CN113051034B - 一种基于kprobes的容器访问控制方法与系统 - Google Patents

Abstract

本发明公开了一种基于kprobes的容器访问控制方法与系统，具体步骤为：客户端生成访问策略文件，表示容器进程可以对资源进行哪些访问操作；访问控制系统接收访问策略文件，并对访问策略文件进行解析，解析出访问策略文件中进程所在的容器命名空间；通过kprobes对容器恶意操作所对应的内核函数进行监控，从而来及时检测容器内进程正在执行的操作；在kprobes的探测（回调）函数中，执行访问控制算法，主要是根据当前进程正在执行的操作是否与访问策略文件中指定的是否一致，若一致则允许本次操作，若不一致，则将函数间调用时传递的参数和返回值进行修改，从而使得函数执行失败，进而阻止本次操作的执行。从而保证了容器运行安全，进一步保障了云计算平台的安全。

Description

一种基于kprobes的容器访问控制方法与系统

技术领域

本发明涉及容器虚拟化安全技术领域，尤其是涉及一种基于kprobes的容器访问控制方法与系统。

背景技术

容器技术广泛使用在各种计算场景，包括边缘计算，微服务架构和无服务器计算等。与虚拟机相比，由于消除了额外的抽象层，使得容器技术具有高效、轻量级、资源利用率高等优势。但其共享内核和资源隔离性低的特点导致容器技术暴露出更多新的安全风险，如容器逃逸攻击，恶意镜像攻击等。容器中的应用程序可以调用启动程序相关的函数来执行容器内的恶意攻击程序对其他容器和宿主机进行攻击，也可以触发网络通信相关的函数来窃取其他容器或者宿主机的敏感数据。

传统的针对容器的访问控制通过是通过利用内核提供的Seccomp(Securecomputing)技术来实现容器的访问控制，Seccomp能够限制容器内进程所能够执行的系统调用，从而使得容器内进程只能执行未被限制的系统调用。但这种方法以系统调用为粒度，能够有效的控制容器内进程的行为，从而防止容器逃逸攻击，信息泄露等问题。但是Seccomp以系统调用为粒度进行访问控制，在拦截恶意操作的时候，有时也会组织正常操作的进行，因此无法实现更细粒度的访问控制。例如，文件访问系统调用包含了文件打开，文件读取，访问读取等操作，Seccomp技术无法针对文件读取操作或者文件修改操作进行细粒度的访问控制。除此以外，还可以通过LSM（Linux Security Module）技术对对容器实现访问控制。LSM通过访问策略规则描述了主体对客体的访问权限，指定了容器内资源的访问权限，从而有效的防止了容器内敏感信息的泄露。然而，由于LSM本身的限制，导致对于在那些Selinux/Apparmor开启之前启动的容器的访问规则信息无法被修改。若需要修改容器所对应的权限信息，则需要通过重新启动容器才能生效，但在有些情况下，容器应用是不允许被重新启动的。因此，LSM无法满足在修改容器的访问规则信息后，对容器访问控制就能立即生效。在一定程序上，LSM缺少了对容器访问控制的及时性和灵活性。

现存的技术难点主要有：（1）容器虚拟化技术由于引入的额外的虚拟化层，导致传统用于主机的访问控制技术无法迁移到容器环境下使用；（2）使用对容器系统调用进行拦截来进行的访问控制，由于对系统调用的拦截粒度过粗的问题，导致可以拦截部分恶意操作的执行，同时，在某些情况下，也会阻止容器中某些正常行为；（3）通过强制访问控制技术对容器进行访问控制，若需要修改对容器的访问控制策略文件，则需要对容器进行重启，但有些应用是不能中断提供服务的。

发明内容

针对上述问题，本发明的目的在于提供一种能够实现对容器内恶意操作在内核函数级别的拦截，从而保证容器运行安全，进一步保障云计算平台安全的基于kprobes的容器访问控制方法与系统。技术方案如下：

一种基于kprobes的容器访问控制方法，包括以下步骤：

步骤1：客户端生成访问策略文件，所述访问策略文件中包括三元组信息，所述三元组信息包括表示容器进程ID的PID（Process Identification），表示容器需要访问的资源ID的RID（Resources Identification），表示容器可以对资源进行哪些操作的PSET（Permission sets）；

步骤2：访问控制系统接收访问策略文件，并对访问策略文件进行解析：

步骤2.1：在内核中，根据访问策略文件中的PID，获取进程的实例对象task_struct，实例对象包含对当前进程的详尽描述；

步骤2.2：解析进程实例对象的命名空间成员变量nsproxy，获取当前进程所在的命名空间的唯一标识proc_inum，从而确定当前进程位于哪个容器的命名空间下；

步骤2.3：将命名空间的唯一标识添加到访问策略文件中；

步骤3：通过kprobes对内核函数探测，进而监控容器行为；在探测函数中，获取当前进程的信息；

步骤4：在kprobes的探测函数中，执行访问控制操作：

步骤4.1：获取当前进程及对应内核函数信息；

步骤4.2：将当前进程及该进程调用的内核函数信息与访问策略文件，进行匹配，若匹配成功，则将本次操作记录到日志文件中以供后续查阅；若匹配失败，则将函数间调用时传递的参数和返回值进行修改，从而使得函数执行失败，进而阻止本次操作的执行。

