Docker セカーム（seccomp）ポリシーのカスタマイズと解説

Docker のデフォルト設定に加え、以下の点を考慮したカスタマイズが施されています。

• 特権ユーザー回避: 本来

  root

  権限が必要なシステムコールを避けるため、特権を持たないユーザー向けに設計しています（完全な禁止ではありません）。これにより BPF プログラムの肥大化とオーバーヘッドを防ぎます。
• 指紋採取防止: デスクトップアプリへの悪用やプロファイリングに使われやすいシステムコール（例：

  mincore

  ,

  cachestat

  など）を排除します。
• 分類方式: systemd の seccomp や OpenBSD の pledge に着想を得た、カテゴリ別の分割を採用しています。

システムコールポリシーの定義

以下は、主要な機能領域別にシステムコールをカテゴライズしたポリシー例です。

基本入出力と互換性情報

• Aio:

  io_setup

  ,

  io_submit

  などの IO スケジューリング関連。
• BasicIo: ファイルやソケット、TTY 操作に関連する基本的な I/O。
  • ※

    ioctl()

    はデバイスドライバへのアクセス手段ですが、glibc で避けて通れないため含めています。
• Clock: タイムベースの取得（

  clock_gettime

  ,

  time

  など）。
• CompatX86: x86 ABI 互換のためのエミュレーション関連。
• CompatDB32: データベース 32 ビット互換（

  remap_file_pages

  ）。
• CompatSystemd: systemd マウント ID 取得用（

  name_to_handle_at

  ）。
• CompatWine: Wine 互換（

  modify_ldt

  ）。

クレデンシャルとプロセス制御

• Credentials: ユーザー/グループ ID の取得（

  getuid

  ,

  getgid

  など）。
• CredentialsExtra: プロセス間クエリに関する syscall。
  • ※ BPF コード肥大化を防ぐため、必要最小限に制限しています。
• CredentialsMutation: ユーザー/グループ ID の変更（

  setuid

  ,

  capset

  など）。

ランタイム環境と実行

• CRuntime: プログラムのロードおよび C ランタイム動作維持に必要な syscall。
  • メモリ割り当て、スレッド制御、プロセス終了処理を含む。
  • 例：

    mmap

    ,

    exit

    ,

    getrandom

    （malloc 依存）など。
• Debug: デバッグや検査用途の syscall。
  • ※ YAMA ptrace_scope や CAP_PERFMON で制限されているものを含みます。
  • 例：

    ptrace

    ,

    perf_event_open

    ,

    process_vm_readv

    など。
• Process: プロセス制御、実行、ネームスペース管理の必須セット。
  • サンドボックス化時に常に必要となる操作（

    clone

    ,

    fork

    ,

    execve

    ,

    kill

    など）。

ファイルシステムと I/O

• FileDescriptors: ファイル記述子の操作（

  open

  ,

  close

  ,

  dup

  など）。
• FileIo: オープン済みファイルへのアクセス。
  • UNIX ソケット、Memfd 含む。例：

    read

    ,

    write

    ,

    splice

    など。
• Filesystem: ファイルシステムの構造操作（

  open

  ,

  mkdir

  ,

  unlink

  など）。
• FilesystemAttr: ファイル属性の変更（

  chmod

  ,

  chown

  ,

  utime

  など）。
• Sync: ストレージ同期処理（

  fsync

  ,

  fdatasync

  など）。

ネットワークと IPC

• NetworkIo: 双方向通信ソケット（TCP/UDP）の操作。
  • 例：

    connect

    ,

    send

    ,

    recv

    ,

    setsockopt

    など。
• NetworkServer: サーバー側の動作（

  bind

  ,

  listen

  ,

  accept

  ）。
• NetworkSocketTcp: IPv4/IPv6 TCP ソケット作成。
• NetworkSocketUdp: IPv4/IPv6 UDP ソケット作成。
• NetworkSocketUnix: UNIX ドメインソケット作成。
• Ipc: システム間通信（IPC）。
  • SysV IPC、POSIX メッセージキュー、メモリ共有領域など。
  • 例：

    msgsnd

    ,

    shmget

    ,

    semop

    など。

その他機能と制御

• Memlock: メモリロック制御（

  mlock

  ,

  mlockall

  ）。
• IoEvent: イベントループ操作（

  epoll

  ,

  select

  ,

  poll

  ）。
• IoUring: IO uring オペレーション。
  • ※ 現時点では一般的な用途では安全ではないとされています。
• Pkey: メモリ保護キー制御。
• Resources: システムリソースの確認（CPU アフィンリティ、優先度など）。
• ResourcesMutation: リソース設定の変更（スケジューリング制限など）。
• Signal: プロセスシグナル処理。
• Timer: タイマー操作（

  alarm

  ,

  timerfd_create

  など）。
• Sandbox: サンボックス化自体の制御（Landlock, seccomp 自身）。

ポリシーコード例

クロック時間管理ポリシー

POLICY Clock {
    ALLOW {
        clock_getres, clock_gettime, gettimeofday, time, times
    }
}

互換性情報（x86）

POLICY CompatX86 {
    ALLOW {
        // 古い ABI エミュレーション用
        personality(persona) {
            persona == /*PER_LINUX=*/0 || persona == /*PER_LINUX32=*/8 ||
            persona == /*UNAME26=*/0x0020000 ||
            persona == /*PER_LINUX32|UNAME26=*/0x20008 ||
            persona == 0xffffffff
        },

        // x86 ABI 制御用（c-runtime 以外の場所で記述）
        arch_prctl
    }
}

Wasm ランタイム環境維持ポリシー

POLICY CRuntime {
    ALLOW {
        brk, exit, exit_group, futex, futex_requeue, futex_wait, 
        futex_waitv, futex_wake, get_robust_list, get_thread_area, 
        gettid, madvise, map_shadow_stack, membarrier, mmap, mprotect, 
        mremap, munmap, restart_syscall, rseq, sched_yield, set_robust_list, 
        set_thread_area, set_tid_address,

        // glibc の malloc() は getrandom() への参照を含んでいるため
        getrandom
    }
}

ネットワークソケット（TCP）

POLICY NetworkSocketTcp {
    ALLOW {
        socket(domain, type, protocol) {
            (type & 0x7ff) == /*SOCK_STREAM=*/1 && protocol == 0 &&
            (domain == /*AF_INET=*/2 || domain == /*AF_INET6=*/10)
        }
    }
}

プロセス制御（必須セット）

POLICY Process {
    ALLOW {
        // clone2 はどこでしょうか？ia64 のみ実装されています。
        clone, clone3, execve, execveat, fork, getpgid, getpgrp, getpid,
        getppid, getrusage, getsid, kill, pidfd_open, pidfd_send_signal, 
        prctl, rt_sigqueueinfo, rt_tgsigqueueinfo, setpgid, setsid, tgkill, 
        tkill, vfork, wait4, waitid
    }
}

リソース変更ポリシー

POLICY ResourcesMutation {
    ALLOW {
        ioprio_set, prlimit64, sched_setaffinity, sched_setattr, 
        sched_setparam, sched_setscheduler, setpriority, setrlimit
    }
}