WO2023282442A1 - 컨테이너 환경에서 프로파일 공유를 위한 설계 방법, 이를 수행하기 위한 기록 매체 및 장치 - Google Patents

컨테이너 환경에서 프로파일 공유를 위한 설계 방법, 이를 수행하기 위한 기록 매체 및 장치 Download PDF

Info

Publication number
WO2023282442A1
WO2023282442A1 PCT/KR2022/005015 KR2022005015W WO2023282442A1 WO 2023282442 A1 WO2023282442 A1 WO 2023282442A1 KR 2022005015 W KR2022005015 W KR 2022005015W WO 2023282442 A1 WO2023282442 A1 WO 2023282442A1
Authority
WO
WIPO (PCT)
Prior art keywords
profile
context
sensitive
developer
host
Prior art date
Application number
PCT/KR2022/005015
Other languages
English (en)
French (fr)
Inventor
정수환
차오녹투
단티엔북
곽송이
Original Assignee
숭실대학교 산학협력단
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 숭실대학교 산학협력단 filed Critical 숭실대학교 산학협력단
Priority to US17/877,073 priority Critical patent/US20230015726A1/en
Publication of WO2023282442A1 publication Critical patent/WO2023282442A1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/53—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by executing in a restricted environment, e.g. sandbox or secure virtual machine
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/604—Tools and structures for managing or administering access control systems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/2866—Architectures; Arrangements
    • H04L67/30—Profiles
    • H04L67/306—User profiles

