最准确查看当前生效安全参数的方式是用 sysctl 命令读取内核运行时真实值；可通过 grep 筛查关键项、-n 输出数值便于脚本判断、--show-config 查看显式配置，并以 sysctl 输出为准验证是否生效，/proc/sys 可作为备用直读方式。
直接用 sysctl 查看当前生效的安全相关内核参数，是最准确、最轻量的方式——它读的是内核运行时真实值，不是配置文件里的“写过什么”，更不是猜测。
快速筛查关键安全参数
执行以下命令，能一次性聚焦常见安全控制项：
sysctl -a | grep -E "(kptr_restrict|dmesg_restrict|modules_disabled|sysrq|rp_filter|send_redirects|icmp_echo_ignore|tcp_syncookies)"- 若只关心是否已启用防护，加
-n只输出数值，方便脚本判断：sysctl -n kernel.kptr_restrict kernel.dmesg_restrict net.ipv4.conf.all.rp_filter
确认哪些安全参数被真正修改过
系统启动后多数参数保持默认值。只想看到“管理员主动调过的安全项”，用：
-
sysctl --show-config | grep -E "(kernel|net\.ipv4\.conf|net\.core)"—— 显示所有显式配置项 - 配合
grep security或自定义关键词进一步过滤，比如：sysctl --show-config | grep "99-security"可定位你写的专用安全配置文件
验证某个安全参数是否真起效
不能只看配置文件或 /proc/sys/xxx 的内容，要以 sysctl 命令输出为准：
- 查单个值：
sysctl kernel.kptr_restrict→ 输出kernel.kptr_restrict = 2才算生效 - 对比预期：
kernel.kptr_restrict = 2表示符号地址完全隐藏；= 1仅对非 root 隐藏；= 0完全暴露 - 网络类参数（如
net.ipv4.conf.all.rp_filter）建议搭配实际流量测试，比如从多网卡环境发起连接，观察是否出现单通
绕过命令，直读 /proc/sys 快速比对
当 sysctl 命令不可用（如最小化容器），可用 cat 直接读取：
-
cat /proc/sys/kernel/kptr_restrict→ 应输出2 -
cat /proc/sys/net/ipv4/conf/all/send_redirects→ 安全加固后应为0 - 注意：
/proc/sys/下路径中的斜杠需转为点号，例如/proc/sys/vm/swappiness对应参数名vm.swappiness
