seccomp对bcc的系统拦截

Question

如何使用seccomp和prctl syscall与bcc来拦截系统？有别的方法可以用密件公司来达到这个目标吗？

我知道在C中使用纯ebpf代码是可能的，但是它太难理解和使用了，我想为此使用bcc。

Answer 1

BCC是关于可观察性的(主要是)，它将帮助您跟踪和检查系统调用，但不会像seccomp那样阻止它们。如果这是您想要的，eBPF可以在最近的内核上这样做，但是您想要搜索基于eBPF的LSM (参见内核关于这个主题的文档)。

另外还有几个提示：

• 用于seccomp的内核文档。
• https://ebpf.io/，以更好地理解eBPF是什么和所做的。