seccomp
Bir işlemin hangi sistem çağrılarını yapabileceğini beyaz listeye alan Linux mekanizması — listede olmayan çağrı işlemi öldürür (ya da EPERM döndürür).
Modern biçimi seccomp-bpf (2012), sistem çağrısı numaralarını ve argümanlarını inceleyen bir BPF filtresi yazmaya izin verir. Docker, Kubernetes, Chromium, systemd ve Firefox varsayılan olarak seccomp profilleriyle çalışır; Docker’ın varsayılan profili yaklaşık 330 sistem çağrısından 40 kadarını (mount, kexec, reboot, ptrace vb.) engeller.
Çekirdek açıklarına karşı sağlam bir derinlemesine savunmadır: saldırgan işleminizde RCE elde etse bile beyaz listede olmayan çağrılara erişemez. Yetenek (capability) tabanlı ayrıcalık denetimi ve kullanıcı ad alanlarıyla birlikte kullanılır.