HITB Sec Conf 2023 в Phuket был представлен доклад "gVisor: Modern Linux Sandboxing Technology". Достаточно любопытное исследование, которое хорошо погружает в тему linux sandbox механизмов и решений. И после погружения в базу автор рассматривает написание собственного "идеального" решения под названием vmjail, который базируется на gVisor (внутреннее устройство, которого также рассматривается).Самые важные моменты:
-
vmjail находиться в разработке и кода не опубликовано- Проект требует изменение в исходном коде
gVisor (достаточно много доработок)- Проект подразумевает два режима работы:
enforce security policy (строго определяем политику) и analysis (мониторим поведение)- Интересная идея привязки политик
OCI spec
Так что, честно говоря, для большинства это исследование будет интересно чисто на уровне теории механизмов Linux ... Будет ли вообще опубликован проект (не говоря уже о его нормальной поддержке) - не известно.P.S. Все слайды с конференции можно посмотреть тут.