seccomp

seccompとは、Linuxカーネルに実装されているセキュアコンピューティングモードの略称であり、プロセスが実行できるシステムコールを制限するためのセキュリティ機構です。初期の機能ではシステムコールの実行を終了または許可するのみでしたが、のちに拡張されて特定のシステムコールのブロックや引数の検証、エラーの返却が可能になりました。これにより、アプリケーションがシステムの中枢へアクセスすることを防ぎ、侵害された際の影響範囲を最小限に抑える役割を果たします。近年では、仮想化技術やコンテナランタイムにおいて、ホストシステムを保護するための標準的な防御層として広く活用されています。