💡 핵심 요약 (Executive Summary)
본 가이드는 gVisor 핵심 가이드 및 실전 아키텍처의 핵심 개념, 실전 구성 명령어 및 아키텍처 베스트 프랙티스를 다룹니다. 클라우드 네이티브 및 인프라 엔지니어링 실무에 즉시 활용 가능하도록 체계적으로 정리했습니다.
📑 Table of Contents
개요
- 구글에서 개발한 오픈소스 컨테이너 런타임
- 호스트커널을 공유하는 컨테이너와 달리 호스트커널과 격리하고 경량 사용자 모드 커널을 제공
- 보안 격리: 사용자 모드에서 실행되는 커널(Sentry)을 통해 시스템 호출을 가로채고 처리함으로써 보안을 강화합니다.
- 호스트 커널과의 격리: 호스트 커널로의 직접적인 접근을 차단하여 공격 표면을 줄입니다.
- 컨테이너 관리: Kubernetes와 같은 컨테이너 오케스트레이션 도구와 통합하여 사용됩니다.
gVisor VS MicroVM 런타임
| 특징 | gVisor | 마이크로VM (예: Firecracker) |
| 격리 수준 | 사용자 모드 커널을 통한 격리 | 독립적인 커널을 사용하는 강력한 격리 |
| 운영 체제 | 호스트 커널을 에뮬레이션 | 각 VM이 자체 운영 체제를 포함 |
| 부팅 시간 | 매우 빠름 | 매우 빠름 |
| 리소스 오버헤드 | 낮음 | 낮음 |
| 보안 격리 | 높음 | 매우 높음 |
| 사용 사례 | 컨테이너 보안 격리 | 서버리스 컴퓨팅, 고보안 환경 |
gVisor VS MicroVM 런타임 (보안측면 상세비교)
| 보안 측면 | gVisor | 마이크로VM (Firecracker) |
| 커널 격리 | 사용자 모드 커널을 통해 호스트 커널로부터 격리 | 독립적인 커널을 사용하여 강력한 격리 제공 |
| 하드웨어 격리 | 하드웨어 격리 제공하지 않음 | 하이퍼바이저를 통해 하드웨어 수준의 격리 제공 |
| 공격 표면 | 시스템 호출 에뮬레이션으로 공격 표면 축소 | 매우 적음, 하드웨어 격리로 인해 공격 표면 축소 |
| 독립성 | 컨테이너 간 격리 수준이 높으나 커널 공유 | VM 간 완전한 독립성 보장 |
| 네트워크 격리 | 네트워크 격리 제공 가능 | 독립된 네트워크 스택 사용 |
| 적용 사례 | 보안이 중요한 컨테이너 실행 환경 | 고보안 환경, 멀티 테넌트 클라우드 컴퓨팅 |
gVisor VS eBPF 기반 보안 솔루션(Tetragon)
| 기준 | gVisor | eBPF 기반 보안 솔루션 (Tetragon) |
| 격리 수준 | 높은 수준의 보안 격리 제공 | 커널 레벨 보안 및 실시간 모니터링 제공 |
| 보안 관리 | 컨테이너 간 강력한 격리 제공 | 호스트 커널 보호, 실시간 보안 정책 시행 |
| 자원 효율성 | 자원 효율적 | 자원 소모가 큼 |
| 유지보수 복잡성 | 설정과 유지보수는 상대적으로 간단 | 높은 수준의 기술적 숙련도 요구, 설정과 유지보수 복잡 |
| 호스트 커널 보호 | 호스트 커널 보안 위협 감지 능력 부족 | 호스트 커널 보안 위협에 대한 실시간 감지와 대응 가능 |
| 추가 보안 레이어 | 필요 없음 | 전체 시스템의 종합적인 보안 상태 모니터링 필요 |
| 추천 사용 사례 | 자원 효율성과 격리된 보안이 중요한 경우 | 호스트 커널 보안 강화와 실시간 보안 모니터링이 필요한 경우 |
자원 효율성과 격리된 보안이 중요한 경우: gVisor
호스트 커널 보안 강화와 실시간 보안 모니터링이 중요한 경우: eBPF 기반 보안 솔루션 (Tetragon)
쿠버네티스와 통합
Leave a Reply