[논문 리뷰] Analysis of Docker Security

Thanh Nhan Bui, Behnam, Moris외 2명|arXiv (Cornell University)|2015. 01. 13.

Cloud Computing and Resource Management참고 문헌 12인용 수 136

한 줄 요약

이 논문은 도커의 보안 포지션을 분석하기 위해 내부 격리 메커니즘인 네임스페이스, cgroups, 복사 시 복사 파일 시스템 및 리눅스 커널 보안 기능(예: SELinux, AppArmor)과의 통합을 평가한다. 연구 결과 도커는 기본적으로 강력한 보안을 제공하지만, 공격 표면을 추가로 줄이기 위해 비권한 컨테이너와 커널 수준의 하드닝을 권장한다.

ABSTRACT

Container-based virtualization has gained a significant importance in a deployment of software applications in cloud-based environments. The technology fully relies on operating system features and does not require a virtualization layer (hypervisor) that introduces a performance degradation. Container-based virtualization allows to co-locate multiple isolated containers on a single computation node as well as to decompose an application into multiple containers distributed among several hosts (e.g., in fog computing layer). Such a technology seems very promising in other domains as well, e.g., in industrial automation, automotive, and aviation industry where mixed criticality containerized applications from various vendors can be co-located on shared resources. However, such industrial domains often require real-time behavior (i.e, a capability to meet predefined deadlines). These capabilities are not fully supported by the container-based virtualization yet. In this work, we provide a systematic literature survey study that summarizes the effort of the research community on bringing real-time properties in container-based virtualization. We categorize existing work into main research areas and identify possible immature points of the technology.

연구 동기 및 목표

• 도커를 컨테이너 기반 가상화 플랫폼으로서의 보안 수준을 평가하기 위해.
• SELinux 및 AppArmor와 같은 리눅스 커널 보안 기능을 도커가 어떻게 활용하여 호스트 시스템을 강화하는지 평가하기 위해.
• 특히 네트워킹 및 권한 상승과 관련된 도커 기본 설정에서의 취약점을 특정하기 위해.
• 생산 환경에서 도커 보안을 향상시키기 위한 실행 가능한 권장 사항을 제공하기 위해.

제안 방법

• 네임스페이스, cgroups, 복사 시 복사 파일 시스템에 중점을 두어 도커 아키텍처 및 구성 요소 간 상호작용의 정적 분석.
• 유형 강제 및 MCS(다중 카테고리 보안) 레이블링을 통한 SELinux 통합 평가로 컨테이너 간 격리 보장을 위한 강제 접근 제어 구현 여부 분석.
• AppArmor 통합 분석, 기본 프로파일 로딩 및 프로세스 봉인을 위한 강제 모드 포함.
• 가상 이더넷 브리지 기반 도커 기본 네트워킹 모델의 ARP 스푸핑 및 MAC 플러딩 공격에 대한 노출 평가.
• 권한이 부여된 컨테이너 모드의 보안 평가 및 호스트 손상에 대한 영향 분석.
• 컨테이너와 하이퍼바이저 기반 VM 간 공격 표면 비교 평가 및 하이브리드 배포 모델에 대한 권장 사항 제시.

실험 결과

연구 질문

• RQ1 도커의 내부 격리 메커니즘(네임스페이스, cgroups, 파일 시스템)이 컨테이너 보안에 얼마나 효과적인가?
• RQ2 도커가 SELinux 및 AppArmor를 얼마나 효과적으로 활용하여 호스트 및 컨테이너 보안을 강화하는가?
• RQ3 도커의 기본 설정에서 특히 네트워킹 및 권한 관리와 관련된 주요 보안 취약점은 무엇인가?
• RQ4 도커 컨테이너의 공격 표면은 기존 가상 머신과 비교해 어떻게 다를가?
• RQ5 어떤 설정 및 배포 관행이 도커의 보안 포지션을 상당히 향상시킬 수 있는가?

주요 결과

• 도커는 추가 하드닝 없이도 네임스페이스, cgroups, 복사 시 복사 파일 시스템 등의 격리 메커니즘 덕분에 강력한 기본 보안을 제공한다.
• 유형 강제 및 MCS 레이블링을 통한 SELinux 통합은 강제 접근 제어를 통해 컨테이너 간 및 호스트 탈출 공격을 효과적으로 방지한다.
• AppArmor 통합은 관리자가 사전 정의된 프로파일을 사용해 컨테이너 프로세스를 봉인할 수 있도록 하며, 지정된 프로파일이 없을 경우 도커가 자동으로 제한적인 기본 프로파일을 적용한다.
• 도커의 기본 가상 이더넷 브리지 모델은 트래픽 필터링 기능이 없어 ARP 스푸닝 및 MAC 플러딩 공격에 취약하여 네트워크 수준의 보안 위험을 초래한다.
• 권한이 부여된 모드로 컨테이너를 실행하면 거의 모든 호스트 접근 권한을 획득하게 되어 공격 표면이 크게 증가하므로 생산 환경에서는 피해야 한다.
• 컨테이너는 직접 커널에 액세스하므로 VM보다 공격 표면이 더 크지만, 컨테이너를 VM 내부에 배포하거나 엄격한 보안 정책을 적용한 비권한 컨테이너를 사용함으로써 이를 완화할 수 있다.