Paper Files / Containers
标题：一种基于攻击面组合建模的容器环境攻击检测与遏制形式化架构
标题：一种基于攻击面组合建模的容器环境攻击检测与遏制形式化架构 摘要：容器和 Kubernetes 等编排器的大规模采用，已使 cloud-native 范式到 2025 年成为企业环境中的主导基础设施。尽管轻量级虚拟化模型在运维效率和弹性方面具有优势，但共享内核以及集群的动态特性显著扩大了攻击面。近期涉及容器逃逸、Linux 内核漏洞利用以及集群内横向移动的事件表明，需要具有形式化基础和显式保证的检测与遏制机制。本文提出一种基于攻击面组合建模的容器环境攻击检测与遏制形式化架构。我们将环境形式化为一个带标注的有向图，集成容器、基础设施节点和交互通道，并将攻击面定义为作用于顶点和边的组合算子。我们引入一种基于系统调用图结构偏差的检测方法，利用观测到的邻接矩阵与在基线阶段学习得到的参考模型之间的谱散度进行分析。我们在显式假设下证明了若干形式化性质，包括一个条件完备性定理。我们实现了一个与 Kubernetes 1.29 集成的原型，并通过 eBPF/libbpf 进行监控，在一个运行 1,200 个容器的 64 节点集群上对系统进行了评估。结果表明，对于与 MITRE ATT&CK for Containers 对齐的场景，平均检测率高于 95%，误报率低于 3%，平均 CPU 开销为 3.8%。我们讨论了其与 CNAPP 平台及安全治理机制集成的影响，以及相关限制和规避向量。我们得出结论：形式化的组合建模结合高效的内核级监控，为大规模容器化环境的防护提供了严谨且可扩展的基础。
- 引言
基于容器的轻量级虚拟化已成为云环境中应用打包与部署的主流机制（MERKEL, 2014）。Cloud Native Computing Foundation 的研究表明，Kubernetes 已成为云原生编排的事实标准，并在生产环境中得到广泛采用（CNCF, 2023）。不同于传统虚拟机，容器共享宿主系统的同一内核，利用 Linux namespaces、cgroups 和 capabilities 提供逻辑隔离（OPEN CONTAINER INITIATIVE, 2022）。
尽管这种架构降低了计算开销并提高了运行密度，但它也引入了结构性依赖，从而扩大了攻击面，尤其是在多租户场景下（NIST, 2017; ZHANG et al., 2018）。诸如 CVE-2019-5736（允许覆盖 runc 二进制并进而逃逸容器）以及 CVE-2022-0185（与 Linux 内核 namespaces 子系统相关）等漏洞，说明了资源共享所带来的系统性风险（NVD, 2019; NVD, 2022）。
实证报告表明，相当一部分云端事件源于配置错误、存在漏洞的镜像或对过度权限的滥用（VERIZON, 2023; SYSDIG, 2023）。在 MITRE ATT&CK for Containers 的语境下，T1611（Escape to Host）和 T1610（Deploy Container）等技术在真实攻击活动中仍然频繁出现（MITRE, 2023）。
鉴于此，我们研究如何在高度动态的容器环境中，以高效且可扩展的方式检测并遏制攻击，同时保持性能与隔离特性。我们提出三个核心问题：（RQ1）如何对动态容器集合的组合式攻击面进行形式化建模；（RQ2）如何识别能够表征合法执行的行为不变量；以及（RQ3）检测能力与运行开销之间的权衡如何。
我们的贡献包括：（C1）基于带标注有向图的攻击面数学形式化；（C2）带有形式复杂度分析的结构偏离检测算法；以及（C3）在现实化集群中的实现与实证评估。
- 理论基础与相关工作
2.1 形式化定义
我们将容器形式化定义为如下元组：
$$ C = (I, P, N, R, \Sigma) $$
其中，$I$ 表示不可变镜像，$P$ 表示活动进程集合，$N$ 表示 namespaces 集合，$R$ 表示由 cgroups 控制的资源，$\Sigma$ 表示 Linux capabilities 集合（OPEN CONTAINER INITIATIVE, 2022）。
我们将全局环境建模为带标注有向图：
$$ G = (V, E, \lambda_V, \lambda_E) $$
其中 $V$ 包含容器和基础设施组件（节点、API Server 等），$E$ 表示通信或共享关系，$\lambda_V$ 与 $\lambda_E$ 为关联语义属性的标注函数。
2.2 相关工作
现有文献主要分布于三个方向：
| 类别 | 示例 | 主要局限 |
|---|---|---|
| 加固 | gVisor; Kata Containers (GOOGLE, 2023) | 开销与兼容性 |
| 镜像分析 | Clair; Anchore (CLAIR, 2023; ANCHORE, 2023) | 侧重执行前 |
| 运行时检测 | Falco; Sysdig (FALCO, 2023; SYSDIG, 2023) | 基于启发式 |
我们观察到，组合式形式化建模与显式数学保证之间仍缺乏集成。
- 威胁模型与形式化
我们假设攻击者能够：（i）在受损容器中执行任意代码；（ii）利用内核中的已知漏洞；（iii）通过内部网络进行横向移动。我们不假设控制平面事先被攻陷（BURNS; BEDA; HIGHTOWER, 2019）。
我们将组合式攻击面定义为：
$$ \mathcal{A}(G) = \left( \bigcup_{v \in V} \mathcal{A}(v) \right) \cup \left( \bigcup_{(u,v) \in E} \mathcal{I}(u,v) \right) $$
检测函数为：
$$ f : E_{obs} \rightarrow {0,1} $$
目标为最大化：
$$ \text{TPR} = \frac{|E_a \cap E_{mal}|}{|E_{mal}|} $$
并最小化：
$$ \text{FPR} = \frac{|E_a \setminus E_{mal}|}{|E_{ben}|} $$
同时满足开销 $\delta < 0{,}05$ 的约束。
- 方法
4.1 架构
该架构包含三个模块：静态分析器、组合式建模器，以及基于 eBPF 的动态监控器。
4.2 图构建
图构建算法复杂度：$O(|C_t| + |E_t|)$。
4.3 不变量建模
设 $S = {s_1,\dots,s_n}$。我们构建图 $G_S$ 及其矩阵 $A_S$。
谱散度：
$$ D(G_S, M) = | \lambda(A_S) - \lambda(A_M) |_2 $$
算法：
1. 构建 G_S
2. 计算 A_S 的特征值
3. 若 D > θ，则告警
谱分解复杂度：$O(k^3)$。
定理 1（条件完备性）。
在如下假设下：任何攻击至少会改变合法模型传递闭包之外的一次转移，则基于谱散度并采用阈值 $\theta$ 的检测器在确定性模型中以概率 1 检测到该攻击。
证明思路。结构变化会导致邻接矩阵被修改。由于谱是全局结构不变量，任何非同谱扰动都会产生 $\lambda(A_S) \neq \lambda(A_M)$，从而推出 $D>0$。
- 实现
