Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Русский
Entry № 979

seccomp

Что такое seccomp?

seccompМеханизм ядра Linux, ограничивающий набор системных вызовов процесса; современный режим seccomp-BPF/eBPF позволяет задавать тонкие фильтры на каждый syscall.

seccomp (secure computing mode) был добавлен в Linux 2.6.12 в 2005 году как грубый режим 'strict', разрешающий лишь read, write, exit и sigreturn. Современный режим seccomp-BPF, доступный с Linux 3.5 (2012), позволяет установить классическую BPF-программу (или eBPF), которая проверяет номер и аргументы каждого syscall и возвращает ALLOW, ERRNO, TRAP, KILL или USER_NOTIF. Фильтры наследуются через fork/execve, не могут быть ослаблены после установки и требуют CAP_SYS_ADMIN или PR_SET_NO_NEW_PRIVS. seccomp — основа syscall-фильтрации в Docker, containerd, Kubernetes, systemd, песочницах Chrome и Firefox, Zygote Android, OpenSSH privsep и Linux microVM, таких как Firecracker.

● Примеры

  1. 01

    Стандартный профиль seccomp в Docker блокирует около 44 опасных системных вызовов.

  2. 02

    Процесс контента Firefox использует seccomp-BPF, чтобы отсечь почти все syscall.

● Частые вопросы

Что такое seccomp?

Механизм ядра Linux, ограничивающий набор системных вызовов процесса; современный режим seccomp-BPF/eBPF позволяет задавать тонкие фильтры на каждый syscall. Относится к категории Криптография в кибербезопасности.

Что означает seccomp?

Механизм ядра Linux, ограничивающий набор системных вызовов процесса; современный режим seccomp-BPF/eBPF позволяет задавать тонкие фильтры на каждый syscall.

Как работает seccomp?

seccomp (secure computing mode) был добавлен в Linux 2.6.12 в 2005 году как грубый режим 'strict', разрешающий лишь read, write, exit и sigreturn. Современный режим seccomp-BPF, доступный с Linux 3.5 (2012), позволяет установить классическую BPF-программу (или eBPF), которая проверяет номер и аргументы каждого syscall и возвращает ALLOW, ERRNO, TRAP, KILL или USER_NOTIF. Фильтры наследуются через fork/execve, не могут быть ослаблены после установки и требуют CAP_SYS_ADMIN или PR_SET_NO_NEW_PRIVS. seccomp — основа syscall-фильтрации в Docker, containerd, Kubernetes, systemd, песочницах Chrome и Firefox, Zygote Android, OpenSSH privsep и Linux microVM, таких как Firecracker.

Как защититься от seccomp?

Защита от seccomp обычно сочетает технические меры и операционные практики, как описано в определении выше.

Какие есть другие названия seccomp?

Распространённые альтернативные названия: seccomp-BPF, secure computing mode.

● Связанные термины