Phenquestions
АппАрмор, Линук Кернел Сецурити Модуле, може ограничити приступ систему инсталираним софтвером користећи профиле специфичне за апликацију. АппАрмор је дефинисан као обавезна контрола приступа или МАЦ систем. Неки профили се инсталирају у време инсталације пакета, а АппАрмор садржи неке додатне профиле из пакета аппармор-профиле. Пакет АппАрмор је подразумевано инсталиран на Убунту и сви подразумевани профили се учитавају у тренутку покретања система. Профили садрже листу правила за контролу приступа која се чувају у итд / аппармор.д /.
Било коју инсталирану апликацију такође можете заштитити стварањем профила АппАрмор те апликације. АппАрмор профили могу бити у једном од два режима: режим „жалбе“ или „извршења“. Систем не примењује никаква правила и кршења профила се прихватају са евиденцијама у режиму жалбе. Овај режим је боље тестирати и развити било који нови профил. Правила проводи систем у присилном режиму и ако дође до било каквог кршења било којег профила апликације, тада неће бити дозвољена операција за ту апликацију, а записник извјештаја ће се генерирати у сислог-у или аудитд-у. Сислог-у можете приступити са локације, / вар / лог / сислог. У овом чланку је приказано како можете да проверите постојеће АппАрмор профиле вашег система, промените режим профила и направите нови профил.
Проверите постојеће профиле АппАрмор
аппармор_статус наредба се користи за преглед учитане листе профила АппАрмор са статусом. Покрените команду са роот дозволом.
$ судо аппармор_статус
Листа профила може се мењати у зависности од оперативног система и инсталираних пакета. Следећи излаз ће се појавити у Убунту 17.10. Показује се да су 23 профила учитана као АппАрмор профили и сви су подразумевано постављени као принудни режим. Овде су 3 процеса, дхцлиент, цупс-бровсед и цупсд дефинисани профилима у принудном режиму и нема процеса у режиму жалбе. Можете да промените режим извршавања за било који дефинисани профил.
Измени режим профила
Можете да промените начин профила било ког поступка из жалбе у принудни или обрнуто. Морате да инсталирате аппармор-утилс пакет за обављање ове операције. Покрените следећу команду и притисните 'И'када тражи дозволу за инсталирање.
$ судо апт-гет инсталирај аппармор-утилс
Постоји профил са именом дхцлиент који је постављен као принудни режим. Покрените следећу команду да бисте режим променили у режим жалбе.
$ судо аа-приговор / сбин / дхцлиент
Ако поново проверите статус АппАрмор профила, видећете да је начин извршења дхцлиента промењен у режим жалбе.
Помоћу следеће наредбе можете поново променити режим у принудни.
$ судо аа-форце / сбин / дхцлиент
Пут за постављање режима извршавања за све профиле АппАрморе је / етц / аппармор.д / *.
Покрените следећу команду да бисте поставили начин извршавања свих профила у режиму жалбе:
$ судо аа-приговор / етц / аппармор.д / *Покрените следећу наредбу да бисте поставили режим извршавања свих профила у принудном режиму:
$ судо аа-форце / етц / аппармор.д / *Направите нови профил
Сви инсталирани програми подразумевано не креирају АппАрморе профиле. Да би систем био сигурнији, можда ћете морати да креирате профил АппАрморе за било коју одређену апликацију. Да бисте креирали нови профил, морате открити оне програме који нису повезани са било којим профилом, али им је потребна сигурност. апликација није ограничена наредба се користи за проверу листе. Према излазу, прва четири процеса нису повезана ни са једним профилом, а задња три процеса су ограничена са три профила са подразумеваним режимом.
$ судо аа-неограничено
Претпоставимо да желите да креирате профил за НетворкМанагер процес који није ограничен. Трцати аа-генпроф наредба за креирање профила. Тип 'Ф'да завршите поступак креирања профила. Сваки нови Профил се подразумевано креира у принудном режиму. Ова наредба ће створити празан профил.
$ судо аа-генпроф НетворкМанагер
Не дефинишу се правила за било који новостворени профил и можете изменити садржај новог профила уређивањем следеће датотеке да бисте поставили ограничења за програм.
$ судо мачка / етц / аппармор.д / уср.сбин.НетворкМанагер
Поново учитајте све профиле
Након подешавања или модификовања било ког профила морате поново да га учитате. Покрените следећу наредбу да бисте поново учитали све постојеће АппАрмор профиле.
$ судо системцтл поново учитај апликацију.услугаТренутно учитане профиле можете проверити помоћу следеће наредбе. У излазу ћете видети унос за новостворени профил програма НетворкМанагер.
$ судо цат / сис / кернел / сецурити / аппармор / профилес
Дакле, АппАрмор је користан програм који штити ваш систем постављањем неопходних ограничења за важне апликације.
