在香港的数据中心，我们的业务面临着来自全球的各种网络安全威胁。作为跨境电商平台的运维负责人，保护服务器的安全、避免系统漏洞被利用，已经成为我日常运维工作中的一项重要任务。

虽然我们部署了多层防护机制（如防火墙、IDS、IPS 等），但随着系统漏洞和攻击手段的不断发展，攻击者越来越善于利用 Linux 系统的漏洞 获得 更高权限。几个月前，我和团队就曾经历过一次 Linux 系统提权攻击事件，攻击者通过 漏洞扫描 找到我们服务器上的一个已知漏洞，并通过 root 权限提升 成功控制了部分服务。

为了防止类似事件再次发生，我们决定加强服务器的内核级安全防护，采用 Seccomp 和 AppArmor 技术进行 系统级别的隔离与权限控制。这篇文章将分享我们在香港机房中，如何通过 Seccomp 和 AppArmor 来加强安全防护，从而有效防止攻击者通过系统漏洞获得更高权限。

一、Seccomp 与 AppArmor 的作用与工作原理

1. Seccomp（Secure Computing Mode）

Seccomp 是 Linux 内核中的一个安全功能，旨在限制程序能够调用的系统调用（syscall）。通过配置 Seccomp，运维人员可以显著减少攻击者利用漏洞 提升权限 的风险。

Seccomp 功能：限制进程可以执行的系统调用，防止恶意程序通过系统调用获取更高权限。

使用场景：用于容器化环境、微服务架构中，尤其是限制不信任的应用程序的系统调用。

2. AppArmor

AppArmor 是一个 Linux 内核安全模块，基于路径的访问控制系统。它通过为每个进程配置特定的 权限策略，将进程操作限制在指定的范围内，防止进程访问系统中的敏感资源。

AppArmor 功能：为每个应用程序创建个性化的访问控制策略，通过限制文件访问、网络访问等，保护服务器免受系统漏洞的攻击。

使用场景：适用于对每个进程细粒度权限控制的场景，防止攻击者利用应用程序漏洞扩展攻击面。

二、Seccomp 的配置与实现

1. 安装与配置 Seccomp

在我们的香港机房环境中，使用 Ubuntu 20.04 LTS 操作系统，因此需要首先确保 Seccomp 支持已启用。

1.1 检查 Seccomp 是否已启用

# 检查 Seccomp 是否启用
grep CONFIG_SECCOMP /boot/config-$(uname -r)

如果返回值为 CONFIG_SECCOMP=y，则说明内核支持 Seccomp。如果没有启用，您需要重新编译内核或启用相关内核配置。

1.2 配置 Seccomp 限制系统调用

在容器化环境中，我们使用 Docker 来管理容器，通过 seccomp 配置限制容器的系统调用。例如，以下是 Docker 中启用 Seccomp 配置的步骤：

# 使用自定义的 Seccomp 配置文件启动 Docker 容器
docker run --security-opt seccomp=/path/to/seccomp_profile.json my_app

在 seccomp_profile.json 中，我们可以指定允许的系统调用：

{
  "defaultAction": "SCMP_ACT_ERRNO",
  "syscalls": [
    {
      "name": "read",
      "action": "SCMP_ACT_ALLOW"
    },
    {
      "name": "write",
      "action": "SCMP_ACT_ALLOW"
    }
  ]
}

通过上面的配置，只允许容器执行 read 和 write 系统调用，其他的系统调用都会被阻止，减少了恶意程序通过系统调用获得更高权限的风险。

1.3 使用 seccomp 限制服务的系统调用

除了容器，Seccomp 还可以应用于其他服务进程。例如，假设我们有一个运行在 KVM 虚拟机 上的服务，我们可以为该服务设置一个更严格的 Seccomp 配置。