进一步的，所述步骤3具体包括：

步骤3.1：分析恶意操作所调用的系统调用，再分析系统调用背后执行的内核函数，确定需要监控的内核函数；

步骤3.2：通过kprobes对指定内核函数插入探测点，包括在内核函数执行前插入探测点、在内核函数执行后插入探测点；

步骤3.3：当指定内核函数被调用时，触发中断指令，kprobes保存当前内核上下文信息，跳转到探测函数；

步骤3.4：执行探测函数，获取进程和进程所调用的内核函数信息，并执行访问控制算法，执行完毕后，返回内核函数，并执行原有逻辑；

步骤3.5：kprobes恢复内核函数执行的上下文信息后继续执行原有操作。

一种基于kprobes的容器访问控制系统，包括访问策略文件解析模块、内核函数监控模块和访问控制算法模块；

访问策略文件解析模块用于根据客户端生成的访问策略文件，结合内核提供的进程实体task_struct，解析出访问策略文件中进程所在的容器命名空间；

所述内核函数监控模块用于通过kprobes对内核函数进行探测，在探测函数中，获取当前进程的信息；

所述访问控制算法模块用于通过将探测函数中获取的进程信息和访问策略文件中的信息进行匹配，若匹配成功，则运行内核函数继续调用；若匹配不成功，结合内核函数间的调用以寄存器和栈来传递参数和返回值的特点，将内核函数间参数以及返回值的传递进行修改，从而阻止内核函数执行，进而阻止恶意操作。

本发明的有益效果是：本发明通过对系统调用背后的内核函数实现分析，将对容器的访问控制粒度下降到内核函数级别，实现了对容器内恶意操作在内核函数级别的拦截，从而保证了容器运行安全，进一步保障了云计算平台的安全。除此以外，本系统通过内核模块的方式进行部署，不与容器平台耦合，不用修改访问策略文件后，需要重新启动容器，实现了即插即用的灵活特性能。

附图说明

图1是为本发明基于kprobes的容器访问控制系统的总体架构图。

图2是内核函数监控流程图。

图3是访问控制算法流程图。

具体实施方式

下面结合附图和具体实施例对本发明做进一步详细说明。

图1给出了本发明基于kprobes的容器访问控制系统的总体架构图。如图1所示，本系统可用于实现容器环境下的访问控制，从而可以阻止容器内进程的恶意行为并及时防止已知的容器逃逸攻击和信息窃取，包括访问策略文件解析模块、内核函数监控模块、访问控制算法模块。

访问策略文件解析模块用于根据客户端生成的访问策略文件，结合内核提供的进程实体task_struct，解析出访问策略文件中进程所在的容器命名空间。

所述内核函数监控模块用于通过kprobes对内核函数进行探测，在探测函数中，获取当前进程的信息。

图2给出内核函数监控模块工作的时序图，内核函数监控模块通过kprobes技术，以内核模块的方式进行部署，以容器对文件的访问为例进行流程描述，其工作流程是：（1）容器进程发起了文件访问的相关操作，可以是文件打开、文件读取、文件写入等；（2）访问请求到达kprobes中，kprobes拦截了对应的内核函数，并将当前函数执行的上下文进行保存，然后跳转到用户自定义探测函数中；（3）在自定义探测函数中，通过解析出的当前进程信息、内核函数等信息后，执行访问控制算法；（4）自定函数结束后，返回之前的内核函数，kprobes恢复之前内核函数执行的上下文后，内核函数继续执行原有的逻辑；（5）内核函数执行完毕后，将最终的结果返回给容器内的进程。

所述访问控制算法模块用于通过将探测函数中获取的进程信息和访问策略文件中的信息进行匹配，若匹配成功，则运行内核函数继续调用；若匹配不成功，结合内核函数间的调用以寄存器和栈来传递参数和返回值的特点，将内核函数间参数以及返回值的传递进行修改，从而阻止内核函数执行，进而阻止恶意操作。

图3给出了访问控制算法的主要流程图，以文件打开为例，描述工作流程，其工作流程是：（1）容器进程出现打开文件操作；（2）触发了kprobes对文件打开操作所对应的内核函数（do_sys_open）的探测；（3）判断当前进行文件打开操作的进程是否位于容器的命名空间中，若不在，则允许访问，若在，则继续判断（4）判断访问的文件是否是访问策略文件中指定的，若不是，则拒绝访问，若是，则继续判断（5）判断当前的访问操作类型是否服务访问策略文件中指定的，若是，则运行访问，若不是，则拒绝访问。

基于kprobes的容器访问控制方法包括以下步骤：

步骤1：客户端生成访问策略文件，访问策略文件中包含三元组信息（PID，RID，PSET），表示容器进程可以对资源进行哪些访问操作。其中，PID表示容器进程ID，RID表示容器需要访问的资源ID，PSET表示容器可以对资源进行哪些操作；

