Виртуализация процесса

Есть предложения?

Есть

Что за программа? И почему нельзя дистрибутив запускать для неё?

qubes

Спасибо за ссылку на гугл.

Программа (программЫ) совершенно неважно какие, но постоянно грузить ЦЕЛЫЙ огромный дистрибутивище чтоб фоном работала какая-то программа, это бред.

Почему бред?

Qubes, это идеал, но мне придется переустановить ос. Сейчас стоит дебиан и я им полностью доволен, я хочу просто сделать виртуализацию процесса на уже установленном дебиане.

Потому что ресурсы компа небесконечны, и могут пригодиться где-то еще во время работы.

Может ты переоцениваешь затраты ресурсов на «целый огромный дистрибутивище»? Это пара десятков мегабайтов оперативной памяти и несколько десятков мегабайтов образа.

но постоянно грузить ЦЕЛЫЙ огромный дистрибутивище чтоб фоном работала какая-то программа, это бред

Выше уже посоветовали Qubes OS у которой каждое приложение в своей виртуальной машине, так что не бред, а мейнстрим в части изоляции приложений.

Спасибо за ссылку на гугл.

Ну так, надеюсь, что хотя бы первую страницу выдачи просмотреть получилось? А там контейнеры-контейнеры-контейнеры и немного песочниц в виде чрута и т.п.

https://www.dropbox.com/s/m3npxf3nvywforf/ww.png?dl=0

Полностью изолировать нельзя. Можно засунуть в контейнер cgroups+namespaces и ограничить функциональность через seccomp.

Докер?

Докер не предназначен для того, чтобы изолировать вредоносный код. Лучше его не использовать для этой цели.

так тебе прожорливость проги ограничить или защитить систему от вероятных вредоносных воздействий онного програмного продукта ??
чотчееее и конкретнеееее желания расписывай.

ТС сказал «уязвимости», а не «вредоносный». Выскочить из контейнера конечно можно, но если он запущен не от рута и максимально голый типа distroless - это будет довольно проблематично

если

чтобы уязвимости этой программы не смогли навредить системе

можно просто apparmor использовать, selinux еще есть. делать для этого виртуализацию вручную так себе затея.

Уязвимости подразумевают то, что хакер уже контролирует часть системы, поэтому уязвимый сервис можно смело считать вредоносным.

На мой взгляд изоляция контейнеров гарантирует лишь то, что какие-то случайные баги не повредят соседям. Вот помню в каком-то пакете в postinstall-скрипт засунули rm -rf /. apt upgrade и системы нет. Вот для предотвращения таких проблем изоляция контейнеров годится.

Ну в целом, конечно, и в гипервизорах уязвимости находят, даже ноутбук в сейфе нельзя считать 100% защищённым. Но в целом от специалистов в ИБ не раз утверждалось, что контейнеры не годятся, как надёжная защита от вредоносного кода. Слишком большая зона для атаки. Слишком много уязвимостей находят.

Kata Containers

Kata Containers, кажется это именно то что нужно, но как его установить? У меня дебиан. По инструкциям с гитхаба не получилось, репозитории не живые. Скомпилить тоже не получается

постоянно грузить ЦЕЛЫЙ огромный дистрибутивище чтоб фоном работала какая-то программа, это бред.

Это у тебя машинки с z/OS или SunFire не было, вот ты и думаешь что это что-то плохое. А всю эту экономию на спичках нищие хипсторы-стартаперы придумали.