bytedance/vArmor

해결 과제

vArmor는 컨테이너 격리를 강화하고 커널 공격 표면을 줄이기 위해 설계된 클라우드 네이티브 컨테이너 강화 시스템입니다. 컨테이너 탈출, 측면 이동(lateral movement), 무단 네트워크 액세스를 방지하며, 이는 멀티 테넌트 환경이나 고위험 취약점에 즉각적인 패치를 적용할 수 없는 경우에 특히 중요합니다.

작동 원리

Kubernetes Operator 패턴을 사용하여 CRD API를 통해 보안 정책을 관리합니다. 이 시스템은 여러 Linux 보안 기술을 기반으로 하는 "엔포서(enforcers)"를 구현합니다.

• 커널 수준 제어: AppArmor LSM, BPF LSM, Seccomp를 활용하여 파일 액세스, 프로세스 실행 및 시스템 호출을 제어합니다.
• 네트워크 제어: Envoy 기반 사이드카 프록시를 사용하여 L4 (TCP) 및 L7 (HTTP/HTTPS)에서 송신 트래픽을 가로채고 제어하며, 복호화 검사를 위한 TLS MITM 및 HTTP 헤더 삽입을 지원합니다.

대상 사용자

• Kubernetes 관리자: 하드웨어 가상화 비용이 너무 높은 멀티 테넌트 클러스터를 관리하는 관리자.
• 보안 엔지니어: 권한 상승 및 측면 이동으로부터 중요한 비즈니스 컨테이너를 보호하려는 엔지니어.
• AI 개발자: 프롬프트 인젝션으로 인한 도구 오용이나 데이터 유출을 방지하기 위해 엄격한 아웃바운드 네트워크 제어가 필요한 LLM 기반 애플리케이션이나 AI 에이전트를 배포하는 개발자.

주요 특징

• AI 에이전트 보호: 커널 및 애플리케이션 프로토콜 수준의 제어를 결합하여 무단 API 호출 및 키 유출과 같은 위험을 완화합니다.
• L7 네트워크 가시성: 표준 Kubernetes NetworkPolicies가 제공하지 않는 고급 송신 제어(TLS MITM, SNI 기반 필터링)를 제공합니다.
• 유연한 강제 적용: "기본 허용(성능 영향 최소화)" 및 "기본 거부" 모델을 모두 지원합니다.
• 내장 규칙: 비전문가도 보안 프로필 생성을 간소화할 수 있도록 즉시 사용 가능한 규칙이 포함되어 있습니다.