[发明专利]一种容器逃逸检测与阻断方法、装置、设备及存储介质

权利要求书

1.一种容器逃逸检测与阻断方法，其特征在于，包括以下步骤：

在系统中载入动态可加载内核模块，并令所述动态可加载内核模块挂钩用于创建子进程的fork函数和用于将进程转变成二进制程序的execve函数；

获取宿主机进程的关键信息并将其存入全局表，所述关键信息包含其进程标识符、其父进程的进程标识符、其命名空间的字符串值以及其fs_struct结构体中的值；

当所述fork函数或所述execve函数被容器进程调用时，获取所述容器进程的关键信息并存入所述全局表；

在所述全局表中查找所述宿主机进程的关键信息和所述容器进程父进程的关键信息，并将其分别与所述容器进程的关键信息进行比对；

当所述容器进程命名空间的字符串值与其父进程命名空间的字符串值不相等且其命名空间的字符串值等于所述宿主机进程命名空间的字符串值时，则判定所述容器进程发生逃逸，并阻断所述容器进程；

或当所述容器进程fs_struct结构体中的值与其父进程fs_struct结构体中的值不相等且其fs_struct结构体中的值等于所述宿主机进程fs_struct结构体中的值时，则判定所述容器进程发生逃逸，并阻断所述容器进程。

2.根据权利要求1所述的一种容器逃逸检测与阻断方法，其特征在于，所述方法还包括当所述容器进程的进程标识符与所述全局表中的某一进程标识符相同时，用所述容器进程的关键信息覆盖所述全局表中该进程标识符对应的原有数据。

3.根据权利要求1所述的一种容器逃逸检测与阻断方法，其特征在于，所述在所述全局表中查找所述宿主机进程的关键信息和所述容器进程父进程的关键信息包括当所述execve函数每次被容器进程调用时，根据所述容器进程关键信息中的父进程的进程标识符在所述全局表中获取其父进程的关键信息。

4.根据权利要求1所述的一种容器逃逸检测与阻断方法，其特征在于，所述阻断所述容器进程，包括：调用exit函数杀死所述容器进程。

5.根据权利要求1所述的一种容器逃逸检测与阻断方法，其特征在于，所述在系统中载入动态可加载内核模块，并令所述动态可加载内核模块挂钩fork函数和execve函数，包括：

生成insmod命令，根据所述insmod命令将动态可加载内核模块插入到系统中，并通过kprobe技术令所述动态可加载内核模块挂钩所述fork函数和execve函数。

6.一种容器逃逸检测与阻断装置，其特征在于，包括：

挂载模块，用于在系统中载入动态可加载内核模块，并令所述动态可加载内核模块挂钩用于创建子进程的fork函数和用于将进程转变成二进制程序的execve函数；

第一存表模块，用于获取宿主机进程的关键信息并将其存入全局表，所述关键信息包含其进程标识符、其父进程的进程标识符、其命名空间的字符串值以及其fs_struct结构体中的值；

第二存表模块，用于当所述fork函数或所述execve函数被容器进程调用时，获取所述容器进程的关键信息并存入所述全局表；

判断模块，用于在所述全局表中查找所述宿主机进程的关键信息和所述容器进程父进程的关键信息，并将其分别与所述容器进程的关键信息进行比对；

当所述容器进程命名空间的字符串值与其父进程命名空间的字符串值不相等且其命名空间的字符串值等于所述宿主机进程命名空间的字符串值时，则判定所述容器进程发生逃逸，并阻断所述容器进程；

或当所述容器进程fs_struct结构体中的值与其父进程fs_struct结构体中的值不相等且其fs_struct结构体中的值等于所述宿主机进程fs_struct结构体中的值时，则判定所述容器进程发生逃逸，并阻断所述容器进程。

7.一种电子设备，其特征在于，包括存储器和处理器，所述存储器用于存储一条或多条计算机指令，其中，所述一条或多条计算机指令被所述处理器执行以实现如权利要求1～5中任一项所述的一种容器逃逸检测与阻断方法。

8.一种存储有计算机程序的计算机可读存储介质，其特征在于，所述计算机程序使计算机执行时实现如权利要求1～5中任一项所述的一种容器逃逸检测与阻断方法。