搜索

[5279] 2018-07-17_容器和虚拟机，谁更安全？

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-16
2018-07-17_容器和虚拟机，谁更安全？ 容 器 和 虚 拟 机 ， 谁 更 安 全 ？ 原 创   E 安 全   E 安 全   2 0 1 8 - 0 7 - 1 7 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 7 月 1 7 日 讯   I B M   R e s e a r c h   已 经 创 造 出 一 种 新 的 软 件 安 全 性 衡 量 方 法 — — H o r i z o n t a l   A t t a c k   P r o f i l e （ 简 称 （ 简 称   H A P ） ） ， 其 发 现 适 当 保 护 下 的 容 器 （ C o n t a i n e r s ） 几 乎 能 够 提 供 与 虚 拟 机 ( V M ) 相 媲 美 的 安 全 水 平 。 虚 拟 机 是 否 比 容 器 更 加 安 全 ？ 虚 拟 机 是 否 比 容 器 更 加 安 全 ？ 虚 拟 机 比 容 器 更 加 安 全 ！ — — 这 可 能 被 大 多 数 人 认 为 是 正 确 答 案 ， 但   I B M   R e s e a r c h   却 发 现 ， 容 器 完 全 有 可 能 与 虚 拟 机 同 样 安 全 ， 甚 至 更 加 安 全 。 容 器 容 器 可 以 被 视 为 不 在 虚 拟 机 管 理 程 序 上 运 行 的 超 极 简 虚 拟 机 。 容 器 不 需 要 安 装 主 机 操 作 系 统 ， 可 直 接 将 容 器 层 ( 比 如 L X C 或 l i b c o n t a i n e r ) 安 装 在 主 机 操 作 系 统 ( 通 常 是   L i n u x   变 种 ) 上 ， 直 接 利 用 宿 主 机 的 内 核 ， 抽 象 层 比 虚 拟 机 更 少 ， 更 加 轻 量 化 ， 启 动 速 度 极 快 。 软 件 安 全 性 衡 量 方 法 软 件 安 全 性 衡 量 方 法 — — H A P 方 案 方 案 I B M   R e s e a r c h   工 程 师 兼 顶 尖   L i n u x   内 核 开 发 人 员 詹 姆 斯 · 博 顿 利 （ J a m e s   B o t t o m l e y ） 写 道 ， “ 目 前 关 于 容 器 与 虚 拟 机 管 理 程 序 间 安 全 性 辩 论 中 的 一 大 核 心 问 题 ， 在 于 没 人 能 够 开 发 出 一 种 真 正 可 靠 的 安 全 性 衡 量 方 法 。 所 以 争 论 完 全 仅 限 于 定 性 方 面 （ 由 于 接 口 宽 度 ， 虚 拟 机 管 理 程 序 “ 让 人 觉 得 ” 比 容 器 来 得 更 安 全 ） ， 但 实 际 上 还 没 有 人 进 行 过 定 量 比 较 。 为 了 解 决 这 个 难 题 ， 博 顿 利 创 造 了   H A P   方 案 ， 旨 在 以 客 观 方 式 衡 量 并 描 述 系 统 的 安 全 性 水 平 。 博 顿 利 发 现 ， “ 采 用 精 心 设
计 的 安 全 计 算 模 式 （ s e c c o m p ） 配 置 文 件 （ 用 于 阻 止 意 外 系 统 调 用 ） 的 D o c k e r 容 器 提 供 了 与 虚 拟 机 管 理 程 序 大 致 相 当 的 安 全 性 。 ” 垂 直 攻 击 配 置 文 件 垂 直 攻 击 配 置 文 件 V A P 博 顿 利 首 先 定 义 了 垂 直 攻 击 配 置 文 件 （ 简 称   V A P ） 。 该 配 置 文 件 中 的 全 部 代 码 用 于 通 过 遍 历 提 供 服 务 ， 从 而 实 现 数 据 库 输 入 与 输 出 信 息 的 更 新 。 与 其 它 程 序 一 样 ， 这 部 分 代 码 自 然 也 存 在   B u g 。 