Seccomp đo thật: Docker gắn sẵn profile lọc syscall, keyctl bị chặn trả EPERM dù tiến trình đủ quyền, còn seccomp=unconfined cho nó chạy và đổi errno sang EINVAL, chứng minh seccomp là lớp độc lập dưới capability, chi phí lọc khoảng 24 ns mỗi lần
Seccomp là bộ lọc syscall ở tầng kernel, độc lập với capability. Docker gắn sẵn profile mặc định chặn khoảng 40-50 syscall nguy hiểm. Đo bằng Seccomp trong /proc/self/status (mặc định = 2 mode FILTER, unconfined = 0) và errno của keyctl(GET_KEYRING_ID): mặc định trả EPERM (errno 1, bị filter chặn), seccomp=unconfined trả EINVAL (errno 22, syscall đã chạy). errno đổi 1 sang 22 chứng minh chính seccomp chặn, không phải thiếu quyền. Khác unshare(CLONE_NEWUSER) do capability gác. Chi phí lọc: 3 triệu getuid, filter 172 ns so với 148 ns mỗi syscall, cộng khoảng 24 ns.