Så här skapar du AppArmor-profiler för att låsa ner program på Ubuntu

AppArmor låser ner program på ditt Ubuntu-system, så att de bara tillåter de rättigheter de behöver vid normal användning - särskilt användbar för serverns programvara som kan komma att äventyras. AppArmor innehåller enkla verktyg som du kan använda för att låsa ner andra program.

AppArmor ingår som standard i Ubuntu och några andra Linux-distributioner. Ubuntu skickar AppArmor med flera profiler, men du kan också skapa egna AppArmor-profiler. AppArmors verktyg kan övervaka programmets körning och hjälpa dig att skapa en profil.

Innan du skapar en egen profil för en applikation kanske du vill kolla apparmorprofilpaketet i Ubuntus repositorier för att se om en profil för den applikation du vill begränsa redan existerar.

Skapa och driva en testplan

Du måste köra programmet medan AppArmor tittar på det och går igenom alla sina normala funktioner. I grund och botten borde du använda programmet som det skulle användas vid normal användning: starta programmet, stoppa det, ladda om det och använd alla funktioner. Du ska utforma en testplan som går igenom de funktioner som programmet behöver utföra.

Innan du kör igenom din testplan, starta en terminal och kör följande kommandon för att installera och köra aa-genprof:

sudo apt-get installera apparmor-utils

sudo aa-genprof / path / to / binär

Lämna aa-genprof i terminalen, starta programmet och kör igenom testplanen du konstruerade ovan. Ju mer omfattande din testplan, desto mindre problem kommer du till senare.

När du är klar med att genomföra din testplan, återgå till terminalen och tryck på S nyckel för att skanna systemloggen för AppArmor-händelser.

För varje händelse uppmanas du att välja en åtgärd. Till exempel nedan kan vi se att / usr / bin / man, som vi profilerade, exekverade / usr / bin / tbl. Vi kan välja om / usr / bin / tbl ska ärva / usr / bin / man säkerhetsinställningar, oavsett om det ska köras med egen AppArmor-profil, eller om det ska köras i obegränsat läge.

För vissa andra åtgärder ser du olika prompter - här tillåter vi åtkomst till / dev / tty, en enhet som representerar terminalen

I slutet av processen uppmanas du att spara din nya AppArmor-profil.

Aktivera klagomål och tweaking av profilen

Efter att du skapat profilen, sätt den till "klagläge", där AppArmor inte begränsar de åtgärder det kan ta, utan loggar in några begränsningar som annars skulle inträffa:

sudo aa-complain / path / to / binär

Använd programmet normalt för ett tag. Efter att du använt det normalt i klagläge, kör följande kommando för att skanna systemloggarna för fel och uppdatera profilen:

sudo aa-logprof

Använda Enforce Mode för att låsa ner programmet

När du är klar att finjustera din AppArmor-profil, aktivera "enforce mode" för att låsa ner programmet:

sudo aa-enforce / path / to / binär

Du kanske vill köra sudo aa-logprof kommandot i framtiden för att finjustera din profil.

AppArmor-profiler är enkla textfiler, så du kan öppna dem i en textredigerare och tweak dem för hand. Men verktygen ovan leder dig genom processen.