Защита

4. AppArmor

AppArmor — это реализация в виде модулей безопасности Linux (LSM) основанного на именах мандатного управления доступом. AppArmor ограничивает доступ отдельных программ к перечисленному набору файлов и возможностей, указанных в стандартах 1003.1e posix.

Приложение AppArmor по умолчанию установлено и запущено. Оно использует профили приложений, чтобы определить, какие файлы и права требуются данному приложению. Некоторые пакеты будут устанавливать собственные профили, дополнительные профили могут быть найдены в пакете apparmor-profiles.

Для установки пакета apparmor-profiles наберите в терминале:

sudo apt-get install apparmor-profiles

Профили AppArmor имеют два режима выполнения:

•Жалоб/Обучения (Complaining/Learning): нарушения профиля разрешаются и фиксируются. Удобен для тестирования и разработки новых профилей.

•Принудительный/Ограниченный (Enforced/Confined): принудительно применяет политику профиля и регистрирует нарушения.

4.1. Использование AppArmor

Пакет apparmor-utils содержит утилиты для командной стоки, которые вы можете использовать для изменения режима выполнения AppArmor, находить статус профиля, создавать новые профили и т.д.

•apparmor_status используется для просмотра текущего статуса профилей

AppArmor.

sudo apparmor_status

• aa-complain переводит профиль в режим жалоб.

sudo aa-complain /path/to/bin

• aa-enforce переводит профиль в принудительный режим.

sudo aa-enforce /path/to/bin

•Каталог /etc/apparmor.d хранит профили AppArmor. Он может использоваться для управления режимом всех профилей.

Введите следующее для перевода всех профилей в режим жалоб:

189

Защита

sudo aa-complain /etc/apparmor.d/*

Для перевода всех профилей в принудительный режим:

sudo aa-enforce /etc/apparmor.d/*

•apparmor_parser используется для загрузки профиля в ядро. Он также может использоваться для перезагрузки текущего загруженного профиля с помощью опции -r. Для загрузки профиля:

cat /etc/apparmor.d/profile.name | sudo apparmor_parser -a

Для перезагрузки профиля:

cat /etc/apparmor.d/profile.name | sudo apparmor_parser -r

• /etc/init.d/apparmor может использоваться для перезагрузки всех профилей:

sudo /etc/init.d/apparmor reload

•Каталог /etc/apparmor.d/disable может использоваться совместно с опцией apparmor_parser -R для отключения профиля.

sudo ln -s /etc/apparmor.d/profile.name /etc/apparmor.d/disable/ sudo apparmor_parser -R /etc/apparmor.d/profile.name

Для повторного включения отключённого профиля удалите символическую ссылку на профиль в /etc/apparmor.d/disable/. После этого загрузите профиль с помощью опции -a.

sudo rm /etc/apparmor.d/disable/profile.name

cat /etc/apparmor.d/profile.name | sudo apparmor_parser -a

•Приложение AppArmor может быть отключено, а модули ядра — выгружены, если вы введёте нижеследующее:

sudo /etc/init.d/apparmor stop

sudo update-rc.d -f apparmor remove

• Для повторного включения AppArmor введите:

sudo /etc/init.d/apparmor start sudo update-rc.d apparmor defaults

Замените profile.name на имя того профиля, которым вы хотите управлять. Также замените /path/to/bin/ на действительный путь к файлу. Например, для команды ping используйте /bin/ping

190