12.5. Seccomp, AppArmor, SELinux

{
  "defaultAction": "SCMP_ACT_ERRNO",
  "defaultErrnoRet": 1,
  "architectures": ["SCMP_ARCH_X86_64"],
  "syscalls": [
    {
      "names": ["read", "write", "openat", "close", "fstat", "exit_group"],
      "action": "SCMP_ACT_ALLOW"
    }
  ]
}

docker run --security-opt seccomp=./profile.json ...

docker run --security-opt apparmor=my-profile ...
docker run --security-opt apparmor=unconfined ...   # отключение

docker run -v /srv/data:/data:Z ...

docker run --security-opt no-new-privileges ...

1. Запустить с --cap-add нужной capability
       ├── заработало? → дело было в capabilities
       └── нет →
2. Запустить с --security-opt seccomp=unconfined  (ВРЕМЕННО, для диагностики)
       ├── заработало? → дело в seccomp
       └── нет →
3. Запустить с --security-opt apparmor=unconfined  (ВРЕМЕННО)
       ├── заработало? → дело в AppArmor
       └── нет → SELinux или логика приложения

mkdir -p /tmp/seccomp && cd /tmp/seccomp

cat > syscheck.py <<'PY'
"""Проверка доступности системных вызовов, блокируемых seccomp."""
from __future__ import annotations

import ctypes
import ctypes.util
import json
import os
from pathlib import Path

_libc = ctypes.CDLL(ctypes.util.find_library("c"), use_errno=True)

# Номера вызовов для x86_64
SYSCALLS = {
    "init_module": 175,      # загрузка модуля ядра
    "delete_module": 176,    # выгрузка модуля
    "kexec_load": 246,       # замена ядра
    "acct": 163,             # учёт процессов
    "bpf": 321,              # программы BPF
    "perf_event_open": 298,  # счётчики производительности
    "clock_settime": 227,    # изменение часов
    "unshare": 272,          # создание namespace
}


def seccomp_status() -> str:
    for line in Path("/proc/self/status").read_text().splitlines():
        if line.startswith("Seccomp:"):
            return line.split()[1]
    return "?"


def try_syscall(number: int) -> str:
    """Вызывает с заведомо неверными аргументами: важен КОД ошибки.

    EPERM (1) при неверных аргументах означает блокировку seccomp:
    ядро отвергло вызов до проверки аргументов.
    EINVAL (22), EFAULT (14), ENOSYS (38) означают, что вызов прошёл фильтр.
    """
    ctypes.set_errno(0)
    _libc.syscall(number, 0, 0, 0, 0, 0, 0)
    err = ctypes.get_errno()
    names = {1: "EPERM (заблокирован)", 14: "EFAULT (прошёл фильтр)",
             22: "EINVAL (прошёл фильтр)", 38: "ENOSYS (нет в ядре)",
             13: "EACCES", 0: "успех"}
    return names.get(err, f"errno {err}")


if __name__ == "__main__":
    print(json.dumps({
        "seccomp": seccomp_status(),
        "расшифровка": {"0": "фильтра нет", "2": "фильтрация активна"}.get(
            seccomp_status(), "?"),
        "вызовы": {name: try_syscall(num) for name, num in SYSCALLS.items()},
    }, ensure_ascii=False, indent=2))
PY

echo "═══ профиль по умолчанию ═══"
docker run --rm -v "$PWD/syscheck.py:/s.py:ro" python:3.13-slim python /s.py \
    | python3 -c "
import json, sys
d = json.load(sys.stdin)
print(f\"  Seccomp: {d['seccomp']} ({d['расшифровка']})\")
for name, res in d['вызовы'].items():
    mark = '✗' if 'заблокирован' in res else '·'
    print(f'  {mark} {name:<18} {res}')
"

