を評価している。主なメトリクスを特定し、CI/CDパイプラインおよび本番環境におけるコンテナセキュリティの向上に向けた知見を提供している。

ABSTRACT

Linux containers have risen in popularity in the last few years, making their way to commercial IT service offerings (such as PaaS), application deployments, and Continuous Delivery/Integration pipelines within various development teams. Along with the wide adoption of Docker, security vulnerabilities and concerns have also surfaced. In this survey, we examine the state of security for the most popular container system at the moment: Docker. We will also look into its origins stemming from the Linux technologies built into the OS itself; examine intrinsic vulnerabilities, such as the Docker Image implementation; and provide an analysis of current tools and modern methodologies used in the field to evaluate and enhance its security. For each section, we pinpoint metrics of interest, as they have been revealed by researchers and experts in the domain and summarize their findings to paint a holistic picture of the efforts behind those findings. Lastly, we look at tools utilized in the industry to streamline Docker security scanning and analytics which provide built-in aggregation of key metrics.

研究の動機と目的

• Docker、最も広く使用されているコンテナライゼーションプラットフォームのセキュリティの現状を分析すること。
• Dockerイメージ実装およびその背後にあるLinuxテクノロジに内在する脆弱性を調査すること。
• Dockerセキュリティスキャンおよびアナリティクスのための既存のツールおよび手法を評価すること。
• 研究および産業界で用いられるコンテナセキュリティポジションを評価するための主要なセキュリティメトリクスを特定し要約すること。
• コンテナ化アプリケーションデプロイメントにおけるセキュリティ実践および課題の包括的概要を提供すること。

提案手法

• Dockerセキュリティに関連する既存の研究および産業実務に関する体系的レビューの実施。
• DockerのアーキテクチャおよびcgroupsやnamespacesなどのLinuxカーネル機能への依存性の分析。
• Dockerイメージ作成および配布プロセスにおける脆弱性の検討。
• 既存のセキュリティスキャンツールのサーベイおよび分類、およびCI/CDパイプラインへの統合の調査。
• 学術的および産業界の文献で報告された主要なセキュリティメトリクスの集約と解釈。
• 発見事項を統合し、Dockerセキュリティの理解および向上のための整合的なフレームワークを構築すること。

実験結果

リサーチクエスチョン

• RQ1 Dockerコンテナイメージおよびその実装に内在する主なセキュリティ脆弱性は何か？
• RQ2 cgroups や namespaces などの基盤となるLinuxカーネルテクノロジが、Dockerのセキュリティモデルおよびその攻撃表面にどのように寄与しているか？
• RQ3 Docker化されたアプリケーションにおけるセキュリティリスクを検出および緩和するために現在どのようなツールおよび手法が使用されているか？
• RQ4 Dockerセキュリティ実践の有効性を評価するために使用される主なパフォーマンスおよびセキュリティメトリクスは何か？
• RQ5 どのようにすれば、コンテナワークロードのCI/CDパイプラインにセキュリティスキャンおよびアナリティクスを効果的に統合できるか？

主な発見

• cgroups や namespaces などのLinuxカーネル機能へのDockerの依存は、慎重に管理される必要がある攻撃表面のポイントを生じさせる。
• 不適切なレイヤー構成や特権昇格といった、Dockerイメージの取り扱いにおける内在的脆弱性は、重大なセキュリティリスクを引き起こす。
• Clair、Grype、Syft などのセキュリティスキャンツールは、コンテナイメージ内の脆弱性を検出するために広く使用されており、CI/CDパイプラインに統合されている。
• CVSSスコア、イメージの肥大化、攻撃表面積といった主要なセキュリティメトリクスは、コンテナイメージのセキュリティを評価する上で不可欠である。
• CI/CDパイプラインに自動セキュリティスキャンを統合することで、デプロイ前における脆弱性の検出および緩和が著しく向上する。
• 利用可能なツールがあるにもかかわらず、開発チーム間での一貫性および標準化されたセキュリティ実務が、本番環境において依然として課題である。