AppArmor を使ってみる

AppArmor の概要

AppArmor とは、Linux のセキュリティモデルで、アプリケーション毎に設定するプロファイルで、アプリケーションがアクセスできるリソースを制限する機能のようだ。

Ubuntu 9.10 では、デフォルトで有効になっている。

Ubuntu では、アプリケーションのパッケージが自身のプロファイルをインストールすることもあるし、apparmor-profiles パッケージから、追加のプロファイルをインストールすることもできる。

AppArmor プロファイルは、2種類のモードで実行される。

• Complaining/Learning: プロファイルの違反は許されるが、ロギングされる。新しいプロファイルのテストに使用する。
• Enforced/Confined: プロファイルのポリシーが強制される。

AppArmor の使用方法

プロファイルを定義したファイルは、/etc/apparmor.d/ に置かれます。

• AppArmor プロファイルが現在どちらのモードで実行中か確認できる。
  $ sudo apparmor_status
  
  
• プロファイルを complain モードにする。
  $ sudo aa-complain /path/to/bin
  
  
• プロファイルを enforce モードにする。
  $ sudo aa-enforce /path/to/bin
  
  
• プロファイルを追加する。
  $ cat /etc/apparmor.d/profile.name | sudo apparmor_parser -a
  
  
• プロファイルをリロードする。
  $ cat /etc/apparmor.d/profile.name | sudo apparmor_parser -r
  
  
• 全てのプロファイルをリロードする。
  $ sudo /etc/init.d/apparmor reload
  
  
• プロファイルを無効にする。
  $ sudo ln -s /etc/apparmor.d/profile.name /etc/apparmor.d/disable/
  $ sudo apparmor_parser -R /etc/apparmor.d/profile.name
  
  
• プロファイルを有効にする。
  $ sudo rm /etc/apparmor.d/disable/profile.name
  $ cat /etc/apparmor.d/profile.name | sudo apparmor_parser -a

参考

• 技術概要 - Ubuntu Japanese Wiki
• AppArmor
• AppArmor - Community Ubuntu Documentation
• SecurityTeam/KnowledgeBase/AppArmorProfiles - Ubuntu Wiki
• AppArmor - Ubuntu Wiki
• Novell AppArmor Administration Guide
• AppArmor
• Linux Hacks：AppArmorでアプリケーションのファイアウォールを構築 (1/3) - ITmedia エンタープライズ
• ubulog: ubuntuで AppArmor を使ってセキュアな環境を構築する