فلش‌کارت‌های آموزشی تسلط عملی بر Seccomp: طراحی پروفایل امنیتی لینوکس و کانتینر از صفر تا Production

🎓 دوره آموزشی جامع

📚 اطلاعات دوره

عنوان دوره: دوره تسلط عملی بر Seccomp: طراحی پروفایل امنیتی لینوکس و کانتینر از صفر تا Production

موضوع کلی: امنیت لینوکس و کانتینر

موضوع میانی: پروفایل‌های امنیتی Seccomp و سخت‌سازی فراخوانی‌های سیستمی

📋 سرفصل‌های دوره

• 1. مدل تهدید و کاهش سطح حمله در سطح فراخوانی سیستمی
• 2. جایگاه Seccomp در معماری امنیتی لینوکس
• 3. مرز فضای کاربر و فضای هسته در اجرای syscall
• 4. جدول syscallها و تفاوت رفتار معماری‌های CPU
• 5. اصول Allowlist و Denylist در طراحی پروفایل
• 6. ساختار پروفایل: defaultAction، architectures و قوانین syscall
• 7. اقدامات Seccomp: Allow، Errno، Trap، Log و Kill
• 8. تفاوت Kill Process و Kill Thread در سیاست‌های مرگ
• 9. تبدیل پروفایل JSON به فیلتر BPF
• 10. منطق BPF و ترتیب ارزیابی قوانین
• 11. معرفی کتابخانه libseccomp و جریان ساخت پروفایل
• 12. آماده‌سازی آزمایشگاه امن برای تمرین‌های Seccomp
• 13. ردیابی syscallها با strace
• 14. تحلیل trace و استخراج حداقل نیاز برنامه
• 15. استفاده از scmp_sys_resolver و مستندات syscall
• 16. ساخت و اعتبارسنجی نخستین پروفایل Seccomp
• 17. اعمال مستقیم فیلتر با prctl و syscall seccomp
• 18. نقش no_new_privs در اجرای ایمن پروفایل
• 19. همگام‌سازی فیلتر میان نخ‌ها با TSYNC
• 20. عیب‌یابی پروفایل‌های نامعتبر و خطاهای رایج
• 21. اعمال پروفایل در Docker با --security-opt
• 22. کالبدشکافی پروفایل پیش‌فرض Docker
• 23. سفارشی‌سازی پروفایل Docker برای یک سرویس واقعی
• 24. مدیریت حالت Unconfined و ریسک‌های آن
• 25. مدل OCI و یکپارچه‌سازی Seccomp با runc
• 26. پیکربندی Seccomp در containerd
• 27. پیکربندی Seccomp در CRI-O
• 28. انواع seccompProfile در Kubernetes
• 29. تعریف RuntimeDefault، Localhost و Unconfined در Pod
• 30. اعمال پروفایل اختصاصی برای Container و Pod
• 31. توزیع و نگهداری پروفایل‌های Localhost در خوشه
• 32. استفاده از Admission Controller برای اعمال سیاست Seccomp
• 33. محدودسازی عملیات فایل و سیستم‌فایل
• 34. محدودسازی سوکت، شبکه و ارتباطات فرایندی
• 35. کنترل ساخت فرایند، exec و عملیات زمان‌بندی
• 36. مدیریت signalها و ارتباط میان فرایندها
• 37. محدودسازی ptrace و جلوگیری از بازرسی فرایندها
• 38. کنترل mount، unmount و تغییر namespace
• 39. محدودسازی keyring و عملیات مرتبط با کلید
• 40. کنترل syscallهای مرتبط با BPF
• 41. فیلتر ioctl و مدیریت دستگاه‌های مجاز
• 42. فیلتر کردن syscall بر اساس مقدار آرگومان‌ها
• 43. محدودیت‌های بازرسی pointer و داده‌های فضای کاربر
• 44. تزریق خطا با Errno برای شبیه‌سازی دسترسی ممنوع
• 45. ثبت syscallهای مسدودشده با Seccomp Log
• 46. عیب‌یابی تعاملی با Trap
• 47. آشنایی با Seccomp User Notification
• 48. الگوهای امن برای User Notification و محدودیت‌های آن
• 49. رابطه Seccomp با Linux Capabilities
• 50. تعامل Seccomp با Namespaceها
• 51. تعامل Seccomp با SELinux و AppArmor
• 52. محدودسازی syscallها در Systemd با SystemCallFilter
• 53. ملاحظات Seccomp در کانتینرهای rootless
• 54. ملاحظات Seccomp در کانتینرهای privileged
• 55. طراحی سیاست Seccomp برای محیط‌های چندمستأجری
• 56. گردش کار Allowlist برای تولید پروفایل حداقلی
• 57. شناسایی syscallهای مسیر راه‌اندازی برنامه
• 58. پوشش مسیرهای اجرای پویا و ویژگی‌های کم‌مصرف
• 59. تفکیک پروفایل build از runtime
• 60. پروفایل‌سازی برنامه‌های چندفرایندی و مبتنی بر worker
• 61. پروفایل‌سازی برنامه‌های دارای plugin و بارگذاری پویا
• 62. ملاحظات runtimeهای زبانی مانند Go، Java، Python و Node.js
• 63. طراحی پروفایل برای برنامه‌های چندمعماری
• 64. سازگاری پروفایل با نسخه‌های مختلف kernel
• 65. تحلیل اثر Seccomp بر کارایی برنامه
• 66. بهینه‌سازی اندازه پروفایل و ترتیب قوانین
• 67. خودکارسازی تولید پروفایل از خروجی trace
• 68. طراحی آزمون واحد برای قوانین Seccomp
• 69. اجرای تست‌های regression در خط لوله CI/CD
• 70. طراحی تست منفی برای syscallهای ممنوع
• 71. عیب‌یابی برنامه‌های شکسته‌شده پس از اعمال پروفایل
• 72. تشخیص تفاوت خطاهای ENOSYS و EPERM
• 73. پایش و ثبت رویدادهای Seccomp در Production
• 74. مدیریت استثناها بدون باز کردن کل پروفایل
• 75. استقرار تدریجی، سنجش و امکان بازگشت
• 76. مستندسازی پروفایل، مالکیت و بازبینی دوره‌ای
• 77. الگوی پروفایل امن برای سرویس‌های اینترنتی
• 78. الگوی پروفایل امن برای Jobها و workloadهای کوتاه‌عمر
• 79. بازبینی امنیتی و تحلیل مسیرهای bypass
• 80. پروژه پایانی: ساخت پروفایل Production-ready برای یک برنامه واقعی