메모리 트랩기법을 활용한 컨테이너 취약점 침입 탐지 프레임워크
Container Vulnerability Intruder Detection Framework based on Memory Trap Technique
1
조회
0
다운로드
1
인용
0
참고문헌
키워드
초록
최근 클라우드 플랫폼을 효율적으로 사용하기 위한 컨테이너 기술들이 주목을 받고 있다. 컨테이너 가상화 기술은기존 하이퍼바이저와 비교하였을 때 이식성이 뛰어나고 집적도가 높다는 장점을 가지고 있다. 하지만 컨테이너 가상화 기술은 하나의 커널을 공유하여 복수개의 인스턴스를 구동하는 운영체제 레벨의 가상화 기술을 사용하기 때문에인스턴스 간 공유 자원 요소가 많아져 취약성 또한 증가하는 보안 문제를 가지고 있다. 컨테이너는 컴퓨팅 자원의효율적 운용을 위해 호스트 운영체제의 라이브러리를 공유하는 특성으로 인해 공격자는 커널의 취약점을 이용하여호스트 운영체제의 루트 권한 획득 공격이 가능하다. 본 논문에서는 컨테이너가 사용하는 특정 메모리 영역의 변화를 감지하고, 감지 시에는 해당 컨테이너의 동작을 중지시키는 메모리 트랩 기법을 사용하여 컨테이너 내부에서 발생되는 호스트 운영체제의 루트 권한 탈취 공격을 효율적으로 탐지 및 대응하기 위한 프레임워크를 제안한다.
Abstract
Recently container technologies have been receiving attention for efficient use of the cloud platform. Container virtualization technology has the advantage of a highly portable, high density when compared with the existing hypervisor. Container virtualization technology, however, uses a virtualization technology at the operating system level, which is shared by a single kernel to run multiple instances. For this reason, the feature of container is that the attacker can obtain the root privilege of the host operating system internal the container. Due to the characteristics of the container, the attacker can attack the root privilege of the host operating system in the container utilizing the vulnerability of the kernel. In this paper, we propose a framework for efficiently detecting and responding to root privilege attacks of a host operating system in a container. This framework uses a memory trap technique to detect changes in a specific memory area of a container and to suspend the operation of the container when it is detected.
참고문헌 (21)
- Mell, Peter, "The NIST definition of cloud computing", ~ (2011)
- Armbrust, Michael, "A view of cloud computing", Communications of the ACM, 53, pp.450~458 (2010)
- Celesti, Antonio, "Exploring container virtualization in IoT clouds", Smart Computing (SMARTCOMP), 2016 IEEE International Conference on. IEEE (2016)
- Seo, Kyoung-Taek, "Performance comparison analysis of linux container and virtual machine for building cloud", Advanced Science and Technology Letters, 66, pp.105~111 (2014)
- Helsley, Matt, "LXC: Linux container tools", IBM devloperWorks Technical Library, 11 (2009)
- Chisnall, David, "The definitive guide to the xen hypervisor" (2008), Pearson Education
- Habib, Irfan, "Virtualization with kvm", Linux Journal, 166(8) (2008)
- Merkel, Dirk, "Docker: lightweight linux containers for consistent development and deployment", Linux Journal, 239(2) (2014)
- Bernstein, David, "Containers and cloud: From lxc to docker to kubernetes", IEEE Cloud Computing, 1(3), pp.81~84 (2014)
- "Scaling Docker with Kubernetes" (2015)[URL]
- Httermann, Michael, "DevOps for developers" (2012), Apress
- Bass, Len, "DevOps: A Software Architect's Perspective" (2015), Addison-Wesley Professional
- Hayden, Major, "Securing Linux Containers", GIAC (GCUX) Gold Certification, Creative Commons Attribution-ShareAlike 4.0 International License, ~ (2015)
- Mattetti, Massimiliano, "Securing the infrastructure and the workloads of linux containers", Communications and Network Security (CNS), 2015 IEEE Conference on. IEEE (2015)
- Hayden, Major, "Securing Linux Containers", GIAC (GCUX) Gold Certification, Creative Commons Attribution ShareAlike 4.0 International License, ~ (2015)
- "Cgroups" (2008)[URL]
- Biederman, Eric W., "Multiple instances of the global linux namespaces", Proceedings of the Linux Symposium, 1 (2006)
- "GDB"[URL]
- Love, Robert, "Kernel korner: Intro to inotify", Linux Journal, 139(8) (2005)
- "Container Escape Code"[URL]
- "Dirty Cow"[URL]