[发明专利]一种基于Docker容器的防逃逸蜜罐系统及其方法

权利要求书

1.一种基于Docker容器的防逃逸系统，包括系统平台和作为蜜罐的Docker容器，以及审计模块；

所述Docker容器在系统平台宿主机的挂载目录为UpperDir目录，所述Docker容器以树形结构存储其内部的初始进程及子进程的PID；

所述审计模块包括设置在系统平台内核空间的LSM模块和接口设置在系统平台用户空间的BPF模块；所述LSM模块包括安全模块，所述安全模块用于对进入内核空间的进程进行审计；所述BPF模块用于从用户空间将审计策略加载到内核空间的安全模块上。

2.一种使用如权利要求1所述的基于Docker容器的防逃逸系统的防逃逸方法，其步骤为：

S1，遍历宿主机的所有Docker容器，获取Docker容器的初始进程PID，根据Docker容器的元数据记录获得Docker容器的UpperDir值；使用树状结构对初始进程及其子进程的PID进行存储；

S2，在用户空间将审计策略以代码形式通过BPF嵌入LSM，使审计策略能够以LSM框架内的安全模块的形式加载到内核中；所述审计策略包括对作为Docker容器的UpperDir目录下文件的监听；

S3，通过UpperDir目录和树状存储结构，能够为进入内核空间的进程找到其对应的初始进程PID，使用LSM安全模块中的审计策略，根据进程的PID判断其是否为Docker容器中的进程；当该进程为Docker容器中的进程时，进行下一步审计步骤S3；当该进程不是Docker容器中的进程时，放弃对该进程的审计；

S4，对Docker容器内进程进行审计，审计通过则可以继续执行指令，审计不通过则拒绝访问。

3.如权利要求2所述的防逃逸方法，其中，在Docker容器启动后，Docker容器内建立的进程都是由初始进程fork出的子进程，都继承了初始进程的部分内容。

Docker容器启动后，Docker容器的初始进程在Docker容器内部显示的PID与在宿主机的PID不同，初始进程在宿主机的PID为宿主机动态分配的PID号，Docker容器启动后所有的进程都能够以树状结构进行存储，通过树状存储，能够通过其中任一进程找到初始进程。

4.如权利要求2所述的防逃逸方法，其中，在步骤S4中，对Docker容器内进程的审计策略包括对不同安全级别的Docker容器的进程在内核中执行指令时的处理方式：当高安全级别的Docker容器执行内核进程时，拒绝其操作；当中安全级别的Docker容器执行内核进程时，允许通过，同时继续监测，形成日志；当低安全级别的Docker容器执行内核进程时，允许其操作，形成日志审计策略能够执行监听Docker容器内的进程。

5.如权利要求2所述的防逃逸方法，其中，在步骤S3中，BPF通过load加载到LSM Hook函数security_task_create、inode_link，使审计策略以LSM框架内的安全模块的形式加载到内核中。

6.一种基于Docker容器的进程审计方法，步骤包括：

S21，应用程序的进程进行系统调用，查找到内核中对应的inode节点；对进程进行错误检查和DAC检查；

S22，调用LSM框架内的安全模块代表的审计策略对该进程进行审计，进程如果通过审计后则继续进行对inode节点的访问，如果不能通过审计，则无法继续执行命令；

其中，所述安全模块内的审计策略由BPF由从用户空间加载到内核中。