5、Docker 安全：seccomp、代理与攻击面最小化

Docker 安全：seccomp、代理与攻击面最小化

1. seccomp 简介

seccomp 是 secure computing mode 的缩写，是 Linux 操作系统内置的安全特性。它允许应用程序仅进行特定的系统调用，并且可以针对每个应用程序进行配置。例如，应用程序 A 只能进行读写文本文件的系统调用，而应用程序 B 只能进行网络系统调用。

使用 seccomp 能为基础设施提供更高的安全性，避免应用程序在无限制的情况下运行。在使用 Docker 容器时，seccomp 能为宿主机操作系统增加额外的安全层，可配置允许容器内应用程序进行特定的系统调用。

1.1 检查系统支持

要使用 seccomp，首先需检查操作系统是否支持。在终端中运行以下命令：

grep CONFIG_SECCOMP= /boot/config-$(uname -r)

若系统支持 seccomp，输出为：

CONFIG_SECCOMP=y

若 Linux 操作系统不支持 seccomp，可使用操作系统的包管理器进行安装。以 Ubuntu 为例，使用以下命令：

sudo apt install seccomp

2. libseccomp 安装与使用

要在应用程序中使用 seccomp 安全特性，需安装 libseccomp 库（https://githu