💻 computer science

Runtime Detection of Attacks and Misconfigurations in Cloud-Native Kubernetes Environments Using eBPF Network Telemetry

이 논문은 Hubble/eBPF 네트워크 텔레메트리가 정교하게 구성된 그라운드 트루스 레이블과 결합될 때 쿠버네티스 환경에서의 런타임 공격과 설정 오류를 효과적으로 탐지할 수 있음을 입증하며, 규칙 기반 탐지기의 높은 정밀도와 랜덤 포레스트 분류기의 더 높은 재현율 사이의 절충 관계에도 불구하고 목적지 측의 식별 속성이 위협의 가장 강력한 지표임을 밝혀낸다.

원저자: Andrew Oppong-Asante, Bernard Kyiewu, Clinton Amponsah, Linda Bessa-Simons, Caleb Boakye Yiadom

게시일 2026-06-25

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Andrew Oppong-Asante, Bernard Kyiewu, Clinton Amponsah, Linda Bessa-Simons, Caleb Boakye Yiadom

원본 논문은 CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

쿠버네티스 클러스터를 수천 명의 작고 일시적인 노동자들(컨테이너라고 불리는)이 살고 일하는 거대하고 북적이는 사무실 건물이라고 상상해 보십시오. 이 노동자들은 서로 다른 부서(네임스페이스라고 불리는)로 조직되어 있습니다. 보안이 철저한 건물에는 엄격한 규칙이 있습니다. 예를 들어, 회계팀은 서버실에 들어갈 수 없고, 인턴은 CEO의 집무실에 접근할 수 없습니다.

하지만 때때로 건물 관리자들이 실수를 저지르기도 합니다. 문을 잠그지 않고 열어두거나, 모두에게 마스터 키를 주거나, 벽을 부술 수 있는 "슈퍼 슈트" 갑옷을 입게 할 수도 있습니다. 이러한 실수들이 바로 **설정 오류(misconfigurations)**입니다.

이 논문은 이러한 실수를 악용하려는 악의적인 행위자를 발견하는 즉시, 건물의 속도를 늦추지 않으면서도 잡아낼 수 있는 초강력 보안 카메라 시스템을 구축하는 것에 관한 것입니다.

문제점: 보이지 않는 문과 마스터 키

연구진은 테스트용 사무실 건물에 의도적으로 세 가지 특정 실수를 만들었습니다:

보안 요원 부재 (네트워크 정책 누락): 부서 간 이동을 막는 규칙을 제거했습니다. 이제 누구든 어디든 갈 수 있습니다.
너무 많은 마스터 키 (과도한 RBOK): 하급 직원에게 비밀 금고를 포함한 모든 문을 열 수 있는 열쇠를 주었습니다.
슈퍼 슈트 (특권 컨테이너): 노동자가 건물의 기초와 전기 배선까지 보고 만질 수 있는 슈트를 입도록 허용했습니다.

이러한 실수들이 배치된 후, 연구진은 "레드 팀"(윤리적 해커 그룹)을 투입하여 침입을 시도하거나, 데이터를 훔치거나, 한 부서에서 다른 부서로 넘어가는 것을 시도하게 했습니다.

해결책: "eBPF" 초강력 카메라

이 침입자들을 잡기 위해 연구진은 일반적인 보안 카메라를 사용하지 않았습니다. 그들은 eBPF(extended Berkeley Packet Filter)라고 불리는, 건물의 배관과 배선에 직접 내장된 초고속 센서를 사용했습니다.

이 센서는 Hubble이라는 도구와 결합되어 단순히 사진을 찍는 것이 아니라, 파이프를 통해 흐르는 모든 물방울(데이터)을 기록합니다. 이 센서는 정확히 다음을 알고 있습니다:

누가 물방립을 보냈는가 (소스 포드/Source Pod).
누가 물방울을 받았는가 (데스티네이션 포드/Destination Pod).
어떤 파이프를 통과했는가 (네임스페이스/Namespace).
어떤 종류의 물방울인가 (포트/프로토콜/Port/Protocol).

연구진은 이 380만 개 이상의 "흐름 기록"(데이터 물방울)을 수집했습니다.

큰 과제: 소음 속에서 분류하기

여기서 까다로운 점은 카메라가 모든 것을 기록했다는 것입니다. 대부분의 시간 동안 건물은 정상적인 업무를 수행하고 있었습니다(정상 트래픽). 실제 공격은 300만 개의 건초 더미 속에서 바늘 몇 개를 찾는 것과 같았습니다.

게다가 카메라는 기묘한 특성이 있었습니다. 때로는 물방울이 수도꼭지에서 나올 때(TO_STACK) 보였고, 때로는 파이프에 닿을 때(TO_ENDPOINT), 때로는 메인 라인을 통과할 때(TO_OVERLAY) 보였습니다.

