seccomp（セックコンプ）とは？意味と sandbox との違い

くわしく

seccompは、プロセスが呼び出せるシステムコールを制限する仕組みです。不要なシステムコールを使えなくすることで、侵害後に悪用できる機能を減らします。コンテナやサンドボックスでも重要な防御要素です。

よくある誤解

seccompはファイル権限の仕組みではありません。システムコール制限の仕組みです。

seccompVSsandbox

seccompはサンドボックスと近い場面で登場しますが、同じ意味ではありません。seccompは利用できるシステムコールを制限して被害範囲を狭める仕組みです。一方、サンドボックスは隔離した実行環境で対象を安全に動かす考え方です。

seccompは何を守るための考え方または仕組みですか？

seccompはファイル権限の仕組みではありません。システムコール制限の仕組みです。