systemd - sandbox - SystemCallFilter infógyűjtés

Ha már a systemd lehetőséget ad a sandboxingra, akkor szeretném itt-ott kihasználni. A tárgyban szereplő SystemCallFilter lehetőséghez kapcsolódóan lenne az a kérdésem, hogy vajon mi a legegyszerűbb és legbiztonságosabb módja annak felderítésére, hogy egy adott service-nek milyen syscall-okra van szüksége? Itt ami nyilván felmerült az a strace által kigyűjtött, megszűrt és rendszerezett lista lehetne; a kérdés: van-e ennél jobb? Thx!