Sysctl

Documentation des variables sysctl (Linux)

Ce document recense les paramètres sysctl les plus importants et les plus couramment modifiés sur un système Linux, organisés par sous‑système (kernel.*, vm.*, fs.*, net.*, user.*, abi.*). Il s'appuie sur la documentation officielle du noyau Linux (kernel.org — admin-guide/sysctl et networking/ip-sysctl).

1. Généralités : lire, modifier, persister

Action	Commande
Lister toutes les variables courantes	sysctl -a
Lire une variable précise	sysctl net.ipv4.ip_forward ou cat /proc/sys/net/ipv4/ip_forward
Modifier temporairement (perdu au redémarrage)	sysctl -w net.ipv4.ip_forward=1 ou echo 1 > /proc/sys/net/ipv4/ip_forward
Rendre le changement permanent	Ajouter la ligne net.ipv4.ip_forward = 1 dans /etc/sysctl.conf ou un fichier dédié sous /etc/sysctl.d/99-perso.conf
Recharger la configuration persistante	sysctl -p (fichier unique) ou sysctl --system (tous les fichiers de /etc/sysctl.d/, /run/sysctl.d/, /usr/lib/sysctl.d/, dans l'ordre)

La correspondance est directe entre le nom sysctl et le chemin sous /proc/sys : les points deviennent des slashs, par exemple net.ipv4.tcp_syncookies ↔ /proc/sys/net/ipv4/tcp_syncookies.

2. Sommaire

• kernel.* — comportement du noyau, sécurité, limites IPC
• vm.* — gestion mémoire, cache, swap
• fs.* — descripteurs de fichiers, limites FS, protections
• net.core.* — pile réseau générique
• net.ipv4.* — IPv4, TCP, ICMP, ARP
• net.ipv6.* — IPv6
• net.netfilter.* / conntrack
• net.unix.* — sockets Unix
• user.* — quotas de namespaces
• abi.* — compatibilité binaire
• Sélection durcissement sécurité

3. kernel.* — noyau

3.1 Sécurité et confinement

Variable	Description	Valeurs / défaut
kernel.dmesg_restrict	Restreint la lecture du buffer dmesg aux utilisateurs privilégiés (CAP_SYSLOG)	0 = non restreint · 1 = restreint (recommandé)
kernel.kptr_restrict	Masque les adresses mémoire du noyau exposées via /proc	0 = affichées · 1 = masquées pour non‑privilégiés · 2 = toujours masquées (recommandé)
kernel.randomize_va_space	Active l'ASLR (Address Space Layout Randomization)	0 = désactivé · 1 = mmap/stack/VDSO · 2 = + tas (heap), défaut et recommandé
kernel.yama.ptrace_scope	Restreint qui peut tracer (ptrace) un autre processus	0 = classique · 1 = enfants uniquement (recommandé) · 2 = admin seulement · 3 = personne (irréversible)
kernel.unprivileged_bpf_disabled	Interdit les appels bpf() aux utilisateurs non privilégiés	0 = autorisé · 1 = désactivé de façon permanente · 2 = désactivé mais modifiable (recommandé : 1 ou 2)
kernel.modules_disabled	Bloque tout chargement/déchargement de module noyau (irréversible une fois activé)	0 = autorisé · 1 = bloqué
kernel.kexec_load_disabled	Désactive les appels système kexec (charge d'un autre noyau en mémoire)	0 = autorisé · 1 = désactivé (irréversible)
kernel.perf_event_paranoid	Restreint l'accès aux événements de performance (perf) pouvant fuiter des infos noyau	-1 = tout autorisé · 2 = accès le plus restreint (recommandé sur serveur)
kernel.sysrq	Active/désactive et filtre les combinaisons Magic SysRq	0 = désactivé · 1 = tout activé · bitmask = activation sélective
kernel.core_pattern / kernel.core_uses_pid	Modèle de nom de fichier core dump et ajout du PID	défaut : core
kernel.suid_dumpable	(alias historique, voir fs.suid_dumpable) Autorise/interdit le core dump des binaires setuid	0 = interdit (recommandé) · 1 = debug · 2 = suidsafe
kernel.io_uring_disabled	Restreint la création d'instances io_uring (surface d'attaque récente)	0 = autorisé · 1 = bloqué pour non‑privilégiés · 2 = bloqué pour tous

