Docker 容器隔離關(guān)鍵技術(shù)：Seccomp

在 Docker 容器中，Seccomp（Secure Computing Mode） 是一種內(nèi)核安全機(jī)制，用來限制容器內(nèi)的程序可以調(diào)用哪些系統(tǒng)調(diào)用（Syscalls）。通過列清單的方式，Seccomp 可以指定哪些系統(tǒng)調(diào)用被允許、被拒絕或需要特殊處理，從而增強(qiáng)容器的安全性。

---

什么是 Seccomp？

通俗比喻

想象你是一個(gè)公司安全管理員（宿主機(jī)），容器里的程序就像員工，而系統(tǒng)調(diào)用（Syscalls）就是員工用來操作外界資源的方式，比如：

• 打電話訂貨（文件操作）。
• 打電話開賬戶（網(wǎng)絡(luò)操作）。
• 打電話調(diào)整公司系統(tǒng)（高權(quán)限操作）。

Seccomp 就是員工的“電話管理系統(tǒng)”：

• 只允許員工打某些“安全電話”（系統(tǒng)調(diào)用）。
• 拒絕任何“高風(fēng)險(xiǎn)電話”（例如直接改系統(tǒng)配置）。
• 如果電話違規(guī)，直接掛斷或報(bào)警。

---

Seccomp 的作用

1. 限制系統(tǒng)調(diào)用范圍：Seccomp 通過列清單（白名單或黑名單）的方式，限制程序只能調(diào)用經(jīng)過允許的系統(tǒng)調(diào)用。
2. 增強(qiáng)容器安全性：減少惡意程序通過高風(fēng)險(xiǎn)系統(tǒng)調(diào)用（如 ptrace 或 mount）攻擊宿主機(jī)。
3. 減少攻擊面：系統(tǒng)調(diào)用是與內(nèi)核交互的關(guān)鍵接口，限制調(diào)用種類可以降低被攻擊的可能性。

---

Seccomp 與 Capabilities 的關(guān)系

1. 核心區(qū)別：

   • Seccomp 限制的是容器內(nèi)進(jìn)程調(diào)用的“系統(tǒng)調(diào)用”（Syscalls）。
   • Capabilities 限制的是容器的“權(quán)限”（如掛載、修改文件權(quán)限）。

   比喻：

   • Capabilities 是限制“容器能不能開某扇門”（權(quán)限）。
   • Seccomp 是限制“容器能不能用某種工具”（系統(tǒng)調(diào)用）。

2. 互相配合：

   • Capabilities 可以禁用容器的高權(quán)限操作（如 CAP_SYS_ADMIN 禁用掛載權(quán)限）。
   • Seccomp 則進(jìn)一步限制具體的系統(tǒng)調(diào)用，即使擁有 CAP_SYS_ADMIN 權(quán)限，也可以通過禁止 mount 調(diào)用來加強(qiáng)安全。

---

Seccomp 在 Docker 中的使用

1. 默認(rèn) Seccomp 策略

Docker 默認(rèn)啟用了一個(gè)標(biāo)準(zhǔn)的 Seccomp 策略文件（default.json），其特點(diǎn)是：

• 允許常用系統(tǒng)調(diào)用：如 read、write、open。
• 禁止高風(fēng)險(xiǎn)系統(tǒng)調(diào)用：如 keyctl（管理內(nèi)核密鑰）、create_module（加載內(nèi)核模塊）、delete_module（卸載內(nèi)核模塊）。
• 限制進(jìn)程相關(guān)調(diào)用：如 ptrace（調(diào)試進(jìn)程）。

這種默認(rèn)策略適合大多數(shù)容器任務(wù)，同時(shí)保證了安全性和功能性之間的平衡。

2. 自定義 Seccomp 策略

如果默認(rèn)策略無法滿足需求（如更嚴(yán)格的限制），可以使用自定義策略文件，以 JSON 格式定義：

{"defaultAction": "SCMP_ACT_ERRNO","syscalls": [{"names": ["read", "write", "exit", "sigreturn"],"action": "SCMP_ACT_ALLOW"},{"names": ["ptrace", "kexec_load"],"action": "SCMP_ACT_ERRNO"}]
}

