[논문 리뷰] BPFContain: Fixing the Soft Underbelly of Container Security

William Findlay, David Barrera외 1명|arXiv (Cornell University)|2021. 02. 13.

Security and Verification in Computing참고 문헌 19인용 수 9

한 줄 요약

BPFContain는 eBPF 기반의 새로운 컨테이너 보안 프레임워크로, 간단한 YAML 정책 언어를 사용하여 세밀하고 감사 가능한 봉인 정책을 강제한다. 커널 수정 없이 기존 컨테이너 런타임(예: Docker)과 통합되며, 런타임에 LKM 훅을 인스트루멘터링하여 강력한 격리 성능을 제공하고, 기존의 seccomp-bpf나 SELinux와 같은 기법보다 더 나은 보안성과 단순성을 달성한다.

ABSTRACT

Linux containers currently provide limited isolation guarantees. While containers separate namespaces and partition resources, the patchwork of mechanisms used to ensure separation cannot guarantee consistent security semantics. Even worse, attempts to ensure complete coverage results in a mishmash of policies that are difficult to understand or audit. Here we present BPFContain, a new container confinement mechanism designed to integrate with existing container management systems. BPFContain combines a simple yet flexible policy language with an eBPF-based implementation that allows for deployment on virtually any Linux system running a recent kernel. In this paper, we present BPFContain's policy language, describe its current implementation as integrated into docker, and present benchmarks comparing it with current container confinement technologies.

연구 동기 및 목표

• 분산되고 복잡한 보안 메커니즘으로 인해 Linux 컨테이너의 격리 보장을 약화시키는 문제를 해결하기 위해.
• 커널 보안 메커니즘과 고수준의 컨테이너 봉인 정책 간의 의미적 격차를 해소하기 위해.
• 기존 컨테이너 런타임과 호환되는, 구현이 용이하고 공격 표면이 최소화된 컨테이너 보안 솔루션을 제공하기 위해.
• 작성하기 쉽고 감사 가능하며 강제 가능한 세밀한, 기본적으로 금지하는 보안 정책을 제공하기 위해.
• seccomp-bpf, SELinux, AppArmor와 같은 레거시 메커니즘에 대한 의존도를 줄이기 위해 통합된 eBPF 네이티브 강제 계층으로 대체하기 위해.

제안 방법

• 런타임 보안 강제를 위해 eBPF를 활용하여 LSM 훅과 핵심 커널 함수를 동적으로 인스트루멘터링한다.
• 기본적으로 금지하거나 허용하는 의미 체계를 지원하는 YAML 기반 정책 언어를 사용하여 컨테이너별 액세스 규칙을 정의한다.
• 커널 패치나 외부 트리 모듈 없이 런타임에 eBPF 프로그램을 배포하여 이식성과 안정성을 확보한다.
• 가벼운 러스트 기반 데몬과 제어 인터페이스를 통해 OCI 준수 컨테이너 런타임(예: Docker)과 통합한다.
• 정책 규칙을 저장하기 위해 eBPF 맵 기반 스토리지 사용하며, 정책 파일 분석을 통해 크기를 사전 할당하여 런타임 제한을 방지한다.
• 새로운 eBPF 헬퍼 함수를 통해 향후 확장성을 확보하여 네임스페이스 및 cgroup 관리의 투명한 처리를 가능하게 한다.

실험 결과

연구 질문

• RQ1 eBPF를 사용하여 정책 관리의 단순화를 위해 통합된 런타임 강제 컨테이너 봉인 메커니즘을 구축할 수 있는가?
• RQ2 저수준 커널 API 의존 없이 컨테이너 전용 보안 의미 체계를 표현할 수 있는 고수준이고 감사 가능한 정책 언어를 어떻게 설계할 수 있는가?
• RQ3 BPFContain은 seccomp-bpf나 SELinux와 같은 기존 메커니즘보다 더 강력한 격리를 제공할 수 있는가, 동시에 경량화되고 구현 가능한가?
• RQ4 대규모 환경에서 eBPF를 통해 컨테이너 정책을 강제할 경우 성능 및 확장성에 어떤 영향을 미치는가?
• RQ5 BPFContain 데몬을 완전히 제거할 수 있는 정도는 어느 정도이며, 어떤 eBPF 기능이 이를 가능하게 하는가?

주요 결과

• BPFContain은 소스 코드 수정 없이 Docker 및 기타 OCI 준수 런타임과 성공적으로 통합되었다.
• 프레임워크는 LSM 훅에 연결된 eBPF 프로그램을 통해 컨테이너별 정책을 강제함으로써 강력한 격리를 달성했으며, 레거시 보안 메커니즘에 대한 의존도를 제거했다.
• 벤치마크 결과에 따르면 BPFContain의 성능 오버헤드는 매우 미미했으며, 비봉인 컨테이너와 비교해 측정 가능한 수준의 지연 증가가 있었지만 수용 가능한 수준이었다.
• eBPF의 사용으로 안정성과 이식성이 보장되었으며, 커널 패치나 외부 트리 모듈이 필요로 하지 않았다.
• 정책 언어는 고수준의 인간이 읽기 쉬운 규칙과 저수준의 LSM API 제어를 모두 지원하여 다양한 배포 환경에 대응할 수 있었다.
• 향후 eBPF 헬퍼 함수를 활용한 확장은 데몬이 완전히 제거될 수 있도록 하여 공격 표면을 줄이고, 컨테이너 라이프사이클 운영을 완전히 커널이 관리할 수 있도록 할 수 있었다.