-
题名需求驱动的容器安全策略自动生成技术
- 1
-
-
作者
张新义
武泽慧
贾琼
陈志浩
-
机构
数学工程与先进计算国家重点实验室
北京计算机技术及应用研究所
-
出处
《小型微型计算机系统》
CSCD
北大核心
2024年第4期951-959,共9页
-
基金
国家重点研发计划项目(2017YFB0802901)资助.
-
文摘
容器是一种轻量级的虚拟机化技术,减少容器中可用的系统调用数可以有效的减少来自Linux内核的安全威胁,但是这种方式在保证容器安全性的同时,容器功能的可用性会受到很大的损伤.鉴于容器的安全性和可用性无法均衡的问题,本文提出了AutoSec,AutoSec使用动态训练与静态分析结合的方式提取容器的系统调用集合,依据容器运行的不同阶段进而生成不同的Seccomp BPF配置文件,从而按照容器运行时的程序需求,灵活配置容器中可用的系统调用集合.最后选取了Docker hub中最为流行的4款容器验证AutoSec在减少容器攻击面的有效性,证明AutoSec在可接受的性能损耗并不损害容器功能的前提下,能够减少暴露在容器中70%以上的系统调用,有效的保障容器的安全.
-
关键词
容器安全
系统调用
seccomp
bpf
攻击面减少
-
Keywords
container security
system call
seccomp bpf
attack surface reduction
-
分类号
TP303
[自动化与计算机技术—计算机系统结构]
-
