[论文解读] Analysis of Docker Security

Thanh Nhan Bui, Behnam, Moris+2 more|arXiv (Cornell University)|Jan 13, 2015

Cloud Computing and Resource Management参考文献 12被引用 136

一句话总结

本文通过评估Docker的内部隔离机制（命名空间、cgroups和写时复制文件系统）及其与Linux内核安全功能（如SELinux和AppArmor）的集成，分析了Docker的安全状况。研究发现，Docker在默认情况下提供较强的安全部署，但建议使用非特权容器和内核级加固以进一步缩小攻击面。

ABSTRACT

Container-based virtualization has gained a significant importance in a deployment of software applications in cloud-based environments. The technology fully relies on operating system features and does not require a virtualization layer (hypervisor) that introduces a performance degradation. Container-based virtualization allows to co-locate multiple isolated containers on a single computation node as well as to decompose an application into multiple containers distributed among several hosts (e.g., in fog computing layer). Such a technology seems very promising in other domains as well, e.g., in industrial automation, automotive, and aviation industry where mixed criticality containerized applications from various vendors can be co-located on shared resources. However, such industrial domains often require real-time behavior (i.e, a capability to meet predefined deadlines). These capabilities are not fully supported by the container-based virtualization yet. In this work, we provide a systematic literature survey study that summarizes the effort of the research community on bringing real-time properties in container-based virtualization. We categorize existing work into main research areas and identify possible immature points of the technology.

研究动机与目标

• 评估Docker作为容器化虚拟化平台的安全水平。
• 评估Docker如何利用Linux内核安全功能（如SELinux和AppArmor）来加固主机系统。
• 识别Docker默认配置中的漏洞，特别是网络和权限提升方面的漏洞。
• 为生产环境中的Docker安全提供可操作的改进建议。

提出的方法

• 对Docker的架构及其组件交互进行静态分析，重点关注命名空间、cgroups和写时复制文件系统。
• 通过类型强制和MCS（多类别安全）标记评估Docker与SELinux的集成，以实现容器间的隔离。
• 分析AppArmor的集成，包括默认配置文件的加载和强制模式下对进程的限制。
• 评估Docker默认的网络模型（虚拟以太网桥）在ARP欺骗和MAC洪泛攻击下的暴露风险。
• 对特权容器模式的安全性进行评估，及其对主机被攻破的影响。
• 对比容器与基于虚拟机的虚拟机的攻击面，并提出混合部署模型的建议。

实验结果

研究问题

• RQ1 Docker的内部隔离机制（命名空间、cgroups、文件系统）在保护容器方面的有效性如何？
• RQ2 Docker在多大程度上利用SELinux和AppArmor来增强主机和容器的安全性？
• RQ3 Docker默认配置中的关键安全弱点是什么，特别是在网络和权限管理方面？
• RQ4 Docker容器的攻击面与传统虚拟机相比如何？
• RQ5 哪些配置和部署实践能显著改善Docker的安全状况？

主要发现

• 即使没有额外加固，Docker通过命名空间、cgroups和写时复制文件系统等隔离机制，也提供了强大的默认安全性。
• 通过类型强制和MCS标记实现的SELinux集成，能有效防止容器间和主机逃逸攻击，通过强制访问控制实现安全防护。
• AppArmor的集成使管理员能够使用预定义配置文件限制容器进程，若未指定配置文件，Docker会自动应用一个默认的限制性配置文件。
• Docker的默认虚拟以太网桥由于缺乏流量过滤，易受ARP欺骗和MAC洪泛攻击，存在网络层面的安全风险。
• 以特权模式运行容器会使容器几乎获得对主机的全部访问权限，显著扩大攻击面，应在生产环境中避免使用。
• 由于直接访问内核，容器的攻击面大于虚拟机，但可通过在虚拟机中部署容器或使用具有严格安全策略的非特权容器来缓解这一问题。