컨테이너 보안: 컨테이너화된 응용 프로그램의 보안을 위한 개념, 이론, 대응법과 모범 관행까지

5.3 “가두고 흉내 낸다” 접근 방식

101

께 자주 쓰인다.

QEMU

는 게스트

OS

가 요청한 시스템 호출을 동적으로 호스트

OS

시스템 호

출로 번역한다.

QEMU

가

KVM

이 제공하는 하드웨어 가속의 장점을 취할 수 있다는 점도 언

급해야 할 것이다.

제

1

형이든 제

2

형이든 (또는 그 중간의 무엇이든 )

VMM

들이 가상화를 위해 사용하는 기법

들은 비슷하다. 핵심은 소위 “가두고 흉내 낸다 (

trap

-

and

-

emulate

)”인데, 차차 보겠지만

x86

프로세서들에는 이런 착안을 구현하기 어렵게 만드는 특징이 몇 가지 있다.

5.3

“가두고 흉내 낸다” 접근 방식

CPU

명령 중에는

특권 있는

(

privileged

) 명령들, 즉 높은 권한이 필요한 명령들이 있다. 그런

명령들은 링

0

에서만 실행할 수 있다. 더 높은 번호(더 낮은 권한 )의 링에서 그런 명령을 실행

하려 하면 소위

트랩

trap

이 발생한다. 트랩이라는 것을 응용 프로그램 소프트웨어에서 발생한 예

외 같은 것으로 생각해도 될 것이다. 예외가 발생하면 오류 처리부(

error

-

handler

)가 실행되

듯이,

CPU

에서 트랩이 발생하면

CPU

는 링

0

코드에 있는 처리부를 호출한다.

VMM

이 링

0

에서 실행되고 게스트

OS

커널이 더 낮은 권한의 링에서 실행되는 상황에서,

게스트가 특권 있는 명령을 실행하려 하면

VMM

의 처리부가 실행된다 (“가두고 흉내 낸다”

의 ‘가두고’에 해당). 처리부는 그 명령을 에뮬레이션한다 (‘흉내 낸다’에 해당). 이런 방식으로

VMM

은 게스트