seccomp
Mecanismo de Linux para poner en lista blanca qué syscalls puede hacer un proceso — si intenta algo fuera de la lista, se le mata (o recibe EPERM).
La variante moderna, seccomp-bpf (2012), te deja escribir un perfil de filtro BPF que inspecciona el número de la syscall y sus argumentos. Docker, Kubernetes, Chromium, systemd y Firefox corren todos con perfiles de seccomp de serie — el perfil por defecto de Docker bloquea unas 40 de las ~330 syscalls (mount, kexec, reboot, ptrace, entre otras).
Buena defensa en profundidad frente a exploits del kernel: aunque un atacante logre RCE en tu proceso, no llegará a las syscalls que no estén en la lista blanca. Combínalo con el control de privilegios basado en capabilities y con los user namespaces.