New

The executive guide to generative AI

Read more
About usPartnersSupport|Login
« 与 Logstash 的安全通信 故障排除 »
Elastic 文档 ›Filebeat 参考 [8.17] ›保护 Filebeat 安全

使用 Linux 安全计算模式 (seccomp)

编辑

使用 Linux 安全计算模式 (seccomp)

编辑

此功能为 Beta 版，可能会发生更改。其设计和代码不如官方 GA 功能成熟，因此按原样提供，不提供任何担保。Beta 版功能不受官方 GA 功能的支持 SLA 约束。

在 Linux 3.17 及更高版本中，Filebeat 可以利用安全计算模式（也称为 seccomp）。Seccomp 限制进程可以发出的系统调用。具体来说，Filebeat 可以在进程启动时加载 seccomp BPF 过滤器，该过滤器会降低调用特定系统调用的权限。一旦进程加载了过滤器，就无法将其删除。

内核公开了大量 Filebeat 未使用的系统调用。通过安装 seccomp 过滤器，您可以限制暴露给 Filebeat 的内核总表面（最小权限原则）。这最大限度地减少了在进程中可能发现的未知漏洞的影响。

该过滤器以伯克利数据包过滤器 (BPF) 程序的形式表示。BPF 程序根据 Filebeat 定义的策略生成。策略也可以通过配置进行自定义。

由于系统调用因架构而异，因此 seccomp 策略是特定于架构的。Filebeat 包含 amd64 和 386 架构的白名单 seccomp 策略。您可以在此处查看这些策略。

Seccomp 策略配置

编辑

可以通过配置策略自定义 seccomp 策略。这是一个黑名单策略示例，禁止 execve、execveat、fork 和 vfork 系统调用。

seccomp:
  default_action: allow 
  syscalls:
  - action: errno 
    names: 
    - execve
    - execveat
    - fork
    - vfork

如果进程调用的系统调用与以下任何名称都不匹配，则允许执行。

如果调用的系统调用与以下任何名称匹配，则会向调用者返回错误。这称为黑名单策略。

这些是被禁止的系统调用。

以下是 seccomp 策略的配置选项。

enabled
在 Linux 上，默认情况下启用此选项。要禁用 seccomp 过滤器加载，请将此选项设置为 false。
default_action
当没有定义的系统调用匹配时要采取的默认操作。有关值的完整列表，请参阅操作。这是必需的。
syscalls
此列表中的每个对象都必须包含一个 action 和一个系统调用 names 列表。该列表必须至少包含一项。
names
系统调用名称的列表。系统调用名称必须存在于运行时架构中，否则将记录错误并且不会安装过滤器。必须定义至少一个系统调用。
action

执行 names 中列出的任何系统调用时要采取的操作。这是必需的。以下是可用的操作值。可用的操作取决于内核版本。

  • errno - 系统调用将向调用者返回 EPERM（权限被拒绝）。
  • trace - 内核将通知 ptrace 跟踪器。如果没有跟踪器，则系统调用将失败，并返回 ENOSYS（未实现的功能）。
  • trap - 内核将向调用线程发送一个 SIGSYS 信号，并且不会执行系统调用。Go 运行时将退出。
  • kill_thread - 内核将立即终止线程。其他线程将继续执行。
  • kill_process - 内核将终止进程。在 Linux 4.14 及更高版本中可用。
  • log - 内核将在执行系统调用之前记录它。在 Linux 4.14 及更高版本中可用。（这不会转到 Beat 的日志。）
  • allow - 内核将允许执行系统调用。

Auditbeat 报告 Seccomp 违规

编辑

您可以使用 Auditbeat 报告系统上发生的任何 seccomp 违规行为。内核会为每次违规生成一个事件，而 Auditbeat 会报告该事件。event.action 值将为 violated-seccomp-policy，并且该事件将包含有关进程和系统调用的信息。

« 与 Logstash 的安全通信 故障排除 »

On this page

Was this helpful?
Feedback