시스템콜 시퀀스 추출 프레임워크를 이용한 시퀀스 기반 컨테이너 보안 강화 기법의 정량적 분석 연구 (Quantitative Analysis of Sequence-based Container Security Enhancement using a System Call Sequence Extraction Framework)

서지정보

· 발행기관 : 한국정보과학회
· 수록지 정보 : 정보과학회논문지 / 50권 / 11호 / 913 ~ 923페이지
· 저자명 : 송소민, 김유양, 탁병철

초록

컨테이너 탈출(Container Escape)은 호스트 커널을 공유하는 컨테이너 환경에서 가장 치명적인 위협 중 하나이다. 공격자는 시스템콜을 조작하여 커널 취약점을 악용하고, 상승된 권한을 통해 호스트에 대한 액세스 권한을 탈취함으로써 컨테이너를 탈출할 수 있다. Seccomp는 컨테이너에서 널리 사용되는 보안 메커니즘으로 Seccomp 프로필에 따라 악의적인 목적으로 호출되는 시스템콜을 필터링함으로써 컨테이너의 격리 수준을 강화한다. 하지만 시스템콜을 개별적으로 차단하는 Seccomp의 현재 필터링 메커니즘은 프로필에 의해 허용된 시스템콜 집합만을 사용하여 여전히 공격이 가능하다는 근본적인 한계를 지닌다. 따라서 본 논문에서는 정적 분석과 동적 분석을 결합한 하이브리드 분석을 통해 악성코드를 분석하여 시스템콜 시퀀스를 추출하는 프레임워크를 제시하였다. 이를 통해 동일한 악성코드에 대하여 적절한 시스템콜 프로필을 생성해, 기존의 개별 시스템콜 기반 필터링 메커니즘과 본 논문에서 제안하는 시스템콜 시퀀스(Sequence) 기반 필터링 메커니즘이 차단 가능한 악성코드의 개수를 비교하여 두 필터링 기법의 보안성을 분석하였다. 그 결과, 제안된 시스템콜 시퀀스 기반 필터링 메커니즘이 기존의 개별 시스템콜 기반 필터링 메커니즘의 보안성을 63%에서 98%까지 증가시켰다.

영어초록

Container escape is one of the most critical threats in containerized applications that share a host kernel. Attackers exploit kernel vulnerabilities through a series of manipulated system calls to achieve privilege escalation, which can lead to container escape. Seccomp is a security mechanism widely used in containers. It strengthens the level of isolation by filtering out unnecessary system call invocations. However, the filtering mechanism of Seccomp that blocks individual system calls has a fundamental limitation in that it can be vulnerable to attacks that use system calls allowed by the policy. Therefore, this study presents a hybrid analysis framework that combines static and dynamic analyses to extract system call sequences from exploit codes. Using this framework, we compared the security strength of an existing individual system call-based filtering mechanism and proposed a system call sequence-based filtering mechanism in terms of the number of blockable exploit codes using system call profiles for the same exploit codes. As a result, the proposed system call sequence-based filtering mechanism was able to increase the defense coverage from 63% to 98% compared to the existing individual system call-based filtering mechanism.

참고자료

· 없음