seccomp
プロセスが呼び出せるシステムコールをホワイトリストで制限するLinuxの仕組み。リストにないものを呼ぶとプロセスは強制終了されるか、EPERMが返る。
現在主流の seccomp-bpf（2012年）では、システムコール番号や引数を検査するBPFフィルタを書ける。Docker、Kubernetes、Chromium、systemd、Firefoxはいずれも既定でseccompプロファイルを使う。Dockerの既定プロファイルは約330個のシステムコールのうち40個ほど（mount、kexec、reboot、ptraceなど）を遮断する。
カーネルの脆弱性に対する多層防御として有効である。攻撃者がプロセスでRCEを達成しても、許可リストにないシステムコールには届かない。ケイパビリティによる権限制御やユーザー名前空間と組み合わせて使う。