如何检查 Linux 中是否应用了 seccomp 过滤器

介绍

在本次实验中，你将学习如何检查 Linux 系统中是否应用了 seccomp 过滤器。seccomp 是一项安全功能，用于限制进程可以进行的系统调用。

这里有三种验证seccomp状态的方式等你探索：通过检查CODE0文件，来了解进程的seccomp状态；运用CODE1命令检查内核消息，从中找寻与seccomp相关的事件；对CODE_2目录进行检查，以获取seccomp配置信息。经过这些步骤，你就能掌握在Linux环境下理解和验证seccomp应用的实用技巧。

使用 cat /proc/self/status 检查 seccomp 状态

在这一步中，我们将探讨如何检查 Linux 系统中进程的 seccomp 状态。seccomp（安全计算）是一项安全功能，它允许进程限制自身可以进行的系统调用，有助于减轻安全漏洞的影响。

我们可以通过查看 CODE_0 文件来检查当前进程的 seccomp 状态。该文件包含了进程的各种状态信息。

如果终端尚未打开，请打开它。你可以点击桌面左侧的 Xfce Terminal 图标来打开终端。

现在，输入以下命令并按下回车键：

cat /proc/self/status

此命令将显示 CODE0 文件的内容。滚动输出结果，查找以 CODE1 开头的行。

你应该会看到类似以下的输出：

Name:   zsh
Umask:  0002
State:  R (running)
Tgid:   ...
Ngid:   0
Pid:    ...
PPid:   ...
TracerPid:      0
Uid:    ...
Gid:    ...
FDSize: 64
Groups: ...
NStgid: ...
NSpid:  ...
NSpgid: ...
NSsid:  ...
VmPeak: ... kB
VmSize: ... kB
VmLck:  0 kB
VmPin:  0 kB
VmHWM:  ... kB
VmRSS:  ... kB
RssAnon:        ... kB
RssFile:        ... kB
RssShmem:       ... kB
VmData: ... kB
VmStk:  ... kB
VmExe:  ... kB
VmLib:  ... kB
VmPTE:  ... kB
VmSwap: 0 kB
HugetlbPages:   0 kB
CoreDumpFilter: 00000000
Threads:        1
SigQ:   .../...
SigPnd: 0000000000000000
ShdPnd: 0000000000000000
voluntary_ctxt_switches:        ...
nonvoluntary_ctxt_switches:     ...
Seccomp:        0

CODE0 行表示 seccomp 的状态。值为 CODE1 意味着该进程未启用 seccomp。其他可能的值表示不同的 seccomp 模式。

理解 CODE_0 的输出是在 Linux 中检查进程信息的一项基本技能。

点击 Continue 进入下一步。

在 dmesg 中验证 seccomp

在这一步中，你将学习如何使用 CODE0 命令检查与 seccomp 相关的内核消息。CODE1 是一个用于显示内核环形缓冲区消息的命令。这些消息包含有关硬件、设备驱动程序和其他内核级事件的信息，其中包括像 seccomp 操作这样的安全相关事件。

当 seccomp 处于活动状态并阻止系统调用时，内核通常会将一条消息记录到环形缓冲区中。你可以使用 CODE_0 查看这些消息，并筛选出与 seccomp 相关的消息。

如果终端尚未打开，请打开它。

现在，输入以下命令并按下回车键：

dmesg | grep seccomp

下面来拆解一下这个命令：

• CODE_0：此命令用于显示内核消息。
• CODE0：这是一个管道符号。它将左边命令（CODE1）的输出作为输入传递给右边的命令（CODE_2）。
• CODE_0：此命令用于在接收到的输入中搜索包含 "seccomp" 这个词的行。

该命令的输出将显示所有包含 "seccomp" 一词的内核消息。在一些系统进程或容器使用 seccomp 的典型环境中，你可能会看到类似以下的输出：

[ ... ] audit: type=1326 audit(...): auid=... uid=... gid=... ses=... subj=unconfined seccomp=0 pid=... comm="..." exe="..." sig=0 arch=c000003e syscall=... compat=0 ip=... code=0x...
[ ... ] audit: type=1326 audit(...): auid=... uid=... gid=... ses=... subj=unconfined seccomp=2 pid=... comm="..." exe="..." sig=0 arch=c000003e syscall=... compat=0 ip=... code=0x...

这些消息表明内核审计系统正在记录与 seccomp 相关的事件。审计消息中的 CODE_0 字段显示了事件发生时进程的 seccomp 模式。

如果你没有看到任何输出，这可能意味着在这个特定环境中最近没有记录与 seccomp 相关的事件。这也是正常的，具体取决于系统的活动情况。

将 CODE0 与 CODE1 结合使用是一种强大的方法，可以筛选内核消息、诊断问题或观察安全事件。

点击 Continue 进入下一步。

在 /sys/kernel/security 中检查 seccomp

在这最后一步中，我们将探索 CODE_0 目录，该目录为包括 seccomp 在内的各种内核安全模块提供了一个接口。通过这个目录，我们可以检查，有时还能配置内核与安全相关的方面。

如果终端尚未打开，请打开它。

首先，让我们使用 CODE0 命令导航到 CODE1 目录：

cd /sys/kernel/security

现在我们已经进入了 CODE0 目录，使用 CODE1 命令列出其内容：

ls

你应该会看到一个与不同安全模块相关的目录和文件列表。查找与 CODE_0 相关的目录或文件。输出可能如下所示（具体内容会因系统而异）：

apparmor  cap  device_cgroup  lockdown  lsm  selinux  seccomp  smack  tomoyo

你应该能看到一个名为 CODE_0 的目录。这个目录包含的文件提供了内核层面 seccomp 配置和状态的相关信息。

让我们进入 CODE_0 目录：

cd seccomp

现在，列出 CODE_0 目录的内容：

ls

根据内核版本和配置的不同，你可能会看到像 CODE_0 这样的文件或其他文件。这些文件可以提供关于系统中已加载或可用的 seccomp 策略的更详细信息。

例如，如果存在 CODE_0 文件（文件名可能不同），你可以尝试查看其内容：

cat policy

CODE_0 的输出取决于系统是否全局启用了 seccomp 策略，或者该文件是否提供了其他信息。在许多标准配置中，这个文件可能不会直接包含大量人类可读的策略细节，但它的存在表明 seccomp 是一个被识别的安全模块。

探索 CODE0 文件系统，特别是 CODE1 路径，是了解 Linux 内核中已启用和配置的安全功能的关键方法。

你现在已经学习了三种在 Linux 环境中检查 seccomp 状态及相关信息的不同方法。

点击 Continue 完成实验。

总结

本次实验里，你学会了怎样检查Linux中seccomp过滤器是否已应用。我们探究了三种方式：查看CODE0文件，以了解进程的CODE1状况；运用CODE2命令来核实内核日志里与seccomp有关的消息；通过CODE3文件系统来查看seccomp状态。

这些步骤为确定进程的 seccomp 状态以及了解 Linux 内核如何报告 seccomp 提供了实用的方法，这对于安全分析和故障排除至关重要。