═══ профиль по умолчанию ═══
  Seccomp: 2 (фильтрация активна)
  ✗ init_module        EPERM (заблокирован)
  ✗ delete_module      EPERM (заблокирован)
  ✗ kexec_load         EPERM (заблокирован)
  ✗ acct               EPERM (заблокирован)
  ✗ bpf                EPERM (заблокирован)
  ✗ perf_event_open    EPERM (заблокирован)
  · clock_settime      EPERM (заблокирован)
  · unshare            EINVAL (прошёл фильтр)

cd /tmp/seccomp
echo "═══ seccomp=unconfined (для сравнения, НЕ для эксплуатации) ═══"
docker run --rm --security-opt seccomp=unconfined \
    -v "$PWD/syscheck.py:/s.py:ro" python:3.13-slim python /s.py \
    | python3 -c "
import json, sys
d = json.load(sys.stdin)
print(f\"  Seccomp: {d['seccomp']} ({d['расшифровка']})\")
blocked = sum(1 for v in d['вызовы'].values() if 'заблокирован' in v)
print(f'  заблокировано вызовов: {blocked} из {len(d[\"вызовы\"])}')
for name, res in d['вызовы'].items():
    mark = '✗' if 'заблокирован' in res else '·'
    print(f'  {mark} {name:<18} {res}')
"

echo "═══ вывод ═══"
cat <<'TXT'
  Без профиля вызовы доходят до ядра и возвращают ошибки аргументов
  (EFAULT, EINVAL) вместо EPERM. Это означает, что ОБРАБОТЧИК ВЫЗОВА
  в ядре был достигнут — то есть его уязвимость стала доступной.

  Именно это сокращает seccomp: не сами операции, а поверхность
  соприкосновения с ядром.
TXT

═══ seccomp=unconfined (для сравнения, НЕ для эксплуатации) ═══
  Seccomp: 0 (фильтра нет)
  заблокировано вызовов: 1 из 8
  · init_module        EFAULT (прошёл фильтр)
  · delete_module      EFAULT (прошёл фильтр)
  · kexec_load         EPERM (заблокирован)
  · acct               EFAULT (прошёл фильтр)
  · bpf                EINVAL (прошёл фильтр)
  · perf_event_open    EFAULT (прошёл фильтр)
  · clock_settime      EPERM (заблокирован)
  · unshare            EINVAL (прошёл фильтр)

cd /tmp/seccomp
cat > minimal.json <<'EOF'
{
  "defaultAction": "SCMP_ACT_ERRNO",
  "defaultErrnoRet": 1,
  "archMap": [
    {
      "architecture": "SCMP_ARCH_X86_64",
      "subArchitectures": ["SCMP_ARCH_X86", "SCMP_ARCH_X32"]
    }
  ],
  "syscalls": [
    {
      "names": [
        "access", "arch_prctl", "brk", "close", "execve", "exit", "exit_group",
        "fstat", "futex", "getdents64", "getpid", "getrandom", "ioctl",
        "lseek", "mmap", "mprotect", "munmap", "newfstatat", "openat",
        "pread64", "prlimit64", "read", "readlink", "rseq", "rt_sigaction",
        "rt_sigprocmask", "set_robust_list", "set_tid_address", "statfs",
        "write", "getcwd", "dup", "dup2", "fcntl", "geteuid", "getuid",
        "getgid", "getegid", "sysinfo", "uname", "clone", "clone3", "wait4",
        "pipe2", "sigaltstack", "madvise", "epoll_create1", "faccessat2"
      ],
      "action": "SCMP_ACT_ALLOW"
    }
  ]
}
EOF

echo "═══ профиль составлен ═══"
python3 -c "
import json
p = json.load(open('minimal.json'))
print(f\"  действие по умолчанию: {p['defaultAction']}\")
print(f\"  разрешено вызовов:     {len(p['syscalls'][0]['names'])}\")
"

echo "═══ проверка: простая программа ═══"
docker run --rm --security-opt seccomp=./minimal.json \
    python:3.13-slim python -c "print('  работает под своим профилем')" 2>&1 | tail -2

echo "═══ проверка: то, что профиль не разрешает ═══"
docker run --rm --security-opt seccomp=./minimal.json \
    python:3.13-slim python -c "
import socket
try:
    socket.socket()
    print('  сокет создан')
except OSError as e:
    print(f'  создание сокета: {e.strerror} — socket нет в белом списке')
" 2>&1 | tail -2