3.2 Comportement système, panique, watchdogs

Variable	Description	Valeurs / défaut
kernel.panic	Délai (s) avant redémarrage auto après une panique noyau	0 = boucle infinie (défaut) · N = redémarre après N s
kernel.panic_on_oops	Force une panique dès qu'un « oops » survient	0 = continue (défaut) · 1 = panique
kernel.panic_on_warn	Force une panique sur tout WARN()	0 = défaut · 1 = panique
kernel.watchdog / kernel.nmi_watchdog / kernel.soft_watchdog	Active les détecteurs de blocage matériel/logiciel (lockup)	0 = désactivé · 1 = activé
kernel.watchdog_thresh	Seuil (s) de détection d'un lockup	défaut : 10
kernel.hung_task_timeout_secs	Délai avant qu'une tâche bloquée en état D soit signalée	0 = désactivé
kernel.ctrl-alt-del	Comportement de Ctrl+Alt+Suppr	0 = envoi SIGINT à init (propre) · >0 = redémarrage immédiat
kernel.printk	4 niveaux de verbosité des logs noyau (console, défaut message, min console, défaut console)	ex. 4 4 1 7
kernel.printk_ratelimit / kernel.printk_ratelimit_burst	Anti‑flood des messages noyau répétés	défaut : 5 s / 10 messages

3.3 Limites processus, PID, threads, IPC

Variable	Description	Valeurs / défaut
kernel.pid_max	PID maximal attribuable avant réutilisation	défaut souvent 32768 ou 4194304 selon distro/arch
kernel.threads-max	Nombre maximal de threads que le système peut créer	calculé selon la RAM disponible
kernel.ngroups_max	Nombre maximal de groupes supplémentaires par utilisateur	défaut : 65536
kernel.msgmax / kernel.msgmnb / kernel.msgmni	Limites des files de messages IPC System V (taille max message, taille max file, nb de files)	défauts : 8192 / 16384 / 32000
kernel.shmmax / kernel.shmall / kernel.shmmni	Taille max d'un segment de mémoire partagée, total de pages partagées, nombre max de segments	shmmni défaut : 4096
kernel.sem	Limites des sémaphores System V (4 valeurs : SEMMSL, SEMMNS, SEMOPM, SEMMNI)	ex. 250 32000 32 128
kernel.overflowuid / kernel.overflowgid	UID/GID de repli pour les appels 16‑bit historiques	défaut : 65534

3.4 Entropie / aléatoire

Variable	Description	Valeurs / défaut
kernel.random.entropy_avail	Entropie actuellement disponible (lecture seule, indicatif)	—
kernel.random.poolsize	Taille du pool d'entropie	—
kernel.random.urandom_min_reseed_secs	Intervalle minimal de réamorçage de /dev/urandom	—

4. vm.* — gestion mémoire

Variable	Description	Valeurs / défaut
vm.swappiness	Tendance du noyau à utiliser le swap plutôt que le cache page/inode	0–200, défaut 60 · serveurs/BDD : souvent abaissé à 1–10
vm.overcommit_memory	Politique de sur‑allocation mémoire	0 = heuristique (défaut) · 1 = toujours autoriser · 2 = strict selon overcommit_ratio
vm.overcommit_ratio	% de RAM autorisé au‑delà du swap quand overcommit_memory=2	défaut : 50
vm.dirty_ratio	% de mémoire « sale » déclenchant une écriture disque bloquante par le process	défaut : 20
vm.dirty_background_ratio	% de mémoire sale déclenchant une écriture asynchrone en arrière‑plan	défaut : 10
vm.dirty_expire_centisecs	Âge (centisecondes) au‑delà duquel une donnée sale doit être écrite	défaut : 3000 (30 s)
vm.dirty_writeback_centisecs	Intervalle de réveil du thread d'écriture différée	défaut : 500 (5 s)
vm.vfs_cache_pressure	Tendance à récupérer la mémoire des caches dentry/inode	défaut : 100 (baisser conserve plus de cache FS)
vm.min_free_kbytes	Quantité de RAM libre que le noyau tente toujours de garder disponible	calculé automatiquement, ajustable
vm.max_map_count	Nombre maximal de zones mémoire (VMA) par processus — critique pour Elasticsearch/JVM	défaut : 65530
vm.mmap_min_addr	Adresse minimale qu'un utilisateur non privilégié peut mapper (mitigation exploits NULL‑deref)	défaut souvent 65536
vm.mmap_rnd_bits / vm.mmap_rnd_compat_bits	Nombre de bits de hasard pour l'ASLR des adresses mmap	plus élevé = ASLR plus fort
vm.panic_on_oom	Déclenche une panique noyau au lieu de tuer un processus lors d'un OOM	0 = défaut · 1/2 = panique
vm.oom_kill_allocating_task	Tue directement le processus demandeur plutôt que de choisir la meilleure victime	0 = défaut
vm.zone_reclaim_mode	Stratégie de récupération mémoire NUMA locale avant d'aller sur un autre nœud	défaut : 0
vm.nr_hugepages	Taille du pool de hugepages réservées	défaut : 0
vm.drop_caches	Vide manuellement les caches (écriture seule, diagnostic)	1 = pagecache · 2 = dentries/inodes · 3 = les deux
vm.user_reserve_kbytes / vm.admin_reserve_kbytes	Mémoire réservée pour éviter qu'un process ne bloque tout le système / pour l'admin	calculés selon la RAM
vm.watermark_scale_factor	Agressivité de kswapd pour libérer de la mémoire en avance	défaut : 10 (max 3000)
vm.unprivileged_userfaultfd	Autorise userfaultfd() aux utilisateurs non privilégiés (surface d'attaque)	0 = interdit (recommandé) · 1 = autorisé

