secimport 项目安装与使用教程

secimport 项目安装与使用教程

secimport eBPF Python runtime sandbox with seccomp (Blocks RCE). 项目地址: https://gitcode.com/gh_mirrors/se/secimport

1. 项目目录结构及介绍

secimport 项目是一个基于 eBPF 的安全工具包，它通过限制每个 Python 模块的 syscall 调用来提供细粒度的安全控制。以下是项目的目录结构及其介绍：

secimport/
├── .github/             # GitHub 工作流和配置文件
├── docker/             # Docker 相关文件
├── docs/               # 文档资料
├── examples/           # 使用示例
├── scripts/            # 脚本文件
├── secimport/          # secimport 核心代码
├── tests/              # 测试代码
├── .gitignore          # Git 忽略文件
├── .pre-commit-config.yaml # pre-commit 配置文件
├── LICENSE             # 项目许可证
├── README.md           # 项目说明文件
├── SECURITY.md         # 安全问题报告指南
├── nsjail-seccomp-sandbox.sh # nsjail seccomp 沙盒脚本
├── poetry.lock         # 依赖锁文件
├── policy.json         # 安全策略文件
├── policy.yaml         # 安全策略文件
├── pyproject.toml      # Python 项目配置文件
└── syscalls.txt        # syscall 白名单文件

• .github/: 包含了项目的 GitHub Actions 工作流文件，用于自动化测试、构建等流程。
• docker/: 包含了 Dockerfile 和其他与 Docker 容器相关的脚本，用于创建和运行 secimport 的 Docker 容器。
• docs/: 存放项目文档的资料。
• examples/: 包含了一些使用 secimport 的示例代码。
• scripts/: 包含了一些辅助脚本。
• secimport/: 包含了 secimport 的核心 Python 代码。
• tests/: 包含了项目的测试代码。
• .gitignore: 指定了 Git 忽略的文件模式。
• .pre-commit-config.yaml: 配置了 pre-commit 钩子，用于在提交前自动化代码格式化和检查。
• LICENSE: 项目使用的 MIT 许可证文件。
• README.md: 项目的主说明文件。
• SECURITY.md: 提供了如何报告项目安全问题的指南。
• nsjail-seccomp-sandbox.sh: 一个脚本文件，用于创建一个带有 seccomp 配置的 nsjail 沙盒。
• poetry.lock: 包含了项目的依赖信息，用于确保环境的可重复性。
• policy.json 和 policy.yaml: 定义了 secimport 的安全策略。
• syscalls.txt: 包含了允许的 syscall 列表。

2. 项目的启动文件介绍

secimport 项目的启动主要是通过命令行工具进行的。以下是几个主要的启动文件及其功能：

• secimport/cli.py: 这是 secimport 的命令行界面入口文件。它解析命令行参数并调用相应的功能模块。
• secimport/interactive.py: 提供了一个交互式 shell，用于实时跟踪和构建安全策略。
• secimport/trace.py: 用于跟踪 Python 进程的 syscall 调用，以便生成安全策略。

要启动 secimport，可以运行以下命令：

python -m secimport.cli [OPTIONS] COMMAND [ARGS]...

例如，启动一个交互式会话：

python -m secimport.interactive

3. 项目的配置文件介绍

secimport 使用配置文件来定义安全策略。以下是几个主要的配置文件及其功能：

• policy.json 和 policy.yaml: 这些文件定义了项目的安全策略，包括哪些 syscall 调用是允许的，哪些是不允许的。这些策略会在运行时被 secimport 加载和应用。

配置文件的示例内容如下：

# policy.yaml
version: 1
default:
  action: allow
rules:
  - name: read
    action: allow
  - name: write
    action: allow
  - name: open
    action: allow
  # 更多规则...

在这个配置文件中，version 定义了策略文件的版本，default 定义了默认的行为（允许或拒绝所有的 syscall），而 rules 定义了具体的规则。

使用配置文件可以帮助用户更灵活地定义和调整安全策略，以满足不同的安全需求。

secimport eBPF Python runtime sandbox with seccomp (Blocks RCE). 项目地址: https://gitcode.com/gh_mirrors/se/secimport