步骤2：访问控制系统接收访问策略文件，并对访问策略文件进行解析：

步骤2.1：在内核中，根据访问策略文件中的PID，获取进程的实例对象（task_struct)，实例对象包含了对当前进程的详尽描述；

步骤2.2：解析进程实例对象的命名空间成员变量（nsproxy)，获取当前进程所在的命名空间的唯一标识（proc_inum)，从而确定当前进程是位于哪个容器的命名空间下；

步骤2.3：将命名空间的唯一标识添加到访问策略文件中；

步骤3：通过kprobes对容器恶意操作所对应的内核函数进行监控：

步骤3.1：分析恶意操作所调用的系统调用，在分析系统调用背后执行的内核函数，确定需要监控的内核函数；

步骤3.2：通过kprobes对指定内核函数插入探测点，包括在内核函数执行前插入探测点、在内核函数执行后插入探测点；

步骤3.3：当指定内核函数被调用时，触发中断指令，kprobes保存当前内核上下文信息，跳转到探测函数；

步骤3.4：执行探测函数，获取进程和进程所调用的内核函数信息，并执行访问控制算法，执行完毕后，返回内核函数；

步骤3.5：kprobes恢复内核函数执行的上下文信息后继续执行原有操作；

步骤4：在kprobes的探测函数中，执行访问控制操作：

步骤4.1：获取当前进程及对应内核函数信息；

步骤4.2：将当前进程及该进程调用的内核函数信息与访问策略文件，进行匹配，若匹配成功，则将本次操作记录到日志文件中以为后续查阅，若匹配失败，则将函数间调用时传递的参数和返回值进行修改，从而使得函数执行失败，进而阻止本次操作的执行。

Claims (2)

1.一种基于kprobes的容器访问控制方法，其特征在于，包括以下步骤：

步骤1：客户端生成访问策略文件，所述访问策略文件中包括三元组信息，所述三元组信息包括表示容器进程ID的PID，表示容器需要访问的资源ID的RID，表示容器可以对资源进行哪些操作的PSET；

步骤2：访问控制系统接收访问策略文件，并对访问策略文件进行解析：

步骤2.1：在内核中，根据访问策略文件中的PID，获取进程的实例对象task_struct，实例对象包含对当前进程的详尽描述；

步骤2.2：解析进程实例对象的命名空间成员变量nsproxy，获取当前进程所在的命名空间的唯一标识proc_inum，从而确定当前进程位于哪个容器的命名空间下；

步骤2.3：将命名空间的唯一标识添加到访问策略文件中；

步骤3：通过kprobes对内核函数探测，进而监控容器行为；在探测函数中，获取当前进程的信息；

步骤4：在kprobes的探测函数中，执行访问控制操作：

步骤4.1：获取当前进程及对应内核函数信息；

步骤4.2：将当前进程及该进程调用的内核函数信息与访问策略文件，进行匹配，若匹配成功，则将本次操作记录到日志文件中以供后续查阅；若匹配失败，则将函数间调用时传递的参数和返回值进行修改，从而使得函数执行失败，进而阻止本次操作的执行；

所述步骤3具体包括：

步骤3.1：分析恶意操作所调用的系统调用，再分析系统调用背后执行的内核函数，确定需要监控的内核函数；

步骤3.2：通过kprobes对指定内核函数插入探测点，包括在内核函数执行前插入探测点、在内核函数执行后插入探测点；

步骤3.3：当指定内核函数被调用时，触发中断指令，kprobes保存当前内核上下文信息，跳转到探测函数；

步骤3.4：执行探测函数，获取进程和进程所调用的内核函数信息，并执行访问控制算法，执行完毕后，返回内核函数并恢复原有执行逻辑；

步骤3.5：kprobes恢复内核函数执行的上下文信息后继续执行原有操作。

2.一种基于kprobes的访问控制系统，其特征在于，包括访问策略文件解析模块、内核函数监控模块和访问控制算法模块；

所述访问策略文件解析模块用于根据客户端生成的访问策略文件，结合内核提供的进程实体task_struct，解析出访问策略文件中进程所在的容器命名空间；

所述内核函数监控模块用于通过kprobes对内核函数进行探测，在探测函数中，获取当前进程的信息；具体包括：

分析恶意操作所调用的系统调用，再分析系统调用背后执行的内核函数，确定需要监控的内核函数；

通过kprobes对指定内核函数插入探测点，包括在内核函数执行前插入探测点、在内核函数执行后插入探测点；

当指定内核函数被调用时，触发中断指令，kprobes保存当前内核上下文信息，跳转到探测函数；

执行探测函数，获取进程和进程所调用的内核函数信息，并执行访问控制算法，执行完毕后，返回内核函数并恢复原有执行逻辑；

kprobes恢复内核函数执行的上下文信息后继续执行原有操作；

所述访问控制算法模块用于通过将探测函数中获取的进程信息和访问策略文件中的信息进行匹配，若匹配成功，则运行内核函数继续调用；若匹配不成功，结合内核函数间的调用以寄存器和栈来传递参数和返回值的特点，将内核函数间参数以及返回值的传递进行修改，从而阻止内核函数执行，进而阻止恶意操作。

Images