Linux容器逃逸需配置加固、运行时限制与主动监控三层协同防御：禁用privileged模式，drop高危capabilities，强制非root运行并启用只读根文件系统；严格管控hostPath等敏感挂载；部署eBPF/LSM策略、gVisor等安全运行时；结合Falco等工具实时监控异常行为。
Linux 中容器逃逸风险无法靠单一手段根除，必须通过配置加固、运行时限制和主动监控三层协同防御。核心思路是：不让攻击者轻易获得提权起点，切断常见逃逸路径，并在异常行为发生时快速响应。
严格限制容器权限与能力
容器默认继承较多内核能力，这是逃逸的温床。关键操作包括：
- 禁用 privileged: true —— 这是最直接的逃逸入口，必须全局禁止
- 显式丢弃高危 capabilities：至少 drop SYS_ADMIN、NET_ADMIN、SETUID、SETGID、RAWIO
- 强制非 root 运行：设置 runAsNonRoot: true 并指定有效用户 ID（如 runAsUser: 1001）
- 启用只读根文件系统：readOnlyRootFilesystem: true，阻止写入后门或恶意二进制
阻断敏感资源挂载与共享
很多逃逸依赖挂载宿主机路径获取控制权。需重点管控：
- 禁止挂载 /、/proc、/sys、/var/run/docker.sock 等路径
- 确有需要时，hostPath 必须限定为只读，且路径精确到子目录（如 /etc/config）
- 关闭命名空间共享：hostPID: false、hostIPC: false、hostNetwork: false（网络插件等特例外）
- 禁用自动挂载 ServiceAccount Token：automountServiceAccountToken: false，按需通过 RBAC 显式授权
启用运行时防护与深度隔离
静态配置不能覆盖未知漏洞，需叠加运行时层防御：
- 部署 eBPF 或 LSM（如 AppArmor/SELinux）策略，拦截 mount、chroot、init_module 等危险系统调用
- 使用安全容器运行时：gVisor（用户态内核）或 Kata Containers（轻量虚拟机），实现强隔离
- 对关键路径（如 /etc/crontab、/root/.ssh/authorized_keys）部署文件完整性监控（FIM）
- 启用 seccomp-bpf 过滤器，精细控制容器内允许的系统调用集合
持续监控与基线合规
逃逸往往伴随异常行为，需实时感知并闭环处置：
- 用 Falco 或 Tracee 监控 ptrace、capset、unshare、nsenter 等可疑调用，触发告警
- 定期执行 CIS Kubernetes Benchmark 基线检查，自动识别 hostPath、allowPrivilegeEscalation 等高危配置
- 结合 auditd 或 eBPF 工具，记录并分析容器进程在宿主机上的实际行为轨迹
- 保持内核、containerd、runc 等组件及时更新，尤其关注 CVE-2019-5736、CVE-2024-21626 等已知逃逸漏洞修复
