コンテナの制限

Palantir は、Secure Computing Mode（seccomp）を使用して、Palantir のインフラストラクチャ内でさまざまなシステムコール（syscall）が実行されることを制限しています。Seccomp は、プロセスやコンテナにシステムコール（syscall）の制限を適用できる Linux カーネルのセキュリティ機能です。

Seccomp フィルターを使用すると、コンテナが実行できる syscall を許可リストに登録できます。また、許可リストに登録されていない syscall を処理する方法として、LOG、KILL、ERRNO プロファイルなどを使用できます。

• LOG は、許可リストに登録されていない syscall の実行を許可しますが、プロセス監査のために auditd/osquery に記録します。
• KILL は、許可リストに登録されていない syscall を実行するプロセスを終了します。
• ERRNO は、syscall の実行を防ぎますが、ログイベントは生成しません。

Seccomp を使用すると、安全でないと見なされる syscall や、コンテナからの脱出に使用できる syscall の実行を防止したり、ログに記録したりすることで、コンテナの攻撃対象領域を削減できます。これにより、コンテナとホストの間、およびコンテナ間にセキュリティ層が追加されます。以下に、Palantir プラットフォームで自動的にブロックされる syscall の一覧を示します。