操作系统安全加固与可信计算：LSM、内核加固、TPM 与容器逃逸防护

Sun, 27 Sep 2026 09:00:00 +0800

操作系统安全不是"装个杀毒软件"，而是一层套一层的纵深防御（Defense in Depth）。内核的漏洞一旦被利用，用户态的防护全部失效——所以真正可靠的边界，从内核自身、到强制访问控制、到硬件信任根、再到容器逃逸防护，每一层都必须尽责。

本文先画出操作系统攻击面全景，然后逐层深入：LSM（SELinux/AppArmor）如何把 root 的"全知全能"收窄为最小权限；内核加固（KASLR、栈保护、模块签名）如何提高利用成本；TPM 与可信启动如何让"开机即可信"成为可验证的事实；最后落到云原生场景最关心的容器逃逸防护与处置路径。

可信计算 on PlumePHP