Definitions

  • the present invention relates to a design method for sharing profiles in a container environment, and to a recording medium and apparatus for performing the same, and more particularly, to a safe and optimized environment for developers and hosts by using a context for developers and hosts. It relates to a technique for generating a final profile to provide.
  • image manifests and container scans are the main data.
  • container managers have used manifests to store image information such as layers, size, and digest.
  • the container manifest command makes it possible to know the information of the operating system and the structure of the image.
  • a container scan is used to provide a detailed scan report on a container image by providing the files used to create the image.
  • the security context defines permissions and access control settings for pods or containers deployed by the container host.
  • Security contexts are widely used in container orchestration projects like Kubernetes.
  • Patent Document 1 US 2018/0329693 A1
  • Patent Document 2 US 2012/0246317 A1
  • Patent Document 3 JP 6016984 B2
  • an object of the present invention is to provide a design method for optimized profile sharing by both a developer and a host in a container environment.
  • Another object of the present invention is to provide a recording medium on which a computer program for performing a design method for sharing an optimized profile by both a developer and a host in the container environment is recorded.
  • Another object of the present invention is to provide an apparatus for performing a design method for profile sharing optimized by both a developer and a host in the container environment.
  • a design method for sharing a profile in a container environment is a sensitive context defined as information related to a system-based access control or sandboxing policy for a profile provided by a developer. and extracting a non-sensitive context defined as information not related to security; extracting a sensitive context and a non-sensitive context for the profile provided by the host; importing a maximum configuration for sensitive and non-sensitive contexts from each image layer of the developer; and generating a final profile applied to deploy the container by merging the maximum configuration imported from the developer profile and the profile of the host.
  • a sensitive context in the step of generating the final profile, may be applied to a host policy, and a non-sensitive context may be expanded according to a developer's request.
  • the sensitive context of the final profile may be the minimum profile of the sensitive context of the host and the sensitive context of the developer.
  • the non-sensitive context of the final profile may be the non-sensitive context of the developer.
  • a computer program for performing a design method for sharing a profile in the container environment is recorded in a computer readable storage medium according to an embodiment for realizing another object of the present invention described above.
  • a design device for sharing a profile in a container environment is defined as information related to a system-based access control or sandboxing policy for a profile provided by a developer.
  • a developer context extraction unit for extracting a sensitive context and a non-sensitive context defined as information not related to security; a host context extractor extracting a sensitive context and a non-sensitive context for the profile provided by the host; a maximum configuration extractor for obtaining a maximum configuration for a sensitive context and a non-sensitive context from each image layer of the developer; and a final profile generation unit for generating a final profile applied to container distribution by merging the maximum configuration obtained from the developer profile with the profile of the host.
  • the final profile creation unit may apply a sensitive context to a host policy and expand a non-sensitive context according to a developer's request.
  • the sensitive context of the final profile may be the minimum profile of the sensitive context of the host and the sensitive context of the developer.
  • the non-sensitive context of the final profile may be the non-sensitive context of the developer.
  • an optimal environment can be provided to a developer and a host by creating a final profile based on a hierarchical model using a host profile (distribution profile) and a developer profile.
  • a host profile distributed profile
  • a developer profile a registered profile
  • more accurate analysis is possible through white-box analysis from the developer's point of view compared to the conventional black-box analysis method.
  • the host since the host still has its own profile, the host can apply its own security and isolation policies to the developer profile to ensure that the container is constrained by the security context.
  • FIG. 1 is a block diagram of a design device for sharing a profile in a container environment according to an embodiment of the present invention.
  • FIG. 2 is a block diagram of the developer context extraction unit of FIG. 1 .
  • FIG. 3 is a conceptual diagram showing a profile sharing model for a container environment according to the present invention.
  • FIG. 4 is a diagram showing a container design according to the present invention.
  • FIG. 5 is a flowchart of a design method for sharing a profile in a container environment according to an embodiment of the present invention.
  • FIG. 1 is a block diagram of a design device for sharing a profile in a container environment according to an embodiment of the present invention.
  • the design device (10, hereinafter) for profile sharing in a container environment creates a final profile to provide a safe and optimized environment to the developer and host using the context of the developer and host. applied to the container.
  • an apparatus 10 includes a developer context extractor 110, a host context extractor 130, a maximum configuration extractor 150, and a final profile generator 170.
  • software for designing for profile sharing in a container environment may be installed and executed, and the developer context extractor 110, the host context extractor 130, Configurations of the maximum configuration extractor 150 and the final profile generator 170 may be controlled by software for designing for profile sharing in the container environment executed in the device 10 .
  • the device 10 may be a separate terminal or a part of a module of the terminal.
  • the developer context extractor 110, the host context extractor 130, the maximum configuration extractor 150, and the final profile generator 170 are configured as an integrated module or as one or more modules. It can be done. However, on the contrary, each component may be composed of a separate module.
  • the device 10 may be mobile or stationary.
  • the apparatus 10 may be in the form of a server or engine, and may be a device, an apparatus, a terminal, a user equipment (UE), a mobile station (MS), or a wireless device. It can be called by other terms such as wireless device, handheld device, etc.
  • the device 10 may execute or manufacture various software based on an operating system (OS), that is, a system.
  • OS operating system
  • the operating system is a system program for enabling software to use the hardware of the device, and is a mobile computer operating system such as Android OS, iOS, Windows mobile OS, Bada OS, Symbian OS, Blackberry OS, and Windows-based, Linux-based, Unix-based, It can include all computer operating systems such as MAC, AIX, and HP-UX.
  • OS operating system
  • the operating system is a system program for enabling software to use the hardware of the device, and is a mobile computer operating system such as Android OS, iOS, Windows mobile OS, Bada OS, Symbian OS, Blackberry OS, and Windows-based, Linux-based, Unix-based, It can include all computer operating systems such as MAC, AIX, and HP-UX.
  • the developer context extractor 110 extracts a sensitive context and a non-sensitive context for a profile provided by a developer.
  • a developer (development) profile represents a recommended non-sensitive security and resource context. Development profiles are provided by container image providers.
  • sensitive context may be defined as information related to system-based access control or sandboxing policy
  • non-sensitive context may be defined as information not related to security
  • CAP_SYS_TRACE capabilities that can be described in a profile, such as CAP_SYS_TRACE. If the container image provides the tracking function, it is a very normal behavior to request the SYS_TRACE function, so it should be determined that this type of image is not sensitive to the function called SYS_TRACE. However, it is rare for applications such as web servers to request this type of functionality.
  • a sensitive context could be a system-based access control (capability model, seccomp, Mandatory Access Control (MAC) rules) or a sandboxing policy (namespace, device-based cgroup policy, etc.) there is.
  • non-sensitive context may mean information that is not related to security, such as CPU and memory.
  • criteria for distinguishing sensitive contexts from non-sensitive contexts may be differently defined according to system policies, user needs, and the like, and may be changed and updated.
  • the developer context extractor 110 includes a sensitive context extractor 111 that extracts a context sensitive to the developer's profile and an insensitive context extractor that extracts a context that is not sensitive to the developer's profile. Part 113 may be included.
  • the host context extractor 130 extracts a sensitive context and a non-sensitive context for the profile provided by the host.
  • a host (deployment) profile represents the security and resource contexts a host can assign to a particular container.
  • a sensitive context extractor for extracting a context sensitive to the profile provided by the host and a non-sensitive context extractor for extracting a non-sensitive context may be included.
  • criteria for distinguishing sensitive contexts from non-sensitive contexts may be differently defined according to system policies, user needs, and the like, and may be changed and updated.
  • the host's sensitive context is , and the insensitive context of the host is is defined as
  • the maximum configuration extractor 150 retrieves a maximum configuration for a sensitive context and a non-sensitive context from each image layer of a developer.
  • a container consists of a collection of different image layers.
  • each layer has its own security and resource profiles.
  • n is the number of layers of the developer image.
  • the final profile generating unit 170 merges the maximum configuration obtained from the developer profile and the host profile to create a final profile applied to container distribution.
  • the final profile applies sensitive context to the host policy and extends non-sensitive context to suit the developer's needs.
  • the final profile class is defined as here, means a sensitive context and an insensitive context for the final profile.
  • a final profile is generated by the model of the present invention from the host profile provided from the host context extractor 130 and the developer profile provided from the maximum configuration extractor 150 .
  • the final profile thus created is applied to deploying containers to ensure proper isolation and security.
  • Docker and other containers are supposed to apply a context to the container.
  • Trusted image developers can provide profiles for images, and hosts can deploy containers and apply policies as follows:
  • the host needs to know which parts of its system are safe. To do this, the host needs to know the types of services included in the image (provided by a trusted developer), based on which the final profile can be created.
  • the host will remove all irrelevant options (to provide at least sensitive contexts). For non-sensitive contexts, the host will do its best to satisfy the request.
  • the host will provide 200 MB (the host's maximum), but if the host can host more than 300 MB, the developer will distribute the image with the 300 MB defined by .
  • the developer and host work together to provide a safe and optimized environment.
  • the developer is responsible for the analysis in their environment to provide a profile (white box analysis).
  • the developer's profile is merged with the host's profile to create a final profile optimized by both the developer and host.
  • white-box analysis on the developer side is more accurate than black-box analysis on the host. Also, since the host still has its own profile, the host can apply its own security and isolation policies to the developer profile to ensure that containers are constrained by the security context.
  • Table 1 below shows the difference between the existing model and the model proposed in the present invention.
  • the present invention can provide an optimal environment for a developer and a host by creating a final profile based on a hierarchical model using a host profile (distribution profile) and a developer profile.
  • a host profile distributed profile
  • a developer profile a registered profile
  • more accurate analysis is possible through white-box analysis from the developer's point of view compared to the conventional black-box analysis method.
  • the host since the host still has its own profile, the host can apply its own security and isolation policies to the developer profile to ensure that the container is constrained by the security context.
  • FIG. 5 is a flowchart of a design method for sharing a profile in a container environment according to an embodiment of the present invention.
  • the design method for sharing a profile in a container environment may be performed in substantially the same configuration as the device 10 of FIG. 1 . Accordingly, components identical to those of the apparatus 10 of FIG. 1 are given the same reference numerals, and repeated descriptions are omitted.
  • design method for profile sharing in a container environment may be executed by software (application) for designing for profile sharing in a container environment.
  • the present invention creates a final profile for providing a safe and optimized environment to the developer and the host by using the context of the developer and the host, and applies it to the container.
  • step S10 in the design method for profile sharing in a container environment according to the present embodiment, sensitive contexts and non-sensitive contexts are first extracted for a profile provided by a developer (step S10).
  • a developer (development) profile represents a recommended non-sensitive security and resource context. Development profiles are provided by container image providers.
  • sensitive context may be defined as information related to system-based access control or sandboxing policy
  • non-sensitive context may be defined as information not related to security
  • criteria for distinguishing sensitive contexts from non-sensitive contexts may be differently defined according to system policies, user needs, and the like, and may be changed and updated.
  • a sensitive context and a non-sensitive context are extracted for the profile provided by the host (step S30).
  • a host (deployment) profile represents the security and resource contexts a host can assign to a particular container.
  • the criterion for distinguishing a sensitive context from a non-sensitive context may be defined differently according to a system policy, a user's need, and the like, and may be changed and updated.
  • a maximum configuration for sensitive and non-sensitive contexts is obtained from each image layer of the developer (step S50).
  • each layer has its own security and resource profiles.
  • step S70 The maximum configuration obtained from the developer profile and the host profile are merged to create a final profile applied to deploy the container.
  • the model of FIG. 4 may be applied.
  • the final profile applies sensitive context to the host policy and extends non-sensitive context to suit the developer's needs.
  • the sensitive context of the final profile may be the smallest of the sensitive context of the host and the sensitive context of the developer, and the non-sensitive context of the final profile may be the non-sensitive context of the developer.
  • the host will remove all irrelevant options (to provide at least sensitive contexts). For non-sensitive contexts, the host will do its best to satisfy the request.
  • the host will provide 200 MB (the host's maximum), but if the host can host more than 300 MB, the developer will distribute the image with the 300 MB defined by .
  • the developer and host work together to provide a safe and optimized environment.
  • the developer is responsible for the analysis in their environment to provide a profile (white box analysis).
  • the developer's profile is merged with the host's profile to create a final profile optimized by both the developer and host.
  • white-box analysis on the developer side is more accurate than black-box analysis on the host. Also, since the host still has its own profile, the host can apply its own security and isolation policies to the developer profile to ensure that containers are constrained by the security context.
  • Such a design method for sharing profiles in a container environment may be implemented as an application or implemented in the form of program instructions that can be executed through various computer components and recorded on a computer-readable recording medium.
  • the computer readable recording medium may include program instructions, data files, data structures, etc. alone or in combination.
  • Program instructions recorded on the computer-readable recording medium may be those specially designed and configured for the present invention, or those known and usable to those skilled in the art of computer software.
  • Examples of computer-readable recording media include magnetic media such as hard disks, floppy disks and magnetic tapes, optical recording media such as CD-ROMs and DVDs, and magneto-optical media such as floptical disks. media), and hardware devices specially configured to store and execute program instructions, such as ROM, RAM, flash memory, and the like.
  • Examples of program instructions include high-level language codes that can be executed by a computer using an interpreter or the like as well as machine language codes such as those produced by a compiler.
  • the hardware device may be configured to act as one or more software modules to perform processing according to the present invention and vice versa.
  • the present invention provides an optimal environment for developers and hosts by creating a final profile based on a hierarchical model using a host profile (distribution profile) and a developer profile. Therefore, it can be usefully used in Docker manifest option optimization tools, etc.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Databases & Information Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Automation & Control Theory (AREA)
  • Stored Programmes (AREA)

