Защита

4.2. Профили

Профили AppArmor являются простыми текстовыми файлами, расположенными в /etc/apparmor.d/. Имена этих файлов состоят из полного пути к исполняемому файлу с заменой "/" на ".". Например, /etc/apparmor.d/ bin.ping является профилем AppArmor для команды /bin/ping.

Есть два главных типа правил в профилях:

•Path entries: описывает, к каким файлам приложение может иметь доступ в файловой системе.

•Capability entries: определяет, какие привилегии ограниченному процессу разрешено использовать.

Например, взгляните на файл /etc/apparmor.d/bin.ping:

#include <tunables/global> /bin/ping flags=(complain) {

#include <abstractions/base> #include <abstractions/consoles> #include <abstractions/nameservice>

capability net_raw, capability setuid, network inet raw,

/bin/ping mixr, /etc/modules.conf r,

}

•#include <tunables/global>: включает операторы из других файлов. Это позволяет помещать в общий файл операторы, относящиеся к нескольким приложениям.

•/bin/ping flags=(complain): путь к профилированной программе, также настройки режима complain

•capability net_raw,: даёт доступ к возможности CAP_NET_RAW Posix.1e.

•/bin/ping mixr,: даёт приложению права доступа на чтение и исполнение файла.

После редактирования файла профиля он должен быть перезагружен. Более подробно смотрите Раздел 4.1, «Использование AppArmor» [189] .

4.2.1. Создание профиля

•Разработка тест-плана: Попробуйте продумать, как приложение должно быть использовано. Тест-план должен быть разделён на небольшие

191