16、AppArmor 安全配置与管理全解析-洪萨配资

AppArmor 安全配置与管理全解析

1. AppArmor 规则与配置文件基础

AppArmor 配置文件包含两种规则：路径条目和能力条目。路径条目规定了进程在文件系统中可以访问的内容，而能力条目则用于指定进程被授予的特定 POSIX 能力，以覆盖默认的限制。

以下是一个/sbin/klogd内核日志守护进程的配置文件示例：

# Profile for /sbin/klogd #include <tunables/global> /sbin/klogd { #include <abstractions/base> capability sys_admin, /boot/System.map* r, /proc/kmsg r, /sbin/klogd rmix, /var/log/boot.msg rwl, /var/run/klogd.pid rwl, }

在这个示例中：
- 以#开头的行是注释。
-#include语句用于引入其他文件中的规则，路径是相对于/etc/apparmor.d/的。
-/etc/apparmor.d/tunables/global包含了一些在每个配置文件中都可用的定义。

2. 通用规则文件与配置文件结构

/etc/apparmor.d/abstractions/目录包含按常见应用任务分组的通用规则文件，例如所有应用程序都需要的文件访问规则（base）、认证机制访问规则（authentication）等。这些规则被集中定义，然后在需要的配置文件中引入，避免了在多个配置文件中重复定义。

配置文件中，第 5 行给出了受 AppArmor 限制的程序的绝对路径，规则和#include语句都包含在花括号{}内。例如，第 8 行启用了sys_admin能力，其他需要的能力可以在以capability开头的单独行中列出。

3. 文件和目录访问规则

在列出文件和目录的行中，可以使用以下通配符：
| 通配符 | 描述 |
| ---- | ---- |
|*| 替代任意数量的字符，但不包括/|
|**| 替代任意数量的字符，包括/，用于包含子目录 |
|?| 替代任意单个字符，但不包括/|
|[abc]| 替代a、b或c|
|[a-d]| 替代a、b、c或d|
|{ab,cd}| 替代ab或cd|

授予的权限可以是：
| 权限 | 描述 |
| ---- | ---- |
|r| 允许程序对资源进行读访问 |
|w| 允许程序对资源进行写访问 |
|l| 链接模式，用于管理符号链接和硬链接，并授予删除文件的权限 |
|m| 允许可执行映射，用于限制程序使用的库文件 |
|ix| 继承执行模式，执行的资源继承当前配置文件 |
|px| 离散配置文件执行模式，要求为执行的资源定义配置文件 |
|Px| 离散配置文件执行模式 - 清理环境 |
|ux| 无约束执行模式，允许程序在不应用 AppArmor 配置文件的情况下执行资源 |
|Ux| 无约束执行 - 清理环境 |

需要注意的是，ix、px、Px、ux和Ux不能组合使用。配置文件语法的详细信息可以通过man 5 apparmor.d查看。

4. 使用 YaST 管理 AppArmor 配置文件

AppArmor 提供了多个工具来创建和维护配置文件，YaST 模块为这些工具提供了图形界面。可以使用 YaST 完成以下任务：
- 创建新配置文件
- 更新配置文件
- 删除配置文件

4.1 创建新配置文件

可以通过以下两种方式创建新配置文件：
-使用新配置文件向导
1. 停止要为其创建配置文件的应用程序。
2. 启动 YaST 并选择 Novell AppArmor，然后选择添加配置文件向导。
3. 输入要配置的应用程序，如果没有提供路径，向导会在搜索路径（$PATH）中查找二进制文件。
4. 启动并使用应用程序，模拟其在生产环境中的使用方式。在此学习阶段，应用程序对文件或能力的任何访问都会被允许并记录在/var/log/audit/audit.log中。
5. 当认为已经涵盖了应用程序的所有预期使用场景后，在 YaST AppArmor 配置文件向导对话框中选择“扫描系统日志以查找 AppArmor 事件”。
6. 对于每个事件，会弹出一个对话框，根据事件类型提供不同的选项，例如在访问程序时，可以选择“继承”、“配置文件”、“无约束”或“拒绝”；在访问文件时，可以选择“允许”或“拒绝”，还可以对建议的文件或目录进行修改，如使用Glob、Glob w/Ext或Edit选项。
7. 处理完所有条目后，选择“完成”，配置文件将被写入并激活；如果想放弃选择，选择“中止”。