使用 Go 实现的原型与 Kubernetes 1.29 集成。通过 eBPF/libbpf 进行监控（LIBBPF, 2023）。
数据存储于 Neo4j；指标通过 Prometheus 收集。
平均开销：
| 指标 | 数值 |
|---|---|
| CPU | 3,8% |
| 内存 | 2,1% |
| 延迟 | +1,6 ms |
- 实验评估
集群：64 个节点（Intel Xeon Gold 6230，128 GB RAM），1.200 个容器。
结果：
| 场景 | 检测率 | σ |
|---|---|---|
| T1611 | 96,4% | 1,2 |
| 横向移动 | 94,1% | 1,8 |
| FPR | 2,3% | — |
与 Falco 对比：
| 系统 | TPR | FPR |
|---|---|---|
| 所提方法 | 95,2% | 2,3% |
| Falco | 89,7% | 5,6% |
- 讨论
组合式建模能够捕捉多阶段攻击的涌现特性。谱方法提供了客观的数学判据，降低了对启发式规则的单一依赖。
局限性包括：可通过同谱攻击实现规避，以及对具有代表性的基线的依赖。未来与 CNAPP 平台的集成可增强多层可见性。
- 结论
我们提出了用于容器化环境中攻击检测与遏制的形式化架构，将严谨的数学建模与基于 eBPF 的高效监控相结合。实证结果表明，该方法在低开销下具有较高检测率，证明其在大规模集群中的实践可行性。
References
ANCHORE. Container vulnerability scanning. 2023. Available at: https://anchore.com/. Accessed on: 13 abr. 2025.
BURNS, B.; BEDA, J.; HIGHTOWER, K. Kubernetes: up and running. Sebastopol: O’Reilly, 2019.
CNCF. Cloud native survey 2023. 2023. Available at: https://www.cncf.io/reports/. Accessed on: 13 abr. 2025.
CLAIR. Open source vulnerability scanner. 2023. Available at: https://github.com/quay/clair. Accessed on: 13 abr. 2025.
FALCO. Runtime security. 2023. Available at: https://falco.org/. Accessed on: 13 abr. 2025.
GOOGLE. gVisor documentation. 2023. Available at: https://gvisor.dev/. Accessed on: 13 abr. 2025.
LIBBPF. eBPF library documentation. 2023. Available at: https://libbpf.readthedocs.io/. Accessed on: 13 abr. 2025.
MERKEL, D. Docker: lightweight Linux containers for consistent development and deployment. Linux Journal, 2014. Available at: https://www.linuxjournal.com/content/docker-lightweight-linux-containers-consistent-development-and-deployment. Accessed on: 13 abr. 2025.
MITRE. ATT&CK for containers. 2023. Available at: https://attack.mitre.org/matrices/enterprise/containers/. Accessed on: 13 abr. 2025.
NIST. Application container security guide (SP 800-190). 2017. Available at: https://csrc.nist.gov/publications/detail/sp/800-190/final. Accessed on: 13 abr. 2025.
NVD. CVE-2019-5736. 2019. Available at: https://nvd.nist.gov/vuln/detail/CVE-2019-5736. Accessed on: 13 abr. 2025.
NVD. CVE-2022-0185. 2022. Available at: https://nvd.nist.gov/vuln/detail/CVE-2022-0185. Accessed on: 13 abr. 2025.
OPEN CONTAINER INITIATIVE. Runtime specification. 2022. Available at: https://github.com/opencontainers/runtime-spec. Accessed on: 13 abr. 2025.
PROMETHEUS. Monitoring system and time series database. 2023. Available at: https://prometheus.io/. Accessed on: 13 abr. 2025.
SHU, R. et al. Understanding security vulnerabilities in Docker images. In: ACM CCS, 2017. Available at: https://dl.acm.org/doi/10.1145/3133956.3134014. Accessed on: 13 abr. 2025.
SYSDIG. 2023 cloud-native security report. 2023. Available at: https://sysdig.com/resources/reports/. Accessed on: 13 abr. 2025.
VERIZON. Data breach investigations report 2023. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/. Accessed on: 13 abr. 2025.
ZHANG, Y. et al. Containers and the cloud: systematic study of security issues. In: USENIX Security Symposium, 2018. Available at: https://www.usenix.org/conference/usenixsecurity18. Accessed on: 13 abr. 2025.