Reportando violações do Seccomp

Question

Ao executar processos restritos por seccomp, gostaria de ver quaisquer violações de seccomp em alguns logs. Algumas pesquisas online mostram que essas violações são relatadas para syslog ou audit.log. No entanto, eu não os vejo lá, embora eu saiba dos processos que morrem devido a eles. Isso é algo que precisa ser ativado em algum lugar?

Estou usando o Ubuntu Xenial 16.04.

EDIT: Descobri que SCMP_ACT_ERRNO , o sinalizador que estava usando, não aciona o log. É apenas SCMP_ACT_KILL que aciona o registro.

    

Answer 1

Dois pontos:

• você deve ter instalado o pacote do daemon de auditoria, auditd .
• em sua configuração padrão auditd não faz muito, exceto o registro quando os usuários fazem login.

De qualquer forma, você terá que configurar para torná-lo útil.

Leitura adicional:

• auditd - O daemon de auditoria do Linux
• Exemplo simples de configuração de auditoria?
• Auditd - Ferramenta para auditoria de segurança no servidor Linux
• Configurando e auditando sistemas Linux com o daemon do Audit

A página de manual não é muito profunda, e é por isso que apontei para as páginas adicionais.

Não há muito disponível para ler sobre a configuração do próprio seccomp. Aqui estão alguns pontos de partida úteis (que incluem comentários que auditd pode não precisar de configuração porque seccomp é relatado incondicionalmente):

• Seccomp e sandboxing
• Re: [PATCH] Não audite SECCOMP_KILL / RET_ERRNO quando a auditoria do syscall estiver desativada
• seccomp e audit_enabled