### ① 组件是什么 seccomp 是内核级系统调用过滤器，给进程（容器）限定允许发起的系统调用白名单，不在名单内的调用被内核拦截。 ### ② 语言与 C 库 内核机制，经 `prctl`/`seccomp` 系统调用加载 BPF 过滤规则。容器运行时（Go goroutine）把配置传给内核，不 fork。 ### ③ 运行机制 容器启动时加载过滤规则，进程每次陷入系统调用，内核先过 BPF 规则判定放行/拒绝，再决定是否执行。 ### ④ 常见配置缺陷 - 未加载 seccomp 配置，容器默认不过滤（部分运行时默认宽松）。 - 白名单过宽，放行危险系统调用。 - 自定义规则误放关键调用。 ### ⑤ 对应攻击链路 seccomp 是逃逸前的第一道收窄：即使容器内被执行，危险系统调用被拦也难触达内核动作。本册只讲拦截原理，不写绕过方法。 ### ⑥ 对应 C 库 `prctl`、`seccomp`、BPF 过滤。规则加载经系统调用。 ### ⑦ 对应工具 运行时默认 profile 核查、Pod seccomp 配置审计、规则覆盖范围核对。 【链路