Abstract

컨테이너 환경에서 프로파일 공유를 위한 설계 방법은, 개발자가 제공하는 프로파일에 대해 시스템 기반의 접근 제어 또는 샌드박싱 정책에 관련된 정보로 정의되는 민감한 컨텍스트 및 보안과 관련되지 않은 정보로 정의되는 민감하지 않은 컨텍스트를 추출하는 단계; 호스트가 제공하는 프로파일에 대해 민감한 컨텍스트 및 민감하지 않은 컨텍스트를 추출하는 단계; 개발자의 각 이미지 레이어로부터 민감한 컨텍스트 및 민감하지 않은 컨텍스트에 대한 최대구성(max configuration)을 가져오는 단계; 및 개발자 프로파일에서 가져온 최대구성과 호스트의 프로파일을 병합하여 컨테이너를 배포하는데 적용되는 최종 프로파일을 생성하는 단계;를 포함한다. 이에 따라, 호스트 프로파일과 개발자 프로파일을 이용하여 계층모델에 의한 최종 프로파일을 생성함으로써, 개발자와 호스트에 최적의 환경을 제공할 수 있다.

Description

컨테이너 환경에서 프로파일 공유를 위한 설계 방법, 이를 수행하기 위한 기록 매체 및 장치
본 발명은 컨테이너 환경에서 프로파일 공유를 위한 설계 방법, 이를 수행하기 위한 기록 매체 및 장치에 관한 것으로서, 더욱 상세하게는 개발자와 호스트에 대한 컨텍스트(context)를 이용하여 개발자와 호스트에게 안전하고 최적화된 환경을 제공하기 위한 최종 프로파일을 생성하는 기술에 관한 것이다.
이미지 분석 관련 연구에 있어 이미지 매니페스트 및 컨테이너 스캔은 주요한 자료이다. 지금까지 컨테이너 관리자는 레이어, 크기, 다이제스트와 같은 이미지 정보를 저장하기 위해 매니페스트를 사용했다. 또한, 컨테이너 매니페스트 명령은 운영체제의 정보와 이미지의 구조를 알 수 있게 한다.
컨테이너 스캔은 이미지를 만드는데 사용된 파일을 제공함으로써 컨테이너 이미지에 대한 상세한 스캔 보고서를 제공하기 위해 사용된다.
한편, 보안 컨텍스트는 컨테이너 호스트에 의해 배포되는 포드 또는 컨테이너에 대한 권한과 접근 제어 설정을 정의한다. 보안 컨텍스트는 쿠버네티스와 같은 컨테이너 오케스트레이션 프로젝트에서 널리 사용된다.
종래기술에서 보안 컨텍스트와 컨테이너 설정은 호스트에서 정의되고 분석되었다. 그러나, 개발 그룹은 단순히 대상 애플리케이션을 포함하는 이미지를 제공하는 것에 그쳤다. 또한, 기존의 설계에서 호스트는 안전하고 최적화된 프로파일을 제공하기 위해 개발자의 환경에 대해 블랙박스 분석을 수행해야만 한다.
[선행기술문헌]
[특허문헌]
(특허문헌 1) US 2018/0329693 A1
(특허문헌 2) US 2012/0246317 A1
(특허문헌 3) JP 6016984 B2
이에, 본 발명의 기술적 과제는 이러한 점에서 착안된 것으로 본 발명의 목적은 컨테이너 환경에서 개발자와 호스트 양쪽에 의해 최적화된 프로파일 공유를 위한 설계 방법을 제공하는 것이다.
본 발명의 다른 목적은 상기 컨테이너 환경에서 개발자와 호스트 양쪽에 의해 최적화된 프로파일 공유를 위한 설계 방법을 수행하기 위한 컴퓨터 프로그램이 기록된 기록 매체를 제공하는 것이다.
본 발명의 또 다른 목적은 상기 컨테이너 환경에서 개발자와 호스트 양쪽에 의해 최적화된 프로파일 공유를 위한 설계 방법을 수행하기 위한 장치를 제공하는 것이다.
상기한 본 발명의 목적을 실현하기 위한 일 실시예에 따른 컨테이너 환경에서 프로파일 공유를 위한 설계 방법은, 개발자가 제공하는 프로파일에 대해 시스템 기반의 접근 제어 또는 샌드박싱 정책에 관련된 정보로 정의되는 민감한 컨텍스트 및 보안과 관련되지 않은 정보로 정의되는 민감하지 않은 컨텍스트를 추출하는 단계; 호스트가 제공하는 프로파일에 대해 민감한 컨텍스트 및 민감하지 않은 컨텍스트를 추출하는 단계; 개발자의 각 이미지 레이어로부터 민감한 컨텍스트 및 민감하지 않은 컨텍스트에 대한 최대구성(max configuration)을 가져오는 단계; 및 개발자 프로파일에서 가져온 최대구성과 호스트의 프로파일을 병합하여 컨테이너를 배포하는데 적용되는 최종 프로파일을 생성하는 단계;를 포함한다.
본 발명의 실시예에서, 상기 최종 프로파일을 생성하는 단계는, 호스트 정책에 민감한 컨텍스트를 적용하며, 개발자의 요구에 따라 민감하지 않은 컨텍스트를 확장할 수 있다.
본 발명의 실시예에서, 최종 프로파일의 민감한 컨텍스트는 호스트의 민감한 컨텍스트와 개발자의 민감한 컨텍스트 중 최소 프로파일일 수 있다.
본 발명의 실시예에서, 최종 프로파일의 민감하지 않은 컨텍스트는 개발자의 민감하지 않은 컨텍스트일 수 있다.
상기한 본 발명의 다른 목적을 실현하기 위한 일 실시예에 따른 컴퓨터로 판독 가능한 저장 매체에는, 상기 컨테이너 환경에서 프로파일 공유를 위한 설계 방법을 수행하기 위한 컴퓨터 프로그램이 기록되어 있다.
상기한 본 발명의 또 다른 목적을 실현하기 위한 일 실시예에 따른 컨테이너 환경에서 프로파일 공유를 위한 설계 장치는, 개발자가 제공하는 프로파일에 대해 시스템 기반의 접근 제어 또는 샌드박싱 정책에 관련된 정보로 정의되는 민감한 컨텍스트 및 보안과 관련되지 않은 정보로 정의되는 민감하지 않은 컨텍스트를 추출하는 개발자 컨텍스트 추출부; 호스트가 제공하는 프로파일에 대해 민감한 컨텍스트 및 민감하지 않은 컨텍스트를 추출하는 호스트 컨텍스트 추출부; 개발자의 각 이미지 레이어로부터 민감한 컨텍스트 및 민감하지 않은 컨텍스트에 대한 최대구성(max configuration)을 가져오는 최대구성 추출부; 및 개발자 프로파일에서 가져온 최대구성과 호스트의 프로파일을 병합하여 컨테이너를 배포하는데 적용되는 최종 프로파일을 생성하는 최종 프로파일 생성부;를 포함한다.
본 발명의 실시예에서, 상기 최종 프로파일 생성부는, 호스트 정책에 민감한 컨텍스트를 적용하며, 개발자의 요구에 따라 민감하지 않은 컨텍스트를 확장할 수 있다.
본 발명의 실시예에서, 최종 프로파일의 민감한 컨텍스트는 호스트의 민감한 컨텍스트와 개발자의 민감한 컨텍스트 중 최소 프로파일일 수 있다.
본 발명의 실시예에서, 최종 프로파일의 민감하지 않은 컨텍스트는 개발자의 민감하지 않은 컨텍스트일 수 있다.
이와 같은 컨테이너 환경에서 프로파일 공유를 위한 설계 방법에 따르면, 호스트 프로파일(배포 프로파일)과 개발자 프로파일을 이용하여 계층모델에 의한 최종 프로파일을 생성함으로써, 개발자와 호스트에 최적의 환경을 제공할 수 있다. 또한, 종래의 블랙박스 분석 방식에 비해 개발자 측면에서의 화이트 박스 분석으로 더욱 정확한 분석이 가능하다.
