Slide 69
Slide 69 text
69 Copyright © 2025, Oracle and/or its affiliates
seccomp とは?
• seccomp = Secure Computing Mode
• Linuxカーネルのセキュリティモジュール
• プロファイルを作成して、コンテナが呼び出せるシステムコール(プロセス)を制限。
• 不要なシステムコールを制限することで、カーネルの脆弱性を狙った攻撃を防ぐ。
Container Host
seccomp
profile
{
"defaultAction": "SCMP_ACT_ALLOW",
"syscalls": [
{
"names": ["chmod","fchmodat","chmodat"],
"action": "SCMP_ACT_ERRNO"
}
]
}
prohibit-chmod.json
xxx
Container
$ chmod 777 xxx
$ docker run --security-opt seccomp=prohibit-chmod.json ubuntu:21.10
権限設定不可
アクセス制御
高度な権限管理 - seccomp -
対象がシステムコール