[发明专利]Linux容器的细粒度沙盒策略执行方法

说明书

本发明提供了一种Linux容器的细粒度沙盒策略执行方法，限制Linux容器的系统调用行为，减少攻击面，实现Linux容器的安全加固。所述方法包括：容器追踪模块通过采用ptrace系统调用接口，追踪目标容器运行，根据沙盒策略定义的规则，对具有字符串类型参数的系统调用访问进行过滤。系统调用拦截模块通过采用seccomp/BPF技术，实时拦截目标容器系统调用访问，根据沙盒策略定义的规则，对系统调用类型及具有非字符串类型参数的系统调用访问进行过滤。

技术领域

本发明专利属于计算机技术领域，涉及云计算安全方向。更具体的讲，本发明专利涉及一种Linux容器的细粒度沙盒策略执行方法。

背景技术

Linux容器技术采用命名空间将进、文件、设备等资源进行隔离，为用户提供几近原生的性能体验，极大降低了虚拟化的额外开销。Docker容器是最具代表性的Linux容器技术之一。

Linux容器的安全问题已成为限制其广泛使用的重要影响因素。安全问题主要来源于，系统调用接口未实现命名空间的隔离，同一宿主操作系统上的容器共享系统调用接口。攻击者可通过系统调用接口，利用内核漏洞进行权限提升、任意代码执行、绕过访问控制、实现隔离机制的逃逸。

如何提高容器的安全性？一种直观的方法是将容器放在沙盒中，限制容器访问系统调用接口的行为。当可信容器被攻击者攻占后，沙盒的存在一定程度上可以限制攻击者对底层操作系统的影响。系统调用拦截技术是一种限制程序系统调用行为的有效技术，基于系统调用拦截技术的沙盒技术得到研究界及工业界的广泛关注。其中，seccomp/BPF技术是自Linux 3.5开始引入的一种高效的系统调用拦截技术。

然而，基于系统拦截技术的沙盒技术，实现Linux容器的细粒度沙盒策略执行，即过滤字符串类型的系统调用参数，仍然极具挑战。

发明内容

针对上述问题，本发明提出一种Linux容器的细粒度沙盒策略执行方法。在系统调用层面，实现细粒度沙盒策略执行，对Linux容器进行安全加固。细粒度沙盒策略限制Linux容器的系统调用类型及参数。

本发明采用如下技术方案：一种Linux容器的细粒度沙盒策略执行方法；细粒度沙盒策略包含了Linux容器的系统调用类型及参数的访问权限；该Linux容器的细粒度沙盒策略执行方法包括容器追踪模块和系统调用拦截模块；所述容器追踪模块包括追踪进程；该方法包括以下步骤：

步骤1：启动追踪进程。

步骤2：当目标容器的初始进程启动之后，通过进程间通信，追踪进程从容器运行环境获取目标容器的初始进程的进程号；追踪进程根据目标容器的初始进程的进程号，附着(attach)到目标容器的初始进程；追踪进程读取沙盒策略，获得目标容器系统调用的字符串类型的参数的过滤规则，等待触发事件；同时，系统调用拦截模块读取沙盒策略，并将沙盒策略载入到系统内核。

步骤3：系统调用拦截模块实时拦截目标容器的系统调用访问；并根据Linux容器的系统调用类型及参数的访问权限，限制目标容器的系统调用行为，具体为：

如果系统调用访问的类型和参数在沙盒策略定义的白名单中，则沙盒策略允许此次系统调用访问；如果系统调用访问的类型和参数在沙盒策略定义的追踪名单中，暂停目标容器运行，触发容器追踪模块；其他情况下，禁止此次系统调用访问；

当容器追踪模块被触发后，根据沙盒规则，对目标容器系统调用访问的参数进行过滤。重启该过滤后的目标容器，等待下次事件的触发。

进一步地，步骤2所述的附着(attach)到目标容器的初始进程，具体是指：调用Linux系统调用接口ptrace，传入PTRACE_ATTACH作为第一个参数。