═══ профиль составлен ═══
  действие по умолчанию: SCMP_ACT_ERRNO
  разрешено вызовов:     48
═══ проверка: простая программа ═══
  работает под своим профилем
═══ проверка: то, что профиль не разрешает ═══
  создание сокета: Operation not permitted — socket нет в белом списке

cd /tmp/seccomp
cat > logging.json <<'EOF'
{
  "defaultAction": "SCMP_ACT_LOG",
  "archMap": [
    {
      "architecture": "SCMP_ARCH_X86_64",
      "subArchitectures": ["SCMP_ARCH_X86", "SCMP_ARCH_X32"]
    }
  ],
  "syscalls": []
}
EOF

echo "═══ профиль с логированием ═══"
cat <<'TXT'
  defaultAction: SCMP_ACT_LOG разрешает всё, но записывает каждый вызов
  в журнал ядра. Это даёт список фактически используемых вызовов
  без риска сломать приложение.

  Порядок работы:
    1. Запустить под профилем с SCMP_ACT_LOG
    2. Прогнать типичную нагрузку
    3. Собрать вызовы: dmesg | grep -o 'syscall=[0-9]*' | sort -u
    4. Преобразовать номера в имена
    5. Составить профиль с SCMP_ACT_ERRNO по умолчанию

  Ограничение: собранный список отражает ОДИН прогон. Редкие пути
  кода (обработка ошибок, необычные запросы) могут в него не попасть.
TXT

echo "═══ более практичный способ: strace ═══"
docker run --rm --cap-add=SYS_PTRACE --security-opt seccomp=unconfined \
    python:3.13-slim sh -c '
    apt-get update -qq > /dev/null 2>&1 && apt-get install -y -qq strace > /dev/null 2>&1
    strace -c -f python -c "print(1)" 2>&1 | tail -20
' 2>/dev/null | sed 's/^/  /' | head -22

═══ профиль с логированием ═══
  defaultAction: SCMP_ACT_LOG разрешает всё, но записывает каждый вызов
  в журнал ядра. Это даёт список фактически используемых вызовов
  без риска сломать приложение.

  Порядок работы:
    1. Запустить под профилем с SCMP_ACT_LOG
    2. Прогнать типичную нагрузку
    3. Собрать вызовы: dmesg | grep -o 'syscall=[0-9]*' | sort -u
    4. Преобразовать номера в имена
    5. Составить профиль с SCMP_ACT_ERRNO по умолчанию

  Ограничение: собранный список отражает ОДИН прогон. Редкие пути
  кода (обработка ошибок, необычные запросы) могут в него не попасть.
═══ более практичный способ: strace ═══
  % time     seconds  usecs/call     calls    errors syscall
  ------ ----------- ----------- --------- --------- ----------------
   28.31    0.001204          16        73           mmap
   16.42    0.000698          10        68        22 openat
   12.05    0.000512           7        69           close
    9.87    0.000420           9        44           newfstatat
    8.13    0.000346          11        30           read
    ...
  ------ ----------- ----------- --------- --------- ----------------
  100.00    0.004253                    412        31 total

cd /tmp/seccomp
cat > diagnose.sh <<'SH'
#!/usr/bin/env bash
# Пошаговая диагностика: какой механизм блокирует операцию.
set -uo pipefail

IMAGE="${1:-python:3.13-slim}"
shift || true
CMD=("$@")
[ "${#CMD[@]}" -eq 0 ] && CMD=(sh -c 'mount -t tmpfs tmpfs /mnt 2>&1')

run() {
    local label="$1"; shift
    local out rc
    out="$(docker run --rm "$@" "$IMAGE" "${CMD[@]}" 2>&1)"
    rc=$?
    printf '  %-38s ' "$label"
    if [ "$rc" -eq 0 ] && ! echo "$out" | grep -qi 'denied\|not permitted\|Operation not'; then
        printf 'РАБОТАЕТ\n'
        return 0
    fi
    printf '%s\n' "$(echo "$out" | tail -1 | cut -c1-40)"
    return 1
}

printf '\n  Диагностика блокировки для: %s\n\n' "${CMD[*]}"

