[論文レビュー] Threat Modeling and Security Analysis of Containers: A Survey

Ann Yi Wong, Eyasu Getahun Chekole+2 more|arXiv (Cornell University)|Nov 22, 2021

Network Security and Intrusion Detection参考文献 55被引用数 16

ひとこと要約

本論文は、STRIDEフレームワークを用いてコンテナエコシステム全体の包括的な脅威モデリングを実施し、イメージ作成からデプロイメントに至るまで、ライフサイクル全体にわたるセキュリティ脆弱性を同定した。既存の緩和戦略を調査し、その長所と短所を評価した上で、今後のコンテナセキュリティ分野における研究を導くための主要な研究ギャップを提示した。

ABSTRACT

Traditionally, applications that are used in large and small enterprises were deployed on "bare metal" servers installed with operating systems. Recently, the use of multiple virtual machines (VMs) on the same physical server was adopted due to cost reduction and flexibility. Nowadays, containers have become popular for application deployment due to smaller footprints than the VMs, their ability to start and stop more quickly, and their capability to pack the application binaries and their dependencies in standalone units for seamless portability. A typical container ecosystem includes a code repository (e.g., GitHub) where the container images are built from the codes and libraries and then pushed to the image registry (e.g., Docker Hub) for subsequent deployment as application containers. However, the pervasive use of containers also leads to a wide-range of security breaches, such as stealing credentials and sensitive data from image registry and code repository, carrying out DoS attacks, and gaining root access to the underlying host. In this paper, we first perform threat modeling on the containers ecosystem using the popular threat modeling framework, called STRIDE. Using STRIDE, we identify the vulnerabilities in each system component, and investigate potential security threats and their consequences. Then, we conduct a comprehensive survey on the existing countermeasures designed against the identified threats and vulnerabilities. In particular, we assess the strengths and weaknesses of the existing mitigation strategies designed against such threats. We believe that this work will help researchers and practitioners to gain a deeper understanding of the threat landscape in containers and the state-of-the-art countermeasures. We also discuss open research problems and future research directions in containers security, which may ignite further research to be done in this area.

研究の動機と目的

• コードリポジトリ、イメージレジストリ、ランタイム環境を含む、コンテナエコシステムの全攻撃表面を分析すること。
• STRIDE脅威モデリングフレームワークを用いて、コンテナにおけるセキュリティ脅威と脆弱性を同定・分類すること。
• コンテナ固有の脅威に対処するための既存の対策を体系的に調査・評価すること。
• 現在の緩和戦略の制限事項を明らかにし、コンテナセキュリティ分野における未解決の研究課題を特定すること。

提案手法

• コードリポジトリ、イメージレジストリ、ランタイム環境を含む、コンテナエコシステムのすべてのコンponentsにわたり、STRIDE脅威モデリングフレームワークを適用して脅威をマッピングした。
• 同定された脅威を、たとえばスプーフィング、改ざん、特権の昇格などの特定の脅威カテゴリと関連する脆弱性にマッピングした。
• 既存の緩和技術に関する体系的な文献レビューを実施し、脅威タイプごとに分類し、その有効性を評価した。
• cgroups、ネームスペース、特権分離、機械学習を用いたランタイム監視などの緩和戦略の長所と短所を評価した。
• 現在のアプローチの制限事項を同定した。具体的には、IDS/IPSにおける誤検出、機械学習ベースの異常検出の不正確さ、および誤設定の問題を含む。
• 安全な設定手法に関する推奨事項を提示し、今後さらに研究を進める必要がある分野を強調した。

実験結果

リサーチクエスチョン

• RQ1 コード開発から本番環境デプロイメントに至るまで、コンテナライフサイクル全体における主なセキュリティ脅威と脆弱性は何か？
• RQ2 既存の緩和戦略は、コンテナ環境における同定された脅威に対し、どの程度効果的か？
• RQ3 cgroups、ネームスペース、能力（capabilities）などの現在のコンテナセキュリティメカニズムの主な制限事項や欠陥は何か？
• RQ4 Docker Hub、GitHub、Kubernetes などのコンテナエコシステムのどのコンponentsが特に侵害されやすく、その理由は何か？
• RQ5 コンテナセキュリティの向上に向けた、未解決の研究課題と今後の研究方向性は何か？

主な発見

• 400万個のDocker Hubイメージの51％が、利用可能な脆弱性を含んでおり、そのうち0.16％（6,432個）が主に暗号通貨マイナーであるマルウェアをホスティングしていた。
• 攻撃者は、誤設定されたDocker APIエンドポイントとデフォルトのネットワーク設定を悪用して、不正アクセスを取得し、暗号通貨マイニングマルウェアを展開した。
• NSAやその他の機関は、Kubernetesクラスタを標的とした大規模な攻撃を報告しており、2018年のテスラコンテナ侵害事例を含む。
• cgroups やネームスペースといった既存の緩和戦略は、誤設定された場合、コンテナエスケープや特権の昇格に対して脆弱である。
• システムコールの機械学習ベースの異常検出は有望であるが、正確性が低く、多様なユースケースでの検証が不足している。
• 多くの緩和戦略は古くなり、あるいは不十分であり、コンテナエコシステムの複雑で多次元的な攻撃表面を完全にカバーする単一のソリューションは存在しない。