尽 管 其   B u g   密 度 各 不 相 同 ， 但 一 般 来 讲 遍 历 的 代 码 越 多 ， 其 中 存 在 安 全 漏 洞 的 可 能 性 就 越 大 。 H A P 就 是 堆 栈 安 全 漏 洞 （ 可 以 跳 转 进 入 到 物 理 服 务 器 主 机 或 虚 拟 机 ） 。 H A P   原 理 原 理 H A P   是 最 为 严 重 的 一 类 安 全 漏 洞 。 博 顿 利 将 其 称 之 为 “ 潜 在 的 商 业 破 坏 事 件 ” 。 当 问 到 如 何 利 用 H A P 来 衡 量 系 统 安 全 时 ， 博 顿 利 解 释 称 ： 衡 量   H A P   的 定 量 方 法 表 明 ， 安 全 人 员 可 以 选 定   L i n u x   内 核 代 码 的   B u g   密 度 ， 并 将 其 乘 以 所 运 行 系 统 在 达 成 稳 定 状 态 后 （ 意 味 着 其 似 乎 不 再 遍 历 任 何 新 的 内 核 路 径 ） 会 经 过 的 惟 一 代 码 量 。 这 种 方 法 假 定   B u g   密 度 是 均 匀 的 ， 因 此   H A P   将 近 似 于 稳 定 状 态 下 所 遍 历 过 的 代 码 量 。 显 然 ， 对 正 在 运 行 的 系 统 进 行 衡 量 时 不 可 采 取 这 样 的 假 设 ， 但 幸 运 的 是   L i n u x   内 核 中 存 在 一 种 名 为   f t r a c e   的 机 制 ， 可 用 于 对 特 定 用 户 空 间 进 程 所 调 用 的 一 切 函 数 进 行 追 踪 ， 从 而 给 出 合 理 的 遍 历 代 码 行 近 似 值 。 （ 注 意 ， 这 里 只 是 一 个 近 似 值 ， 因 为 我 们 在 测 量 函 数 中 的 总 代 码 行 数 时 由 于   f t r a c e   无 法 提 供 足 够 的 细 节 ， 而 没 有 考 虑 到 内 部 代 码 流 的 情 况 。 ） 此 外 ， 这 种 方 法 对 于 一 切 容 器 都 非 常 有 效 。 控 制 流 通 过 系 统 调 用 信 息 由 一 组 已 声 明 进 程 发 出 ， 但 其 并 不 适 用 于 虚 拟 机 管 理 程 序 。 这 是 因 为 除 了 对 接 口 进 行 直 接 超 调 用 外 ， 大 家 还 需 要 从 后 台 守 护 程 序 处 添 加 追 踪 （ 例 如   k v m   v h o s t   内 核 线 程 或   X e n   中 的   d o m 0 ） 。 运 行 的 代 码 越 多 越 可 能 存 在 运 行 的 代 码 越 多 越 可 能 存 在 H A P 安 全 漏 洞 安 全 漏 洞 简 而 言 之 ， 你 衡 量 一 个 系 统 （ 无 论 它 是 裸 机 、 虚 拟 机 还 是 容 器 ） 运 行 某 个 特 定 应 用 程 序 使 用 了 多 少 行 代 码 。 其 运 行 的 代 码 越 多 ， 存 在 H A P 级 别 的 安 全 漏 洞 的 可 能 性 就 越 大 。 在 确 定 了   H A P   以 及 如 何 对 其 加 以 衡 量 之 后 ， 博 顿 利 随 后 运 行 了 几 轮 基 准 测 试 ： r e d i s - b e n c h - s e t ； r e d i s - b e n c h - g e t ； p y t h o n - t o r n a d o ； n o d e - e x p r e s s 。 后 两 者 亦 运 行 有 配 备 简 单 外 部 事 务 客 户 端 的   W e b   服 务 器 。
