描述 文件系统沙箱是一种有用的技术,可以保护敏感数据免受不受信任的二进制文件的侵害。 但是,现有方法不允许对策略实施进行精细控制,需要超级用户特权或会产生高性能开销。 SandFS是一个轻量级且细粒度的文件系统沙箱框架,适用于非特权用户和应用程序。 我们已将SandFS设计为可堆叠的内核文件系统,可以在运行时从用户空间安全地对其进行扩展,以在内核中实施自定义安全策略并提供本机性能。 使用SandFS,可以将多个沙盒层彼此堆叠,每个较高的层进一步执行其自己的策略以提供较低层的受限视图。 SandFS的性能开销不到10%。 刊物 如果您将这项工作用于您的研究,我们将不胜感激对APSys '18的引用 @inproceedings{Bijlani:2018:LFF:3265723.3265734, author = {Bijlani, Ashish and Ramachandran, Um