[论文解读] Towards Least Privilege Containers with Cimplifier

Vaibhav Rastogi, Drew Davidson+3 more|arXiv (Cornell University)|Feb 26, 2016

Cloud Computing and Resource Management参考文献 4被引用 4

一句话总结

Cimplifier 是一种工具，通过分析系统调用日志来识别必要资源，自动将单体容器划分为最小化、权限分离的容器，然后使用远程进程执行技术来保持功能完整性。它在不到 30 秒内处理大型容器，将容器镜像大小减少 58%–95%，且无需源代码或特定运行时环境，即可强制实施最小权限原则。

ABSTRACT

Application containers, such as Docker containers, have recently gained popularity as a solution for agile and seamless deployment of applications. These light-weight virtualization environments run applications that are packed together with their resources and configuration information, and thus can be deployed across various software platforms. However, these software ecosystems are not conducive to the true and tried security principles of privilege separation (PS) and principle of least privilege (PLP). We propose algorithms and a tool Cimplifier, which address these concerns in the context of containers. Specifically, given a container our tool partitions them into simpler containers, which are only provided enough resources to perform their functionality. As part our solution, we develop techniques for analyzing resource usage, for performing partitioning, and gluing the containers together to preserve functionality. Our evaluation on real-world containers demonstrates that Cimplifier can preserve the original functionality, leads to reduction in image size of 58-95%, and processes even large containers in under thirty seconds.

研究动机与目标

• 解决现代容器生态系统（如 Docker）中缺乏权限分离和最小权限强制执行的问题。
• 通过消除不必要的资源来减少容器镜像膨胀，同时保持应用程序功能完整性。
• 通过将单体容器划分为更小、更专注的容器，实现在单个应用程序内组件之间的细粒度权限分离。
• 提供一种轻量级、自动化且可移植的解决方案，无需源代码或特定运行时依赖。
• 开发一种跨容器通信机制，在保持安全边界的同时支持容器间的透明执行。

提出的方法

• 通过动态分析系统调用日志，识别资源使用模式，并将其与容器内各个可执行文件关联。
• 基于用户定义策略的划分算法，将可执行文件及其所需资源分组到隔离的容器中。
• 远程进程执行（RPE）作为轻量级机制，使一个容器能够调用另一个容器中的程序，同时不破坏隔离性或放松权限边界。
• 通过仅包含每个划分后容器所需的文件、库和配置，实现资源最小化。
• 利用 Linux 能力和容器级隔离，强制实现组件间的权限分离。
• 端到端原型：以容器、系统调用追踪和用户策略为输入，输出一组最小化、安全且功能等价的容器。

实验结果

研究问题

• RQ1 对系统调用的动态分析能否有效识别出容器中每个可执行文件所需的最小资源集？
• RQ2 如何在保持功能正确性的前提下，自动将单体容器划分为更小、权限分离的容器？
• RQ3 何种轻量级跨容器通信机制可在保持安全边界的同时，实现容器间的透明执行？
• RQ4 在不牺牲功能或引入显著性能开销的前提下，容器镜像大小最多可减少多少？
• RQ5 该方法在真实世界复杂应用（如维基、数据库和日志分析堆栈）上的有效性如何？

主要发现

• Cimplifier 能够成功将真实世界的容器划分为更小、更精简的容器，同时保持原始应用程序的功能完整性。
• 该工具在包括维基和日志分析堆栈等复杂应用在内的多样化工作负载中，将容器镜像大小减少了 58% 至 95%。
• 即使处理大型复杂容器，处理时间也低于三十秒，表明运行时开销极低。
• 远程进程执行（RPE）在无需内核支持或状态迁移的情况下，实现了安全且透明的跨容器通信。
• 该方法在多种应用中均表现有效，包括使用不同编程语言和多样化运行时栈的应用，且无需源代码或特殊编程结构。
• 该方案对测试覆盖不完整的情况具有鲁棒性，未来可通过用户引导或基于模式的资源扩展进一步增强。