DEV Community
·
Docker中的Seccomp：通过系统调用过滤减少内核攻击面
💡
原文英文，约700词，阅读约需3分钟。
📝
内容提要
容器提供进程级隔离，但依赖主机共享内核。seccomp（安全计算模式）控制容器进程的系统调用，默认Docker seccomp配置阻止40多种危险调用。用户可自定义配置以增强安全性，结合其他安全特性形成防御模型，从而降低攻击者利用漏洞的可能性。
🎯
关键要点
- 容器提供进程级隔离，但依赖主机共享内核。
- seccomp（安全计算模式）控制容器进程的系统调用，默认Docker seccomp配置阻止40多种危险调用。
- 用户可自定义seccomp配置以增强安全性，结合其他安全特性形成防御模型。
- 系统调用是应用程序向操作系统内核的直接请求，可能被攻击者滥用。
- Docker的内置seccomp支持允许加载定义允许或拒绝的系统调用的JSON文件。
- 编写良好的seccomp配置文件需要观察和迭代，使用工具如strace和auditd进行系统调用跟踪。
- seccomp支持多种对被阻止系统调用的处理方式，如终止进程或记录事件。
- seccomp与其他Docker安全特性结合使用，形成分层防御模型。
- 定制seccomp配置对高保障系统是值得的投资，尤其是面向互联网的服务和处理敏感数据的应用。
- Docker的默认seccomp配置是一个良好的起点，但生产工作负载应进行审计和定制。
- 在Kubernetes环境中，可以通过注解或PodSecurityPolicies在pod级别强制执行seccomp。
- seccomp旨在减少信任，假设即使是合法代码也可能包含漏洞。
- 如果希望在生产中安全部署容器，建议下载相关的安全与隔离指南。
❓
延伸问答
什么是seccomp，它在Docker中有什么作用？
seccomp是安全计算模式，用于控制容器进程的系统调用，默认配置阻止40多种危险调用，从而增强安全性。
如何自定义Docker的seccomp配置？
用户可以通过加载定义允许或拒绝的系统调用的JSON文件，并使用--security-opt标志来应用自定义配置。
seccomp与其他Docker安全特性如何结合使用？
seccomp可以与AppArmor、SELinux等其他安全特性结合，形成分层防御模型，限制潜在的攻击面。
在Kubernetes中如何强制执行seccomp？
在Kubernetes环境中，可以通过注解或PodSecurityPolicies在pod级别强制执行seccomp。
为什么定制seccomp配置对高保障系统是值得的投资？
定制seccomp配置可以减少攻击者利用漏洞的可能性，特别是对于面向互联网的服务和处理敏感数据的应用。
如何编写有效的seccomp配置文件？
编写有效的seccomp配置文件需要观察和迭代，使用工具如strace和auditd进行系统调用跟踪，识别必要的系统调用。
➡️
