Linux 安全：如何使用 seccomp profile 限制容器系统调用

seccomp是Linux内核安全机制，通过限制容器可执行的系统调用提升安全性。它默认允许read、write、exit、sigreturn，现代版本结合BPF实现细粒度控制。在Docker中可通过--security-opt加载JSON格式的profile文件，如禁止ptrace、mount等高风险调用。Kubernetes从v1.19支持该特性，需将profile置于节点/var/lib/kubelet/seccomp目录，并通过Pod注解或SecurityContext引用。配置时应平衡安全与兼容性，使用SCMP_ACT_LOG记录拦截行为，借助strace或audit log调试。合理使用可显著降低容器逃逸风险。

在容器环境中，限制应用程序能使用的系统调用是提升安全性的关键手段之一。seccomp（secure computing mode）是 Linux 内核提供的一种机制，允许你过滤进程可执行的系统调用，从而减少攻击面。通过为容器配置 seccomp profile，你可以明确允许或禁止某些系统调用，防止恶意或意外行为。

什么是 seccomp？

seccomp 是 Linux 内核的安全特性，最初设计用于将进程限制在极小的系统调用集合中，进入“安全计算模式”后，进程只能调用 read、write、exit 和 sigreturn 四个系统调用。现代 seccomp 结合 Berkeley Packet Filter (BPF) 规则，可以实现更细粒度的控制。

在容器运行时（如 Docker 或 containerd）中，seccomp 通常通过加载 JSON 格式的 profile 文件来配置，定义哪些系统调用被允许、拒绝或记录。

如何为容器配置 seccomp profile

Docker 和 Kubernetes 都支持通过 seccomp profile 限制容器的系统调用。以下以 Docker 为例说明操作流程。

1. 准备 seccomp profile 文件

seccomp profile 是一个 JSON 文件，描述了允许或拒绝的系统调用规则。Docker 默认提供了一个默认 profile（default.json），位于：

/usr/share/containers/seccomp.json 或由 Docker 自带。

你可以从默认 profile 开始修改，例如创建一个自定义文件 restricted.json，禁止危险系统调用如 ptrace、mount、chroot 等：

{
  "defaultAction": "SCMP_ACT_ERRNO",
  "syscalls": [
    {
      "names": ["ptrace", "mount", "umount2", "chroot", "pivot_root"],
      "action": "SCMP_ACT_ALLOW"
    },
    {
      "names": ["execve"],
      "action": "SCMP_ACT_ALLOW"
    }
  ]
}

defaultAction 设置默认动作为返回错误（ERRNO），只有显式列出的系统调用才会被允许。

2. 使用 Docker 运行容器并加载 profile

使用 --security-opt 参数指定 seccomp profile：

docker run --rm \
  --security-opt seccomp=./restricted.json \
  your-image

如果未指定，Docker 使用默认 profile；设置为 unconfined 则禁用 seccomp：

PhotoAid Image Upscaler

PhotoAid出品的免费在线AI图片放大工具

52

查看详情

--security-opt seccomp=unconfined

在 Kubernetes 中使用 seccomp

Kubernetes 从 v1.19 开始支持 seccomp 作为 Beta 特性，v1.25 起 GA。你可以通过 Pod 注解或 SecurityContext 指定 profile。

1. 将 profile 加载到节点

seccomp profile 需要预先放在每个节点的 /var/lib/kubelet/seccomp 目录下，例如：

/var/lib/kubelet/seccomp/restricted.json

2. 在 Pod 中引用 profile

通过注解方式：

apiVersion: v1
kind: Pod
metadata:
  name: secure-pod
  annotations:
    container.seccomp.security.alpha.kubernetes.io/hello: runtime/default
spec:
  containers:
  - name: hello
    image: busybox
    command: [ "sh", "-c", "sleep 3600" ]

或使用更精确的路径：

container.seccomp.security.alpha.kubernetes.io/hello: localhost/restricted.json

Kubernetes 支持以下前缀：

• runtime/default：使用容器运行时的默认 profile
• localhost/：引用节点上 /var/lib/kubelet/seccomp 下的文件

常见限制建议与调试技巧

配置 seccomp profile 时需平衡安全性与应用兼容性。过于严格的规则可能导致应用崩溃。

• 禁止高风险系统调用：如 ptrace（可用于调试和注入）、mount、capset、chroot 等，除非明确需要
• 允许基本调用：read、write、openat、close、execve 等通常是必需的
• 使用日志辅助调试：设置 SCMP_ACT_LOG 可记录被拦截的调用，帮助分析问题
• 逐步收紧策略：先使用宽松 profile，通过日志观察实际调用，再逐步限制

若容器启动失败，检查日志中是否有 “Operation not permitted”，可能是被 seccomp 拦截。可通过 strace 或 audit log 分析具体调用。

基本上就这些。合理使用 seccomp profile 能显著降低容器逃逸风险，是构建安全容器环境的重要一环。不复杂但容易忽略。

以上就是Linux 安全：如何使用 seccomp profile 限制容器系统调用的详细内容，更多请关注php中文网其它相关文章！