搜索

[677] 2019-04-01_安全命名空间：使Linux安全框架可用于容器

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-16
2019-04-01_安全命名空间：使Linux安全框架可用于容器 安 全 命 名 空 间 ： 使 L i n u x 安 全 框 架 可 用 于 容 器 A r k T e a m   2 0 1 9 - 0 4 - 0 1 作 者 ： { Z e b o r k } @ A r k T e a m 原 文 作 者 ： Y u q i o n g   S u n ,   S y m a n t e c   R e s e a r c h   L a b s ;   D a v i d   S a f f o r d ,   G E   G l o b a l   R e s e a r c h ;   M i m i   Z o h a r ,   D i m i t r i o s   P e n d a r a k i s ,   a n d Z h o n g s h u   G u ,   I B M   R e s e a r c h ;   T r e n t   J a e g e r ,   P e n n s y l v a n i a   S t a t e   U n i v e r s i t y 原 文 标 题 ： S e c u r i t y   N a m e s p a c e :   M a k i n g   L i n u x   S e c u r i t y   F r a m e w o r k s   A v a i l a b l e   t o   C o n t a i n e r s 原 文 会 议 ： 2 0 1 8   U S E N I X   S e c u r i t y   S y m p o s i u m 原 文 链 接 ： h t t p s : / / w w w . u s e n i x . o r g / c o n f e r e n c e / u s e n i x s e c u r i t y 1 8 / p r e s e n t a t i o n / s u n L i n u x 容 器 的 共 享 内 核 会 阻 止 容 器 利 用 传 统 V M 和 主 机 可 用 的 安 全 功 能 ， 容 器 无 法 应 用 本 地 策 略 来 管 理 完 整 性 测 量 ， 代 码 执 行 ， 强 制 访 问 控 制 等 。 在 本 文 中 ， 我 们 提 出 了 安 全 命 名 空 间 ， 这 是 一 种 内 核 抽 象 ， 使 容 器 能 够 对 其 安 全 性 进 行 自 主 控 制 。 我 们 通 过 在 L i n u x 内 核 中 开 发 用 于 完 整 性 测 量 和 强 制 访 问 控 制 的 命 名 空 间 来 演 示 安 全 命 名 空 间 ， 以 供 D o c k e r 容 器 使 用 。 结 果 表 明 ， 安 全 命 名 空 间 可 以 有 效 地 缓 解 容 器 内 的 安 全 问 题 （ 例 如 ， 恶 意 代 码 执 行 ） ， 系 统 调 用 的 额 外 延 迟 小 于 0 . 7 ％ ， 应 用 程 序 吞 吐 量 几 乎 相 同 。 因 此 ， 安 全 命 名 空 间 使 容 器 能 够 获 得 对 其 安 全 性 的 自 主 控 制 ， 而 不 会 损 害 其 他 容 器 或 主 机 系 统 的 安 全 性 。 一 、 设 计 目 标 本 文 的 终 极 目 标 是 研 究 安 全 命 名 空 间 的 设 计 ， 使 容 器 具 有 自 主 安 全 控 制 。 但 是 ， 这 样 做 不 应 损 害 系 统 的 安 全 性 。 由 于 内 核 安 全 框 架 的 多 样 性 及 其 不 同 的 设 计 视 角 和 细 节 ， 设 计 很 难 通 用 。 但 我 们 试 图 通 过 研 究 两 个 常 用 的 内 核 安 全 框 架 （ 即 I M A 和 A p p A r m o r ） 来 抽 象 共 性 ， 并 希 望 它 可 以 为 其 他 内 核 安 全 框 架 提 供 有 用 的 指 导 ， 并 最 终 导 致 通 用 设 计 。 二 、 整 体 框 架 一 个 进 程 的 操 作 ， 被 路 由 到 可 能 对 该 操 作 有 意 见 的 安 全 命 名 空 间 。 每 个 涉 及 的 安 全 命 名 空 间 ， 独 立 地 做 出 安 全 决 策 ， 并 且 如 果 所 有 涉 及 的 安 全 命 名 空 间 允 许 该 操 作 ， 则 允 许 该 操 作 。 图 1   总 体 框 架 图 三 、 性 能
图 2   对 比 安 全 命 名 空 间 对 系 统 造 成 的 性 能 影 响 安 全 命 名 空 间 在 一 个 命 名 空 间 场 景 （ 容 器 云 的 最 典 型 场 景 ） 中 引 入 了 大 约 0 . 7 ％ 的 开 销 ， 并 且 即 使 存 在 1 0 个 安 全 命 名 空 间 ， 也 会 产 生 最 多 3 . 5 ％ 的 开 销 。 四 、 讨 论 本 文 旨 在 尝 试 在 L i n u x 底 层 对 容 器 的 安 全 性 框 架 进 行 设 计 ， 以 便 于 在 不 影 响 主 机 安 全 性 的 情 况 下 ， 给 予 容 器 更 大 的 安 全 自 主 权 ， 虽 然 其 算 法 比 较 简 单 ， 但 是 设 计 思 路 独 特 ， 有 借 鉴 的 意 义 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理