나아가, 호스트가 자신의 프로파일을 계속 보유하고 있기 때문에 컨테이너가 보안 컨텍스트에 의해 제한되도록 하기 위해 호스트는 자체 보안 및 격리 정책을 개발자 프로파일에 적용할 수 있다.
도 1은 본 발명의 일 실시예에 따른 컨테이너 환경에서 프로파일 공유를 위한 설계 장치의 블록도이다.
도 2는 도 1의 개발자 컨텍스트 추출부의 블록도이다.
도 3은 본 발명에 따른 컨테이너 환경에 대한 프로파일 공유 모델을 보여주는 개념도이다.
도 4는 본 발명에 따른 컨테이너 설계를 보여주는 도면이다.
도 5는 본 발명의 일 실시예에 따른 컨테이너 환경에서 프로파일 공유를 위한 설계 방법의 흐름도이다.
후술하는 본 발명에 대한 상세한 설명은, 본 발명이 실시될 수 있는 특정 실시예를 예시로서 도시하는 첨부 도면을 참조한다. 이들 실시예는 당업자가 본 발명을 실시할 수 있기에 충분하도록 상세히 설명된다. 본 발명의 다양한 실시예는 서로 다르지만 상호 배타적일 필요는 없음이 이해되어야 한다. 예를 들어, 여기에 기재되어 있는 특정 형상, 구조 및 특성은 일 실시예에 관련하여 본 발명의 정신 및 범위를 벗어나지 않으면서 다른 실시예로 구현될 수 있다. 또한, 각각의 개시된 실시예 내의 개별 구성요소의 위치 또는 배치는 본 발명의 정신 및 범위를 벗어나지 않으면서 변경될 수 있음이 이해되어야 한다. 따라서, 후술하는 상세한 설명은 한정적인 의미로서 취하려는 것이 아니며, 본 발명의 범위는, 적절하게 설명된다면, 그 청구항들이 주장하는 것과 균등한 모든 범위와 더불어 첨부된 청구항에 의해서만 한정된다. 도면에서 유사한 참조부호는 여러 측면에 걸쳐서 동일하거나 유사한 기능을 지칭한다.
이하, 도면들을 참조하여 본 발명의 바람직한 실시예들을 보다 상세하게 설명하기로 한다.
도 1은 본 발명의 일 실시예에 따른 컨테이너 환경에서 프로파일 공유를 위한 설계 장치의 블록도이다.
본 발명에 따른 컨테이너 환경에서 프로파일 공유를 위한 설계 장치(10, 이하 장치)는 개발자와 호스트에 대한 컨텍스트(context)를 이용하여 개발자와 호스트에게 안전하고 최적화된 환경을 제공하기 위한 최종 프로파일을 생성하여 컨테이너에 적용한다.
도 1을 참조하면, 본 발명에 따른 장치(10)는 개발자 컨텍스트 추출부(110), 호스트 컨텍스트 추출부(130), 최대구성 추출부(150) 및 최종 프로파일 생성부(170)를 포함한다.
본 발명의 상기 장치(10)는 컨테이너 환경에서 프로파일 공유를 위한 설계를 수행하기 위한 소프트웨어(애플리케이션)가 설치되어 실행될 수 있으며, 상기 개발자 컨텍스트 추출부(110), 상기 호스트 컨텍스트 추출부(130), 상기 최대구성 추출부(150) 및 상기 최종 프로파일 생성부(170)의 구성은 상기 장치(10)에서 실행되는 상기 컨테이너 환경에서 프로파일 공유를 위한 설계를 수행하기 위한 소프트웨어에 의해 제어될 수 있다.
상기 장치(10)는 별도의 단말이거나 또는 단말의 일부 모듈일 수 있다. 또한, 상기 개발자 컨텍스트 추출부(110), 상기 호스트 컨텍스트 추출부(130), 상기 최대구성 추출부(150) 및 상기 최종 프로파일 생성부(170)의 구성은 통합 모듈로 형성되거나, 하나 이상의 모듈로 이루어 질 수 있다. 그러나, 이와 반대로 각 구성은 별도의 모듈로 이루어질 수도 있다.
상기 장치(10)는 이동성을 갖거나 고정될 수 있다. 상기 장치(10)는, 서버(server) 또는 엔진(engine) 형태일 수 있으며, 디바이스(device), 기구(apparatus), 단말(terminal), UE(user equipment), MS(mobile station), 무선기기(wireless device), 휴대기기(handheld device) 등 다른 용어로 불릴 수 있다.
상기 장치(10)는 운영체제(Operation System; OS), 즉 시스템을 기반으로 다양한 소프트웨어를 실행하거나 제작할 수 있다. 상기 운영체제는 소프트웨어가 장치의 하드웨어를 사용할 수 있도록 하기 위한 시스템 프로그램으로서, 안드로이드 OS, iOS, 윈도우 모바일 OS, 바다 OS, 심비안 OS, 블랙베리 OS 등 모바일 컴퓨터 운영체제 및 윈도우 계열, 리눅스 계열, 유닉스 계열, MAC, AIX, HP-UX 등 컴퓨터 운영체제를 모두 포함할 수 있다.
상기 개발자 컨텍스트 추출부(110)는 개발자가 제공하는 프로파일에 대해 민감한 컨텍스트 및 민감하지 않은 컨텍스트를 추출한다.
개발자(개발) 프로파일은 권고된 민감하지 않은 보안 및 리소스 컨텍스트를 나타낸다. 개발 프로파일은 컨테이너 이미지 제공자에 의해 제공된다.
예를 들어, 민감한 컨텍스트는 시스템 기반의 접근 제어 또는 샌드박싱 정책에 관련된 정보로 정의될 수 있고, 민감하지 않은 컨텍스트는 보안과 관련되지 않은 정보로 정의될 수 있다.
예를 들어, CAP_SYS_TRACE와 같이 프로파일에 기재될 수 있는 기능(capabilities)이 있다. 해당 컨테이너 이미지가 추적 기능을 제공하는 경우 SYS_TRACE 기능을 요청하는 것은 매우 정상적인 행위이므로, 이러한 이미지 유형의 경우 SYS_TRACE라는 기능에는 민감하지 않다고 판단되어야 한다. 그러나, 웹 서버 같은 응용 프로그램에서 이러한 유형의 기능을 요청하는 것은 드문 경우에 속한다.
다른 예로, seccomp 프로파일이 있다. 도커(Docker)는 컨테이너에 해를 끼치지 않는(정상적인, 허가된) 시스템 콜 목록을 제공하게 되는데, 모든 시스템 콜이 응용 프로그램과 직접적으로 관련된 것은 아니다.
따라서, 민감한 컨텍스트라고 하는 것은 시스템 기반의 접근 제어(capability model, seccomp, 강제적 접근 통제(Mandatory Access Control, MAC) 규칙) 또는 샌드박싱 정책(네임스페이스(namespace), 장치 기반 cgroup 정책 등)이 될 수 있다. 반대로, 민감하지 않은 컨텍스트라는 것은 CPU, 메모리 같은 보안과 관련되지 않은 정보를 의미할 수 있다.
그러나, 민감한 컨텍스트 및 민감하지 않은 컨텍스트에 대한 구별 기준은 시스템 정책, 사용자의 필요성 등에 의해 다르게 정의될 수 있고, 변경 및 업데이트가 가능하다.
도 2를 참조하면, 상기 개발자 컨텍스트 추출부(110)는 개발자의 프로파일에 대해 민감한 컨텍스트를 추출하는 민감한 컨텍스트 추출부(111) 및 개발자의 프로파일에 대해 민감하지 않은 컨텍스트를 추출하는 민감하지 않은 컨텍스트 추출부(113)를 포함할 수 있다.