graph LR A[停止应用程序] --> B[启动 YaST 并选择 Novell AppArmor] B --> C[选择添加配置文件向导] C --> D[输入应用程序] D --> E[启动并使用应用程序] E --> F[扫描系统日志] F --> G[处理事件] G --> H{完成?} H -- 是 --> I[写入并激活配置文件] H -- 否 --> E G -- 放弃 --> J[中止]

手动创建新配置文件
1. 选择 YaST > Novell AppArmor > 手动添加配置文件，选择要为其创建配置文件的文件。
2. 打开 AppArmor 配置文件对话框，通过选择相应的按钮添加、编辑或删除配置文件条目。
3. YaST 模块的优点是具有语法检查功能，但也可以使用任何文本编辑器（如vi）来创建和编辑配置文件。

4.2 更新配置文件

更新配置文件有两种方法：
-再次运行添加配置文件向导
当对已有配置文件的程序运行添加配置文件向导时，不会从头开始进行配置，而是以现有配置文件为基础。这种方法适用于更新特定的配置文件，特别是运行时间有限的客户端应用程序。
-运行更新配置文件向导
当需要更新多个配置文件或长时间运行的应用程序的配置文件时，使用更新配置文件向导是更好的选择。具体步骤如下：
1. 决定要更新哪些应用程序的配置文件，并使用complain命令将 AppArmor 置于抱怨（学习）模式。例如，complain firefox或complain /etc/apparmor.d/usr.lib.firefox.firefox.sh可以将 Firefox 的 AppArmor 模式更改为学习模式；complain /etc/apparmor.d/*可以将所有受 AppArmor 限制的应用程序都置于学习模式。
2. 在抱怨模式的配置文件中，受限制的应用程序路径后面会跟随flags=(complain)。
3. 实际使用应用程序，在日志文件中创建事件。
4. 启动 YaST 并选择 Novell AppArmor > 更新配置文件向导，界面与添加配置文件向导几乎相同。
5. 处理完日志文件后，选择“完成”，配置文件将被重新加载，但 AppArmor 仍处于抱怨模式。
6. 使用enforce命令使 AppArmor 再次强制执行规则，例如enforce /etc/apparmor.d/*可以将所有配置文件置于强制执行模式。

4.3 删除配置文件

要删除配置文件，启动 YaST 并选择 Novell AppArmor > 删除配置文件，选择要删除的配置文件，然后选择“下一步”，在确认对话框中选择“是”，配置文件将被删除，应用程序将不再受 AppArmor 限制。

5. 使用命令行工具管理 AppArmor 配置文件

有以下几种命令行工具可用于创建和维护 AppArmor 配置文件：
-autodep
- 语法：autodep program1 program2 ...
- 功能：为程序生成配置文件骨架，并将其加载到 Novell AppArmor 模块的抱怨模式中。

genprof
- 步骤：
  1. 停止要为其创建配置文件的应用程序。
  2. 运行genprof命令，如果没有配置文件，它会运行autodep生成配置文件，并将新的或现有的配置文件置于抱怨模式，标记日志文件。
  3. 提示用户启动要配置的程序并使用其功能。
  4. 用户完成操作后，在genprof运行的终端窗口中按s，genprof会调用logprof对从标记点开始的系统日志进行处理。
- 示例：

da10:~ # genprof firefox Setting /usr/lib/firefox/firefox.sh to complain mode. Please start the application to be profiled in another window and exercise its functionality now. Once completed, select the "Scan" button below in order to scan the system logs for AppArmor events. For each AppArmor event, you will be given the opportunity to choose whether the access should be allowed or denied. Profiling: /usr/lib/firefox/firefox.sh [(S)can system log for SubDomain events] / (F)inish

logprof
- 功能：扫描/var/log/audit/audit.log日志文件中由处于学习模式的配置文件产生的条目，并交互式地创建新的配置文件条目。
- 选项：可以使用-m选项指定从日志文件的某个点开始扫描，例如logprof -m "852099290.789:1103"。
vim
可以使用任何文本编辑器来更改配置文件，与其他编辑器相比，vim的优势在于 AppArmor 包含语法高亮描述，使vim能够在配置文件中高亮显示语法元素。