if run "1. базовая конфигурация"; then
    printf '\n  Операция работает без изменений.\n'
    exit 0
fi

if run "2. + --cap-add=SYS_ADMIN" --cap-add=SYS_ADMIN; then
    printf '\n  ПРИЧИНА: отсутствие capability SYS_ADMIN.\n'
    printf '  Решение: --cap-drop=ALL --cap-add=SYS_ADMIN (точечно).\n'
    exit 0
fi

if run "3. + seccomp=unconfined" --security-opt seccomp=unconfined; then
    printf '\n  ПРИЧИНА: профиль seccomp.\n'
    printf '  Решение: свой профиль, разрешающий нужный вызов.\n'
    printf '  НЕ решение: seccomp=unconfined в эксплуатации.\n'
    exit 0
fi

if run "4. + apparmor=unconfined" --security-opt apparmor=unconfined; then
    printf '\n  ПРИЧИНА: профиль AppArmor.\n'
    printf '  Решение: свой профиль AppArmor.\n'
    exit 0
fi

if run "5. + оба вместе" --cap-add=SYS_ADMIN --security-opt seccomp=unconfined; then
    printf '\n  ПРИЧИНА: сочетание capability и seccomp.\n'
    printf '  Решение: точечная capability плюс профиль с нужным вызовом.\n'
    exit 0
fi

if run "6. --privileged (диагностика)" --privileged; then
    printf '\n  ПРИЧИНА: одно из ослаблений --privileged, не покрытое выше:\n'
    printf '    доступ к устройствам, /sys на запись, device cgroup.\n'
    printf '  Решение: --device для конкретного устройства.\n'
    exit 0
fi

printf '\n  Не работает даже с --privileged: причина вне механизмов изоляции\n'
printf '  (логика приложения, отсутствие файла, конфигурация).\n'
exit 1
SH
chmod +x diagnose.sh

echo "═══ диагностика: монтирование tmpfs ═══"
./diagnose.sh python:3.13-slim sh -c 'mount -t tmpfs tmpfs /mnt 2>&1 && echo ok'

═══ диагностика: монтирование tmpfs ═══

  Диагностика блокировки для: sh -c mount -t tmpfs tmpfs /mnt 2>&1 && echo ok

  1. базовая конфигурация                mount: permission denied (are yo
  2. + --cap-add=SYS_ADMIN               РАБОТАЕТ

  ПРИЧИНА: отсутствие capability SYS_ADMIN.
  Решение: --cap-drop=ALL --cap-add=SYS_ADMIN (точечно).

cd /tmp/seccomp
echo "═══ диагностика: вызов, блокируемый seccomp ═══"
cat > tryacct.py <<'PY'
import ctypes, ctypes.util
libc = ctypes.CDLL(ctypes.util.find_library("c"), use_errno=True)
ctypes.set_errno(0)
libc.syscall(163, 0)          # acct — заблокирован профилем по умолчанию
err = ctypes.get_errno()
if err == 1:
    print("Operation not permitted")
    raise SystemExit(1)
print(f"прошёл фильтр, errno={err}")
PY

docker run --rm -v "$PWD/tryacct.py:/t.py:ro" python:3.13-slim python /t.py 2>&1 | sed 's/^/  базовая: /'
docker run --rm --cap-add=SYS_PACCT -v "$PWD/tryacct.py:/t.py:ro" \
    python:3.13-slim python /t.py 2>&1 | sed 's/^/  + SYS_PACCT: /'
docker run --rm --security-opt seccomp=unconfined -v "$PWD/tryacct.py:/t.py:ro" \
    python:3.13-slim python /t.py 2>&1 | sed 's/^/  + seccomp=unconfined: /'

echo "═══ вывод ═══"
cat <<'TXT'
  Добавление capability не помогло, снятие seccomp — помогло.
  Значит, блокировал именно фильтр системных вызовов.

  Это ровно та развилка, которую нельзя пройти по коду ошибки:
  и capability, и seccomp дают EPERM.
TXT

═══ диагностика: вызов, блокируемый seccomp ═══
  базовая: Operation not permitted
  + SYS_PACCT: Operation not permitted
  + seccomp=unconfined: прошёл фильтр, errno=14
═══ вывод ═══
  Добавление capability не помогло, снятие seccomp — помогло.
  Значит, блокировал именно фильтр системных вызовов.