이하에서는 개발자의 민감한 컨텍스트에 대해
Figure PCTKR2022005015-appb-I000001
로 정의하고, 민감하지 않은 컨텍스트에 대해
Figure PCTKR2022005015-appb-I000002
로 정의한다.
상기 호스트 컨텍스트 추출부(130)는 호스트가 제공하는 프로파일에 대해 민감한 컨텍스트 및 민감하지 않은 컨텍스트를 추출한다.
호스트(배포) 프로파일은 호스트가 특정 컨테이너에 배정할 수 있는 보안 및 리소스 컨텍스트를 나타낸다.
마찬가지로, 호스트가 제공하는 프로파일에 대해 민감한 컨텍스트를 추출하는 민감한 컨텍스트 추출부 및 민감하지 않은 컨텍스트를 추출하는 민감하지 않은 컨텍스트 추출부를 포함할 수 있다.
또한, 민감한 컨텍스트 및 민감하지 않은 컨텍스트에 대한 구별 기준은 시스템 정책, 사용자의 필요성 등에 의해 다르게 정의될 수 있고, 변경 및 업데이트가 가능하다.
이하에서는, 호스트의 민감한 컨텍스트는
Figure PCTKR2022005015-appb-I000003
로 정의하고, 호스트의 민감하지 않은 컨텍스트는
Figure PCTKR2022005015-appb-I000004
로 정의한다.
상기 최대구성 추출부(150)는 개발자의 각 이미지 레이어로부터 민감한 컨텍스트 및 민감하지 않은 컨텍스트에 대한 최대 구성(max configuration)을 가져온다.
도 3을 참조하면, 개발 프로파일과 배포 프로파일의 구조를 보여준다. 컨테이너는 다양한 이미지 레이어의 모음으로 구성된다. 프로파일 공유 모델에서 각각의 레이어는 자신만의 보안 및 리소스 프로파일을 가진다.
개발자의 민감한 컨텍스트에 대해
Figure PCTKR2022005015-appb-I000005
로 정의하고, 이와 비슷하게, 개발자의 민감하지 않은 컨텍스트에 대해
Figure PCTKR2022005015-appb-I000006
로 정의한다. 여기서, n은 개발자 이미지의 레이어 수이다.
상기 최종 프로파일 생성부(170)는 개발자 프로파일에서 가져온 최대구성과 호스트의 프로파일을 병합하여 컨테이너를 배포하는데 적용되는 최종 프로파일을 생성한다.
최종 프로파일은 호스트 정책에 민감한 컨텍스트를 적용하고 개발자의 요구에 맞게 민감하지 않은 컨텍스트를 확장한다.
최종 프로파일은
Figure PCTKR2022005015-appb-I000007
과
Figure PCTKR2022005015-appb-I000008
으로 정의된다. 여기서,
Figure PCTKR2022005015-appb-I000009
은 최종 프로파일에 대해 민감한 컨텍스트와 민감하지 않은 컨텍스트를 의미한다.
도 4를 참조하면, 상기 호스트 컨텍스트 추출부(130)로부터 제공된 호스트 프로파일과 상기 최대구성 추출부(150)로부터 제공된 개발자 프로파일로부터 본 발명의 모델에 의해 최종 프로파일이 생성된다.
이렇게 생성된 최종 프로파일은 적절한 격리 및 보안을 보장하기 위해 컨테이너를 배포하는 데에 적용된다.
도커나 다른 컨테이너들은 컨테이너에 컨텍스트를 적용하게 되어 있다. 신뢰할 수 있는 이미지(trusted image) 개발자는 이미지에 대한 프로파일을 제공할 수 있고, 호스트는 다음과 같이 컨테이너를 배포하고 정책을 적용할 수 있다.
아래는 커맨드 예제이며, --security-opt라는 옵션을 통해 보안 옵션을 지정할 수 있고, 따라서 뒤에 seccomp 등으로 프로파일을 적용해 보안을 제공할 수 있다.
[ docker run -d --security-opt seccomp=<> ]
상기에서는 실제로 어떻게 프로파일을 적용하는지를 설명하였으나, 이렇게 함으로써 호스트가 자신의 시스템에 어떤 부분이 안전한지 알아야 한다. 이를 위해, 호스트는 이미지(신뢰할 수 있는 개발자가 제공)에 포함된 서비스 유형을 알아야 하는데, 이를 바탕으로 최종 프로파일을 만들 수 있다.
즉, 민감한 컨텍스트의 경우 호스트가 관련 없는 모든 옵션(최소한의 민감한 컨텍스트를 제공하기 위해)을 제거하게 된다. 민감하지 않은 컨텍스트의 경우 호스트는 요청을 충족시키기 위해 최대한으로 제공하게 된다.
예를 들어, 이미지에 300 MB가 필요한 반면, 호스트가 200 MB의 메모리 밖에 제공할 수 없는 경우 호스트는 200 MB를 제공하겠지만(호스트의 최대), 호스트가 300 MB 이상을 호스팅할 수 있는 경우에는 개발자가 정의한 300 MB로 이미지를 배포하게 된다.
본 발명에서 제안된 모델에서, 개발자와 호스트는 안전하고 최적화된 환경을 제공하기 위해 함께 동작한다. 구체적으로, 개발자는 프로파일을 제공하기 위해 그들의 환경에서 분석할 책임(화이트 박스 분석)을 진다. 개발자의 프로파일은 호스트의 프로파일과 병합되어 개발자와 호스트 양쪽에 의해 최적화된 최종 프로파일을 생성한다.
기존의 접근 방식에 비해 개발자 측면에서의 화이트 박스 분석은 호스트에서의 블랙박스 분석보다 더 정확하다. 또한, 호스트가 자신의 프로파일을 계속 보유하고 있기 때문에 컨테이너가 보안 컨텍스트에 의해 제한되도록 하기 위해 호스트는 자체 보안 및 격리 정책을 개발자 프로파일에 적용할 수 있다.
아래의 표 1은 기존의 모델과 본 발명에서 제안된 모델의 차이점을 보여준다.
비교 사항 기존 모델 제안된 모델
분석 방법 블랙박스 분석 화이트박스 분석
보안 책임 호스트 호스트 및 개발자
최적화 방법 호스트에 의한 분석 및 최적화 개발자에 의한 프로파일 생성과 분석 및 포스트에 의한 정책 강화
보안 프로파일링(seccomp 규칙) 블랙박스 분석을 제외하고 동일 개발자에 의한 정의 및 호스트에 의한 제한
보안 위험 불필요한 시스템 콜이나 디바이스를 제공 개발자에 의해 선언된 시스템 콜이나 장치만 제공
컨테이너 이해 운영체제, 아키텍처의 기본적인 매니페스트만 제공 개발자 프로파일로부터 더 나은 이해 제공 가능
이와 같이, 본 발명은 호스트 프로파일(배포 프로파일)과 개발자 프로파일을 이용하여 계층모델에 의한 최종 프로파일을 생성함으로써, 개발자와 호스트에 최적의 환경을 제공할 수 있다. 또한, 종래의 블랙박스 분석 방식에 비해 개발자 측면에서의 화이트 박스 분석으로 더욱 정확한 분석이 가능하다.
나아가, 호스트가 자신의 프로파일을 계속 보유하고 있기 때문에 컨테이너가 보안 컨텍스트에 의해 제한되도록 하기 위해 호스트는 자체 보안 및 격리 정책을 개발자 프로파일에 적용할 수 있다.
도 5는 본 발명의 일 실시예에 따른 컨테이너 환경에서 프로파일 공유를 위한 설계 방법의 흐름도이다.
