linux安全之seccomp
seccomp按照字面意思可以理解为security computing，最早是作用于网格计算，主要通过限制进程的系统调用来完成部分沙箱隔离功能。通过man prctl可以发现，seccomp的引入是在内核2.6.23，早期的seccomp主要限制read、write、exit以及sigreturn四个系统调用。内核3.5版本引入filter模式，将seccomp分成strict和filter两种。其中strict依旧限制四种系统调用，而filter模式则借助了Berkeley Pakcet Filter来进行更细致的指令和参数控制。