  Это ровно та развилка, которую нельзя пройти по коду ошибки:
  и capability, и seccomp дают EPERM.

cd /tmp/seccomp
echo "═══ состояние AppArmor на системе ═══"
if command -v aa-status > /dev/null 2>&1; then
    sudo aa-status 2>/dev/null | head -4 | sed 's/^/  /' || \
        echo "  aa-status требует прав root"
elif [ -d /sys/kernel/security/apparmor ]; then
    echo "  AppArmor включён в ядре"
    ls /sys/kernel/security/apparmor/ 2>/dev/null | head -3 | sed 's/^/    /'
else
    echo "  AppArmor не обнаружен (вероятно, система с SELinux или без MAC)"
fi

echo "═══ профиль container'а ═══"
docker run --rm python:3.13-slim sh -c '
    if [ -r /proc/self/attr/current ]; then
        printf "  профиль: %s\n" "$(cat /proc/self/attr/current 2>/dev/null | tr -d "\0")"
    else
        echo "  /proc/self/attr/current недоступен"
    fi
' 2>/dev/null

echo "═══ что ограничивает docker-default ═══"
cat <<'TXT'
  Запись в /proc (кроме своих подкаталогов)
  Доступ к /sys — в основном только чтение
  Монтирование файловых систем
  Загрузка профилей AppArmor
  Прямой доступ к части устройств

  Отключение (ТОЛЬКО для диагностики):
    docker run --security-opt apparmor=unconfined ...

  Свой профиль:
    1. написать профиль в /etc/apparmor.d/
    2. загрузить: sudo apparmor_parser -r -W /etc/apparmor.d/my-profile
    3. применить: docker run --security-opt apparmor=my-profile ...
TXT

echo "═══ проверка ограничения записи в /sys ═══"
docker run --rm python:3.13-slim sh -c '
    touch /sys/kernel/probe 2>&1 | tail -1
' 2>/dev/null | sed 's/^/  /'

═══ состояние AppArmor на системе ═══
  apparmor module is loaded.
  108 profiles are loaded.
  76 profiles are in enforce mode.
═══ профиль container'а ═══
  профиль: docker-default (enforce)
═══ что ограничивает docker-default ═══
  Запись в /proc (кроме своих подкаталогов)
  Доступ к /sys — в основном только чтение
  Монтирование файловых систем
  Загрузка профилей AppArmor
  Прямой доступ к части устройств

  Отключение (ТОЛЬКО для диагностики):
    docker run --security-opt apparmor=unconfined ...

  Свой профиль:
    1. написать профиль в /etc/apparmor.d/
    2. загрузить: sudo apparmor_parser -r -W /etc/apparmor.d/my-profile
    3. применить: docker run --security-opt apparmor=my-profile ...
═══ проверка ограничения записи в /sys ═══
  touch: cannot touch '/sys/kernel/probe': Read-only file system

cd /tmp/seccomp
echo "═══ состояние SELinux ═══"
if command -v getenforce > /dev/null 2>&1; then
    printf '  режим: %s\n' "$(getenforce)"
elif [ -f /sys/fs/selinux/enforce ]; then
    printf '  enforce: %s\n' "$(cat /sys/fs/selinux/enforce 2>/dev/null)"
else
    echo "  SELinux не обнаружен (система с AppArmor или без MAC)"
fi

echo "═══ контекст процесса в container ═══"
docker run --rm python:3.13-slim sh -c '
    if [ -r /proc/self/attr/current ]; then
        ctx="$(tr -d "\0" < /proc/self/attr/current)"
        printf "  %s\n" "${ctx:-(пусто)}"
    fi
' 2>/dev/null

echo "═══ зачем нужны :z и :Z ═══"
cat <<'TXT'
  На системах с SELinux каталог host имеет метку, не позволяющую
  процессу container'а (тип container_t) к нему обращаться.
  Результат — Permission denied при верных правах Unix.

