[논문 리뷰] Towards Least Privilege Containers with Cimplifier

Vaibhav Rastogi, Drew Davidson외 3명|arXiv (Cornell University)|2016. 02. 26.

Cloud Computing and Resource Management참고 문헌 4인용 수 4

한 줄 요약

Cimplifier는 시스템 호출 로그를 분석하여 각 실행 파일이 필요한 자원을 식별하고, 원격 프로세스 실행을 통해 기능을 유지하면서 단일 컨테이너를 최소한의 권한 분리 컨테이너로 자동으로 분할하는 도구입니다. 소스 코드나 특정 런타임을 요구하지 않으며, 컨테이너 이미지 크기를 58–95%까지 줄이며, 30초 이내로 대규모 컨테이너를 처리하여 최소 권한 원칙을 강제합니다.

ABSTRACT

Application containers, such as Docker containers, have recently gained popularity as a solution for agile and seamless deployment of applications. These light-weight virtualization environments run applications that are packed together with their resources and configuration information, and thus can be deployed across various software platforms. However, these software ecosystems are not conducive to the true and tried security principles of privilege separation (PS) and principle of least privilege (PLP). We propose algorithms and a tool Cimplifier, which address these concerns in the context of containers. Specifically, given a container our tool partitions them into simpler containers, which are only provided enough resources to perform their functionality. As part our solution, we develop techniques for analyzing resource usage, for performing partitioning, and gluing the containers together to preserve functionality. Our evaluation on real-world containers demonstrates that Cimplifier can preserve the original functionality, leads to reduction in image size of 58-95%, and processes even large containers in under thirty seconds.

연구 동기 및 목표

• 현대 컨테이너 생태계(예: Docker)에서의 권한 분리 및 최소 권한 원칙 이행 부족 문제를 해결하기 위해.
• 기능을 유지하면서 불필요한 자원을 제거하여 컨테이너 이미지의 과도한 부피를 줄이기 위해.
• 단일 애플리케이션 내 구성 요소 간에 세밀한 권한 분리를 가능하게 하기 위해, 단일 컨테이너를 더 작고 전문화된 컨테이너로 분할하기 위해.
• 소스 코드나 런타임에 특화된 종속성을 요구하지 않는 경량적이고 자동화되며 이식 가능한 솔루션을 제공하기 위해.
• 보안 경계를 유지하면서도 컨테이너 간에 투명하게 실행이 가능한 상호 컨테이너 통신 메커니즘을 개발하기 위해.

제안 방법

• 컨테이너 내 개별 실행 파일과 연관된 자원 사용 패턴을 식별하기 위해 시스템 호출 로그를 동적으로 분석하는 방식.
• 사용자 정의 정책에 따라 실행 파일과 그가 필요한 자원을 고립된 컨테이너로 그룹화하는 분할 알고리즘.
• 한 컨테이너가 다른 컨테이너 내 프로그램을 호출할 수 있도록 하는 경량 메커니즘으로, 격리 또는 권한 경계를 해치지 않는 원격 프로세스 실행(RPE).
• 각 분할된 컨테이너에 필수적인 파일, 라이브러리, 설정만 포함하여 자원 최소화.
• 리눅스 능력과 컨테이너 수준의 격리 기법을 활용해 구성 요소 간의 권한 분리를 강제.
• 컨테이너, 시스템 호출 트레이스, 사용자 정책을 입력으로 받아, 최소 크기이면서도 안전하고 동일한 功能을 갖춘 컨테이너 집합을 출력하는 종단 간 프로토타입.

실험 결과

연구 질문

• RQ1 시스템 호출의 동적 분석이 컨테이너 내 각 실행 파일이 필요로 하는 최소 자원 집합을 효과적으로 식별할 수 있는가?
• RQ2 기능적 정합성을 유지하면서 단일 컨테이너를 자동으로 더 작은 권한 분리 컨테이너로 분할할 수 있는가?
• RQ3 보안 경계를 유지하면서도 컨테이너 간에 투명하게 실행이 가능한 경량 상호 컨테이너 통신 메커니즘은 무엇인가?
• RQ4 기능성이나 성능 오버헤드를 크게 훼손하지 않으면서 컨테이너 이미지 크기를 얼마나 줄일 수 있는가?
• RQ5 위키, 데이터베이스, 로그 분석 스택과 같은 실제 복잡한 애플리케이션에 대해 이 접근 방식은 얼마나 효과적인가?

주요 결과

• Cimplifier는 실제 애플리케이션 컨테이너를 원래 애플리케이션의 기능을 유지하면서 더 작고 최소한의 컨테이너로 성공적으로 분할합니다.
• 위키 및 로그 분석 스택과 같은 복잡한 애플리케이션 포함 다양한 워크로드에서 컨테이너 이미지 크기를 58%에서 95%까지 줄였습니다.
• 크고 복잡한 컨테이너도 30초 이내로 처리되어 낮은 런타임 오버헤드를 입증했습니다.
• 원격 프로세스 실행(RPE)은 커널 지원이나 상태 마이그레이션 없이도 보안적이고 투명한 컨테이너 간 통신을 가능하게 합니다.
• 소스 코드나 특수한 프로그래밍 구조 없이도 다양한 언어로 작성되고 다양한 런타임 스택을 사용하는 애플리케이션 전반에 걸쳐 효과적입니다.
• 부분적인 테스트 커버리지에 대해서도 견고하며, 향후 사용자 가이던스나 패턴 기반 자원 확장 기법을 통해 향상 가능합니다.