Lennart Poettering анонсировал в своей ленте Google+ очередные нововведения в systemd: фильтрация системных вызовов для запускаемых сервисов благодаря Linux-специфическим особенностям ядра 3.5. Теперь вы можете управлять тем, какие системные вызовы разрешены в группе процессов, запускаемых сервисом (напоминаем, что systemd использует cgroups, так что все порожденные процессы не "убегают" из под контроля, поэтому фильтрация системных вызовов легко может распространяться и на все порожденные процессы).

Нововведение еще в процессе разработки, и детали его реализации еще могут измениться. К сожалению, это пока работает только на x86/x86_64-микропроцессорах, хотя уже есть патчи для ARM. Учитывая растущий интерес к systemd и позитивные отзывы со стороны embedded-разработчиков (в том числе и решений на базе Android, в которых рассматривается внедрение systemd, pulseaudio и wayland вместо написанных инженерами Google аналогов - это секрет, пока никому не рассказывайте!), можно полагать, что эти патчи долго не застоятся в очереди.

Новость уже обсуждается на OpenNET.ru. Еще обратите внимание на то, какие возможности по безопасности уже предоставляет systemd.