MSpace: Multi security namespace management for containers

Liang, Hao

doi:10.1016/j.jer.2025.04.007

MSpace: Multi security namespace management for containers

2026-03-01

0

PRE

AI

DOI：10.1016/j.jer.2025.04.007

原文链接

原文求助

摘要

En 中文

现有系统安全框架如LSM主要设计用于操作系统内核，不适用于用户级容器方法。这主要是因为系统安全框架的设计与实现位于操作系统内核中，该内核被整个系统共享，无法满足容器的隔离需求。多个容器的安全策略在底层系统内核中混合，相互影响并增加监控开销，导致运行大量容器的云服务器效率低下。对容器安全性的改进往往是临时的和局部的，通常缺乏对通用SELinux模式的支持。本文介绍了MSpace，一个增强型内核SELinux框架，支持具有独立安全策略和机制的容器化安全空间。为增强安全性，我们首先引入虚拟钩子表的实例化机制，结合容器的命名空间，确保每个安全空间拥有自己的实例化钩子表而非系统范围的表，从而实现隔离。随后，设计了安全命名空间方法以支持容器特定的私有安全策略。最后，为保持兼容性，仅添加了实例化和释放接口，原有接口保持不变。结果表明，MSpace有效缓解了SELinux用于内部容器的问题，与直接使用宿主SELinux相比，系统调用延迟平均降低2.83%。

Keyword:

MSpace

SELinux

Container security

Virtual jump tables

System call latency

MSpace: Multi security namespace management for containers

摘要

期刊

机构

引用论文