Démarrage d'une application qui ne peut pas toucher aux fichiers existants

SELinux vous permettra de lancer l'application dans un domaine restreint, et le sous-système d'audit vous permettra de surveiller ce qu'elle fait.

Vérifiez lxc, Linux Containers. C'est un "meilleur chroot que chroot", comme les conteneurs Solaris ou les jails BSD, également comparable à OpenVZ ou VServer. Le concept de base est d'isoler certaines vues du système d'un processus.

Par exemple, si vous isolez l'arbre PID, le processus démarre un nouvel arbre : il se voit comme PID #1, et les sous-processus ne voient que ce sous-arbre. Les autres processus voient les PID "normaux" comme faisant partie de l'arbre entier.

De même, vous isolez des fichiers par un chroot plus puissant, vous choisissez la quantité de mémoire et de CPU que ces processus peuvent obtenir, les interfaces réseau qu'ils voient (qui peuvent être des interfaces "virtuelles", éventuellement routées ou pontées vers les interfaces réelles).

si vous le souhaitez, le processus de base dans le conteneur peut être init Il peut également s'agir d'une application spécifique, ce qui vous permet de la limiter tout en continuant à travailler sans frais généraux mesurables.