  Суффиксы монтирования меняют метку:
    :z   общая (container_file_t, разделяемая) — несколько container'ов
    :Z   частная (уникальная категория) — только этот container

    docker run -v /srv/data:/data:Z ...

  ПРЕДУПРЕЖДЕНИЕ: метки меняются РЕКУРСИВНО и необратимо.
  Применение :Z к /home, /usr или /etc нарушит работу системы.

  На Ubuntu и Debian с AppArmor суффиксы игнорируются.
TXT

echo "═══ проверка на текущей системе ═══"
mkdir -p seltest && echo "данные" > seltest/file.txt
if command -v ls > /dev/null && ls -Z seltest/file.txt > /dev/null 2>&1; then
    ls -Z seltest/file.txt | sed 's/^/  до:    /'
    docker run --rm -v "$PWD/seltest:/data:Z" alpine:3.21 cat /data/file.txt > /dev/null 2>&1
    ls -Z seltest/file.txt | sed 's/^/  после: /'
else
    echo "  метки SELinux не поддерживаются файловой системой"
    docker run --rm -v "$PWD/seltest:/data" alpine:3.21 cat /data/file.txt 2>&1 | sed 's/^/  чтение без суффикса: /'
fi
rm -rf seltest

═══ состояние SELinux ═══
  SELinux не обнаружен (система с AppArmor или без MAC)
═══ контекст процесса в container ═══
  docker-default (enforce)
═══ зачем нужны :z и :Z ═══
  На системах с SELinux каталог host имеет метку, не позволяющую
  процессу container'а (тип container_t) к нему обращаться.
  Результат — Permission denied при верных правах Unix.

  Суффиксы монтирования меняют метку:
    :z   общая (container_file_t, разделяемая) — несколько container'ов
    :Z   частная (уникальная категория) — только этот container

    docker run -v /srv/data:/data:Z ...

  ПРЕДУПРЕЖДЕНИЕ: метки меняются РЕКУРСИВНО и необратимо.
  Применение :Z к /home, /usr или /etc нарушит работу системы.

  На Ubuntu и Debian с AppArmor суффиксы игнорируются.
═══ проверка на текущей системе ═══
  метки SELinux не поддерживаются файловой системой
  чтение без суффикса: данные

cd /tmp/seccomp
echo "═══ setuid-программы в базовом образе ═══"
docker run --rm python:3.13-slim sh -c '
    find / -xdev -perm -4000 -type f 2>/dev/null | head -8
' 2>/dev/null | sed 's/^/  /'

echo "═══ повышение привилегий БЕЗ флага ═══"
docker run --rm --user 1000:1000 python:3.13-slim sh -c '
    printf "  uid до:  %s\n" "$(id -u)"
    if [ -u /bin/su ]; then
        printf "  /bin/su имеет setuid-бит: да\n"
    fi
    printf "  su доступен как механизм: %s\n" \
        "$(test -u /bin/su && echo да || echo нет)"
' 2>/dev/null

echo "═══ то же С флагом ═══"
docker run --rm --user 1000:1000 --security-opt no-new-privileges \
    python:3.13-slim sh -c '
    printf "  uid: %s\n" "$(id -u)"
    printf "  NoNewPrivs: %s\n" \
        "$(grep NoNewPrivs /proc/self/status | awk "{print \$2}")"
    printf "  setuid-бит на /bin/su по-прежнему есть: %s\n" \
        "$(test -u /bin/su && echo да || echo нет)"
    printf "  но ядро его игнорирует при execve\n"
' 2>/dev/null

echo "═══ вывод ═══"
cat <<'TXT'
  Флаг не убирает setuid-биты из образа — он делает их
  недействительными на уровне ядра.

  NoNewPrivs: 1 означает, что процесс и все его потомки
  не смогут повысить привилегии через execve. Снять флаг нельзя.