5. fs.* — fichiers et filesystem

Variable	Description	Valeurs / défaut
fs.file-max	Nombre maximal de descripteurs de fichiers ouverts pour tout le système	calculé selon la RAM, souvent augmenté sur serveurs (ex. 2097152)
fs.file-nr	Lecture seule : handles alloués / libres / max actuels	—
fs.nr_open	Nombre maximal de descripteurs qu'un seul processus peut ouvrir	défaut : 1048576
fs.aio-max-nr	Nombre maximal de requêtes d'I/O asynchrone système (utile pour bases de données)	défaut : 65536
fs.inotify.max_user_watches	Nombre maximal de fichiers surveillés par inotify et par utilisateur (IDE, Docker, etc.)	souvent augmenté (ex. 524288)
fs.inotify.max_user_instances	Nombre maximal d'instances inotify par utilisateur	défaut : 128
fs.epoll.max_user_watches	Limite de « watches » epoll par utilisateur	calculé selon la mémoire
fs.suid_dumpable	Autorise le core dump des binaires setuid/setgid (sensible côté sécurité)	0 = interdit (recommandé) · 1 = debug · 2 = suidsafe
fs.protected_symlinks	Empêche de suivre un symlink dans un dossier world‑writable si le propriétaire diffère (anti TOCTOU)	0 = désactivé · 1 = activé (recommandé, souvent défaut)
fs.protected_hardlinks	Empêche de créer un hardlink vers un fichier qu'on ne possède pas déjà (anti élévation de privilèges)	0 = désactivé · 1 = activé (recommandé)
fs.protected_fifos	Restreint l'écriture dans des FIFOs situées dans des dossiers world‑writable	0 = désactivé · 1/2 = restreint (recommandé ≥1)
fs.protected_regular	Même principe pour les fichiers réguliers dans des dossiers « sticky » world‑writable	0 = désactivé · 1/2 = restreint (recommandé ≥1)
fs.mount-max	Nombre maximal de montages dans un namespace de montage	défaut : 100000
fs.pipe-user-pages-soft / fs.pipe-user-pages-hard	Limites de pages allouées aux pipes par utilisateur non privilégié	0 = illimité (hard)
fs.mqueue.msg_max / msgsize_max / queues_max	Limites des files de messages POSIX (mqueue)	variables selon distro
fs.leases-enable	Active les baux de fichiers (file leases)	défaut : 1
fs.dentry-state / fs.inode-nr	Statistiques lecture seule sur les caches dentry/inode	—

