企业官网建设流程全解析

Linux seccomp沙箱机制：BPF过滤规则设计、libseccomp编程与Docker安全配置的完整工程实践

一、seccomp的防御逻辑：最小化系统调用暴露面

进程的攻击面由它能发起的系统调用决定。一个只做计算的进程不需要open/mount/execve，但默认情况下Linux进程可以调用全部400+个系统调用。seccomp（Secure Computing Mode）的核心思想：在进程进入计算逻辑前，用BPF规则限定允许的系统调用集合。攻击者即使拿到代码执行权，也无法调用被禁止的系统调用——这是内核层面的硬约束，无法从用户空间绕过。

seccomp有两种模式：

• strict（模式1）：只允许read/write/exit/sigreturn四个系统调用。极度安全但几乎无法用于任何实际程序
• filter（模式2，seccomp-bpf）：用BPF程序定义自定义过滤规则。可以按系统调用号、参数值、参数掩码进行细粒度过滤

二、seccomp-bpf的过滤规则设计

BPF（Berkeley Packet Filter）原本用于网络包过滤，seccomp-bpf将其用于系统调用过滤。每条规则的结构：

系统调用号 → 参数0 → 参数1 → ... → 参数5 → 动作(SECCOMP_RET_xxx)

动作类型：

规则设计原则：

1. 默认动作设为KILL_PROCESS，白名单逐项放行——默认拒绝比默认允许更安全
2. 参数过滤只用于有条件放行的调用：如允许open但禁止open的O_CREAT标志
3. 规则数量控制在30~50条，过多规则增加BPF执行开销且难以维护

系统调用过滤流程

flowchart TD A[进程发起系统调用] --> B[BPF过滤器执行] B --> C{匹配规则} C -->|系统调用号在白名单| D{是否需要参数检查?} D -->|否| E[SECCOMP_RET_ALLOW 直接执行] D -->|是| F{参数值满足条件?} F -->|是| E F -->|否| G[SECCOMP_RET_ERRNO 返回错误] C -->|系统调用号不在白名单| H[默认动作] H --> I[SECCOMP_RET_KILL_PROCESS 杀死进程] C -->|匹配TRAP规则| J[SECCOMP_RET_TRAP 发送SIGSYS] J --> K[信号处理函数记录日志] style I fill:#e74c3c,color:#fff style E fill:#2ecc71,color:#fff

三、libseccomp的编程接口与C代码实现

直接编写BPF规则繁琐且容易出错。libseccomp提供高级API，将系统调用名称转换为调用号、自动处理架构差异。

C代码：为计算进程构建seccomp沙箱

#include <stdio.h> #include <stdlib.h> #include <seccomp.h> #include <unistd.h> #include <errno.h> #include <sys/prctl.h> #include <signal.h> /* * 为纯计算进程构建seccomp沙箱 * 允许: read/write/exit/exit_group/brk/mmap/munmap/fstat * 允许: clock_gettime/gettimeofday (计时) * 允许: write但禁止write(fd=1以外) → 只允许stdout * 默认: KILL_PROCESS * 编译: gcc -o seccomp_sandbox seccomp_sandbox.c -lseccomp */ static void sigsys_handler(int sig, siginfo_t *info, void *ctx) { fprintf(stderr, "seccomp: 系统调用 %d 被拦截\n", info->si_syscall); _exit(127); } int setup_seccomp_filter(void) { scmp_filter_ctx ctx; int rc = 0; /* 创建过滤器，默认动作: KILL_PROCESS */ ctx = seccomp_init(SCMP_ACT_KILL_PROCESS); if (!ctx) return -1; /* 安装SIGSYS信号处理函数（用于TRAP规则） */ struct sigaction sa = { .sa_sigaction = sigsys_handler, .sa_flags = SA_SIGINFO, }; sigaction(SIGSYS, &sa, NULL); /* 白名单: 基础I/O */ rc |= seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(read), 0); rc |= seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(write), 0); /* 白名单: 进程退出 */ rc |= seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(exit), 0); rc |= seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(exit_group), 0); /* 白名单: 内存管理 */ rc |= seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(brk), 0); rc |= seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(mmap), 0); rc |= seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(munmap), 0); rc |= seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(mprotect), 0); /* 白名单: 文件信息（不允许open） */ rc |= seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(fstat), 0); rc |= seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(lseek), 0); /* 白名单: 计时 */ rc |= seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(clock_gettime), 0); rc |= seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(gettimeofday), 0); /* 白名单: 线程管理 */ rc |= seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(nanosleep), 0); rc |= seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(sigreturn), 0); /* 条件允许: open — 只允许O_RDONLY标志 */ rc |= seccomp_rule_add(ctx, SCMP_ACT_ERRNO(EACCES), SCMP_SYS(open), 1, SCMP_A1(SCMP_CMP_MASKED_EQ, O_WRONLY | O_RDWR, O_WRONLY | O_RDWR)); /* TRAP规则: 记录execve尝试但不直接杀死（调试用） */ rc |= seccomp_rule_add(ctx, SCMP_ACT_TRAP, SCMP_SYS(execve), 0); if (rc != 0) { seccomp_release(ctx); return -1; } /* 加载过滤器到内核 */ rc = seccomp_load(ctx); if (rc != 0) { seccomp_release(ctx); return -1; } seccomp_release(ctx); return 0; } int main(void) { /* 禁止进程修改seccomp规则（不可逆） */ prctl(PR_SET_NO_NEW_PRIVS, 1, 0, 0, 0); if (setup_seccomp_filter() != 0) { fprintf(stderr, "seccomp过滤器加载失败\n"); return 1; } printf("seccomp沙箱已激活，允许 %d 个系统调用\n", 13); /* 测试: 正常操作 */ char buf[64]; ssize_t n = read(STDIN_FILENO, buf, sizeof(buf)); if (n > 0) { write(STDOUT_FILENO, buf, n); } /* 测试: 试图打开文件（应返回EACCES） */ int fd = open("/etc/passwd", O_RDONLY); if (fd < 0) { printf("open被拦截: errno=%d (%s)\n", errno, strerror(errno)); } /* 测试: 试图执行命令（应触发SIGSYS） */ /* execve("/bin/ls", ...) → sigsys_handler记录后退出 */ return 0; }