본 실시예에 따른 컨테이너 환경에서 프로파일 공유를 위한 설계 방법은, 도 1의 장치(10)와 실질적으로 동일한 구성에서 진행될 수 있다. 따라서, 도 1의 장치(10)와 동일한 구성요소는 동일한 도면부호를 부여하고, 반복되는 설명은 생략한다.
또한, 본 실시예에 따른 컨테이너 환경에서 프로파일 공유를 위한 설계 방법은 컨테이너 환경에서 프로파일 공유를 위한 설계를 수행하기 위한 소프트웨어(애플리케이션)에 의해 실행될 수 있다.
본 발명은 개발자와 호스트에 대한 컨텍스트(context)를 이용하여 개발자와 호스트에게 안전하고 최적화된 환경을 제공하기 위한 최종 프로파일을 생성하여 컨테이너에 적용한다.
도 5를 참조하면, 본 실시예에 따른 컨테이너 환경에서 프로파일 공유를 위한 설계 방법은, 먼저 개발자가 제공하는 프로파일에 대해 민감한 컨텍스트 및 민감하지 않은 컨텍스트를 추출한다(단계 S10).
개발자(개발) 프로파일은 권고된 민감하지 않은 보안 및 리소스 컨텍스트를 나타낸다. 개발 프로파일은 컨테이너 이미지 제공자에 의해 제공된다.
예를 들어, 민감한 컨텍스트는 시스템 기반의 접근 제어 또는 샌드박싱 정책에 관련된 정보로 정의될 수 있고, 민감하지 않은 컨텍스트는 보안과 관련되지 않은 정보로 정의될 수 있다.
그러나, 민감한 컨텍스트 및 민감하지 않은 컨텍스트에 대한 구별 기준은 시스템 정책, 사용자의 필요성 등에 의해 다르게 정의될 수 있고, 변경 및 업데이트가 가능하다.
호스트가 제공하는 프로파일에 대해 민감한 컨텍스트 및 민감하지 않은 컨텍스트를 추출한다(단계 S30).
호스트(배포) 프로파일은 호스트가 특정 컨테이너에 배정할 수 있는 보안 및 리소스 컨텍스트를 나타낸다. 마찬가지로, 민감한 컨텍스트 및 민감하지 않은 컨텍스트에 대한 구별 기준은 시스템 정책, 사용자의 필요성 등에 의해 다르게 정의될 수 있고, 변경 및 업데이트가 가능하다.
개발자의 각 이미지 레이어로부터 민감한 컨텍스트 및 민감하지 않은 컨텍스트에 대한 최대구성(max configuration)을 가져온다(단계 S50).
도 3을 참조하면, 개발 프로파일과 배포 프로파일의 구조를 보여주며, 컨테이너는 다양한 이미지 레이어의 모음으로 구성된다. 프로파일 공유 모델에서 각각의 레이어는 자신만의 보안 및 리소스 프로파일을 가진다.
개발자 프로파일에서 가져온 최대구성과 호스트의 프로파일을 병합하여 컨테이너를 배포하는데 적용되는 최종 프로파일을 생성한다(단계 S70). 이때, 도 4의 모델을 적용할 수 있다.
최종 프로파일은 호스트 정책에 민감한 컨텍스트를 적용하고 개발자의 요구에 맞게 민감하지 않은 컨텍스트를 확장한다.
이에 따라, 최종 프로파일의 민감한 컨텍스트는 호스트의 민감한 컨텍스트와 개발자의 민감한 컨텍스트 중 최소 프로파일일 수 있고, 최종 프로파일의 민감하지 않은 컨텍스트는 개발자의 민감하지 않은 컨텍스트일 수 있다.
민감한 컨텍스트의 경우 호스트가 관련 없는 모든 옵션(최소한의 민감한 컨텍스트를 제공하기 위해)을 제거하게 된다. 민감하지 않은 컨텍스트의 경우 호스트는 요청을 충족시키기 위해 최대한으로 제공하게 된다.
예를 들어, 이미지에 300 MB가 필요한 반면, 호스트가 200 MB의 메모리 밖에 제공할 수 없는 경우 호스트는 200 MB를 제공하겠지만(호스트의 최대), 호스트가 300 MB 이상을 호스팅할 수 있는 경우에는 개발자가 정의한 300 MB로 이미지를 배포하게 된다.
본 발명에서 제안된 모델에서, 개발자와 호스트는 안전하고 최적화된 환경을 제공하기 위해 함께 동작한다. 구체적으로, 개발자는 프로파일을 제공하기 위해 그들의 환경에서 분석할 책임(화이트 박스 분석)을 진다. 개발자의 프로파일은 호스트의 프로파일과 병합되어 개발자와 호스트 양쪽에 의해 최적화된 최종 프로파일을 생성한다.
기존의 접근 방식에 비해 개발자 측면에서의 화이트 박스 분석은 호스트에서의 블랙박스 분석보다 더 정확하다. 또한, 호스트가 자신의 프로파일을 계속 보유하고 있기 때문에 컨테이너가 보안 컨텍스트에 의해 제한되도록 하기 위해 호스트는 자체 보안 및 격리 정책을 개발자 프로파일에 적용할 수 있다.
이와 같은, 컨테이너 환경에서 프로파일 공유를 위한 설계 방법은 애플리케이션으로 구현되거나 다양한 컴퓨터 구성요소를 통하여 수행될 수 있는 프로그램 명령어의 형태로 구현되어 컴퓨터 판독 가능한 기록 매체에 기록될 수 있다. 상기 컴퓨터 판독 가능한 기록 매체는 프로그램 명령어, 데이터 파일, 데이터 구조 등을 단독으로 또는 조합하여 포함할 수 있다.
상기 컴퓨터 판독 가능한 기록 매체에 기록되는 프로그램 명령어는 본 발명을 위하여 특별히 설계되고 구성된 것들이거니와 컴퓨터 소프트웨어 분야의 당업자에게 공지되어 사용 가능한 것일 수도 있다.
컴퓨터 판독 가능한 기록 매체의 예에는, 하드 디스크, 플로피 디스크 및 자기 테이프와 같은 자기 매체, CD-ROM, DVD와 같은 광기록 매체, 플롭티컬 디스크(floptical disk)와 같은 자기-광 매체(magneto-optical media), 및 ROM, RAM, 플래시 메모리 등과 같은 프로그램 명령어를 저장하고 수행하도록 특별히 구성된 하드웨어 장치가 포함된다.
프로그램 명령어의 예에는, 컴파일러에 의해 만들어지는 것과 같은 기계어 코드뿐만 아니라 인터프리터 등을 사용해서 컴퓨터에 의해서 실행될 수 있는 고급 언어 코드도 포함된다. 상기 하드웨어 장치는 본 발명에 따른 처리를 수행하기 위해 하나 이상의 소프트웨어 모듈로서 작동하도록 구성될 수 있으며, 그 역도 마찬가지이다.
이상에서는 실시예들을 참조하여 설명하였지만, 해당 기술 분야의 숙련된 당업자는 하기의 특허 청구의 범위에 기재된 본 발명의 사상 및 영역으로부터 벗어나지 않는 범위 내에서 본 발명을 다양하게 수정 및 변경시킬 수 있음을 이해할 수 있을 것이다.
[산업상 이용가능성]
본 발명은 호스트 프로파일(배포 프로파일)과 개발자 프로파일을 이용하여 계층모델에 의한 최종 프로파일을 생성함으로써, 개발자와 호스트에 최적의 환경을 제공한다. 따라서, 도커 매니페스트 옵션 최적화 도구 등에 유용하게 활용 가능하다.
[부호의 설명]
10: 컨테이너 환경에서 프로파일 공유를 위한 설계 장치
110: 개발자 컨텍스트 추출부
130: 호스트 컨텍스트 추출부
150: 최대구성 추출부
170: 최종 프로파일 생성부
111: 민감한 컨텍스트 추출부
113: 민감하지 않은 컨텍스트 추출부

