[論文レビュー] Understanding the Quality of Container Security Vulnerability Detection Tools

Omar Javed, Salman Toor|arXiv (Cornell University)|Jan 11, 2021

Security and Verification in Computing参考文献 15被引用数 13

ひとこと要約

本研究では、DockerHubにホストされている59の一般的なJavaベースのDockerイメージを対象に、カバレッジと正確性の指標を用いてコンテナセキュリティ脆弱性検出ツールの品質を評価する。既存のツールは、特にアプリケーションレベルの依存関係において最大34％の脆弱性を漏れなく検出できず、OSパッケージの脆弱性を超えた包括的な検出を欠いていることが判明し、現在のスキャン手法における重要なギャップが浮き彫りになった。

ABSTRACT

Virtualization enables information and communications technology industry to better manage computing resources. In this regard, improvements in virtualization approaches together with the need for consistent runtime environment, lower overhead and smaller package size has led to the growing adoption of containers. This is a technology, which packages an application, its dependencies and Operating System (OS) to run as an isolated unit. However, the pressing concern with the use of containers is its susceptibility to security attacks. Consequently, a number of container scanning tools are available for detecting container security vulnerabilities. Therefore, in this study, we investigate the quality of existing container scanning tools by proposing two metrics that reflects coverage and accuracy. We analyze 59 popular public container images for Java applications hosted on DockerHub using different container scanning tools (such as Clair, Anchore, and Microscanner). Our findings show that existing container scanning approach does not detect application package vulnerabilities. Furthermore, existing tools do not have high accuracy, since 34% vulnerabilities are being missed by the best performing tool. Finally, we also demonstrate quality of Docker images for Java applications hosted on DockerHub by assessing complete vulnerability landscape i.e., number of vulnerabilities detected in images.

研究の動機と目的

• コンテナ化アプリケーションのOSおよび非OSコンponentsにおける脆弱性を検出するためのコンテナスキャンツールの有効性を評価すること。
• 単一のパッケージ脆弱性データベースに依存する現在の検出アプローチの欠陥を特定すること。
• DockerHub上にホストされているコミュニティ提供のJavaベースのコンテナアプリケーション用イメージの実際の脆弱性状況を評価すること。
• コンテナセキュリティツールにおける検出正確性とカバレッジを向上させるための実行可能な提言を提供すること。
• 将来のツール評価のための再現可能性とベンチマークとしての利用を目的として、OSおよび非OSレベルで詳細な脆弱性レポートを含む59の実世界のDockerイメージのデータセットを構築すること。

提案手法

• 本研究では、DockerHubにホストされている59の一般的なJavaベースのコンテナアプリケーション用Dockerイメージを分析する。
• Clair、Anchore、Microscannerの複数のコンテナスキャンツールを、デフォルト設定のまま適用する。
• 検出カバレッジは、OSおよび非OS（アプリケーションおよび依存関係）パッケージ内の既知の脆弱性のうち、検出された割合として測定される。
• 正確性は、検出ヒットレート（DHR）を用いて定量化され、各ツールが実際に検出できた脆弱性の割合を測定する。
• アプリケーションレベルのコンponentsに対して静的コード解析を実施し、脆弱性データベースと照合する。
• 再現可能性および将来のベンチマークのため、OSおよび非OSパッケージレベルでの脆弱性レポートのデータセットを構築する。

実験結果

リサーチクエスチョン

• RQ1 RQ1: 既存のコンテナ脆弱性スキャン手法は、非OS脆弱性を効果的に発見できるか？
• RQ2 RQ2: 既存のコンテナスキャンツールの脆弱性検出の正確性はいかほどか？
• RQ3 RQ3: DockerHub上にホストされているコミュニティ提供のJavaベースのコンテナアプリケーション用イメージにおける、OSおよび非OSパッケージの両方の脆弱性を含めた完全な脆弱性状況はどのようなものか？

主な発見

• 最も性能の高かったツールでも、既知の脆弱性の約34％を検出できず、全体の検出正確性が低いことが示された。
• 既存のスキャンツールは、アプリケーションパッケージおよびその依存関係の脆弱性を検出できず、非OSコンponentsの検出カバレッジが低いことが明らかになった。
• OSパッケージの脆弱性は、非OSパッケージの脆弱性よりも頻繁に検出されていたため、現在のツールにおける深刻な盲点が浮き彫りになった。
• パッケージ脆弱性データベースへの過度な依存が原因で、アプリケーションレベルの脆弱性の検出に大きなギャップが生じていることが同定された。
• OSおよび非OSレベルで詳細な脆弱性レポートを含む59の実世界のDockerイメージのデータセットが、将来の研究およびツール評価のために提供された。
• 本研究の結果は、静的コード解析と脆弱性データベース照合を組み合わせたハイブリッド検出アプローチの導入が、検出品質の向上に不可欠であることを強調している。