표창우, 한승재, 주현석, 김창훈
한국정보보호학회 동계학술대회, 2025.11.27, pp. 613–615 (공동저자)
Falco는 리눅스 커널 수준의 시스템 호출과 플러그인 이벤트를 실시간으로 관찰하는 런타임 보안 도구로, 컨테이너 환경에서 널리 사용된다. 본 논문은 커널 기반 탐지 체계가 사용자 공간에서 수행되는 행위와 시간적으로 분산된 공격에 대해 구조적 한계를 가진다는 사실을 실험으로 검증한다. 일반 셸에서 명령을 직접 입력하면 Falco가 시스템 콜 이벤트를 정확히 기록하고 경고를 발생시켰으나, 사용자 공간 백도어를 통해 동일 명령을 간접 실행한 경우에는 탐지가 이루어지지 않았다. 저자들은 사용자 공간 로그의 수집·상관분석 강화, 프로세스 입력 인자 값의 무결성 확보, 보완 로그의 병행 수집, 다중 이벤트 통합 분석을 통해 탐지 신뢰성을 높일 것을 제안한다.
핵심어: Falco, 런타임 보안, 컨테이너 보안, 시스템 콜, 탐지 우회