[논문 리뷰] Guarding Serverless Applications with SecLambda

Deepak Sirone Jegan, Liang Wang외 3명|arXiv (Cornell University)|2020. 11. 10.

Security and Verification in Computing참고 문헌 33인용 수 4

한 줄 요약

SecLambda는 로컬 함수 상태와 글로벌 애플리케이션 상태를 활용해 실시간 보안 제어를 구현하는 확장 가능한 보안 프레임워크이다. gVisor를 커스터마이징한 런타임 정책과 중앙 집중식 컨트롤러를 통해, 제어 흐름 공격, 자격 증명 泄露, DoS 위협에 대비한 세밀하고 애플리케이션 인식 보호를 실현하며, 최소한의 성능 오버헤드를 유발한다—평가 결과 기능 호출당 6ms 미만의 성능 오버헤드를 기록하였다.

ABSTRACT

As an emerging application paradigm, serverless computing attracts attention from more and more attackers. Unfortunately, security tools for conventional applications cannot be easily ported to serverless, and existing serverless security solutions are inadequate. In this paper, we present \emph{SecLambda}, an extensible security framework that leverages local function state and global application state to perform sophisticated security tasks to protect an application. We show how SecLambda can be used to achieve control flow integrity, credential protection, and rate limiting in serverless applications. We evaluate the performance overhead and security of SecLambda using realistic open-source applications, and our results suggest that SecLambda can mitigate several attacks while introducing relatively low performance overhead.

연구 동기 및 목표

• 서버리스 컴퓨팅 환경에서 실시간, 애플리케이션 인식 보안 메커니즘이 부족한 문제를 해결하기 위해.
• 제어 흐름 탈취, 자격 증명 泄露, DoS 공격과 같은 고도로 발전한 공격을 탐지하고 방지하기 위해.
• 제삼자 서비스 협조 없이도 분산된 서버리스 함수 간에 보안 정책을 안전하고 세밀하게 시행할 수 있도록 하기 위해.
• 생산 수준의 서버리스 워크로드에서 강력한 보안 보장을 유지하면서도 성능 오버헤드를 최소화하기 위해.
• 기본 액세스 제어를 초월한 다양한 보안 기능을 지원할 수 있는 확장 가능한 프레임워크를 제공하기 위해.

제안 방법

• HTTP 페이로드 및 URL과 같은 고수준 입력 기반으로 커스터마이징된 시스템 콜 인터셉션 및 정책 시행을 통해 gVisor 컨테이너 런타임을 확장한다.
• 보안 분석을 위한 기능 상태를 수신하고 보고하기 위해 수정된 런타임(runsec)을 사용하여 기능 상태를 캡처한다.
• 기능 상태를 집계하고 유효하지 않은 실행 경로를 탐지하기 위한 글로벌 가시성을 제공하기 위해 중앙 집중식 컨트롤러를 활용한다.
• 현재 기능 상태와 글로벌 애플리케이션 컨텍스트를 바탕으로 보안 기능을 실행하는 가드 모듈을 도입한다.
• 사용자 정의 정책 논리 기반으로 제어 흐름 무결성, 자격 증명 가림, 레이트 제한과 같은 플러그 가능한 보안 기능을 지원한다.
• 가벼운 동기식 상태 교환을 통해 가드와 컨트롤러 간의 통신을 구현하며, 호출당 오버헤드가 6ms 미만으로 최소화된다.

실험 결과

연구 질문

• RQ1 서버리스 애플리케이션은 잘못된 실행 순서를 악용하는 제어 흐름 공격으로부터 어떻게 보호할 수 있는가?
• RQ2 제삼자 서비스 수정 없이 서버리스 함수에서 자격 증명 노출을 방지할 수 있는가?
• RQ3 서버리스 환경에서 실시간, 애플리케이션 인식 보안 정책을 시행할 경우 성능 오버헤드는 얼마나 되는가?
• RQ4 외부 서비스 협조 없이도 글로벌 애플리케이션 동작을 어떻게 모델링하고 모니터링할 수 있는가?
• RQ5 확장 가능한 프레임워크는 서버리스 환경에서 동시에 여러 보안 기능을 효과적으로 지원할 수 있는가?

주요 결과

• SecLambda는 제삼자 서비스 변경 없이도 흐름 추적 기반으로 제어 흐름 삽입 공격을 효과적으로 탐지하고 완화하였다.
• 자격 증명 관리 기능은 민감한 데이터를 함수 코드에서 분리하여, 해킹 발생 시 노출를 방지하였다.
• 레이트 제한 기능이 효과적으로 구현되어 DoS 공격 및 서버리스 함수의 오남용을 방지하였다.
• 가드-컨트롤러 통신으로 인한 성능 오버헤드는 기능 호출당 6ms 미만이었으며, AWS Lambda 기준으로 호출당 약 0.000001667달러 이하에 해당하였다.
• 실제 응용 프로그램에서는 프레임워크가 거의 영향을 주지 않아 성능에 미치는 영향은 네트워크 또는 I/O 집약적인 워크로드에서만 측정 가능하였다.
• 세 개의 오픈소스 서버리스 애플리케이션에 대한 평가를 통해 SecLambda의 실용적 구현 시나리오에서의 효과성과 효율성을 확인하였다.