博 顿 利 在 此 次 测 试 当 中 使 用 到 了 ： D o c k e r ； 谷 歌   g V i s o r （ 一 套 容 器 运 行 时 沙 箱 ） ； 使 用 K V M 的 同 一 个 容 器 沙 箱 g V i s o r - k v m （ K V M 是 L i n u x 内 置 的 虚 拟 机 管 理 程 序 ） K a t a   C o n t a i n e r s ， 一 套 开 源 轻 量 化 虚 拟 机 ； N a b l a ， I B M 刚 刚 发 布 的 、 具 有 强 大 服 务 器 隔 离 能 力 的 容 器 类 型 。 博 顿 利 发 现 ， N a b l a   运 行 时 拥 有 “ 优 于   K a t a   虚 拟 机 管 理 程 序 容 器 技 术 的   H A P ， 这 意 味 着 发 现 了 一 种 在   H A P 方 面 优 于 虚 拟 机 管 理 程 序 （ 即 安 全 性 更 高 ） 的 容 器 系 统 。 ” 不 过 体 现 出 安 全 优 势 的 绝 不 只 有   I B M   公 司 的 项 目 。 他 同 时 表 示 ， “ 具 有 经 过 精 心 策 划 的   s e c c o m p t   配 置 文 件 的   D o c k e r   容 器 （ 能 够 阻 止 意 外 系 统 调 用 ） 同 样 能 够 提 供 与 虚 拟 机 管 理 程 序 基 本 相 当 的 安 全 表 现 。 ” G V i s o r   的 表 现 则 有 所 不 同 。 好 消 息 是 ， g V i s o r   在   D o c k e r   用 例 方 面 表 现 不 错 ； 但 在 另 一 个 用 例 中 ， 其 表 现 则 不 及 虚 拟 机 管 理 程 序 。 博 顿 利 推 测 ， 这 是 因 为 “ g V i s o r   试 图 通 过 在   G o   中 重 写   L i n u x   系 统 调 用 接 口 以 改 善 兼 容 性 。 但 是 开 发 人 员 并 没 有 注 意 到   G o 语 言 运 行 时 实 际 使 用 的 系 统 调 用 量 ， 而 这 些 结 果 实 际 上 会 暴 露 在 外 。 ” 如 果 他 的 猜 测 没 错 ， 那 么 博 顿 利 认 为   g V i s o r   的 未 来 版 本 可 以 通 过 重 写 来 解 决 这 一 安 全 问 题 。 不 过 ， 真 正 的 问 题 并 不 在 于 哪 种 技 术 本 身 更 加 安 全 。 对 于 最 严 重 的 安 全 问 题 而 言 ， 容 器 与 虚 拟 机 的 安 全 水 平 大 致 相 当 。 博 顿 利 认 为 ， “ 事 实 上 完 全 有 可 能 出 现 比 虚 拟 机 管 理 程 序 更 加 安 全 的 容 器 解 决 方 案 ， 而 这 将 给 两 种 技 术 谁 更 安 全 的 争 论 彻 底 划 上 句 号 。 ” 为 了 弄 清 二 者 在 恶 意 应 用 面 前 的 暴 露 水 平 ， 可 能 需 要 采 用 某 种 类 型 的 模 糊 测 试 。 除 此 之 外 ， 博 顿 利 的 工 作 仅 仅 只 是 一 个 开 始 。 他 表 示 ， 这 项 工 作 的 价 值 在 于 证 明 以 客 观 方 式 衡 量 应 用 程 序 安 全 性 并 非 不 可 能 。 他 解 释 称 ， “ 我 认 为 这 项 工 作 并 不 代 表 着 争 论 的 结 束 ； 但 通 过 对 此 次 测 试 的 详 尽 描 述 ， 他 希 望 更 多 的 人 也 可 能 开 始 自 己
的 量 化 衡 量 尝 试 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 2 0 0 6 7 8 1 5 4 3 . s h t m l 推 荐 阅 读 ： 恶 意 软 件 的 完 美 掩 护 ： D o c k e r 容 器 D o c k e r C o n   欧 洲 大 会 1 4 款 最 热 应 用 程 序 容 器 产 品 恶 意 软 件 已 学 会 检 测 并 拒 绝 在 虚 拟 机 中 执 行 N I S T “ 系 统 安 全 工 程 指 南 ” 更 新 ： 保 护 传 统 I T 系 统 如 何 防 范 社 会 工 程 攻 击 ？ 美 国 防 部 软 件 开 发 最 新 四 项 参 考 指 标 量 子 计 算 网 络 风 暴 即 将 来 临 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理