Perfiles de seguridad Seccomp para Docker

El modo de computación segura (seccomp) es una característica del kernel de Linux. Puedes usarlo para restringir las acciones disponibles dentro del contenedor. La llamada al sistema seccomp() opera sobre el estado de seccomp del proceso llamador. Puedes utilizar esta característica para restringir el acceso de tu aplicación.

Esta característica solo está disponible si Docker se ha compilado con seccomp y el kernel está configurado con CONFIG_SECCOMP habilitado. Para verificar si tu kernel es compatible con seccomp:

$ grep CONFIG_SECCOMP= /boot/config-$(uname -r)
CONFIG_SECCOMP=y

Pasar un perfil para un contenedor

El perfil predeterminado de seccomp proporciona un valor predeterminado sensato para ejecutar contenedores con seccomp y deshabilita alrededor de 44 llamadas al sistema de más de 300. Es moderadamente protector a la vez que proporciona una amplia compatibilidad con las aplicaciones.

En efecto, el perfil es una lista de permitidos que deniega el acceso a las llamadas al sistema por defecto y luego permite llamadas al sistema específicas. El perfil funciona definiendo una defaultAction de SCMP_ACT_ERRNO y anulando esa acción solo para llamadas al sistema específicas. El efecto de SCMP_ACT_ERRNO es provocar un error de Permission Denied (Permiso denegado). A continuación, el perfil define una lista específica de llamadas al sistema que están totalmente permitidas, porque su action se anula para ser SCMP_ACT_ALLOW. Finalmente, existen algunas reglas específicas para llamadas al sistema individuales como personality, entre otras, para permitir variantes de esas llamadas al sistema con argumentos específicos.

seccomp es fundamental para ejecutar contenedores de Docker con el menor privilegio posible. No se recomienda cambiar el perfil predeterminado de seccomp.

Cuando ejecutas un contenedor, este utiliza el perfil predeterminado a menos que lo sobrescribas con la opción --security-opt. Por ejemplo, lo siguiente especifica explícitamente una política:

$ docker run --rm \
             -it \
             --security-opt seccomp=/path/to/seccomp/profile.json \
             hello-world

Llamadas al sistema significativas bloqueadas por el perfil predeterminado

El perfil predeterminado de seccomp de Docker es una lista de permitidos que especifica las llamadas que están autorizadas. La siguiente tabla enumera las llamadas al sistema significativas (aunque no todas) que están bloqueadas efectivamente porque no están en la lista de permitidos. La tabla incluye la razón por la cual cada llamada al sistema está bloqueada en lugar de estar en la lista de permitidos.

Ejecutar sin el perfil predeterminado de seccomp

Puedes pasar unconfined para ejecutar un contenedor sin el perfil predeterminado de seccomp.

$ docker run --rm -it --security-opt seccomp=unconfined debian:latest \
    unshare --map-root-user --user sh -c whoami