컨테이너 이미지의 보안 취약성 조사 연구
A Study on the Security Vulnerabilities of Container Images
2
조회
0
다운로드
7
인용
0
참고문헌
키워드
초록
컨테이 기술은 이미 오늘날의 IT분야에서의 가장 요한 핵심기술로 자리를 잡고 있다. 컨테이 기술을 사용함 으로써 얻을 수 있는 장들은 여러 가지가 있지만 이와 함께 이에는 발생하지 않았던 새로운 문제들도 같이 등 장하고 있다. 가장 요한 문제는 어떻게 하면 컨테이의 보안 취약을 빠르고 정확하게 감지하는 기술을 확보하 는가이다. 컨테이를 한 다양한 보안 솔루션들이 연구 개발되고 있지만 효과인 기술을 개발하기 해서는 컨테 이들의 실제 보안성과 취약의 특성들에 한 이해가 바탕이 되어야 한다. 하지만 재까지는 컨테이뿐만 아니 라 바탕이 되는 컨테이 이미지들의 보안성에 한 연구가 부족한 실정이다. 이를 해서 본 연구에서는 재 가장 많이 쓰이는 도커 기반의 컨테이 이미지들 만여 개를 스캔하여 보안성을 분석하다. 분석 결과, 92% 이상의 컨 테이 이미지들에서 다양한 종류의 보안 취약들이 내재하는 것을 발견하다. 본 연구에서는 이러한 보안 취약 들에 한 다양한 각도에서의 분석 결과를 제시한다.
Abstract
Container technology is already firmly established as the most important key technology for today’s IT industry. Although container technology offers several benefits, it also brings in new issues that did not exist previously. Among them the biggest problem is how to detect security vulnerabilities of containers quickly and accurately. There are many efforts towards this and, in order to build effective solutions, we must base our solution on the actual state of container’s level of secureness. Unfortunately, there has not been enough study on this topic. In order to expand our understanding of container security we have conducted detained study by scanning about 10,000 docker-based container images. Our study showed that more than 90% of the container images contained some form for security vulnerabilities. We report on our analysis results and findings by looking at these in various aspects.
참고문헌 (15)
- B. Tak, "Understanding security implications of using containers in the cloud", 2017 USENIX Annual Technical Conference (USENIX ATC 17), pp.313~319 (2017), USENIX Association
- "Over 30% of Official Images in Docker Hub Contain High Priority Security Vulnerabilities"[URL]
- "Vulnerability QuickView"[URL]
- R. Shu, "A study of security vulnerabilities on docker hub", Proceedings of the Seventh ACM on Conference on Data and Application Security and Privacy, CODASPY '17, pp.269~280 (2017), ACM
- "Agentless system crawler"[URL]
- R. Koller, "Unified monitoring and analytics in the cloud", 7th USENIX Workshop on Hot Topics in Cloud Computing (HotCloud 15) (2015), USENIX Association
- T. Bui, "Analysis of docker security", ~ (2015)
- "Dokerhub"[URL]
- "Open source tools for container security and compliance"[URL]
- "Aqua"[URL]
- "Automatic container vulnerability and security scanning for appc and docker"[URL]
- F. Oliveira, "Opvis: extensible, cross-platform operational visibility and analytics for cloud", Proceedings of the 18th ACM, USENIX Middleware Conference: Industrial Track, pp.2017[DOI]
- T. Combe, "To docker or not to docker: A security perspective", IEEE Cloud Computing, 3(5), pp.54~62 (2016)
- E. Reshetova, "Security of os-level virtualization technologies", Nordic Conference on Secure IT Systems, pp.77~93 (2014)
- "Elasticsearch"[URL]