ebpf 程序阻止 VSCode 服务器运行

Question

我必须管理启用了 ssh 的 Linux 主机。它是一个跳转主机，除了用于进入安全网络之外，它不应该用于其他任何用途。问题是我注意到用户通过在其上运行 VSCode 服务器（远程 ssh 模式）将其用作开发盒。 VSCode 似乎远程运行的二进制文件是代码服务器。是否可以创建一个在创建新进程时调用的 ebpf 程序，以便该程序检查二进制名称并使 fork 失败？

Answer 1

不适用于 eBPF，但这个 SystemTap 脚本应该也能正常工作：

#!/usr/bin/env stap
probe kprocess.exec {
    if (isinstr(filename, "vscode-server")) {
        printk(7, sprintf("user %d is exec'ing %s
", uid(), filename))
        raise(9);
    }
}