[论文解读] Evaluation of vulnerability reproducibility in container-based Cyber Range

Ryotaro Nakata, Akira Otsuka|arXiv (Cornell University)|Oct 30, 2020

Radiation Effects in Electronics参考文献 8被引用 4

一句话总结

本文评估了基于容器的网络靶场在漏洞复现性方面的表现，表明容器可将资源消耗降低至传统虚拟机的十分之一以下，同时实现99.3%的漏洞复现相似度。研究证实，只要排除主机级和内核级漏洞，容器在实际网络靶场部署中具有可行性。

ABSTRACT

A cyber range, a practical and highly educational information security exercise system, is difficult to implement in educational institutions because of the high cost of implementing and maintaining it. Therefore, there is a need for a cyber range that can be adopted and maintained at a low cost. Recently, container type virtualization is gaining attention as it can create a high-speed and high-density exercise environment. However, existing researches have not clearly shown the advantages of container virtualization for building exercise environments. And it is not clear whether the sufficient vulnerabilities are reproducible, which is required to conduct incident scenarios in cyber range. In this paper, we compare container virtualization with existing virtualization type and confirm that the amount of memory, CPU, and storage consumption can be reduced to less than 1/10 of the conventional virtualization methods. We also compare and verify the reproducibility of the vulnerabilities used in common exercise scenarios and confirm that 99.3% of the vulnerabilities are reproducible. The container-based cyber range can be used as a new standard to replace existing methods.

研究动机与目标

• 解决传统网络靶场在信息安全教育中成本高昂且应用有限的问题。
• 探究基于容器的虚拟化是否能有效复现常见的网络攻击场景与漏洞。
• 对比容器与基于虚拟机的网络靶场环境在资源消耗与漏洞复现性方面的差异。
• 确立基于容器的网络靶场作为传统基于虚拟机系统的可行、低成本替代方案。

提出的方法

• 使用Docker容器和传统虚拟机构建网络靶场环境，进行直接对比。
• 使用漏洞评估工具（如ZAP）和漏洞利用模块，测试常见攻击场景的复现性。
• 测量并对比容器与虚拟机环境中的资源使用情况（内存、CPU、存储）。
• 计算Jaccard相似度（J）以定量评估容器与虚拟机在行为和漏洞复现保真度方面的匹配程度。
• 评估在资源耗尽攻击下的系统行为，识别安全性和稳定性差异。
• 为确保对应用层攻击场景的公平比较，从评估中排除主机级和内核级漏洞。

实验结果

研究问题

• RQ1 基于容器的虚拟化在多大程度上能够复现与传统基于虚拟机的网络靶场相同的漏洞行为？
• RQ2 基于容器的网络靶场在内存、CPU、存储等方面的资源消耗与基于虚拟机的系统相比如何？
• RQ3 在攻击条件下，容器与虚拟机在行为和操作上存在哪些差异，特别是系统稳定性方面？
• RQ4 由于架构限制，哪些类型的漏洞不适用于基于容器的网络靶场？
• RQ5 基于容器的网络靶场能否作为教育环境中现有基于虚拟机系统的可靠、低成本替代方案？

主要发现

• 基于容器的网络靶场在内存、CPU和存储资源消耗上均低于传统基于虚拟机系统的十分之一。
• 容器与虚拟机在漏洞复现方面的Jaccard相似度得分为0.993，表明行为保真度近乎一致。
• 复现性差异主要源于容器中服务启动和配置的差异，而非根本性的架构缺陷。
• 容器不适用于托管针对主机操作系统或共享内核资源的攻击，因为此类攻击可能使整个主机系统不稳定。
• 通过设置适当的资源限制（如内存和存储上限），基于容器的网络靶场可减轻对主机系统的影响并保持稳定。
• 本研究证实，只要在场景中排除主机级漏洞，基于容器的网络靶场在教育应用中具有高度可行性。