6. net.core.* — pile réseau générique

Variable	Description	Valeurs / défaut typiques
net.core.somaxconn	Taille max de la file d'attente des connexions en attente d'accept() pour un socket en écoute	défaut historique 128, souvent relevé à 1024–4096 sur serveurs
net.core.netdev_max_backlog	Nombre max de paquets en file d'attente avant traitement par le noyau quand une interface reçoit plus vite qu'il ne traite	défaut : 1000, souvent monté à 5000+ en haut débit
net.core.rmem_default / net.core.rmem_max	Taille par défaut / maximale du buffer de réception socket	ex. 212992 / augmenté selon besoins réseau
net.core.wmem_default / net.core.wmem_max	Taille par défaut / maximale du buffer d'émission socket	idem
net.core.optmem_max	Mémoire tampon max pour les options de socket ancillaires	défaut : 20480
net.core.netdev_budget	Nombre de paquets qu'un cœur peut traiter par cycle NAPI avant de rendre la main	défaut : 300
net.core.default_qdisc	Discipline de mise en file d'attente par défaut des interfaces (ex. fq_codel, fq)	varie selon distro
net.core.busy_poll / net.core.busy_read	Durée (µs) de scrutation active avant de repasser en mode interruption — réduit la latence au prix du CPU	défaut : 0 (désactivé)
net.core.message_cost / net.core.message_burst	Anti‑flood des messages d'avertissement réseau du noyau	—

7. net.ipv4.* — IPv4, TCP, ICMP, ARP

7.1 Routage et transfert

Variable	Description	Valeurs / défaut
net.ipv4.ip_forward	Active le routage de paquets entre interfaces (obligatoire pour un routeur/passerelle/NAT)	0 = désactivé (défaut station) · 1 = activé
net.ipv4.conf.all.forwarding	Équivalent par interface du transfert IPv4	0/1
net.ipv4.conf.*.rp_filter	Filtrage par chemin inverse (RFC 3704), anti IP‑spoofing	0 = désactivé · 1 = strict (recommandé) · 2 = souple
net.ipv4.conf.*.accept_source_route	Accepte les paquets avec option de routage source (souvent utilisée en attaque)	0 = refusé (recommandé)
net.ipv4.conf.*.accept_redirects	Accepte les redirections ICMP (peuvent détourner le routage)	0 = refusé (recommandé sur serveur) · 1 = accepté (défaut hôte)
net.ipv4.conf.*.secure_redirects	N'accepte les redirections ICMP que depuis des passerelles connues	1 = défaut
net.ipv4.conf.*.send_redirects	Autorise l'envoi de redirections ICMP (pertinent seulement pour un routeur)	0 = désactivé (recommandé si pas routeur)
net.ipv4.conf.*.log_martians	Journalise les paquets à adresse source/destination impossible (détection de spoofing)	1 = recommandé
net.ipv4.conf.*.accept_local	Accepte les paquets dont l'adresse source semble locale, arrivant sur une interface externe	0 = défaut

7.2 ICMP

Variable	Description	Valeurs / défaut
net.ipv4.icmp_echo_ignore_broadcasts	Ignore les requêtes ICMP echo/timestamp envoyées en broadcast/multicast (anti Smurf)	1 = recommandé (souvent défaut)
net.ipv4.icmp_echo_ignore_all	Ignore tous les pings entrants	0 = défaut · 1 = ignore tout
net.ipv4.icmp_ignore_bogus_error_responses	Supprime les logs d'erreurs ICMP non conformes émises par des routeurs bogués	1 = recommandé
net.ipv4.icmp_ratelimit / icmp_ratemask	Limite le débit d'envoi de certains types de messages ICMP (anti déni de service)	défaut : 1000 ms

7.3 ARP

Variable	Description	Valeurs / défaut
net.ipv4.conf.*.arp_ignore	Contrôle les conditions de réponse à une requête ARP (utile en multi‑interfaces)	0 = défaut (répond toujours) · 1‑8 = filtrage croissant
net.ipv4.conf.*.arp_announce	Contrôle quelle adresse source annoncer dans les requêtes ARP émises	0 = défaut · 2 = le plus restrictif
net.ipv4.conf.*.proxy_arp	Active le proxy ARP sur l'interface (répond à la place d'un autre hôte)	0 = désactivé (défaut)

