seccomp
Linux-mechanisme om te bepalen welke syscalls een proces mag doen: alles buiten de lijst beëindigt het proces (of geeft EPERM terug).
De moderne vorm, seccomp-bpf (2012), laat een BPF-filter syscallnummers en argumenten inspecteren. Docker, Kubernetes, Chromium, systemd en Firefox draaien standaard met seccomp-profielen; het standaardprofiel van Docker blokkeert zo'n 40 van de ~330 syscalls (mount, kexec, reboot, ptrace enzovoort).
Degelijke verdediging in de diepte tegen kernel-exploits: ook als een aanvaller code in het proces uitvoert (RCE), komt hij niet bij syscalls die niet op de lijst staan. Te combineren met capability-gebaseerde rechten en user namespaces.