eBPF 安全监控：不改内核也能审计 syscall
内容提要
本文讨论了Seccomp和eBPF在容器安全中的优势与局限性。Seccomp无法解引用用户态指针和识别敏感文件路径，而eBPF提供了更丰富的上下文信息。文章介绍了eBPF在Linux安全模块（LSM）中的应用，强调其动态加载和高可编程性。Falco和Tetragon作为安全监控工具，分别提供基于syscall的检测和内核态的实时阻断能力。建议在不同场景下结合使用Seccomp、Falco和Tetragon以实现分层防御。
关键要点
-
Seccomp的局限性在于无法解引用用户态指针和识别敏感文件路径，而eBPF能够提供更丰富的上下文信息。
-
Seccomp-BPF使用经典BPF，功能有限，无法支持指针解引用和复杂的策略。
-
eBPF在Linux安全模块（LSM）中应用，允许动态加载程序并提供高可编程性。
-
Falco是基于syscall的安全监控工具，能够检测容器内的异常行为，但不具备实时阻断能力。
-
Tetragon是Cilium的安全组件，能够在内核态进行实时阻断，并维护完整的进程血缘链。
-
建议在不同场景下结合使用Seccomp、Falco和Tetragon，以实现分层防御，提升容器安全性。
延伸问答
Seccomp和eBPF在容器安全中的主要区别是什么？
Seccomp无法解引用用户态指针和识别敏感文件路径，而eBPF能够提供更丰富的上下文信息，支持动态加载和高可编程性。
Falco和Tetragon各自的功能和应用场景是什么？
Falco是基于syscall的安全监控工具，主要用于检测异常行为；而Tetragon则在内核态进行实时阻断，维护完整的进程血缘链，适合高安全性需求的场景。
如何在Linux中启用eBPF和Seccomp？
启用eBPF需要最低内核版本5.7，并确保配置了CONFIG_BPF_LSM；启用Seccomp则需要最低内核版本3.5，并配置CONFIG_SECCOMP。
Tetragon如何实现实时阻断？
Tetragon通过在内核态挂载eBPF程序，直接在hook点检查并使用bpf_send_signal(SIGKILL)来阻断恶意操作。
Seccomp的局限性是什么？
Seccomp的局限性在于它是无状态的syscall过滤器，无法理解上下文，不能解引用用户态指针和识别敏感文件路径。
在容器安全中，如何结合使用Seccomp、Falco和Tetragon？
建议在不同场景下结合使用Seccomp作为基础防护，Falco进行运行时检测，Tetragon提供上下文感知的实时阻断，以实现分层防御。
