seccomp
সেককম্প
seccomp-bpf — একটা BPF প্রোগ্রাম যা প্রতিটা syscall entry-তে চেক করে সেটা allowlist/denylist অনুযায়ী চলতে দেবে, error ফেরত দেবে, নাকি process-কে সাথে সাথে মেরে ফেলবে।
also: seccomp-bpf, secure computing mode, syscall filtering
seccomp_data { nr, arch, instruction_pointer, args[6] } -- kernel-এর তৈরি
BPF program(seccomp_data) -> SCMP_ACT_ALLOW / ERRNO / KILL_PROCESS / TRAP / LOG- ২০০৫-এ শুরু (শুধু read/write/exit/sigreturn); ২০১২-এ seccomp-bpf প্রোগ্রামেবল filter নিয়ে আসে
- চালু করতে বাধ্যতামূলক
prctl(PR_SET_NO_NEW_PRIVS, 1)তারপরseccomp(SECCOMP_SET_MODE_FILTER, ...) - একবার attach হলে সরানো যায় না, আর
fork()/execve()জুড়ে উত্তরাধিকারসূত্রে টিকে থাকে (কড়া হতে পারে, শিথিল না) - Docker, Kubernetes-এর
RuntimeDefault, আর systemd-এরSystemCallFilter=— সবই এর ওপর ভিত্তি করে বানানো