인천대학교 인디고클랫폼 인천대학교 기술지원허브

컨테이너화된 시스템은 공유 커널에 의존하기 때문에 보안 위험이 존재합니다. 기존 메커니즘인 Seccomp BPF 및 반응형 eBPF는 유연성이 제한적이고 불완전한 보호 기능을 제공합니다. 상태 비저장 허용 목록은 시스템의 컨텍스트 동작을 포착하지 못하며, 로깅 오버헤드는 확장성을 저해합니다. 본 논문에서는 모든 시스템 상호 작용을 기본적으로 신뢰할 수 없는 것으로 취급하는 제로 트러스트 기반 시스템 호출 강제 프레임워크인 ZTS를 제안합니다. ZTS는 사전 예방적이고 세밀한 제어를 위한 ptrace와 빈번한 작업에 대한 효율적인 강제를 위한 LSM-BPF를 결합한 하이브리드 강제 전략을 사용합니다. 시스템 호출 시퀀스를 추적하여 제어 흐름 이상 및 시퀀스 수준 공격을 탐지하고 방지합니다. ZTS는 초기화 단계와 주요 실행 단계 간의 자동화된 정책 분할을 통해 최소 권한 원칙을 준수하고, 원자적 맵 전환을 통해 원활한 전환을 보장합니다. 고부하 마이크로서비스 환경에서 감사 신뢰성을 유지하기 위해 ZTS는 적응형 커널 내 압축을 통합합니다. 실험 결과는 ZTS가 고밀도 배포에 최적화된 저오버헤드 보호 기능을 제공함을 확인시켜 줍니다.