Linux Seccomp

Seccomp（secure computing）限制程序可執行的系統呼叫。在 strict 模式中，程序僅能使用少量呼叫；對現有檔案描述元而言，這些呼叫在歷史上包括 read、 write、_exit 和 sigreturn。對大多數現代應用程式而言，這項限制刻意設得過於狹窄。

filter 模式會附加一個 classic BPF 程式，用來檢查系統呼叫編號與選定的引數。篩選器可以 允許呼叫、以 errno 拒絕呼叫、終止程序、記錄日誌、進行追蹤，或將決策委派給 userspace notifier。篩選器具有單調性：一旦安裝，就無法放寬。未具特權的程序通常必須先設定 no_new_privs，才能安裝篩選器，藉此防止程序日後透過取得更高權限來繞過篩選器。 容器執行階段會將 seccomp 作為一層防禦，與 namespaces、capabilities 以及 mandatory-access-control 原則搭配使用。