Исходное сообщение
"Релиз ядра Linux 3.5. Обзор новшеств " Отправлено Аноним, 22-Июл-12 13:13
> этот механизм, а еще есть и закрытые программы, которые хотелось бы > запускать в "песочнице". Для такого лучше LXC, имхо. Гугля так свой браузер на пингвине отгораживает от остальной системы. Вполне эффективно: получается пустая песочница где ничего нет и ничего нельзя. Так что хакер проломившийся туда попадает в удивительно унылое окружение вместо нормальной системы :) При сильной паранойе - можно юзать и KVM с полноценной отдельной VM которую если и раздолбят то не жалко: откатили снапшот и порядок. А seccomp filter требует указания в сорце программы какие сисколы по мнению автора программы льзя, а какие - "что-то тут не так!". Так что это скорее средство защиты от хаков, позволяющее пристрелить программы при аномальном поведении.