  Стоимость близка к нулю, поэтому включают всегда:
    docker run --security-opt no-new-privileges ...
TXT

═══ setuid-программы в базовом образе ═══
  /usr/bin/chsh
  /usr/bin/gpasswd
  /usr/bin/newgrp
  /usr/bin/chfn
  /usr/bin/passwd
  /usr/bin/su
  /usr/bin/mount
  /usr/bin/umount
═══ повышение привилегий БЕЗ флага ═══
  uid до:  1000
  /bin/su имеет setuid-бит: да
  su доступен как механизм: да
═══ то же С флагом ═══
  uid: 1000
  NoNewPrivs: 1
  setuid-бит на /bin/su по-прежнему есть: да
  но ядро его игнорирует при execve
═══ вывод ═══
  Флаг не убирает setuid-биты из образа — он делает их
  недействительными на уровне ядра.

  NoNewPrivs: 1 означает, что процесс и все его потомки
  не смогут повысить привилегии через execve. Снять флаг нельзя.

  Стоимость близка к нулю, поэтому включают всегда:
    docker run --security-opt no-new-privileges ...

cd /tmp/seccomp
cat > decide.py <<'PY'
"""Решение о необходимости собственного профиля seccomp."""
from __future__ import annotations

QUESTIONS = [
    ("Запускается ли недоверенный код?", 5,
     "Да → нужен не профиль, а gVisor/Kata"),
    ("Есть ли КОНКРЕТНАЯ угроза, не покрытая умолчанием?", 4,
     "Нет → профиль по умолчанию достаточен"),
    ("Требуется ли соответствие стандарту с таким требованием?", 3,
     "Нет → снимается один из доводов"),
    ("Готовы ли сопровождать профиль при обновлениях?", 3,
     "Нет → профиль сломается на обновлении glibc или Python"),
    ("Есть ли инструменты сбора списка вызовов?", 2,
     "Нет → составление вручную непрактично"),
]


def evaluate(answers: list[bool]) -> None:
    score = sum(w for (q, w, note), a in zip(QUESTIONS, answers) if a)
    total = sum(w for _, w, _ in QUESTIONS)

    print(f"  {'вопрос':<52} {'вес':>4}  ответ")
    print("  " + "─" * 68)
    for (question, weight, note), answer in zip(QUESTIONS, answers):
        print(f"  {question:<52} {weight:>4}  {'да' if answer else 'нет'}")
        if not answer:
            print(f"      → {note}")

    print()
    print(f"  оценка: {score} из {total}")
    if score >= 10:
        print("  ВЫВОД: свой профиль оправдан")
    elif score >= 6:
        print("  ВЫВОД: рассмотреть; сначала убедиться в наличии инструментов")
    else:
        print("  ВЫВОД: профиля по умолчанию достаточно")
        print("  Усилия лучше направить на меры с большим отношением эффекта к цене")


if __name__ == "__main__":
    # Типичный сценарий: свой код, нет конкретной угрозы, нет требований
    evaluate([False, False, False, True, True])
PY

python3 decide.py
cd /tmp && rm -rf /tmp/seccomp

  вопрос                                                вес  ответ
  ────────────────────────────────────────────────────────────────────
  Запускается ли недоверенный код?                        5  нет
      → Да → нужен не профиль, а gVisor/Kata
  Есть ли КОНКРЕТНАЯ угроза, не покрытая умолчанием?      4  нет
      → Нет → профиль по умолчанию достаточен
  Требуется ли соответствие стандарту с таким требованием?   3  нет
      → Нет → снимается один из доводов
  Готовы ли сопровождать профиль при обновлениях?         3  да
  Есть ли инструменты сбора списка вызовов?               2  да

  оценка: 5 из 17
  ВЫВОД: профиля по умолчанию достаточно
  Усилия лучше направить на меры с большим отношением эффекта к цене

docker run --rm python:3.13-slim sh -c 'grep -E "Seccomp:|Seccomp_filters:" /proc/self/status'
docker run --rm python:3.13-slim sh -c 'cat /proc/self/attr/current 2>/dev/null | tr -d "\0"; echo'
docker run --rm --security-opt seccomp=unconfined python:3.13-slim sh -c 'grep Seccomp: /proc/self/status'
docker run --rm --security-opt no-new-privileges python:3.13-slim sh -c 'grep NoNewPrivs /proc/self/status'