关键设计：PR_SET_NO_NEW_PRIVS在加载seccomp前必须设置，它禁止进程后续获得更多权限（如sudo提权），确保seccomp规则不会被绕过。

四、Docker中seccomp profile的配置与性能开销

Docker默认为每个容器加载seccomp profile，禁止约44个危险系统调用（如mount、keyctl、add_key等）。默认profile路径：/usr/share/docker/seccomp/default.json。

自定义seccomp profile

{ "defaultAction": "SCMP_ACT_ERRNO", "defaultErrnoRet": 1, "architectures": ["SCMP_ARCH_X86_64"], "syscalls": [ { "names": ["read", "write", "exit", "exit_group", "fstat", "mmap", "munmap", "brk", "clock_gettime", "nanosleep", "sigreturn"], "action": "SCMP_ACT_ALLOW" }, { "names": ["open"], "action": "SCMP_ACT_ALLOW", "args": [ { "index": 1, "op": "SCMP_CMP_MASKED_EQ", "value": 2, "valueTwo": 2, "comment": "只允许O_RDONLY" } ] }, { "names": ["execve"], "action": "SCMP_ACT_TRAP" } ] }

使用自定义profile启动容器：

docker run --security-opt seccomp=custom_profile.json \ -d myapp:latest

完全禁用seccomp（仅用于调试，生产环境禁止）：

docker run --security-opt seccomp=unconfined myapp:latest

性能开销分析

seccomp-bpf的性能开销来自每次系统调用时的BPF规则执行。测量方法：

# 无seccomp基准 strace -c -f ./benchmark_without_seccomp # 有seccomp strace -c -f ./benchmark_with_seccomp

典型开销数据：

结论：规则数<30且系统调用频率<10K/s时，开销可忽略。超过此阈值需要优化规则——合并相似调用、减少参数检查层级、使用BPF JIT加速。

五、总结

1. seccomp的防御逻辑：将进程系统调用暴露面从400+缩减到白名单集合，内核层面硬约束无法从用户空间绕过
2. seccomp-bpf支持六种返回动作：ALLOW、KILL_PROCESS、KILL_THREAD、TRAP、ERRNO、TRACE，默认动作设为KILL_PROCESS实现默认拒绝策略
3. libseccomp的高级API封装BPF规则编写，自动处理架构差异和系统调用号映射，规则设计控制在30~50条以内
4. Docker默认加载seccomp profile禁止44个危险系统调用，自定义profile通过JSON配置白名单和条件过滤
5. 性能开销与规则数和调用频率正相关：规则<30且频率<10K/s时开销<0.5%，高频场景需合并规则和启用BPF JIT降低延迟