Linux seccomp沙箱机制BPF过滤规则设计、libseccomp编程与Docker安全配置的完整工程实践一、seccomp的防御逻辑最小化系统调用暴露面进程的攻击面由它能发起的系统调用决定。一个只做计算的进程不需要open/mount/execve但默认情况下Linux进程可以调用全部400个系统调用。seccompSecure Computing Mode的核心思想在进程进入计算逻辑前用BPF规则限定允许的系统调用集合。攻击者即使拿到代码执行权也无法调用被禁止的系统调用——这是内核层面的硬约束无法从用户空间绕过。seccomp有两种模式strict模式1只允许read/write/exit/sigreturn四个系统调用。极度安全但几乎无法用于任何实际程序filter模式2seccomp-bpf用BPF程序定义自定义过滤规则。可以按系统调用号、参数值、参数掩码进行细粒度过滤二、seccomp-bpf的过滤规则设计BPFBerkeley Packet Filter原本用于网络包过滤seccomp-bpf将其用于系统调用过滤。每条规则的结构系统调用号 → 参数0 → 参数1 → ... → 参数5 → 动作(SECCOMP_RET_xxx)动作类型返回值含义适用场景SECCOMP_RET_ALLOW允许调用必需的系统调用SECCOMP_RET_KILL_PROCESS杀死进程严禁的系统调用SECCOMP_RET_KILL_THREAD杀死当前线程严禁但允许其他线程继续SECCOMP_RET_TRAP发送SIGSYS信号需要记录但允许降级处理SECCOMP_RET_ERRNO返回指定errno允许失败但不杀进程SECCOMP_RET_TRACE交给ptrace追踪器调试和监控场景规则设计原则默认动作设为KILL_PROCESS白名单逐项放行——默认拒绝比默认允许更安全参数过滤只用于有条件放行的调用如允许open但禁止open的O_CREAT标志规则数量控制在30~50条过多规则增加BPF执行开销且难以维护系统调用过滤流程flowchart TD A[进程发起系统调用] -- B[BPF过滤器执行] B -- C{匹配规则} C --|系统调用号在白名单| D{是否需要参数检查?} D --|否| E[SECCOMP_RET_ALLOW 直接执行] D --|是| F{参数值满足条件?} F --|是| E F --|否| G[SECCOMP_RET_ERRNO 返回错误] C --|系统调用号不在白名单| H[默认动作] H -- I[SECCOMP_RET_KILL_PROCESS 杀死进程] C --|匹配TRAP规则| J[SECCOMP_RET_TRAP 发送SIGSYS] J -- K[信号处理函数记录日志] style I fill:#e74c3c,color:#fff style E fill:#2ecc71,color:#fff三、libseccomp的编程接口与C代码实现直接编写BPF规则繁琐且容易出错。libseccomp提供高级API将系统调用名称转换为调用号、自动处理架构差异。C代码为计算进程构建seccomp沙箱#include stdio.h #include stdlib.h #include seccomp.h #include unistd.h #include errno.h #include sys/prctl.h #include signal.h /* * 为纯计算进程构建seccomp沙箱 * 允许: read/write/exit/exit_group/brk/mmap/munmap/fstat * 允许: clock_gettime/gettimeofday (计时) * 允许: write但禁止write(fd1以外) → 只允许stdout * 默认: KILL_PROCESS * 编译: gcc -o seccomp_sandbox seccomp_sandbox.c -lseccomp */ static void sigsys_handler(int sig, siginfo_t *info, void *ctx) { fprintf(stderr, seccomp: 系统调用 %d 被拦截\n, info-si_syscall); _exit(127); } int setup_seccomp_filter(void) { scmp_filter_ctx ctx; int rc 0; /* 创建过滤器默认动作: KILL_PROCESS */ ctx seccomp_init(SCMP_ACT_KILL_PROCESS); if (!ctx) return -1; /* 安装SIGSYS信号处理函数用于TRAP规则 */ struct sigaction sa { .sa_sigaction sigsys_handler, .sa_flags SA_SIGINFO, }; sigaction(SIGSYS, sa, NULL); /* 白名单: 基础I/O */ rc | seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(read), 0); rc | seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(write), 0); /* 白名单: 进程退出 */ rc | seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(exit), 0); rc | seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(exit_group), 0); /* 白名单: 内存管理 */ rc | seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(brk), 0); rc | seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(mmap), 0); rc | seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(munmap), 0); rc | seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(mprotect), 0); /* 白名单: 文件信息不允许open */ rc | seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(fstat), 