Linux Observabilität mit BPF

Kapitel 8. Sicherheit des Linux-Kernels, Fähigkeiten und Seccomp

Diese Arbeit wurde mithilfe von KI übersetzt. Wir freuen uns über dein Feedback und deine Kommentare: [e-mail]

Die BPF ist eine leistungsstarke Methode, um den Kernel zu erweitern, ohne die Stabilität, Sicherheit und Geschwindigkeit zu beeinträchtigen. Aus diesem Grund dachten die Kernelentwickler, dass es gut wäre, seine Vielseitigkeit zu nutzen, um die Prozessisolierung in Seccomp zu verbessern, indem sie Seccomp-Filter implementieren, die von BPF-Programmen unterstützt werden, auch bekannt als Seccomp BPF. In diesem Kapitel untersuchen wir, was Seccomp ist und wie er verwendet wird. Dann lernst du, wie du Seccomp-Filter mit BPF-Programmen schreibst. Danach erkundest du die eingebauten BPF-Haken, die der Kernel für Linux-Sicherheitsmodule hat.

Linux Security Modules (LSM) ist ein Framework, das eine Reihe von Funktionen bereitstellt, mit denen sich verschiedene Sicherheitsmodelle auf standardisierte Weise implementieren lassen. Ein LSM kann direkt im Kernel-Quellbaum verwendet werden, wie Apparmor, SELinux und Tomoyo.

Wir beginnen mit der Diskussion über die Möglichkeiten von Linux.

Fähigkeiten

Das Problem mit Linux-Fähigkeiten ist, dass du deinem unprivilegierten Prozess die Berechtigung geben musst, um eine bestimmte Aufgabe zu erledigen, aber du willst der Binärdatei nicht die Berechtigung suid geben oder den Prozess anderweitig privilegieren. Du reduzierst also die Angriffsfläche, indem ...