컨테이너 환경에서의 호스트 자원 고갈 공격 영향 분석
Analysis of the Impact of Host Resource Exhaustion Attacksin a Container Environment
2
조회
0
다운로드
2
인용
0
참고문헌
키워드
초록
컨테이너는 최근 주목받고 있는 서버 가상화 기술로, 기존 가상머신과 달리 더 가볍고 빠르게 독립 환경의 구축을 가능하게 한다. 이러한 장점으로 많은 기업들이 컨테이너를 활용하여 다양한 서비스들을 구축 및 배포하기 시작하였다. 하지만, 컨테이너가 도입 될수록 새로운 문제점 또한 노출하고 있는데, 특히 컨테이너 간 같은 커널을 공유하는 구조 때문에 발생하는 보안 취약점들이 지속적으로 발견되고 있다. 본 논문에서는 공격자가 컨테이너 환경의 구조적 취약점을 악용하여 할 수 있는 위협 중 호스트의 자원을 고갈시키는 공격, 이른바 호스트 자원 고갈 공격의 영향을 분석해보고자 한다. 특히, 가장 널리 사용되는 컨테이너 플랫폼인 도커를 이용해 구축한 컨테이너 환경에서 공격자가 CPU, 메모리, 디스크 공간, 프로세스 ID, 소켓 등의 주요 호스트 자원을 고갈 시켰을 때 발생하는 영향에 대해 분석하였다. 총 5가지 종류의 자원 고갈 공격 시나리오를 서로 다른 호스트 환경과 컨테이너 이미지에서 재현하였으며, 결과적으로 그 중 3가지의 공격이 효과적으로 다른 컨테이너를 서비스 불능을 만드는 것을 보였다.
Abstract
Containers are an emerging virtualization technology that can build an isolated environment more lightweight and faster than existing virtual machines. For that reason, many organizations have recently adopted them for their services. Yet, the container architecture has also exposed many security problems since all containers share the same OS kernel. In this work, we focus on the fact that an attacker can abuse host resources to make them unavailable to benign containers—also known as host resource exhaustion attacks. Then, we analyze the impact of host resource exhaustion attacks through real attack scenarios exhausting critical host resources, such as CPU, memory, disk space, process ID, and sockets in Docker, the most popular container platform. We propose five attack scenarios performed in several different host environments and container images. The result shows that three of them put other containers in denial of service.
참고문헌 (10)
- "Best Practices for Running Containers and Kubernetes in Production"[URL]
- "CVE-2022-0185 in Linux Kernel Can Allow Container Escape in Kubernetes"[URL]
- S. Ghavamnia, "Confine : Automated system call policy generation for container attack surface reduction", 23rd International Symposium on Research in Attacks, Intrusions and Defenses(RAID 2020), pp.443~458 (2020)
- L. Lei, "SPEAKER : Split-phase execution of application containers", International Conference on Detection of Intrusions and Malware, and Vulnerability Assessment, pp.230~251 (2017), Springer
- X. Gao, "Houdini's escape : Breaking the resource rein of linux control groups", Proceedings of the 2019 ACM SIGSAC Conference on Computer and Communications Security, pp.1073~1086 (2019)
- N. Yang, "Demons in the shared kernel : Abstract resource attacks against os-level virtualization", Proceedings of the 2021 ACM SIGSAC Conference on Computer and Communications Security, pp.764~778 (2021)
- K. McDonough, "TORPEDO : A Fuzzing Framework for Discovering Adversarial Container Workloads", 2022 52nd Annual IEEE, 2022, 402~414
- "Runtime options with Memory, CPUs, and GPUs"[URL]
- "Configure namespaced kernel parameters (sysctls) at runtime"[URL]
- "Docker hub"[URL]