Linux Seccomp

Seccomp（secure computing）は、プロセスが実行できるシステムコールを制限します。strict モードでは、プロセスは、既存のファイルディスクリプターに対する歴史的な read、write、_exit、sigreturn という少数のコールに制限されます。現代の アプリケーションの大半にとっては、意図的に狭すぎる制限です。

filter モードでは、システムコール番号と選択した引数を検査する classic BPF プログラムをアタッチします。フィルターは、許可、errno を返して拒否、プロセスの 強制終了、ログ記録、トレース、または userspace notifier への判断の委譲を行えます。 フィルターは単調です。一度インストールすると、緩和できません。通常、権限を持たない プロセスがフィルターをインストールする前に no_new_privs が必要です。これにより、 後から権限を獲得してフィルターを回避することを防ぎます。コンテナランタイムは、 namespaces、capabilities、mandatory-access-control ポリシーと併せて、防御の一層として seccomp を使用します。