开源!在 Linux 内核里跑 Lua-LSM 小程序,是什么样的体验?

local kernel = require('kernel')localfunctionlog(fmt, ...)local s = string.format('shadow_protect: ' .. fmt, ...)    kernel.printk(s)endlocal functionfile_post_open(file, mask)local path = file:path()if path == "/etc/shadow"thenlocal n = shared.dogs:incr('count')if n > 3 thenlog('%s %d Read deny, %s', current:comm(), n, path)return falseendendendreturn {    name = "shadow_protect",    file_post_open = file_post_open}

小程序加载：

cat shadow_protect.lua > /sys/kernel/security/lua/register

此时对/etc/shadow 的前三次访问会被允许，从第四次开始的访问将被拒绝，返回 Operation not permitted。

小程序卸载：

echo 'shadow_protect' > /sys/kernel/security/lua/unregister

小程序功能

这个示例在 file_post_open 钩子上挂载了一段逻辑：当任何用户任何进程尝试打开包含 /etc/shadow 路径的文件时，会维持一个计数，当计数大于 3 时，拒绝打开操作，即使 root 用户也受该策略控制。

架构一览

借助 Lua 语言的语法和元编程能力，可以屏蔽掉 LSM 底层的复杂逻辑，lua-lsm 的目标是以最接近自然语言的方式高效开发 LSM 程序，支持需要快速响应又无需更新内核的安全威胁场景，比如系统实时防御和动态止血能力。

Lua-LSM 项目已在龙蜥社区（OpenAnolis）正式开源，代码已合入 Cloud Kernel (ANCK) 6.6 主线，路径为 security/lua 目录。

项目地址（点击文末阅读原文或复制链接至浏览器打开）：

https://gitee.com/anolis/cloud-kernel

• 提交 Issue：如果你发现了 bug、有功能建议、或者觉得文档不够清晰，提一个 Issue 就是最大的帮助。
• 提交 PR：如果你有好的想法，可以直接 Fork 仓库，修改后提交 PR。无论是修复 bug、增加 LSM 钩子支持、还是优化 Lua 引擎，我们都欢迎。
• 小程序：哪怕你不改一行 C 代码，你也可以用 Lua 脚本编写实用的安全小程序。好用的脚本欢迎提交到社区，让更多人受益。

Lua-LSM 钉钉交流群