[论文解读] Memory DoS Attacks in Multi-tenant Clouds: Severity and Mitigation

Tianwei Zhang, Yinqian Zhang+1 more|arXiv (Cornell University)|Mar 10, 2016

Security and Verification in Computing参考文献 65被引用 13

一句话总结

本文提出了一种新颖的防御机制，用于抵御多租户云环境中针对内存的拒绝服务（DoS）攻击，其中恶意虚拟机通过利用共享硬件内存资源，导致同驻的受害虚拟机性能下降。该防御机制通过运行时硬件性能计数器的统计分析与占空比调制技术，检测并缓解攻击，性能开销低于5%，有效保护了Hadoop和电子商务应用等真实工作负载，防止其响应时间恶化至38倍。

ABSTRACT

In cloud computing, network Denial of Service (DoS) attacks are well studied and defenses have been implemented, but severe DoS attacks on a victim's working memory by a single hostile VM are not well understood. Memory DoS attacks are Denial of Service (or Degradation of Service) attacks caused by contention for hardware memory resources on a cloud server. Despite the strong memory isolation techniques for virtual machines (VMs) enforced by the software virtualization layer in cloud servers, the underlying hardware memory layers are still shared by the VMs and can be exploited by a clever attacker in a hostile VM co-located on the same server as the victim VM, denying the victim the working memory he needs. We first show quantitatively the severity of contention on different memory resources. We then show that a malicious cloud customer can mount low-cost attacks to cause severe performance degradation for a Hadoop distributed application, and 38X delay in response time for an E-commerce website in the Amazon EC2 cloud. Then, we design an effective, new defense against these memory DoS attacks, using a statistical metric to detect their existence and execution throttling to mitigate the attack damage. We achieve this by a novel re-purposing of existing hardware performance counters and duty cycle modulation for security, rather than for improving performance or power consumption. We implement a full prototype on the OpenStack cloud system. Our evaluations show that this defense system can effectively defeat memory DoS attacks with negligible performance overhead.

研究动机与目标

• 展示在Amazon EC2等真实公共云环境中，内存DoS攻击的严重性，其中同驻的恶意虚拟机可导致分布式应用性能下降。
• 表明现有性能隔离与QoS调度机制因无法识别非典型资源争用模式，而无法检测或缓解复杂的内存DoS攻击。
• 设计并实现一种可推广的、低开销的防御机制，无需修改硬件、虚拟机监控器或客户操作系统，即可检测并缓解所有已知类型的内存DoS攻击。
• 通过最小化性能开销并确保与现有基础设施的兼容性，实现该防御机制在生产级公共云中的实际部署。

提出的方法

• 通过占空比调制技术对同驻虚拟机进行节流，以在‘伪隔离’期间收集受害虚拟机的基线性能行为，确保获得干净的参考样本。
• 使用硬件性能计数器（如LLC未命中、内存带宽）监控受害虚拟机的运行时行为，并与基线进行对比。
• 应用统计假设检验，检测参考样本与监控样本之间性能概率分布的显著偏差，以识别潜在的内存DoS攻击。
• 检测到攻击后，通过选择性执行节流对恶意虚拟机进行抑制，重新利用现有硬件功能实现安全防护。
• 在OpenStack上实现完整的防御原型，无缝集成至现有云基础设施，无需修改CPU、虚拟机监控器或客户操作系统。
• 通过将持续性能监控时间保持在总执行时间的5%以下，确保低开销，适合生产环境部署。

实验结果

研究问题

• RQ1 在同物理主机上共驻的恶意虚拟机，能在多大程度上通过内存资源争用导致受害虚拟机的性能下降？
• RQ2 为何现有的性能隔离与QoS调度机制即使在资源争用严重的情况下，仍无法检测或缓解内存DoS攻击？
• RQ3 能否通过运行时对硬件性能计数器的统计分析，构建一种通用的检测机制，以识别多种类型的内存DoS攻击？
• RQ4 占空比调制在不完全暂停同驻虚拟机的前提下，能在多大程度上创建可靠的性能行为基线？
• RQ5 所提出的防御机制能否在真实云工作负载中以极低性能开销有效缓解内存DoS攻击？

主要发现

• 在Amazon EC2上，单个与Hadoop应用节点共驻的恶意虚拟机，导致20个节点的分布式应用整体运行速度最差下降至3.7倍。
• 对于电子商务工作负载，该攻击使响应时间最高增加38倍，服务器吞吐量降至正常水平的13%。
• 该防御系统在持续监控下性能开销低于5%，具备在生产云环境中部署的可行性。
• 通过性能计数器偏差进行的统计检测，即使在传统指标（如LLC未命中率）保持不变的情况下，也能以高置信度成功识别内存DoS攻击。
• 该防御机制有效缓解了所有已知类型的内存DoS攻击，包括原子锁攻击和自适应LLC清理攻击，这些攻击可绕过传统基于性能的检测方法。
• 该解决方案与现有云架构（如OpenStack）兼容，且无需修改CPU、虚拟机监控器或客户操作系统。