0); rc | seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(lseek), 0); /* 白名单: 计时 */ rc | seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(clock_gettime), 0); rc | seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(gettimeofday), 0); /* 白名单: 线程管理 */ rc | seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(nanosleep), 0); rc | seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(sigreturn), 0); /* 条件允许: open — 只允许O_RDONLY标志 */ rc | seccomp_rule_add(ctx, SCMP_ACT_ERRNO(EACCES), SCMP_SYS(open), 1, SCMP_A1(SCMP_CMP_MASKED_EQ, O_WRONLY | O_RDWR, O_WRONLY | O_RDWR)); /* TRAP规则: 记录execve尝试但不直接杀死调试用 */ rc | seccomp_rule_add(ctx, SCMP_ACT_TRAP, SCMP_SYS(execve), 0); if (rc ! 0) { seccomp_release(ctx); return -1; } /* 加载过滤器到内核 */ rc seccomp_load(ctx); if (rc ! 0) { seccomp_release(ctx); return -1; } seccomp_release(ctx); return 0; } int main(void) { /* 禁止进程修改seccomp规则不可逆 */ prctl(PR_SET_NO_NEW_PRIVS, 1, 0, 0, 0); if (setup_seccomp_filter() ! 0) { fprintf(stderr, seccomp过滤器加载失败\n); return 1; } printf(seccomp沙箱已激活允许 %d 个系统调用\n, 13); /* 测试: 正常操作 */ char buf[64]; ssize_t n read(STDIN_FILENO, buf, sizeof(buf)); if (n 0) { write(STDOUT_FILENO, buf, n); } /* 测试: 试图打开文件应返回EACCES */ int fd open(/etc/passwd, O_RDONLY); if (fd 0) { printf(open被拦截: errno%d (%s)\n, errno, strerror(errno)); } /* 测试: 试图执行命令应触发SIGSYS */ /* execve(/bin/ls, ...) → sigsys_handler记录后退出 */ return 0; }关键设计PR_SET_NO_NEW_PRIVS在加载seccomp前必须设置它禁止进程后续获得更多权限如sudo提权确保seccomp规则不会被绕过。四、Docker中seccomp profile的配置与性能开销Docker默认为每个容器加载seccomp profile禁止约44个危险系统调用如mount、keyctl、add_key等。默认profile路径/usr/share/docker/seccomp/default.json。自定义seccomp profile{ defaultAction: SCMP_ACT_ERRNO, defaultErrnoRet: 1, architectures: [SCMP_ARCH_X86_64], syscalls: [ { names: [read, write, exit, exit_group, fstat, mmap, munmap, brk, clock_gettime, nanosleep, sigreturn], action: SCMP_ACT_ALLOW }, { names: [open], action: SCMP_ACT_ALLOW, args: [ { index: 1, op: SCMP_CMP_MASKED_EQ, value: 2, valueTwo: 2, comment: 只允许O_RDONLY } ] }, { names: [execve], action: SCMP_ACT_TRAP } ] }使用自定义profile启动容器docker run --security-opt seccompcustom_profile.json \ -d myapp:latest完全禁用seccomp仅用于调试生产环境禁止docker run --security-opt seccompunconfined myapp:latest性能开销分析seccomp-bpf的性能开销来自每次系统调用时的BPF规则执行。测量方法# 无seccomp基准 strace -c -f ./benchmark_without_seccomp # 有seccomp strace -c -f ./benchmark_with_seccomp典型开销数据场景系统调用频率seccomp规则数单次调用额外延迟总开销占比计算密集型100/s15~0.3μs0.01%I/O密集型10K/s20~0.5μs~0.5%高频syscall100K/s50~1.2μs~1.2%结论规则数30且系统调用频率10K/s时开销可忽略。超过此阈值需要优化规则——合并相似调用、减少参数检查层级、使用BPF JIT加速。五、总结seccomp的防御逻辑将进程系统调用暴露面从400缩减到白名单集合内核层面硬约束无法从用户空间绕过seccomp-bpf支持六种返回动作ALLOW、KILL_PROCESS、KILL_THREAD、TRAP、ERRNO、TRACE默认动作设为KILL_PROCESS实现默认拒绝策略libseccomp的高级API封装BPF规则编写自动处理架构差异和系统调用号映射规则设计控制在30~50条以内Docker默认加载seccomp profile禁止44个危险系统调用自定义profile通过JSON配置白名单和条件过滤性能开销与规则数和调用频率正相关规则30且频率10K/s时开销0.5%高频场景需合并规则和启用BPF JIT降低延迟