7.4 TCP

Variable	Description	Valeurs / défaut
net.ipv4.tcp_syncookies	Envoie des « syncookies » quand la file SYN déborde — protection anti SYN flood	1 = activé (recommandé, souvent défaut)
net.ipv4.tcp_max_syn_backlog	Nombre max de connexions en attente à l'état SYN_RECV	défaut variable, souvent 1024‑4096
net.ipv4.tcp_fin_timeout	Durée avant fermeture d'une connexion orpheline en FIN_WAIT_2	défaut : 60 s
net.ipv4.tcp_tw_reuse	Autorise la réutilisation rapide des sockets en TIME‑WAIT pour de nouvelles connexions sortantes	0 = désactivé · 1 = global · 2 = loopback (défaut souvent 2)
net.ipv4.tcp_keepalive_time	Délai d'inactivité avant l'envoi du premier paquet keepalive	défaut : 7200 s (2 h)
net.ipv4.tcp_keepalive_intvl / tcp_keepalive_probes	Intervalle entre sondes keepalive / nombre de sondes avant coupure	défauts : 75 s / 9
net.ipv4.tcp_rmem / net.ipv4.tcp_wmem	Triplet min/défaut/max des buffers TCP de réception/émission (auto‑tuning)	ex. 4096 87380 6291456
net.ipv4.tcp_window_scaling	Active la mise à l'échelle de fenêtre TCP (nécessaire au haut débit/latence)	1 = défaut
net.ipv4.tcp_sack	Active les accusés de réception sélectifs (SACK)	1 = défaut
net.ipv4.tcp_timestamps	Active les timestamps TCP (RTT précis, protection anti rejeu) — peut exposer l'uptime de la machine	1 = défaut · 0 = pour limiter le fingerprinting
net.ipv4.tcp_mtu_probing	Active la découverte de MTU par sondage (contourne les blocages ICMP « Fragmentation Needed »)	0 = défaut · 1/2 = activé
net.ipv4.tcp_congestion_control	Algorithme de contrôle de congestion TCP (ex. cubic, bbr)	défaut : cubic
net.ipv4.tcp_rfc1337	Protège contre les attaques TIME‑WAIT assassination	0 = défaut · 1 = recommandé
net.ipv4.tcp_syn_retries / tcp_synack_retries	Nombre de retransmissions SYN / SYN‑ACK avant abandon	défauts : 6 / 5
net.ipv4.tcp_no_metrics_save	Empêche la mise en cache des métriques de connexion entre connexions	0 = défaut

7.5 Divers IPv4

Variable	Description	Valeurs / défaut
net.ipv4.ip_local_port_range	Plage de ports éphémères utilisée pour les connexions sortantes	ex. 32768 60999
net.ipv4.ip_no_pmtu_disc	Désactive la découverte de MTU du chemin (Path MTU Discovery)	0 = défaut (PMTUD actif)
net.ipv4.igmp_max_memberships	Nombre max de groupes multicast qu'un socket peut rejoindre	défaut : 20

8. net.ipv6.* — IPv6

La plupart des paramètres IPv4 ont un équivalent IPv6 sous net.ipv6.conf.* (par exemple accept_redirects, accept_source_route). Les principaux paramètres spécifiques à IPv6 :

Variable	Description	Valeurs / défaut
net.ipv6.conf.all.disable_ipv6	Désactive complètement IPv6 sur toutes les interfaces	0 = activé (défaut) · 1 = désactivé
net.ipv6.conf.*.accept_ra	Accepte les annonces de routeur (Router Advertisement) — utile de désactiver sur un serveur non‑hôte de confiance	1 = défaut sur la plupart des hôtes
net.ipv6.conf.*.accept_redirects	Équivalent IPv6 des redirections ICMP	1 = défaut · 0 = recommandé sur serveur
net.ipv6.conf.*.autoconf	Active l'auto‑configuration d'adresse sans état (SLAAC)	1 = défaut
net.ipv6.conf.*.use_tempaddr	Utilise des adresses temporaires (RFC 4941) pour limiter le traçage d'un hôte	0 = désactivé · 2 = activé et préféré (recommandé côté client)
net.ipv6.conf.all.forwarding	Active le routage IPv6	0 = défaut

9. net.netfilter.* et conntrack

Variable	Description	Valeurs / défaut
net.netfilter.nf_conntrack_max	Nombre maximal d'entrées de suivi de connexion (conntrack) simultanées — critique pour pare‑feu/NAT très sollicités	calculé selon la RAM, souvent 262144 ou plus
net.netfilter.nf_conntrack_tcp_timeout_established	Délai avant expiration d'une entrée conntrack TCP à l'état établi	défaut : 432000 s (5 j), souvent réduit sur pare‑feu chargés
net.netfilter.nf_conntrack_tcp_timeout_time_wait	Délai d'expiration conntrack pour l'état TIME_WAIT	défaut : 120 s
net.netfilter.nf_conntrack_udp_timeout / _stream	Délais d'expiration conntrack pour les flux UDP	défauts : 30 s / 180 s
net.netfilter.nf_conntrack_log_invalid	Journalise les paquets considérés invalides par conntrack	0 = défaut

