seccomp-BPF: sandbox bằng cách lọc syscall

Cài BPF filter → mỗi syscall qua kernel bị chấm điểm → ALLOW/ERRNO/KILL/notify