Как установить и использовать AppArmor на Ubuntu 20.04 | 22.04 LTS

В этом руководстве мы покажем вам, как установить и использовать AppArmor на системах Ubuntu.

AppArmor – это система безопасности на уровне приложения для Linux, которая ограничивает права доступа процессов и ограничивает их взаимодействие с другими ресурсами в системе, такими как файлы и сеть.

[irp]

С помощью AppArmor можно создавать профили безопасности для отдельных приложений или сервисов, которые могут указывать, какие ресурсы имеют доступ к приложению, а какие – нет. Это может предотвратить различные атаки на приложения и повысить общую безопасность системы.

AppArmor использует профили безопасности, которые определяются для каждого приложения и представляют собой набор правил, описывающих, как приложение может использовать ресурсы в системе. Эти профили могут быть созданы пользователем или поставщиком приложений и могут быть сконфигурированы для различных уровней безопасности в зависимости от потребностей.

AppArmor является альтернативой другой системе безопасности на уровне приложения для Linux, называемой SELinux. Обе системы обеспечивают высокий уровень безопасности в Linux, но различаются в подходе к ограничению прав доступа приложений.

Установка AppArmor на Ubuntu с помощью APT

Чтобы установить AppArmor, выполните следующие действия.

Сначала обновите системные пакеты Ubuntu, для этого выполните следующую команду:

sudo apt update -y && sudo apt upgrade -y

Пакет AppArmor доступен в базовом репозитории Ubuntu. Поэтому вы можете установить его напрямую, выполнив следующую команду.

sudo apt install apparmor-notify apparmor-utils apparmor-profiles-extra apparmor-profiles -y

Установка AppArmor в Ubuntu
Установка AppArmor в Ubuntu

После завершения установки AppArmor должен быть включен, поэтому убедитесь в этом. Для проверки его состояние, выполните команду как показано ниже.

sudo systemctl status apparmor

Проверка состояния AppArmor
Проверка состояния AppArmor

[irp]

Использование AppArmor в Ubuntu

Просто запустите aa-status, чтобы узнать, интегрирован ли в ваш дистрибутив Linux AppArmor.

aa-status

Использование AppArmor на Ubuntu
Использование AppArmor на Ubuntu

Поскольку это модуль ядра, он обычно не является тем, что пользователи устанавливают сами. Однако отдельные пользователи и системные администраторы могут захотеть управлять профилями приложений, которые определяют, что разрешено делать каждому приложению, редактируя файлы в /etc/apparmor.d/.

Список активных профилей в данный момент можно легко проверить с помощью aa-status.

Проверка сообщений журнала AppArmor

Каждый раз когда AppArmor запрещает приложениям выполнять потенциально опасные операции, то событие регистрируется. В зависимости от вашей системы события AppArmor можно увидеть в syslog, auditd, журнале ядра или в журналах journald.

Пример:

sudo journalctl -fx

Проверка журнала AppArmor
Проверка журнала AppArmor

AppArmor предоставляет несколько утилит, которые вы можете использовать для управления профилями в вашей системе.

  • aa-status Статус профилей AppArmor в вашей системе.
  • aa-logprof Позволяет просматривать и редактировать журналы, создаваемые профилями AppArmor в режиме “complain” (жалоба).
  • aa-genprof генерирует новый профиль для приложения.
  • aa-enforce Изменяет режим применения профиля AppArmor с “complain” на “enforce“.
  • aa-complain Изменяет режим исполнения профиля AppArmor с “enforcing” на “complain“.

[irp]

Как удалить (деинсталлировать) AppArmor

Удаление AppArmor выполняется также просто как и установка.

sudo apt autoremove apparmor-notify apparmor-utils apparmor-profiles-extra apparmor-profiles --purge -y

Nazario

Я — Nazario, создатель и автор сайта guid.su, специализируюсь на информационных технологиях с акцентом на системное администрирование Linux и Windows, веб-разработку и настройку различных систем. Мои глубокие знания и обширный практический опыт в этих сферах позволяют мне создавать детальные руководства и учебные материалы, ценные для пользователей всех уровней.

Я стремлюсь делать сложные темы доступными и понятными, надеюсь что мой вклад в сообщество IT будет оценен по достоинству.

Моя работа направлена на образование и распространение знаний в области информационных технологий, помогая другим расширять свои возможности и углублять понимание современных технологий.

Guid: Linux и Windows
Выскажите своё мнение или присоединяйтесь к обсуждению:

Отправляя комментарий, вы даете согласие на обработку ваших данных в соответствии с политикой конфиденциальности и даюёте согласие на их использование.