Libseccomp: Q：同じプロセスからのシステムコールを傍受します

サンドボックス化されているプロセスと同じアドレス空間内からサンドボックス化の形式としてシステムコールを傍受しようとすると、失敗する傾向があることは、おそらく言及する価値があります。 悪意のあるアプリケーションは、サンドボックス化されていることを検出し、そのアドレス空間で実行されているサンドボックス化コードに対してアクションを実行する方法を見つける可能性があります。

より良いオプションは、多数のサンドボックスツールで行われるような従来の静的システムコールフィルターを使用するか、seccomp / libseccompに追加された通知機能を使用してシステムコールを監視および傍受するスーパーバイザープロセスを作成することです。

私はseccompにかなり慣れていません。前日、その存在についてさえ知りませんでした。最近の通知の追加により、ユーザーモードからシステムコールを処理できるようになったことが正しく理解されていれば。
このタスクのリファレンスとして使用できるコードはありますか（システムコールをインターセプトするためのseccomp notif。）？

以下のテストはいつでも確認できます。かなり単純ですが、使用方法の基本的な考え方がわかります。

• https://github.com/seccomp/libseccomp/blob/main/tests/58-live-tsync_notify.c

質問は解決したと思いますので、この問題をクローズしますが、同意できない場合は、お気軽に再開/コメントしてください。