Z-Jail은 순수 C99로 작성된 초경량 리눅스 샌드박스입니다. 외부 라이브러리 의존성이 전혀 없고 바이너리 크기가 단 130KB에 불과하다는 점이 눈길을 끕니다. 무거운 컨테이너 런타임 없이도 신뢰할 수 없는 프로세스를 격리해 실행할 수 있다는 게 핵심입니다.
가장 주목할 부분은 7겹의 방어 계층입니다. 리눅스 커널이 기본 제공하는 namespace, seccomp 시스템콜 필터링, cgroup 리소스 제한, capability 제거 등을 조합해 다층 방어를 구성합니다. 한 계층이 뚫려도 다음 계층이 막는 심층 방어 구조라, 임의 코드 실행이나 CTF 문제 채점, 온라인 저지, 플러그인 격리 같은 상황에 적합합니다.
한국 개발자에게 시사점은 명확합니다. Docker가 과한 경량 환경이나 임베디드, 엣지에서 격리가 필요할 때 대안이 될 수 있고, 무엇보다 소스가 작아 샌드박싱 원리를 직접 읽으며 학습하기 좋은 교재라는 점입니다.