문제: 카메라가 "수도꼭지" 단계에서 물방울을 보았을 때, 종종 그것이 어디로 가는지 알 수 없었습니다. 이는 편지가 우체통에서 떠나는 것은 보았지만 봉투에 적힌 주소는 알 수 없는 것과 같았습니다.
해결책: 연구진은 흐릿하고 불완전한 기록을 버리고, 목적지를 명확히 볼 수 있는 기록만을 남기기 위해 엄격한 4단계 정제 과정을 거쳐야 했습니다. 이 과정을 통해 380만 개의 지저분한 기록은 318만 개의 깨끗한 데이터셋으로 변환되었으며, 그중 확인된 "공격" 기록은 단 456개였습니다.

탐정들: 규칙 기반 vs AI

연구진은 이 깨끗한 데이터에서 악당을 찾아내는 두 가지 다른 방법을 테스트했습니다:

규칙 기반 탐정 (Rule-Based Detective): 이 탐정은 엄격한 체크리스트를 따릅니다. "만약 '공격자' 부서의 직원이 5432번 포트로 '데이터베이스' 부서와 대화를 시도하면 경보를 울려라!"
- 결과: 이 탐정은 매우 정밀했습니다. 경보를 울렸을 때 대부분 맞았습니다. 하지만 자신의 정확한 체크리스트에 맞지 않는 교묘한 공격은 놓치기도 했습니다.
랜덤 포레스트 (AI) 탐정: 이 탐정은 정상적인 행동과 나쁜 행동의 수천 가지 사례를 공부한 학생과 같습니다. 전체적인 그림을 보고 *"이것은 80% 확률로 공격처럼 보인다"*라고 추측합니다.
- 결과: 이 탐정은 더 많은 악당을 잡아냈지만(높은 재현율), 정상적인 직원이 약간 특이한 행동을 할 때도 경보를 울리는 경우가 있었습니다.

위대한 발견: 누구와 대화하는지가 가장 중요하다

가장 놀라운 발견은 악당들이 누구와 대화하려고 하는가에 관한 것이었습니다.

연구진은 가장 중요한 단서가 메시지를 보내는 사람이 아니라, 메시지를 받는 사람에 있다는 것을 발견했습니다.

비유: 평범해 보이는 사람(Source)이 편지를 보내는 것은 중요하지 않습니다. 중요한 것은 그들이 은행 금고(Destination)에 전달하려고 한다는 사실입니다.
비율: "목적지(Destination)" 단서가 "출처(Source)" 단서보다 2.8배 더 중요했습니다. 직원이 데이터베이스나 API 서버와 대화하려고 시도한다면, 그 사람이 누구인지와 상관없이 그것은 매우 큰 위험 신호입니다.

결론

본 논문은 고속 센서(eBPF/Hubble)를 사용하는 것이 실시간 공격을 잡는 데 매우 효과적이지만, 데이터에 레이블을 붙일 때 매우 주의해야 한다고 결론짓습니다.

만약 흐릿한 기록(목적지를 알 수 없는 기록)을 걸러내지 않는다면, 정상적인 직원과 해커를 구분할 수 없습니다. 하지만 정제를 올바르게 수행한다면, 침입자가 부서 간을 이동하거나 금고에 접근하려고 하는 순간을 포착하는 시스템을 구축할 수 있습니다.

요약하자면: 클라우드 사무실 건물에서 악당을 잡을 수는 있지만, 물이 정확히 어디로 가는지 아는 초강력 카메라가 필요하며, 보안 요원들에게 메시지가 누구로부터 왔는지보다 어디로 가는지가 더 중요하다는 것을 가르쳐야 합니다.

기술 요약: eBPF 네트워크 텔레메트리를 이용한 클라우드 네이티브 쿠버네티스 환경에서의 공격 및 설정 오류 실시간 탐지

문제 정의

쿠버네티스는 클라우드 네이티브 워크로드의 사실상 표준(de facto standard)이 되었으나, 그 유연성은 보안 리스크를 초래할 수 있는 복잡한 설정 표면을 도입한다. NetworkPolicy 누락, 과도한 역할 기반 액세스 제어(RBAC) 권한, 특권 컨테이너 실행과 같은 설정 오류는 측면 이동(lateral movement), 승인되지 않은 서비스 접근, 권한 상승을 위한 취약한 경로를 생성한다. 정적 분석 및 배포 전 하드닝(hardening) 기법이 존재하지만, 런타임에만 나타나는 안전하지 않은 통신 패턴을 포착하는 데는 한계가 있다. 또한, 기존의 런타임 탐지 방식은 종종 쿠버네티스 특유의 컨텍스트가 결여된 시스템 콜 텔레메트리나 일반적인 네트워크 데이터셋에 의존한다. 특히, Hubble/eBPF 네트워크 텔레메트리를 보안에 활용하는 데 있어 방법론적 간극이 존재한다. 즉, Cilium의 다중 관측 지점 아키텍처(TO_STACK, TO_ENDPOINT, TO_OVERLAY)로 인해 관측 지점마다 메타데이터의 완전성이 달라져 신뢰할 수 있는 플로우 수준의 그라운드 트루스(ground truth)를 구축하는 데 어려움이 따른다.

