linux seccomp使用和原理

概要

1. linux的沙箱機制，可以限制進程對系統調用的訪問，從系統調用號，到系統調用的參數，都可以檢查和限制
2. 有兩種模式
   1. SECCOMP_MODE_STRICT, 進程只能訪問read,write,_exit,sigreturn系統調用
   2. SECCOM_MODE_FILTER，通過設置bpf規則，來過濾和檢查系統調用號，和系統調用參數，來決定對進程訪問系統調用的處理
3. systemd，container都使用seccomp機制來限定對進程的對系統調用的訪問權限

參看

1. man seccomp, man prctl