使用 Linux 安全计算模式 (seccomp)
编辑使用 Linux 安全计算模式 (seccomp)编辑
此功能处于测试阶段，可能会发生变化。设计和代码不如正式的 GA 功能成熟，并且按原样提供，不提供任何担保。测试功能不受正式 GA 功能的支持 SLA 的约束。
在 Linux 3.17 及更高版本中，Auditbeat 可以利用安全计算模式，也称为 seccomp。 Seccomp 限制进程可以发出的系统调用。具体来说，Auditbeat 可以在进程启动时加载一个 seccomp BPF 过滤器，该过滤器会删除调用特定系统调用的权限。进程加载过滤器后，将无法删除该过滤器。
内核公开了大量 Auditbeat 不使用的系统调用。通过安装 seccomp 过滤器，您可以限制 Auditbeat 公开的内核总表面（最小权限原则）。这最大限度地减少了进程中可能发现的未知漏洞的影响。
过滤器表示为伯克利包过滤器 (BPF) 程序。BPF 程序是根据 Auditbeat 定义的策略生成的。该策略也可以通过配置进行自定义。
由于系统调用因体系结构而异，因此 seccomp 策略是特定于体系结构的。 Auditbeat 包含适用于 amd64 和 386 架构的白名单 seccomp 策略。您可以在此处查看这些策略。
Seccomp 策略配置编辑
可以通过配置策略自定义 seccomp 策略。这是一个禁止 execve、execveat、fork 和 vfork 系统调用的示例黑名单策略。
以下是 seccomp 策略的配置选项。
-
已启用 - 在 Linux 上，默认情况下启用此选项。要禁用 seccomp 过滤器加载，请将此选项设置为
false。 -
默认操作 - 当没有定义的系统调用匹配时要采取的默认操作。有关值的完整列表，请参阅操作。这是必需的。
-
系统调用 - 此列表中的每个对象都必须包含一个
操作和一个系统调用名称列表。该列表必须至少包含一项。 -
名称 - 系统调用名称列表。系统调用名称必须存在于运行时体系结构中，否则将记录错误并且不会安装过滤器。必须至少定义一个系统调用。
-
行动 -
在执行
名称中列出的任何系统调用时要采取的操作。这是必需的。以下是可用的操作值。可用的操作取决于内核版本。-
errno- 系统调用将向调用者返回EPERM（权限被拒绝）。 -
trace- 内核将通知ptrace跟踪器。如果没有跟踪器，则系统调用将失败并显示ENOSYS（函数未实现）。 -
trap- 内核将向调用线程发送SIGSYS信号，并且不执行系统调用。 Go 运行时将退出。 -
kill_thread- 内核将立即终止线程。其他线程将继续执行。 -
kill_process- 内核将终止进程。在 Linux 4.14 及更高版本中可用。 -
log- 内核将在执行系统调用之前记录它。在 Linux 4.14 及更高版本中可用。（这不会进入 Beat 的日志。） -
allow- 内核将允许执行系统调用。
-
Auditbeat 报告 Seccomp 违规编辑
您可以使用 Auditbeat 报告系统上发生的任何 seccomp 违规行为。内核为每次违规生成一个事件，Auditbeat 报告该事件。 event.action 值将为 violated-seccomp-policy，并且该事件将包含有关进程和系统调用的信息。