L'isolamento dei processi è la pratica di separare i carichi di lavoro in modo che un processo non possa facilmente osservare, influenzare o danneggiare un altro. Nei sistemi operativi, questo di solito significa assegnare a ogni processo i propri limiti per memoria, file, dispositivi, privilegi e talvolta persino accesso alla rete. Un isolamento forte riduce l'impatto di bug, gestione non sicura dell'input e servizi compromessi.
Nella sicurezza informatica, l'isolamento dei processi è una difesa fondamentale alla base di sandbox, container e del design dei servizi con privilegio minimo. I namespace di mount e i bind mount di Linux, ad esempio, possono far sì che un processo veda solo una vista controllata del filesystem, mentre le autorizzazioni e le policy MAC limitano ciò che può toccare. Gli aggressori cercano di rompere l'isolamento uscendo dalle sandbox, sfruttando mount configurati in modo errato, abusando di risorse condivise o raggiungendo un processo padre con privilegi elevati. I difensori si affidano all'isolamento per contenere il codice dannoso, ma funziona al meglio se combinato con un controllo degli accessi rigoroso, una configurazione attenta e un rafforzamento del runtime.