cgroup
Linux内核提供的进程资源隔离与管理机制，可将一组进程归入同一控制组，实现CPU、内存等资源限制以及批量进程信号发送，是容器技术的基础组件之一
核心事实
时间轴 (近 90 天)
操作系统级沙箱在 Linux 上以 seccomp 过滤系统调用、配合 namespace 隔离挂载与网络视图、再用 cgroup 限制资源
Linux的cgroup机制可以将一组进程置于同一控制组下，一次性向组内所有进程发送终止信号，对多层子进程派生同样有效
cgroup方案在Linux上清理最为彻底，但macOS支持有限；进程组方案跨平台兼容性较好，但对已脱离进程组的逃逸进程无能为力
逆向工程沙箱的方法论包括环境探测（读取系统信息、进程列表、内核版本、cgroup配置）
容器（Docker/LXC）通过命名空间+cgroup实现隔离，共享宿主内核，性能开销极低
Linux的namespace提供PID、Network、Mount、UTS、IPC和User等多种隔离维度，cgroup负责资源限制和计量
全部知识事实 (7)
容器技术（以Docker为代表）利用Linux内核的namespace机制实现进程、网络、文件系统隔离，借助cgroups限制CPU、内存等资源用量
80%待验证操作系统级沙箱在 Linux 上以 seccomp 过滤系统调用、配合 namespace 隔离挂载与网络视图、再用 cgroup 限制资源
50%待验证Linux的cgroup机制可以将一组进程置于同一控制组下，一次性向组内所有进程发送终止信号，对多层子进程派生同样有效
50%待验证cgroup方案在Linux上清理最为彻底，但macOS支持有限；进程组方案跨平台兼容性较好，但对已脱离进程组的逃逸进程无能为力
50%待验证逆向工程沙箱的方法论包括环境探测（读取系统信息、进程列表、内核版本、cgroup配置）
50%待验证容器（Docker/LXC）通过命名空间+cgroup实现隔离，共享宿主内核，性能开销极低
50%待验证Linux的namespace提供PID、Network、Mount、UTS、IPC和User等多种隔离维度，cgroup负责资源限制和计量
50%