[논문 리뷰] On Security Measures for Containerized Applications Imaged with Docker

Samuel P. Mullinix, Erikton Konomi외 2명|arXiv (Cornell University)|2020. 08. 11.

Advanced Malware Detection Techniques참고 문헌 7인용 수 5

한 줄 요약

이 논문은 도커 컨테이너 기반 애플리케이션을 위한 보안 조치에 대한 종합적인 서베이를 제공하며, 도커 이미지의 내재된 취약성, 기반 리눅스 기술, 그리고 보안 스캐닝 및 분석을 위한 현대적 도구와 방법론을 분석한다. 주요 메트릭스를 규명하고 CI/CD 파이프라인 및 프로덕션 환경에서 컨테이너 보안을 향상시키는 데 통찰을 제공한다.

ABSTRACT

Linux containers have risen in popularity in the last few years, making their way to commercial IT service offerings (such as PaaS), application deployments, and Continuous Delivery/Integration pipelines within various development teams. Along with the wide adoption of Docker, security vulnerabilities and concerns have also surfaced. In this survey, we examine the state of security for the most popular container system at the moment: Docker. We will also look into its origins stemming from the Linux technologies built into the OS itself; examine intrinsic vulnerabilities, such as the Docker Image implementation; and provide an analysis of current tools and modern methodologies used in the field to evaluate and enhance its security. For each section, we pinpoint metrics of interest, as they have been revealed by researchers and experts in the domain and summarize their findings to paint a holistic picture of the efforts behind those findings. Lastly, we look at tools utilized in the industry to streamline Docker security scanning and analytics which provide built-in aggregation of key metrics.

연구 동기 및 목표

• 도커, 가장 널리 사용되는 컨테이너라이제이션 플랫폼의 현재 보안 상태를 분석하기 위해.
• 도커 이미지 구현 및 기반 리눅스 기술 내재된 취약성 조사하기 위해.
• 도커 보안 스캐닝 및 분석을 위한 기존 도구와 방법론 평가하기 위해.
• 연구 및 산업에서 컨테이너 보안 상태를 평가하는 데 사용되는 주요 보안 메트릭스 식별 및 요약하기 위해.
• 컨테이너 기반 애플리케이션 배포의 보안 관행과 과제에 대한 통합적 개요 제공하기 위해.

제안 방법

• 도커 보안과 관련된 기존 연구 및 산업 관행에 대한 체계적 리뷰 수행하기 위해.
• 도커 아키텍처 분석 및 cgroups와 네임스페이스와 같은 리눅스 커널 기능 의존성 분석하기 위해.
• 도커 이미지 생성 및 배포 프로세스의 취약성 분석하기 위해.
• 기존 보안 스캐닝 도구를 조사하고 CI/CD 파이프라인에의 통합 방식 분류하기 위해.
• 학술 및 산업 문헌에서 보고된 주요 보안 메트릭스 집계 및 해석하기 위해.
• 발견한 바를 종합하여 도커 보안 이해 및 향상에 기여하는 일관된 프레임워크 제시하기 위해.

실험 결과

연구 질문

• RQ1 도커 컨테이너 이미지 및 그 구현 내재된 주요 보안 취약점은 무엇인가요?
• RQ2 cgroups와 네임스페이스와 같은 기반 리눅스 커널 기술이 도커의 보안 모델과 공격 표면에 어떻게 기여하는가요?
• RQ3 도커 기반 애플리케이션의 보안 위험을 탐지하고 완화하는 데 현재 사용되는 도구와 방법론은 무엇인가요?
• RQ4 도커 보안 관행의 효과성을 평가하는 데 사용되는 주요 성능 및 보안 메트릭스는 무엇인가요?
• RQ5 컨테이너 워크로드를 위한 CI/CD 파이프라인에 보안 스캐닝 및 분석을 효과적으로 통합하는 방법은 무엇인가요?

주요 결과

• 도커가 cgroups와 네임스페이스와 같은 리눅스 커널 기능에 의존함으로써 관리가 철저히 이루어져야 할 공격 표면 포인트가 발생한다.
• 불량 레이어링 및 권한 상승과 같은 도커 이미지 처리 내재 취약성은 심각한 보안 위험을 초래한다.
• Clair, Grype, Syft와 같은 보안 스캐닝 도구는 컨테이너 이미지의 취약점을 탐지하기 위해 널리 사용되며 CI/CD 파이프라인에 통합되어 있다.
• CVSS 점수, 이미지 블로팅, 공격 표면 영역과 같은 주요 보안 메트릭스는 컨테이너 이미지 보안 평가에 핵심적이다.
• CI/CD 파이프라인에 자동화된 보안 스캐닝을 통합하면 배포 이전에 취약점을 탐지 및 완화하는 데 크게 기여한다.
• 가용한 도구가 있음에도 불구하고 개발 팀 간 일관되고 표준화된 보안 관행이 프로덕션 환경에서 여전히 도전 과제로 남아 있다.