コンテナの制限

Palantir は Secure Computing Mode（seccomp）を通じて、私たちのインフラストラクチャ内で実行されるさまざまなシステムコール（syscalls）を制限します。Seccomp は Linux カーネルのセキュリティ機能で、プロセスやコンテナに対してシステムコール（syscall）の制限を適用することを可能にします。

Seccomp フィルターは、コンテナが行うことができるシステムコールを許可リストに登録する方法を提供し、許可リストにないシステムコールを処理するための複数の方法を提供します。これには LOG、KILL、そして ERRNO プロファイルが含まれます:

• LOG は許可リストにないシステムコールを実行するが、それらを監査d/osquery にログとして記録します。
• KILL は許可リストにないシステムコールを行う任意のプロセスを終了します。
• ERRNO はシステムコールの実行を防止しますが、ログイベントは生成しません。

Seccomp を使用することで、安全でないと考えられるシステムコールや、コンテナから脱出するために使用できるシステムコールを防止/ログ化することにより、コンテナの攻撃面を減らすことができます。これにより、コンテナとホスト間、およびコンテナ間の追加のセキュリティレイヤーが提供されます。以下に、Palantir プラットフォームで自動的にブロックするシステムコールのリストを示します。