OverlayFSを用いたコンテナに対するサービス妨害攻撃の防止

摘要

近年，Docker などのコンテナ型仮想化が広く使われるようになってきている．Docker コンテナでは個別のディスクイメージを作成するために，読み込み専用のベースイメージの上に書き込み可能な差分イメージを重ねることができる．そのために，OverlayFS と呼ばれるファイルシステムがよく用いられているが，ファイルを書き換える際に下層にあるファイル全体が上層にコピーされるため，ファイルサイズが大きい場合にはオーバヘッドが大きい．このコピーオンライト機能を悪用されると，コンテナ内で意図的に巨大なファイルを書き換えることによりサービス妨害攻撃を引き起こされる可能性がある．本稿では，このような攻撃を防ぐための新しいファイルシステムTranslayFS を提案する．TranslayFS では，ファイルの書き換え時にスパースファイルと呼ばれる特殊なファイルを作成し，書き換え部分のみを上層に保持することでファイル全体を一括コピーしないようにする．ファイルの読み込みは，上層にデータが保存されていれば上層から，それ以外のデータについては下層から行う．我々はTranslayFS をLinux カーネルに実装し，ファイル書き換え時の遅延を大幅に削減できることを確認した．