Sobreposição de sandbox para o Ubuntu

Question

Eu quero algumas funcionalidades como o Sandboxie no Windows.

Ou seja, quero executar um programa em uma sandbox. O programa não detecta o sandbox e pode ler arquivos de fora do sandbox normalmente. Mas quando o programa tenta gravar arquivos, os arquivos são gravados apenas no sandbox, e não fora dele. E, possivelmente, fora do sandbox, quero ver apenas os arquivos criados dentro do sandbox.

Eu li Instalando o Sandboxie no ubuntu , mas não parece ser o que eu quero.

De acordo com o link , o Firejail tem um recurso de sobreposição, mas os arquivos são destruídos quando programa que os cria termina. Em vez disso, quero inspecionar esses arquivos.

Parece que essas coisas sobrepostas fazem parte do Linux desde o kernel 3.18, não tenho certeza se existe alguma maneira de usá-las para conseguir o que eu quero.

Eu tenho o Lubuntu 16.04.1 com o kernel do Linux 4.4.0-53-genérico.

    

Answer 1

O Firejail pode ser configurado para usar uma "lista branca" de arquivos que podem ser mantidos, o que permitiria usá-lo sem os arquivos que você deseja continuar sendo excluídos. Se você simplesmente quiser ver quais arquivos seriam gravados, também poderá ler os registros.

link

   --read-write=dirname_or_filename
          Set  directory  or  file  read-write.  Only files or directories
          belonging to the current user are allowed  for  this  operation.
          Example:

          $ mkdir ~/test
          $ touch ~/test/a
          $ firejail --read-only=~/test --read-write=~/test/a

A execução de aplicativos no Docker será uma situação muito complicada e não funcionará, a menos que sejam aplicativos de linha de comando, pois não há compartilhamento de servidor gráfico sem configurações adicionais. Além disso, o docker é mais projetado para ajudar esses contêineres individuais a falar uns com os outros, algo que você não disse que precisava (e provavelmente não precisa neste modelo de sandboxing)

    

Answer 2

Você pode usar contêineres docker para isso. Contêineres Docker são contêineres antigos LXC com a marca de nome que eram chamados de cadeias BSD há muito tempo. Use contêineres docker e seu recurso de montagem de volume para que você possa inspecionar os dados depois e salvá-los.