Jest coś takiego jak systrace. Zaimplementowane jest to między innymi w OpenBSD. Jest nawet projekt sysjail, który (w uproszczeniu) korzystając z systrace ma separować od siebie poszczególne usługi. I jest problem. Taki mały... Systrace jest dziurawe (Exploiting Concurrency Vulnerabilities in System Call Wrappers)...