在现代 Linux 系统安全工程中，特权分离是防范进程漏洞被利用的关键策略。传统的 root 权限模型赋予进程全系统访问权，一旦进程被攻破，整个系统面临风险。Linux capabilities 机制通过将 root 特权分解为 40 多个独立的能力单元（如 CAP_NET_BIND_SERVICE 用于绑定低端口，CAP_SYS_CHROOT 用于 chroot），实现了细粒度权限控制。这允许应用进程仅获得必要权限运行，避免不必要的 root 提升，从而在部署中实现进程隔离和最小特权原则。
capabilities 的核心在于其三组权限集：Permitted (pP) 表示进程可获得的最大能力集，Effective (pE) 表示当前生效的能力，Inheritable (pI) 表示可继承给子进程的能力。这些集通过内核的 cred 结构体管理，并在 execve 时根据文件 capabilities 计算。Bounding set 进一步限制进程可激活的能力边界，例如通过 prctl(PR_SET_KEEPCAPS, 0) 锁定 bounding set，防止后续权限扩展。这在证据上体现在内核的 commoncap.c 中，capable() 函数会检查 pE 和 bounding set 来验证 syscall 权限。如果进程尝试超出 bounding set 的操作，将返回 EPERM 错误，确保隔离。
在实际工程中，syscall 过滤与 capabilities 结合可进一步强化隔离。Seccomp (Secure Computing Mode) 允许定义白名单 syscall，仅许可如 read/write 等必要调用，而 capabilities 则控制这些调用的特权部分。例如，一个 Web 服务器进程可被赋予 CAP_NET_BIND_SERVICE 以监听 80 端口，但 bounding set 排除 CAP_SYS_ADMIN 防止模块加载。证据显示，在容器环境中如 Docker，默认 drop ALL caps 并 add 必要如 CAP_CHOWN，用于文件操作隔离。这减少了攻击面：据内核文档，CAP_SYS_ADMIN 覆盖 100+ 操作，若未 bounding，将放大漏洞影响。
落地参数配置需遵循最小特权：首先，使用 setcap 工具为二进制文件注入 capabilities，例如 sudo setcap 'cap_net_bind_service,cap_net_raw=+ep' /usr/bin/myapp。这设置 effective 和 permitted 位，允许非 root 绑定端口。Bounding set 通过 prctl(PR_SET_SECUREBITS, SECBIT_NO_SETUID_FIXUP) 锁定继承，避免子进程意外获权。对于 syscall 过滤，加载 seccomp BPF 程序，阈值如允许 < 50 个 syscall（典型无特权 app），使用 libseccomp 库生成过滤器：seccomp_init(SCMP_ACT_KILL), seccomp_rule_add(SCMP_ACT_ALLOW, SCMP_SYS(read), 0)。监控点包括 auditd 日志跟踪 cap 变化，阈值：若 pE 超出预期 >10%，警报；回滚策略：prctl(PR_CAPBSET_DROP, CAP_SYS_ADMIN) 即时剥夺，结合 ulimit -r 0 限制 core dump。
部署清单如下：
- 评估应用需求：列出所需 cap，如网络服务需 CAP_NET_BIND_SERVICE，文件操作需 CAP_DAC_OVERRIDE。使用 getcap 检查现有。
- 配置 bounding set：init 时 prctl(PR_SET_KEEPCAPS, 1) 保留 cap，exec 前 PR_CAPBSET_READ 验证边界。
- 集成 seccomp：编译时链接 libseccomp，运行时加载规则，过滤如 kill/syscall 若无 CAP_KILL。
- 测试隔离：strace 追踪 syscall，capsh --print 显示 pP/pE/pI，确保无意外 cap。
- 生产监控：systemd 服务中添加 CapabilityBoundingSet=~ CAP_SYS_ADMIN，LimitNOFILE=1024 限资源；日志中 grep "capable" 审计失败。
- 回滚：若部署异常，systemctl restart 恢复默认，或 setcap -r /bin/myapp 清空。
这种工程实践在无 root 部署中显著提升安全，例如在 Kubernetes Pod 中，通过 securityContext.capabilities.drop: ["ALL"] 和 add: ["NET_BIND_SERVICE"] 实现。风险限于 CAP_SYS_ADMIN 等宽泛 cap 的误配，但通过 bounding 和 seccomp 可控。总体，capabilities 提供高效隔离，无需重写应用。
资料来源：Linux man capabilities(7)，内核文档 security/commoncap.c，以及相关安全工程实践如 Docker 安全指南。
（字数：1025）