容器限制

Palantir通过安全计算模式（seccomp）限制各种系统调用（syscalls）在我们的基础设施中运行。Seccomp是Linux内核中的一个安全功能，允许对进程或容器应用系统调用（syscall）限制。

Seccomp筛选提供了一种方法来允许列表中的系统调用，容器可以进行这些调用，并允许对非允许列表中的系统调用进行多种处理方法，包括LOG、KILL和ERRNO配置文件：

• LOG允许非允许列表中的系统调用运行，但将其记录到auditd/osquery用于进程审计。
• KILL终止任何进行非允许列表中系统调用的进程。
• ERRNO阻止系统调用运行，但不会生成日志事件。

Seccomp允许我们通过阻止/记录被认为不安全或可以用于逃逸容器的系统调用来减少容器的攻击面。这样做提供了容器与主机之间以及容器之间的额外安全层。以下是我们在Palantir平台中自动阻止的系统调用列表。