论文标题：System log isolation for containers

期刊：Frontiers of Computer Science

作者：Kun WANG, Song WU, Yanxiang CUI, Zhuo HUANG, Hao FAN, Hai JIN

发表时间：15 Jan 2024

DOI： 10.1007/s11704-024-2568-8

微信链接：点击此处阅读微信文章

引用格式：

Kun WANG, Song WU, Yanxiang CUI, Zhuo HUANG, Hao FAN, Hai JIN. System log isolation for containers. Front. Comput. Sci., 2025, 19(5): 195106

阅读原文：

问题概述

随着容器技术在云计算环境中广泛应用，隔离性成为了容器的一项重要基本属性。尽管目前存在大量针对容器隔离性的研究，但是现有机制仍然缺乏对系统日志资源的隔离，使得容器面临着潜在的性能影响和安全隐患。由于容器没有独立的操作系统内核，同一主机上的所有容器共享主机的系统日志服务，每个容器设置的日志配置、保存的日志存储、看到的日志视图实际上都来自于主机中全局唯一的系统日志服务，并不能准确反映每个容器的系统日志服务相关信息。这种共享系统日志服务的方式可能会让容器遭受严重的隔离问题。

本文旨在分析容器使用系统日志过程中存在的隔离问题及其严重影响，并提出将私有日志方法，为每个容器提供单独的系统日志服务，防止在容器之间共享系统日志，提升系统日志隔离性。

技术步骤

首先，本文详细分析了容器环境下系统日志存在的隔离问题、问题造成的严重影响以及引发问题的根本原因。具体可总结为以下两点观察：1）在当前的容器环境中使用系统日志会引发日志配置冲突、日志操作冲突、命名空间逃逸、关键信息泄露、系统日志丢失和系统日志冗余等一些隔离问题，对系统日志可用性、容器系统安全性和日志分析准确性造成显着影响。这一观察清楚地证明了增强系统日志隔离的必要性。2）系统日志隔离问题的根本原因有3个，分别为共享日志配置、共享日志存储和共享日志视图。日志配置冲突的根本原因是容器共享日志配置。日志操作冲突和系统日志丢失的根本原因是容器共享日志存储。命名空间逃逸、关键信息泄漏和系统日志冗余的根本原因是容器共享日志视图。这一观察为采用系统日志私有化方法解决系统日志隔离问题提供了有效思路。

接下来，文章提出系统日志私有化方法（private logs，POGs）来为每个容器提供单独的系统日志服务，防止在容器之间共享系统日志，从而解决系统日志隔离问题。POGs为每个容器提供了一个私有系统日志服务（private log，POG），每个POG由独立的日志配置、日志存储和日志视图组成。独立的日志配置可避免发生日志配置冲突问题，独立的日志存储可避免发生日志操作冲突和系统日志丢失问题，独立的日志视图可避免发生命名空间逃逸、关键信息泄露和系统日志冗余问题。同时，文章提出日志操作重定向机制和私有日志管理机制来帮助容器使用和管理其对应的POG。

最后，文章基于Linux内核实现并评估了POGs。

实验结果

实验结果表明，POGs解决了日志配置和操作冲突，防止了命名空间逃逸和关键信息泄露，提高了日志分析的高效性和准确性，有效解决了系统日志隔离问题，增强了系统日志隔离性。

期刊简介

Frontiers of Computer Science （FCS）是由教育部主管、高等教育出版社和北京航空航天大学共同主办，南京大学支持，SpringerNature 公司海外发行的英文学术期刊。本刊于 2007 年创刊，双月刊，全球发行。主要刊登计算机科学领域具有创新性的综述论文、研究论文等。本刊主编为周志华教授，共同主编为熊璋教授。编委会及青年 AE 团队由国内外知名学者及优秀青年学者组成。本刊被 SCI、Ei、DBLP、INSPEC、SCOPUS 和中国科学引文数据库（CSCD）核心库等收录，为 CCF 推荐B类期刊；两次入选“中国科技期刊国际影响力提升计划”；入选“第4届中国国际化精品科技期刊”；两次入选“中国科技期刊卓越行动计划”（一期梯队、二期领军）。

中国学术前沿期刊网

http://journal.hep.com.cn