bytedance/vArmor

解决的问题

vArmor 是一个云原生容器加固系统，旨在增强容器隔离并减少内核攻击面。它能防止容器逃逸、横向移动和未经授权的网络访问，这对于多租户环境或无法立即修补高风险漏洞的情况尤为重要。

运作原理

它使用 Kubernetes Operator 模式通过 CRD API 管理安全策略。该系统基于多种 Linux 安全技术实现了“强制执行器”(enforcers)：

• 内核层级控制：利用 AppArmor LSM、BPF LSM 和 Seccomp 来控制文件访问、进程执行和系统调用。
• 网络控制：使用基于 Envoy 的 sidecar 代理来拦截并控制 L4 (TCP) 和 L7 (HTTP/HTTPS) 的出口流量，支持 TLS MITM 以进行解密检查和 HTTP 标头注入。

适用对象

• Kubernetes 管理员：管理硬件虚拟化成本过高的多租户集群。
• 安全工程师：寻求保护关键业务容器免受权限提升和横向移动攻击。
• AI 开发者：部署基于 LLM 的应用程序或 AI Agent，需要严格的对外网络控制以防止提示词注入导致的工具滥用或数据外泄。

特色亮点

• AI Agent 保护：结合内核与应用程序协议层级的控制，以减轻未经授权的 API 调用和密钥泄露等风险。
• L7 网络可见性：提供标准 Kubernetes NetworkPolicies 所不具备的高级出口控制（TLS MITM、基于 SNI 的过滤）。
• 灵活的强制执行：支持“默认允许”(Allow-by-Default，最小化性能影响) 和“默认拒绝”(Deny-by-Default) 两种模型。
• 内置规则：包含开箱即用的规则，简化非专家的安全配置文件创建流程。