• SCMP_ACT_ALLOW：允許調(diào)用。
• SCMP_ACT_ERRNO：拒絕調(diào)用并返回錯(cuò)誤。

運(yùn)行容器時(shí)加載自定義策略：

docker run --security-opt seccomp=/path/to/custom-seccomp.json -it ubuntu

3. 禁用 Seccomp

某些情況下可能需要完全禁用 Seccomp（如調(diào)試容器）：

docker run --security-opt seccomp=unconfined -it ubuntu

---

特權(quán)容器無法配置 Seccomp

什么是特權(quán)容器？

特權(quán)容器（Privileged Container）是 Docker 中一種特殊模式，啟動(dòng)時(shí)通過 --privileged 參數(shù)開啟：

docker run --privileged -it ubuntu

特性：

• 擁有幾乎所有的系統(tǒng)權(quán)限（類似于直接運(yùn)行在宿主機(jī)上）。
• 訪問宿主機(jī)的所有設(shè)備（如 /dev）。
• 默認(rèn)禁用 Seccomp、AppArmor 等安全機(jī)制。

為什么特權(quán)容器無法配置 Seccomp？

特權(quán)容器的權(quán)限設(shè)計(jì)初衷是為了繞過所有安全限制，因此它會(huì)自動(dòng)禁用 Seccomp。即使嘗試配置自定義 Seccomp 策略，也會(huì)被忽略。

安全風(fēng)險(xiǎn)

由于特權(quán)容器擁有宿主機(jī)級別的權(quán)限，攻擊者可以輕易利用容器中的漏洞獲取宿主機(jī)的控制權(quán)。建議僅在測試或特定需求場景中使用特權(quán)容器。

---

Seccomp 常見系統(tǒng)調(diào)用限制

系統(tǒng)調(diào)用	作用	默認(rèn)策略	安全建議
read	讀取文件或輸入數(shù)據(jù)	允許	通常是安全的
write	寫入文件或輸出數(shù)據(jù)	允許	通常是安全的
mount	掛載文件系統(tǒng)	禁止	高風(fēng)險(xiǎn)，應(yīng)禁用
umount	卸載文件系統(tǒng)	禁止	高風(fēng)險(xiǎn)，應(yīng)禁用
ptrace	調(diào)試其他進(jìn)程	禁止	高風(fēng)險(xiǎn)，應(yīng)禁用
clone	克隆當(dāng)前進(jìn)程	限制	根據(jù)任務(wù)需求謹(jǐn)慎允許
keyctl	管理內(nèi)核密鑰	禁止	極高風(fēng)險(xiǎn)，應(yīng)禁用
create_module	加載內(nèi)核模塊	禁止	極高風(fēng)險(xiǎn)，應(yīng)禁用

---

Seccomp 的優(yōu)點(diǎn)

1. 減少攻擊面：
   • 限制系統(tǒng)調(diào)用的種類，減少攻擊者的利用路徑。
2. 增強(qiáng)隔離性：
   • 即使容器被攻破，Seccomp 限制可以防止惡意程序?yàn)E用關(guān)鍵系統(tǒng)調(diào)用。
3. 靈活性：
   • 支持自定義策略，滿足不同場景需求。

---

Seccomp 的局限性

1. 特權(quán)容器無法使用：
   • 特權(quán)容器（--privileged）直接繞過 Seccomp，無法配置任何策略。
2. 需要配置策略：
   • 默認(rèn)策略可能無法滿足所有場景，自定義策略需要理解系統(tǒng)調(diào)用。
3. 依賴內(nèi)核版本：
   • Seccomp 是內(nèi)核功能，某些舊版本內(nèi)核可能不支持。

---

Seccomp 與 Capabilities 的對比

特性	Seccomp	Capabilities
作用	限制系統(tǒng)調(diào)用（Syscalls）。	限制操作權(quán)限（Privileges）。
粒度	細(xì)粒度控制，指定允許或禁止的系統(tǒng)調(diào)用。	中粒度控制，按權(quán)限分配任務(wù)能力。
示例	禁止 ptrace 調(diào)試其他進(jìn)程。	禁止 CAP_SYS_ADMIN 系統(tǒng)管理權(quán)限。
配合場景	禁止高風(fēng)險(xiǎn)的系統(tǒng)調(diào)用。	限制容器的高權(quán)限操作。

---

總結(jié)

Seccomp 是 Docker 容器的一項(xiàng)重要安全技術(shù)。它通過限制系統(tǒng)調(diào)用的范圍，減少攻擊面，提升容器的隔離性。盡管默認(rèn)啟用了標(biāo)準(zhǔn)策略，但 Seccomp 可以根據(jù)需求進(jìn)行自定義，進(jìn)一步加強(qiáng)容器的安全性。

重要注意：特權(quán)容器（--privileged）默認(rèn)禁用 Seccomp。由于特權(quán)容器本質(zhì)上繞過了所有安全限制，使用時(shí)需極其謹(jǐn)慎。