解决 filebeat 在 Linux 上的 seccomp 问题一则

这一周断断续续花了好几天时间在 debug 一个软连接不能创建的问题,写此文章以记录。

背景

公司的日志平台采集器采用的比较流行的 filebeat。开始的版本是直接使用,新版本的采集器准备把它作为库引入,因为还要提供其它的功能。

问题

新采集器的其中一个功能就是会创建软连接/符号连接。 我在 macOS 完成编写此代码,功能一切正常。后来测试在基于 Ubuntu 搭建的 K8s Pipeline 里面完成。于是问题出现:在创建软连接时,始终报告:操作不允许(Operation not permitted)。 仔细检查代码后发现不是我的代码编写问题,并且我单独写了一个独立的功能在同样的环境创建软连接,一切正常。于是怀疑是创建软连接的功能和 filebeat 冲突了。 于是采用二分法加日志逐渐排查出问题所在的代码,定位问题在加载 seccomp 位置处:

if err = seccomp.LoadFilter(b.Config.Seccomp); err != nil {
    return err
}

这段代码加载之后,创建软连接变由成功变成操作不允许了。

Seccomp 是什么?

Seccomp,即 Secure Computing Mode,安全计算模式。

来自维基百科的解释如下:

seccomp (short for secure computing mode) is a computer security facility in the Linux kernel.

seccomp allows a process to make a one-way transition into a "secure" state where it cannot make any system calls except exit(), sigreturn(), read() and write() to already-open file descriptors.

Should it attempt any other system calls, the kernel will terminate the process with SIGKILL or SIGSYS.

它是自 Linux Kernel 3.17 开始引入的一项计算机安全设施/功能。这个功能可以让某进程单向地进入某种安全状态,在这种“安全状态”下:系统调用将会非常受限(见上述英文),尝试调用其它系统调用将会被内核直接杀掉进程。 “单向”是指一旦进入这种安全状态便不可退出。

seccomp-bpf 是对 seccomp 的扩展,它允许添加可配置的策略用于过滤系统调用。

Filebeat 拿它做什么了?

从 Filebeat 的官方文档来看,Filebeat 用它来过滤掉不必要的系统调用,最大化降低 Filebeat 的被攻击可能,即提高安全性。

Filebeat 一个文件日志采集器为什么在乎安全?因为:它直接运行在生产环境物理机上,如果出现安全隐患后果是不堪设想的

Filebeat 为什么可能不安全?因为不是所有代码都是自己写的,必然引入了大量外部库的代码。没有人会把自己使用的外部库的代码全部 review 一遍吧?

Filebeat 的 seccomp 规则是可以完全关闭,或者是可配置性很强的。可以根据需要关闭或进行配置。

结束语

解决这个 bug 很花了不少时间。当然,主要问题出在不知道 seccomp 这项安全设施。

发表于:2020年03月01日 ,阅读量:87 ,标签:linux · Filebeat · Seccomp

版权声明:若非特别注明,本站所有文章均为作者原创,转载请务必注明原文地址。