eBPF를 활용한 컨테이너 활동 분석 시스템
eBPF-based Container Activity Analysis System
2
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
클라우드 환경의 도입은 애플리케이션 배포와 관리 방식을 혁신적으로 변화시켰으며, 마이크로서비스 아키텍처와 컨테이너 기술이 그 중심에자리 잡고 있다. 그러나 이러한 변화는 마이크로서비스와 같은 복잡한 서비스 환경에서 서비스 간 상호작용을 정확히 파악하고 내부 프로세스를세밀하게 분석해야 하는 새로운 과제를 제기했다. 기존의 모니터링 기법은 이와 같은 복잡한 환경을 충분히 분석하는 데 한계를 보였으며, 이를해결하기 위해 최근 eBPF(extended Berkeley Packet Filter) 기술이 주목받고 있다. eBPF는 리눅스 커널에서 발생하는 이벤트를 실시간으로 수집하고 분석할 수 있는 강력한 기술로, 커널 영역에서 발생하는 파일 시스템 활동을 비롯한 다양한 이벤트를 모니터링할 수 있다. 본 논문에서는 이러한eBPF를 기반으로 한 컨테이너 활동 분석 시스템을 제안하며, 이 시스템이 컨테이너와 호스트 시스템의 커널 영역에서 발생하는 이벤트를 실시간으로모니터링하고, 수집된 데이터를 분석하는 방법을 제시한다. 또한, eBPF를 활용한 대표적인 컨테이너 모니터링 시스템인 Tetragon, Falco, Tracee를이벤트 탐지 방식, 기본 정책 적용 여부, 이벤트 유형 식별, 시스템 콜 차단 및 경고 생성 기능 측면에서 비교 분석하여 각 시스템의 장단점을평가하고, 컨테이너 프로세스 감시 및 제한에 필요한 기능을 파악하였다. 나아가, 본 논문에서는 제안된 시스템을 컨테이너 메타데이터 수집, 내부활동 모니터링, 시스템 메타데이터 연계의 세 가지 측면에서 설명하고 평가하며, 관련 연구와의 비교를 통해 eBPF 기반 모니터링 시스템의 효용성과향후 발전 가능성에 대해 논의한다.
Abstract
The adoption of cloud environments has revolutionized application deployment and management, with microservices architecture andcontainer technology serving as key enablers of this transformation. However, these advancements have introduced new challenges,particularly the necessity to precisely understand service interactions and conduct detailed analyses of internal processes within complexservice environments such as microservices. Traditional monitoring techniques have proven inadequate in effectively analyzing thesecomplex environments, leading to increased interest in eBPF (extended Berkeley Packet Filter) technology as a solution. eBPF is a powerfultool capable of real-time event collection and analysis within the Linux kernel, enabling the monitoring of various events, including filesystem activities within the kernel space. This paper proposes a container activity analysis system based on eBPF, which monitors eventsoccurring in the kernel space of both containers and host systems in real-time and analyzes the collected data. Furthermore, this paperconducts a comparative analysis of prominent eBPF-based container monitoring systems (Tetragon, Falco, and Tracee), focusing on aspectssuch as event detection methods, default policy application, event type identification, and system call blocking and alert generation. Through this evaluation, the paper identifies the strengths and weaknesses of each system and determines the necessary features foreffective container process monitoring and restriction. In addition, the proposed system is evaluated in terms of container metadatacollection, internal activity monitoring, and system metadata integration, and the effectiveness and future potential of eBPF-basedmonitoring systems.
참고문헌 (23)
- V. Singh, "Container-based microservice architecture for cloud applications", International Conference on Computing, Communication and Automation (2017), IEEE
- S. Sultan, "Container Security : Issues, Challenges, and the Road Ahead", IEEE Access, 7, pp.52976~52996 (2019)
- "eBPF"[URL]
- D. Soldani, "eBPF: A new approach to cloud-native observability, networking and security for current (5G) and future mobile networks (6G and Beyond)", IEEE Access, 11, pp.57174~57202 (2023)
- Understanding container isolation mechanisms for building security-sensitive private cloud, "M. A. Babar", CREST - Centre for Research on Engineering Software Technologies, University of Adelaide, ~ (2017)
- N. Hedam, "eBPF - From a Programmer’s Perspective", asyChair Preprint no. 5198, ~ (2021)
- "OSSEC-Open Source HIDS-FIM, Rootkit Detection, Malware Detection"[URL]
- "Symantec Endpoint Protection"[URL]
- M. Souppaya, "Application container security guide" (2017), National Institute of Standards and Technology
- "Tetragon"[URL]
- "Falco"[URL]
- "Libsinsp"[URL]
- "Tracee by Aqua Security"[URL]
- F. J. ertinatto, "Container-level auditing in container orchestrators with eBPF", AINA (2024)
- Isovalent, "Detecting a Container Escape with Cilium and eBPF", Last modified, ~ (2024)
- Devi Priya V. S, "Container Security: Precaution Levels, Mitigation Strategies, and Performance Evaluation", Computers & Security, 135 (2023)
- Yang, Seungyong, "Optimus : Association-Based Dynamic System Call Filtering for Container Attack Surface Reduction", Journal of Cloud Computing (2024)
- "kubernetes"[URL]
- "docker"[URL]
- "bpf2go"[URL]
- C. Liu, "A protocolindependent container network observability analysis system based on eBPF", IEEE (2020)
- S. Magnani, "A control plane enabling automated and fully adaptive network traffic monitoring with eBPF", IEEE (2022)
- D. Soldani, "eBPF : A new approach to cloud-native observability, networking, and security for current 5G and future mobile networks(6G and Beyond)", IEEE (2023)