eBPF와 AdaBoost를 사용한 컨테이너 공격의 정확한 탐지 기법

초록

이 논문은 컨테이너 기반의 시스템 보안 강화를 목표로, 커널을 수정하지 않고 시스템콜을 분석하여경쟁 상태를 동적으로 감지하는 새로운 방법을 제시한다. 컨테이너 탈출 공격은 공격자가 컨테이너의격리를 벗어나 다른 시스템에 접근할 수 있게 하는데, 이 중 경쟁 상태 기반의 공격은 병렬 컴퓨팅환경에서 발생할 수 있는 보안 취약점을 이용한다. 이러한 공격을 효과적으로 감지하고 방어하기 위해, 본 연구에서는 eBPF를 활용하여 공격 시 발생하는 시스템콜 패턴을 관찰하고, AdaBoost 모델을 사용하여 공격 프로세스와 정상 프로세스를 구분하는 방법을 개발하였다. 이를 위해 Dirty COW, Dirty Cred와같은 공격과 MongoDB, PostgreSQL, Redis와 같은 일반 컨테이너 사용 사례에서 발생하는 시스템콜을분석하여 학습 데이터로 활용하였다. 실험 결과, 이 방법은 99.55%의 Precision, 99.68%의 Recall 그리고99.62%의 F1-score를 달성했으며, 이로 인한 시스템 오버헤드는 약 8%로 나타났다.

키워드