如何判断沙盘内的程序是否试图逃逸
判断沙盘内程序是否试图逃逸，通常要看它是否在越过沙盘边界，而不只是看程序是否崩溃或行为异常。建议结合进程、系统调用、文件、网络和宿主机侧日志判断。
重点观察的迹象
- 进程与权限异常：尝试提升权限、修改凭据或能力，访问其他沙盘进程，使用
ptrace一类调试/注入机制，或启动沙盘原本不允许的系统工具。 - 沙箱边界探测：读取容器、命名空间、挂载点或宿主机信息；尝试创建或加入命名空间；访问宿主机的
/proc、/sys、设备节点、容器运行时套接字等受限资源。 - 挂载与内核接口操作：尝试挂载文件系统、加载内核模块、访问内核接口，或调用沙盘策略明确禁止的系统调用。单次失败调用不一定代表攻击，但反复探测更值得关注。
- 越界文件访问：访问沙盘根目录以外的路径，修改宿主机映射进来的敏感文件，或创建指向沙盘外部的符号链接、设备文件。
- 异常网络行为：扫描宿主机或内网、连接云元数据地址、访问控制平面，或在沙盘外建立反向连接。
- 宿主机侧异常：沙盘外出现了由该程序产生的进程、文件或网络连接；沙盘配置、运行时或安全策略被修改；宿主机日志中出现与沙盘进程对应的拒绝或异常事件。
推荐的检测方法
- 建立正常行为基线：记录程序启动后的常规进程树、系统调用、文件访问和网络目的地，以便区分正常探测与异常行为。
- 采集沙盘内外两侧遥测：结合系统调用审计、进程与文件事件、网络流量，以及容器/虚拟机运行时和宿主机日志。仅看沙盘内部日志可能看不到越界结果。
- 关注“行为链”而非单一事件：例如先枚举环境，再访问受限接口，随后尝试修改权限或对外通信，这类连续行为比一次被拒绝的系统调用更有指示性。
- 按策略设置告警：对访问宿主机敏感路径、危险设备、运行时套接字、禁止的系统调用和异常外连设置告警；记录进程 ID、父进程、时间、路径、目标地址及系统调用结果。
- 安全处置：发现可疑行为时，先隔离实例并保留日志、内存或快照等证据，再分析和更新策略。不要只依赖“调用失败”作为安全证明；还应核查宿主机是否受到影响。
不同沙盘实现和合法软件行为差异很大，单个迹象通常不足以定性。最可靠的判断依据是：程序是否尝试触及其授权边界，以及宿主机侧是否观察到对应结果。