방법론

본 연구는 다음 단계들을 통해 이러한 과제를 해결하기 위해 재현 가능한 실험적 접근 방uku를 채택한다:

실험용 테스트베드: Kubernetes v1.35.0을 실행하는 4노드 kind(Kubernetes-in-Docker) 클러스터를 구축하였다. per-flow 관측성을 위해 Hubble이 활성화된 Cilium v1.16.6을 CNI로 배포하였다.
워크로드 및 네임스페이스 설계: 환경 내에 5개의 네임스페이스(frontend, backend, database, attacker, monitoring)에 분산된 멀티 티어 마이크로서비스 애플리케이션을 호스팅하였다.
설정 오류 주입: 공격을 가능하게 하기 위해 세 가지 특정 설정 오류 클래스를 도입하였다:
- M1 (Network Policy 부재): NetworkPolicy를 배포하지 않아 평면적인(flat) 포드 네트워킹을 허용함.
- M2 (과도한 RBAC): 공격자 네임스페이스의 서비스 어카운트에 cluster-admin 권한을 부여함.
- M3 (특권 런타임): 포드를 privileged: true, hostPath 마운트, 그리고 상향된 Linux capability를 갖도록 구성함.
공격 시나리오: 설정 오류가 있는 클러스터를 대상으로 4가지 공격 시나리오를 실행하였다:
- 공격 A: 내부 네트워크 스캐닝(nmap)을 통한 측면 이동.
- 공격 B: 반복적인 승인되지 않은 데이터베이스 접근 시도.
- 공격 C: 특권 컨테이너를 통한 호스트 파일 시스템 접근.
- 공격 D: 클러스터 전체의 Secret을 열거하기 위한 RBAC 남용.
텔레메트리 수집 및 그라운드 트루스 해소: Hubble은 per-flow JSON 레코드를 캡처하였다. 관측 지점에 따른 메타데이터 완전성 차이로 발생하는 그라운드 트루스 문제를 해결하기 위해, 4단계 버전의 그라운드 트루스 해소 프로세스를 적용하였다:
- v1: 초기 파일 수준 레이블링 (공격을 과대 산정함).
- v2: 공격자 포드의 트래픽 제거 (과도하게 필터링되어 공격이 0으로 나타남).
- v3: 관측 지점 필터링 및 플로우 수준의 소스 네임스페이스 로직 적용.
- v4 (최종): 인프라 네임스페이스(예: kube-system)와의 공격자 포드 간 통신을 제외하여, 깨끗한 공격 기원 플로 세트를 도출함.
탐지 프레임워크: 두 가지 탐지기를 평가하였다:
- 행위 기반 규칙 탐지기(Behavioral Rule-Based Detector): 교차 네임스페이스 데이터베이스 접근, 측면 이동, 민감한 포트 스캐닝에 대한 규칙을 정의함.
- 랜덤 포레스트 분류기(Random Forest Classifier): Hubble에서 파생된 특징들(identity, port, observation point, TCP flag)을 바탕으로 학습되었으며, 균형 잡힌 클래스 가중치를 적용함.
평가: 심각한 클래스 불균형을 고려하여 Precision-Recall 분석과 정밀도-재현율 곡선 아래 면적(AUPRC)을 우선순위로 두는 5-겹 시간 창 교차 검증(five-fold time-windowed cross-validation)을 사용하여 모델을 평가하였다.

