[论文解读] Comparison between security majors in virtual machine and linux containers

Udit Gupta|arXiv (Cornell University)|Jul 28, 2015

Cloud Computing and Resource Management参考文献 8被引用 14

一句话总结

本文比較了虛擬機器（VMs）與 Linux 容器（LXC）的安全特性，著重於隔離性、攻擊面與權限提升風險。研究發現，雖然虛擬機器提供更強的隔離性與更強的安全保障，容器則在效能與資源效率方面表現更佳，但其攻擊面較大，且若配置錯誤，權限提升風險也更高。

ABSTRACT

Virtualization started to gain traction in the domain of information technology in the early 2000s when managing resource distribution was becoming an uphill task for developers. As a result, tools like VMWare, Hyper V (hypervisor) started making inroads into the software repository on different operating systems. VMWare and Hyper V could support multiple virtual machines running on them with each having their own isolated environment. Due to this isolation, the security aspects of virtual machines (VMs) did not differ much from that of physical machines (having a dedicated operating system on hardware). The advancement made in the domain of linux containers (LXC) has taken virtualization to an altogether different level where resource utilization by various applications has been further optimized. But the container security has assumed primary importance amongst the researchers today and this paper is inclined towards providing a brief overview about comparisons between security of container and VMs.

研究动机与目标

• 分析並比較虛擬機器（VMs）與 Linux 容器（LxC）在現代計算環境中的安全優勢與弱點。
• 評估虛擬機器與容器之間隔離機制的差異及其對系統安全的影響。
• 識別每種虛擬化模型的主要安全風險，特別是在多租戶或雲端部署環境中。
• 提供以安全為導向的整體概述，協助系統架構師與開發者選擇適當的虛擬化技術。

提出的方法

• 本研究對虛擬機器與容器架構進行比較分析，著重於其底層隔離機制。
• 評估如權限分離、核心層級存取與進程間通訊安全性等安全特性。
• 分析基於現有文獻與虛擬機器及容器技術中已知的漏洞。
• 檢視實際攻擊情境，特別是權限提升與容器逃逸攻擊。
• 使用威脅模型比較兩種環境中的攻擊面與潛在入侵途徑。

实验结果

研究问题

• RQ1 虛擬機器與 Linux 容器在隔離機制上，其安全保障有何差異？
• RQ2 容器環境中的主要攻擊向量與虛擬機器相比有何不同？
• RQ3 容器相較於虛擬機器，其攻擊面大了多少？
• RQ4 與虛擬機器相比，容器工作負載中權限提升的可能性有多大？
• RQ5 容器中共享核心架構對系統層級安全有何影響？

主要发现

• 虛擬機器因採用硬體層級虛擬化，提供更強的隔離性，顯著降低跨租戶攻擊的風險。
• 容器因共享主機核心，攻擊面較大，增加權限提升與容器逃逸攻擊的風險。
• 虛擬機器具備更強的深度防禦特性，因每個虛擬機器皆執行獨立的作業系統實例，擁有各自的內核與資源管理機制。
• 容器的安全性高度依賴正確的設定與存取控制，因錯誤配置可能導致主機完全被攻破。
• 雖然容器在資源使用效率方面更優異，但這種效率是以較弱的安全邊界為代價，相較於虛擬機器而言。
• 本研究結論認為，虛擬機器更適合高安全保證的作業工作負載，而容器則更適用於對效能敏感且已充分加固的環境。