APPARMOR模式

### 详细信息与实现方式 #### 工作模式详解 AppArmor 提供了两种主要的工作模式：Complaining 模式和 Enforcing 模式。这两种模式分别适用于不同的场景，具体如下： - **Complaining 模式**：在这种模式下，AppArmor 记录所有不符合配置文件（profile）规定的操作，但不会阻止这些操作的执行[^1]。这种模式主要用于调试和调整 profile，帮助管理员了解程序的实际行为，并根据记录的信息优化配置文件[^2]。 - **Enforcing 模式**：在该模式下，AppArmor 会严格执行配置文件中的规则，阻止任何不符合规定的操作。这种模式适用于生产环境，确保系统安全性和稳定性。 #### 实现原理 AppArmor 的实现基于 Linux 内核的安全模块（LSM，Linux Security Module）。它通过将程序的行为限制在预定义的配置文件中，从而实现对程序权限的精细控制。以下是其实现的关键点： - **配置文件（Profile）**：每个受保护的程序都有一个对应的 profile，其中定义了该程序可以访问的资源和权限。例如，一个程序可能被允许读取特定的文件，但禁止写入或执行某些操作[^3]。 - **内核集成**：AppArmor 的核心功能依赖于 LSM 接口，通过拦截系统调用并根据 profile 进行权限检查，从而决定是否允许操作。 - **权限控制**：AppArmor 使用路径名作为基础进行权限控制，而不是依赖传统的用户或组权限。这种方式使得权限管理更加直观和灵活。 #### 使用方法 使用 AppArmor 的基本步骤包括安装、配置和应用 profile。以下是一些关键操作： 1. **安装 AppArmor**： 在大多数 Linux 发行版中，可以通过包管理器安装 AppArmor。例如，在 Ubuntu 系统中，可以运行以下命令安装： ```bash sudo apt-get install apparmor apparmor-utils ``` 2. **创建 Profile**： 使用 `aa-genprof` 或 `aa-logprof` 工具可以自动生成 profile。例如： ```bash sudo aa-genprof /path/to/program ``` 这将启动一个交互式向导，帮助生成初始的 profile[^4]。 3. **设置工作模式**： 可以通过修改 profile 文件中的 `flags=(complain)` 或 `flags=(enforce)` 来切换模式。例如： ```bash /bin/ping flags=(complain) { ... } ``` 将 `flags=(complain)` 改为 `flags=(enforce)` 即可切换到 Enforcing 模式。 4. **加载 Profile**： 使用 `aa-enforce` 或 `aa-complain` 命令可以手动加载或更新 profile。例如： ```bash sudo aa-enforce /etc/apparmor.d/bin.ping ``` 5. **验证状态**： 使用 `aa-status` 命令可以查看当前 AppArmor 的状态以及所有已加载的 profile： ```bash sudo aa-status ``` ### 示例代码 以下是一个简单的 AppArmor 配置文件示例，用于限制 `/bin/ping` 的权限： ```apparmor #include <tunables/global> /bin/ping flags=(complain) { #include <abstractions/base> #include <abstractions/consoles> #include <abstractions/nameservice> capability net_raw, capability setuid, network inet raw, /bin/ping mixr, /etc/modules.conf r, } ``` #### 解释 - `flags=(complain)` 表示该 profile 处于 Complaining 模式。 - `capability net_raw` 和 `capability setuid` 定义了程序所需的特定能力。 - `/bin/ping mixr` 允许程序对 `/bin/ping` 文件进行读取和执行操作。 - `/etc/modules.conf r` 允许程序读取 `/etc/modules.conf` 文件。 ---