capabilities (возможности)

Безопасность

Права root, разделённые ядром на части: CAP_NET_BIND_SERVICE — порт ниже 1024, CAP_DAC_OVERRIDE — обход прав файлов. Процесс или файл (setcap) получает только нужную часть вместо всего root.

Подробно в статьях