Seccomp: фильтр системных вызовов, а не вся песочница

Документация ядра Seccomp BPF описывает фильтр по номеру системного вызова и его аргументам. Руководство прямо отделяет фильтрацию от полноценной песочницы. Поэтому надпись «seccomp включен» не заменяет оценку всей среды приложения.

Вызов и пользовательская операция

Приложение выполняет пользовательскую задачу через множество действий ОС. Фильтр рассматривает системные вызовы, не смысл заказа или текста страницы. Если бизнес-операция завершилась ошибкой, сначала выясните место отказа; по одному сообщению нельзя объявить причиной seccomp.

Действия фильтра различаются. В документе есть вариант возврата errno без выполнения вызова и варианты завершения. Не ожидайте, что любое запрещенное действие обязательно даст одинаковую ошибку и приложение продолжит работу.

Что нужно знать о профиле

Не выключайте фильтр целиком ради исчезновения симптома. Возможная совместимость должна проверяться с минимальным согласованным изменением, а не режимом без ограничений. Этот текст не назначает готовый профиль всем сайтам.

Другие механизмы остаются отдельными

Capabilities описывают привилегии, namespaces - представление ресурсов, cgroups - их распределение. Для доступа к данным также нужны обычные права и правила приложения. Нельзя получить все эти свойства простым наличием seccomp.

Подготовьте обезличенный сценарий, где ошибка повторяется без платежей и рассылки. Сохраните ожидаемый результат, профиль и безопасный журнал. При нехватке информации укажите ее явно, не выдавая предположение за найденный запрещенный вызов.

Источник прочитан 7 октября 2026 года. Фильтры, процессы и режимы защиты не менялись, трассировка и системные вызовы не запускались. Для контейнерного проекта есть Docker; перед рабочим изменением нужен ответственный за профиль и возврат. Термины собраны в словаре.