# 配置 Seccomp 限制服务的系统调用
seccomp-bpf -s my_service

这将为 my_service 服务添加 Seccomp 策略，确保该服务只能执行受信任的系统调用。

三、AppArmor 的配置与实现

1. 安装与配置 AppArmor

AppArmor 是 Ubuntu 系统的默认安全模块，通常是预装的，但如果没有启用，我们可以手动安装和启用：

1.1 安装 AppArmor

# 安装 AppArmor
sudo apt-get install apparmor apparmor-utils

1.2 启动 AppArmor

# 启动 AppArmor 服务
sudo systemctl start apparmor
sudo systemctl enable apparmor

1.3 配置 AppArmor 规则

AppArmor 基于配置文件来控制进程的访问权限。每个应用程序都有一个 配置文件，可以设置对文件、目录、网络的访问控制。例如，我们为某个服务（如 my_app）创建一个 AppArmor 配置文件：

# 创建 my_app 的 AppArmor 配置文件
sudo nano /etc/apparmor.d/my_app

以下是一个简单的配置示例：

# 允许 my_app 访问 /var/log 和 /usr/bin 目录
/path/to/my_app {
  # 允许读写 /var/log/
  /var/log/* r,
  /usr/bin/my_app rix,
  # 禁止访问其他路径
  deny / *,
}

在配置文件中，我们定义了 my_app 可以访问哪些目录和文件，同时限制其对其他系统资源的访问。

1.4 启用 AppArmor 配置

# 启用并加载 AppArmor 配置
sudo apparmor_parser -r /etc/apparmor.d/my_app

这样，AppArmor 将会限制 my_app 进程的权限，确保其只能访问我们允许的资源，防止恶意程序利用应用程序漏洞进行提权。

四、遇到的具体问题与解决方案

问题 1：Seccomp 配置导致某些系统调用失效

在初次配置 Seccomp 后，发现某些应用程序（如数据库）无法正常启动，提示 系统调用限制 错误。通过排查，我们发现 read 和 write 等基本系统调用未被允许，导致应用无法进行 I/O 操作。

解决方案：

• 更新 Seccomp 配置 文件，确保所有必要的系统调用都被允许。
• 使用 seccomp-tools 工具生成和调试自定义的 Seccomp 配置文件，以确保只屏蔽不必要的系统调用。

问题 2：AppArmor 配置过于严格，导致服务无法访问必要文件

在应用 AppArmor 后，某些服务因为配置过于严格而无法访问必要的文件或目录。

解决方案：

• 通过 AppArmor 日志（位于 /var/log/syslog）查看哪些文件被阻止访问。
• 根据需要 调整 AppArmor 配置 文件，放宽对文件或目录的访问限制，确保服务可以正常运行。

问题 3：Seccomp 与 AppArmor 配置冲突

有时 Seccomp 和 AppArmor 的配置会出现冲突，导致安全规则不一致，影响服务的运行。

解决方案：

• 协调两者的配置，确保它们的规则互不干扰。对于某些进程，可以选择只启用 Seccomp 或 AppArmor 中的一个，避免配置冲突。

五、总结与经验

通过引入 Seccomp 和 AppArmor，我们成功地为香港服务器提供了强有力的 内核级安全隔离与控制，有效防止了攻击者通过系统漏洞获得更高权限。以下是我的一些关键经验总结：

• Seccomp 提供了精准的系统调用控制，能有效防止攻击者通过非法系统调用获得更高权限，尤其适合容器化应用。
• AppArmor 的路径基访问控制非常适合为每个进程创建精细的权限策略，可以在应用程序层面提供额外的安全防护。
• 在配置 Seccomp 和 AppArmor 时，要特别注意 最小权限原则，只允许必要的系统调用和文件访问，避免过于宽松的配置导致安全漏洞。
• 日志监控和定期审查 是确保配置持续有效的关键。利用日志工具，及时发现和解决问题，保证系统安全。

如果你也在面临类似的 Linux 系统安全 挑战，Seccomp 和 AppArmor 将是你提升安全性的强大工具。