应结合Seccomp内核级过滤与Falco运行时检测形成双层防线：Seccomp在系统调用入口处主动拦截ptrace、mount、chroot、setuid等提权类调用，Falco则实时捕获漏网异常行为并联动告警阻断。
要实时拦截异常提权类系统调用（如 ptrace、mount、chroot、setuid 等），不能只靠单一工具，需结合内核级过滤（Seccomp）与运行时行为检测（Falco）形成双层防线。核心不是“事后告警”，而是“告警+阻断”联动——Falco 发现可疑行为立即通知，Seccomp 在源头就拒绝高危调用。
明确哪些系统调用属于提权风险行为
提权类调用本质是突破用户/容器边界、获取更高权限或破坏隔离机制的操作。常见且高危的包括：
- ptrace：可附加并控制其他进程，常用于调试，但也是代码注入、凭证窃取的关键入口
- mount / umount：允许挂载主机文件系统，是容器逃逸最经典路径之一
- chroot / pivot_root：变更根目录，绕过容器路径限制，为提权铺路
- setuid / setgid / capset：直接修改进程权限或能力集，绕过非 root 运行约束
-
execve（配合敏感路径或参数）：如执行
/bin/bash、sshd或带--privileged参数的容器启动
在容器启动阶段用 Seccomp 主动拦截
Seccomp 是第一道硬性防线，它在系统调用进入内核前就做白名单/黑名单判断，失败即返回错误或直接终止进程，不依赖用户态逻辑，无法被绕过。
- 使用默认策略已禁用约 44 个高危调用（如 Docker 的
default.json），但需确认启用：docker run --security-opt seccomp=unconfined是关闭状态，生产环境必须避免 - 自定义策略建议采用
"defaultAction": "SCMP_ACT_ERRNO"（拒绝并返回错误），对关键调用设为SCMP_ACT_KILL（直接杀进程），例如："name": "mount", "action": "SCMP_ACT_KILL" - Kubernetes 中通过 Pod 注解启用：
security.seccomp.io/operator-profile: runtime/default或指向本地 profile 路径，确保每个容器都继承该策略 - 验证是否生效：进入容器后执行
cat /proc/self/status | grep Seccomp，输出值为2表示已启用 filter 模式
用 Falco 实时捕获并告警漏网行为
Seccomp 可能因策略疏漏或新调用未覆盖而放行某些危险操作。Falco 则从内核事件流中持续观察上下文，识别“看似合法但行为异常”的提权尝试，比如非 root 用户调用 setuid、容器内执行 mount 且目标为 /host。
- 编写规则示例（追加到
/etc/falco/falco_rules.yaml）：- rule: Detect Privileged Mount in Container<br> desc: Mount syscall executed inside container with dangerous flags<br> condition: mount and container and (mount.flags contains "bind" or mount.dest startswith "/")<br> output: "Privileged mount detected (container=%container.id user=%user.name dest=%mount.dest flags=%mount.flags)"<br> priority: CRITICAL
- 启用 eBPF 驱动（比 sysdig 更轻量、更稳定）：
falco -e /dev/bpf -r /etc/falco/falco_rules.yaml，确保内核支持 eBPF 并已加载所需 tracepoints - 配置输出通道实现自动响应：将告警发往 Alertmanager，再由 Prometheus Operator 触发 Pod 自动驱逐；或写入 Kafka，由下游服务调用
kubectl delete pod或docker kill - 注意 Falco 不直接阻断，但可通过
exec输出动作调用脚本实现即时干预，例如：output: "Killing malicious container: %container.id | /usr/local/bin/kill-container.sh %container.id"
联动验证与日常加固要点
单独配置任一环节都可能失效，必须验证闭环效果：
- 手动测试提权行为：在容器内运行
strace -e trace=mount,mount -t tmpfs tmpfs /mnt，观察 Seccomp 是否返回EPERM；若成功挂载，再看 Falco 是否生成告警 - 日志交叉比对：检查
/var/log/falco.log中告警时间，与dmesg | grep -i seccomp中的拒绝记录时间戳是否匹配 - 定期更新策略：关注 Linux 内核新增系统调用（如
memfd_secret）、Docker/K8s 新版本默认 Seccomp 变更，以及 Falco 社区规则库（falcoctl）的新规则 - 避免过度宽松：不要为兼容性全局禁用 Seccomp 或把 Falco priority 全设为 INFO；CRITICAL 类行为必须触发阻断或人工介入