10. net.unix.* — sockets Unix

Variable	Description	Valeurs / défaut
net.unix.max_dgram_qlen	Longueur maximale de la file d'attente des sockets Unix de type datagramme	défaut : 10 (souvent augmenté pour syslog/journald)

11. user.* — quotas de namespaces

Limitent, par utilisateur dans le namespace utilisateur courant, le nombre de namespaces qu'il peut créer (pertinent pour la sécurité des conteneurs / usage non privilégié).

Variable	Description
user.max_user_namespaces	Nombre max de namespaces utilisateur créables
user.max_pid_namespaces	Nombre max de namespaces PID créables
user.max_net_namespaces	Nombre max de namespaces réseau créables
user.max_mnt_namespaces	Nombre max de namespaces de montage créables
user.max_ipc_namespaces	Nombre max de namespaces IPC créables
user.max_uts_namespaces	Nombre max de namespaces UTS (hostname) créables
user.max_cgroup_namespaces	Nombre max de namespaces cgroup créables
user.max_time_namespaces	Nombre max de namespaces de temps créables

Mettre l'une de ces valeurs à 0 désactive la création de ce type de namespace pour les utilisateurs non privilégiés — utilisé par exemple pour réduire la surface d'attaque des conteneurs non privilégiés.

12. abi.* et divers (dev.*, debug.*)

Variable	Description	Valeurs / défaut
abi.vsyscall32	Autorise le mappage vDSO 32 bits pour les processus 32 bits sur une machine x86_64 (surface d'attaque historique, ex. CVE liés au vsyscall)	1 = défaut · 0 = plus restrictif

dev.* (paramètres spécifiques aux périphériques : cdrom, scsi, raid, tty…) et debug.* (options de débogage noyau, ex. exception‑trace) existent aussi mais sont propres au matériel/à la configuration du noyau installé — inspecte‑les avec sysctl dev et sysctl debug sur la machine concernée plutôt que de te fier à une liste générique.

13. Sélection « durcissement sécurité » (résumé pratique)

Extrait des variables ci‑dessus les plus citées dans les guides de durcissement serveur (CIS Benchmark, ANSSI, etc.), à valider selon le rôle de la machine :

Variable	Valeur recommandée (serveur générique, non‑routeur)	Pourquoi
net.ipv4.ip_forward	0	Empêche la machine de router du trafic si ce n'est pas son rôle
net.ipv4.conf.all.rp_filter	1	Anti IP‑spoofing
net.ipv4.conf.all.accept_source_route	0	Bloque le routage source, souvent utilisé pour contourner un pare‑feu
net.ipv4.conf.all.accept_redirects	0	Empêche un tiers de modifier la table de routage locale via ICMP
net.ipv4.conf.all.send_redirects	0	La machine n'a pas à émettre de redirections si ce n'est pas un routeur
net.ipv4.conf.all.log_martians	1	Trace les paquets suspects pour détection d'intrusion
net.ipv4.icmp_echo_ignore_broadcasts	1	Anti attaque Smurf
net.ipv4.tcp_syncookies	1	Anti SYN flood
kernel.dmesg_restrict	1	Empêche un utilisateur non privilégié de lire les logs noyau
kernel.kptr_restrict	2	Empêche la fuite d'adresses noyau facilitant l'exploitation
kernel.randomize_va_space	2	ASLR complet
kernel.yama.ptrace_scope	1 ou 2	Limite le traçage de processus par d'autres processus du même utilisateur
kernel.unprivileged_bpf_disabled	1	Réduit la surface d'attaque eBPF
fs.protected_hardlinks	1	Anti élévation de privilèges par hardlink
fs.protected_symlinks	1	Anti attaque TOCTOU par symlink
fs.suid_dumpable	0	Empêche la fuite de mémoire d'un binaire setuid via un core dump

14. Sources

• kernel.org — admin-guide/sysctl/kernel
• kernel.org — admin-guide/sysctl/vm
• kernel.org — admin-guide/sysctl/fs
• kernel.org — admin-guide/sysctl/abi
• kernel.org — admin-guide/sysctl/user
• kernel.org — networking/ip-sysctl
• kernel.org — security/Yama.txt (ptrace_scope)