주요 기여

재현 가능한 테스트베드: Cilium/Hubble이 설치되고 5개의 네임스페이스에 걸쳐 멀티 티어 애플리케이션을 호스팅하는 4노드 Kubernetes 테스트베드를 개발하였다.
검증된 설정 오류: 세 가지 핵심 설정 오류 클래스(NetworkPolicy 부재, 과도한 RBAC, 특권 실행)를 실제 공격 시나리오와 연결하여 실험적으로 주입하고 검증하였다.
레이블링된 데이터셋 구축: 380만 개의 원시 레코드로부터 4개의 버전 그라운드 트루스 해소 방법론을 활용하여, 3,180,125개의 레이블된 플로우(공격 기원 456개, 정상 3,179,669개)를 포함하는 데이터셋을 생성하였다. 이는 Cilium의 다중 관측 지점 아키텍처를 처리하기 위함이다.
비교 평가: 시간 창 교차 검증, 특징 중요도 분석, 절제 테스트(ablation testing)를 사용하여 규칙 기반 탐지기와 랜덤 포레스트 분류기를 엄격하게 비교하였다.
특징 중요도 통찰: 목적지 측 identity 속성이 Kubernetes 플로우 텔레메트리에서 가장 강력한 식별 신호이며, 목적지 대 소스의 중요도 비율이 2.8:1임을 확인하였다.

결과

데이터셋 특성: 최종 데이터셋은 456개의 공격 플로우(전체의 0.014%)를 포함하며, 이는 극심한 클래스 불균형을 확인시켜 준다. 공격 플로우는 PostgreSQL (5432), backend API (8080), HTTP (80)에 집중되어 있었다.
관측 지점의 영향: 목적지 메타데이터가 불완전하기 때문에 TO_STACK 관측 지점에서는 공격 플로우가 레이블링되지 않았다. 모든 456개의 공격 플로우는 메타데이터가 충분하여 귀속이 가능한 TO_ENDPOINT 및 TO_OVERLAY에서 발견되었다. 카이제곱 검정 결과, 관측 지점과 공격 레이블 사이에 통계적으로 유의미한 연관성이 확인되었다 ( $\chi^2 = 2610.1, p < 0.001$ ).
탐지기 성능:
- 규칙 기반 탐지기: 랜덤 포레스트(0.284)보다 높은 AUPRC(0.311)를 달성하였으며, 이는 고신뢰 작동 지점에서 우수한 정밀도를 나타낸다. 그러나 평균 재현율(0.746)은 랜덤 포레스트(0.833)보다 낮았다.
- 랜덤 포레스트: 더 높은 평균 재현율을 달로 했으나 AUPRC는 더 낮았다. 이는 더 넓은 커버리지를 제공하지만 확률 점수가 더 분산되어 나타남을 의미한다.
특징 중요도: 목적지 측 속성(dst_identity, dst_port, dst_namespace, dst_pod)이 전체 특징 중요도의 64.2%를 차지했으며, 목적지 대 소스 비율은 2.8:1이었다. 절제 테스트 결과, 목적지 네임스페이스 및 포드 특징을 제거하면 AUPRC가 7.4% 감소함을 확인하였다.
규칙 성능: CROSS_NS_DB_ACCESS 규칙은 가장 많은 참 양성(324개)을 생성했으나 가장 많은 거짓 양성(425개)도 발생시켰다. LATERAL_MOVEMENT 규칙은 정밀도(0.556)는 높았으나 재현율(0.022)은 매우 낮았다.

의의 및 주장

본 논문은 Hubble/eBPF 텔레메트리가 다중 관측 지점 아키텍처를 주의 깊게 다룬다면 Kubernetes 환경에서 효과적인 런타임 공격 탐지를 지원할 수 있다고 주장한다. 연구의 핵심은 다음과 같다:

그라운드 트루스 구축의 중요성: Hubble 데이터를 나이브하게 레이블링하면 공격 클래스가 부풀려지거나 잘못될 수 있다. 제안된 4단계 해소 프로세스는 신뢰할 수 있는 보안 데이터셋을 만들기 위해 필수적이다.
목적지 컨텍스트가 핵심: 일반적인 네트워크 침입 탐지와 달리, Kubernetes 공격 탐지는 악의적 의도(예: 컴프로마이즈된 포드가 네임스페이스를 넘어 데이터베이스에 접근하는 것)를 구별하기 위해 목적지 측 identity 속성에 크게 의존한다.
상호 보완적 접근 방식: 규칙 기반 방식과 머신러닝 방식은 서로 보완적인 강점을 가진다. 규칙은 해석 가능한 고정밀 알람을 제공하고, 머신러닝은 더 넓은 재현율 커버리지를 제공한다.
한계점: 저자들은 결과가 유망하지만, 이는 평가된 테스트베드에 국-한된 것이라고 겸허히 밝히고 있다. 더 크고 다양한 멀티 테넌트 운영 환경에서의 일반화 가능성을 위해서는 추가적인 검증이 필요하다. 본 연구는 모든 Kubernetes 보안 문제를 해결한다고 주장하는 것이 아니라, 엄격한 데이터 엔지니어링과 결합되었을 때 플로우 수준의 eBPF 텔레메트리의 실행 가능성을 입증하는 데 목적이 있다.