Claims (9)

  1. 개발자가 제공하는 프로파일에 대해 시스템 기반의 접근 제어 또는 샌드박싱 정책에 관련된 정보로 정의되는 민감한 컨텍스트 및 보안과 관련되지 않은 정보로 정의되는 민감하지 않은 컨텍스트를 추출하는 단계;
    호스트가 제공하는 프로파일에 대해 민감한 컨텍스트 및 민감하지 않은 컨텍스트를 추출하는 단계;
    개발자의 각 이미지 레이어로부터 민감한 컨텍스트 및 민감하지 않은 컨텍스트에 대한 최대구성(max configuration)을 가져오는 단계; 및
    개발자 프로파일에서 가져온 최대구성과 호스트의 프로파일을 병합하여 컨테이너를 배포하는데 적용되는 최종 프로파일을 생성하는 단계;를 포함하는, 컨테이너 환경에서 프로파일 공유를 위한 설계 방법.
  2. 제1항에 있어서, 상기 최종 프로파일을 생성하는 단계는,
    호스트 정책에 민감한 컨텍스트를 적용하며, 개발자의 요구에 따라 민감하지 않은 컨텍스트를 확장하는, 컨테이너 환경에서 프로파일 공유를 위한 설계 방법.
  3. 제2항에 있어서,
    최종 프로파일의 민감한 컨텍스트는 호스트의 민감한 컨텍스트와 개발자의 민감한 컨텍스트 중 최소 프로파일인, 컨테이너 환경에서 프로파일 공유를 위한 설계 방법.
  4. 제2항에 있어서,
    최종 프로파일의 민감하지 않은 컨텍스트는 개발자의 민감하지 않은 컨텍스트인, 컨테이너 환경에서 프로파일 공유를 위한 설계 방법.
  5. 제1항에 따른 상기 컨테이너 환경에서 프로파일 공유를 위한 설계 방법을 수행하기 위한 컴퓨터 프로그램이 기록된 컴퓨터로 판독 가능한 저장 매체.
  6. 개발자가 제공하는 프로파일에 대해 시스템 기반의 접근 제어 또는 샌드박싱 정책에 관련된 정보로 정의되는 민감한 컨텍스트 및 보안과 관련되지 않은 정보로 정의되는 민감하지 않은 컨텍스트를 추출하는 개발자 컨텍스트 추출부;
    호스트가 제공하는 프로파일에 대해 민감한 컨텍스트 및 민감하지 않은 컨텍스트를 추출하는 호스트 컨텍스트 추출부;
    개발자의 각 이미지 레이어로부터 민감한 컨텍스트 및 민감하지 않은 컨텍스트에 대한 최대구성(max configuration)을 가져오는 최대구성 추출부; 및
    개발자 프로파일에서 가져온 최대구성과 호스트의 프로파일을 병합하여 컨테이너를 배포하는데 적용되는 최종 프로파일을 생성하는 최종 프로파일 생성부;를 포함하는, 컨테이너 환경에서 프로파일 공유를 위한 설계 장치.
  7. 제6항에 있어서, 상기 최종 프로파일 생성부는,
    호스트 정책에 민감한 컨텍스트를 적용하며, 개발자의 요구에 따라 민감하지 않은 컨텍스트를 확장하는, 컨테이너 환경에서 프로파일 공유를 위한 설계 장치.
  8. 제7항에 있어서,
    최종 프로파일의 민감한 컨텍스트는 호스트의 민감한 컨텍스트와 개발자의 민감한 컨텍스트 중 최소 프로파일인, 컨테이너 환경에서 프로파일 공유를 위한 설계 장치.
  9. 제7항에 있어서,
    최종 프로파일의 민감하지 않은 컨텍스트는 개발자의 민감하지 않은 컨텍스트인, 컨테이너 환경에서 프로파일 공유를 위한 설계 장치.
PCT/KR2022/005015 2021-07-08 2022-04-07 컨테이너 환경에서 프로파일 공유를 위한 설계 방법, 이를 수행하기 위한 기록 매체 및 장치 WO2023282442A1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US17/877,073 US20230015726A1 (en) 2021-07-08 2022-07-29 Design method for sharing profile in container environment, and recording medium and apparatus for performing the same

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR1020210089527A KR102484177B1 (ko) 2021-07-08 2021-07-08 컨테이너 환경에서 프로파일 공유를 위한 설계 방법, 이를 수행하기 위한 기록 매체 및 장치
KR10-2021-0089527 2021-07-08

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US17/877,073 Continuation-In-Part US20230015726A1 (en) 2021-07-08 2022-07-29 Design method for sharing profile in container environment, and recording medium and apparatus for performing the same

Publications (1)

Publication Number Publication Date
WO2023282442A1 true WO2023282442A1 (ko) 2023-01-12

Family

ID=84801868

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2022/005015 WO2023282442A1 (ko) 2021-07-08 2022-04-07 컨테이너 환경에서 프로파일 공유를 위한 설계 방법, 이를 수행하기 위한 기록 매체 및 장치

Country Status (3)

Country Link
US (1) US20230015726A1 (ko)
KR (1) KR102484177B1 (ko)
WO (1) WO2023282442A1 (ko)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11977652B2 (en) * 2021-12-07 2024-05-07 Evernorth Strategic Development, Inc. Secure compartmented access infrastructure for sensitive databases

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080184299A1 (en) * 2007-01-30 2008-07-31 Samsung Electronics Co., Ltd. Method and dvb-h terminal for confirming integrity of container
US20200076811A1 (en) * 2018-09-04 2020-03-05 International Business Machines Corporation Data security across data residency restriction boundaries
US20200193015A1 (en) * 2015-10-01 2020-06-18 Twistlock, Ltd. Filesystem action profiling of containers and security enforcement
KR20200107538A (ko) * 2019-03-08 2020-09-16 한국전자통신연구원 컨테이너 인스턴스의 보안 프로파일 생성 시스템 및 방법
US20210089361A1 (en) * 2019-09-20 2021-03-25 Dell Products L.P. Resource management for software containers using container profiles

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS6016984B2 (ja) 1976-09-14 1985-04-30 ユニチカ株式会社 芳香族ポリアミド溶液の製造方法
US8843633B2 (en) 2011-03-23 2014-09-23 Bmc Software, Inc. Cloud-based resource identification and allocation
US10310824B2 (en) 2011-09-07 2019-06-04 Imagine Communications Corp. Distributed ledger platform for computing applications
US9323510B2 (en) * 2012-04-13 2016-04-26 Sap Se Allocating optimized resources for components based on derived component profiles
US10154021B1 (en) * 2017-06-12 2018-12-11 Ironclad Encryption Corporation Securitization of temporal digital communications with authentication and validation of user and access devices
WO2024086338A1 (en) * 2022-10-20 2024-04-25 Fisher-Rosemount Systems, Inc Configuration support for a process control or automation system
WO2024086340A1 (en) * 2022-10-20 2024-04-25 Fisher-Rosemount Systems, Inc. Spoke and hub configuration for a process control or automation system

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080184299A1 (en) * 2007-01-30 2008-07-31 Samsung Electronics Co., Ltd. Method and dvb-h terminal for confirming integrity of container
US20200193015A1 (en) * 2015-10-01 2020-06-18 Twistlock, Ltd. Filesystem action profiling of containers and security enforcement
US20200076811A1 (en) * 2018-09-04 2020-03-05 International Business Machines Corporation Data security across data residency restriction boundaries
KR20200107538A (ko) * 2019-03-08 2020-09-16 한국전자통신연구원 컨테이너 인스턴스의 보안 프로파일 생성 시스템 및 방법
US20210089361A1 (en) * 2019-09-20 2021-03-25 Dell Products L.P. Resource management for software containers using container profiles

Also Published As

Publication number Publication date
KR102484177B1 (ko) 2023-01-02
US20230015726A1 (en) 2023-01-19

Similar Documents

Publication Publication Date Title
WO2021002692A1 (en) Method for providing virtual asset service based on decentralized identifier and virtual asset service providing server using them
WO2022260254A1 (ko) 전이학습을 통한 적응형 모델 기반의 온 디바이스 안드로이드 악성코드 탐지 방법, 이를 수행하기 위한 기록 매체 및 장치
WO2011046356A2 (ko) 안티 멀웨어 서비스 방법
WO2018056601A1 (ko) 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치 및 차단 방법
WO2014035043A1 (ko) 악성 애플리케이션 진단 장치 및 방법
WO2020224249A1 (zh) 基于区块链的事务处理方法、装置、设备及存储介质
WO2021006616A1 (en) Method for providing relational decentralized identifier service and blockchain node using the same
WO2013019059A2 (en) Sandboxing technology for webruntime system
WO2021150032A1 (en) Method for providing authentication service by using decentralized identity and server using the same
WO2012108687A2 (en) Method of detecting arp spoofing attacks using arp locking and computer-readable recording medium storing program for executing the method
WO2023282442A1 (ko) 컨테이너 환경에서 프로파일 공유를 위한 설계 방법, 이를 수행하기 위한 기록 매체 및 장치
WO2018018797A1 (zh) 功能模块跨平台运行的实现方法和装置
WO2019160195A1 (ko) 파일 내 포함된 악성 위협 탐지 장치 및 방법, 그 기록매체
WO2015101332A1 (zh) 密码分级管理方法和系统
WO2013024986A2 (ko) 네트워크 식별자 위치판단 시스템 및 그 방법
WO2022108318A1 (ko) 스마트 컨트랙트 코드 취약점 분석 장치 및 방법
WO2022114392A1 (ko) 특성 선택에 기반한 모바일 악성 코드 분류 방법, 이를 수행하기 위한 기록 매체 및 장치
WO2020085558A1 (ko) 고속분석 영상처리장치 및 그 장치의 구동방법
WO2021172668A1 (ko) 블록체인을 이용한 최초 저작권자 인증 시스템 및 그 방법
WO2014157826A1 (ko) 스마트 기기 기반 악성코드의 침입을 차단하기 위한 시스템 및 그 방법
WO2018016830A1 (ko) 파일 암호화 방지 장치 및 방법
WO2019231089A1 (ko) 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템 및 그 방법
WO2014077615A1 (en) Anti-malware system, method of processing packet in the same, and computing device
WO2019103443A1 (en) Method, apparatus and system for managing electronic fingerprint of electronic file
WO2022163908A1 (ko) 애플리케이션 내부의 데이터 유출 위험성 평가 방법, 이를 수행하기 위한 기록 매체 및 장치

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22837796

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 22837796

Country of ref document: EP

Kind code of ref document: A1