6. Apache2 子配置文件（帽子）

在限制 Apache2 时，可以创建子配置文件（也称为帽子），使用不同的安全上下文，例如用于使用mod_php5的页面。要使用这些子配置文件，应用程序必须具备“帽子感知”能力。在 SLES10 上，通过 AppArmor 附带的mod_change_hat模块可以实现 Apache2 的“帽子感知”。子配置文件是应用程序本身配置文件的一部分，可以使用相同的工具（如genprof、logprof）进行管理。

通过以上介绍，我们全面了解了 AppArmor 的规则配置、使用 YaST 和命令行工具进行配置文件管理的方法，以及 Apache2 子配置文件的相关知识。合理使用 AppArmor 可以有效提高系统的安全性，保护应用程序免受不必要的访问和攻击。

AppArmor 安全配置与管理全解析

7. 配置文件管理的最佳实践

在使用 AppArmor 管理配置文件时，有一些最佳实践可以帮助提高效率和安全性：

7.1 初始配置文件的创建

使用向导优先：对于初次使用 AppArmor 为应用程序创建配置文件，建议优先使用新配置文件向导。这可以帮助你快速了解应用程序的基本访问需求，并且通过学习模式记录下应用程序在正常使用过程中的所有访问行为。
手动微调：在向导生成初始配置文件后，仔细检查配置文件中的规则，根据实际需求进行手动微调。例如，可以使用通配符来简化规则，但要注意避免过度使用导致权限过于宽松。

7.2 配置文件的更新

定期评估：定期评估应用程序的功能和使用场景是否发生变化，及时更新配置文件。例如，当应用程序升级或添加新功能时，可能需要调整配置文件以允许新的访问需求。
测试环境验证：在更新配置文件之前，先在测试环境中进行验证。可以使用complain模式让 AppArmor 记录所有访问事件，但不进行阻止，以便在测试过程中发现潜在的问题。

7.3 配置文件的删除

谨慎操作：删除配置文件意味着应用程序将不再受 AppArmor 的限制，因此在删除配置文件之前，要确保确实不再需要对该应用程序进行安全限制。可以先将配置文件置于complain模式一段时间，观察应用程序的运行情况，确认删除配置文件不会带来安全风险。

8. AppArmor 与其他安全机制的结合

AppArmor 可以与其他安全机制结合使用，进一步提高系统的安全性：

8.1 与 SELinux 的结合

虽然 AppArmor 和 SELinux 都是 Linux 系统中的强制访问控制（MAC）机制，但它们的实现方式和侧重点不同。可以根据系统的实际需求，同时使用这两种机制。例如，可以使用 SELinux 对系统的核心组件进行严格的安全控制，而使用 AppArmor 对特定的应用程序进行定制化的安全配置。

8.2 与防火墙的结合

防火墙主要用于控制网络流量，而 AppArmor 主要用于控制应用程序的文件和资源访问。将两者结合使用可以实现更全面的安全防护。例如，在防火墙中设置规则限制应用程序的网络访问，同时使用 AppArmor 限制应用程序对本地文件和资源的访问。

9. 常见问题与解决方案

在使用 AppArmor 过程中，可能会遇到一些常见问题，以下是一些解决方案：

9.1 应用程序无法正常运行

检查配置文件：首先检查 AppArmor 配置文件是否正确，是否存在权限不足的问题。可以将配置文件置于complain模式，查看日志文件/var/log/audit/audit.log中记录的访问事件，找出导致应用程序无法正常运行的原因。
逐步放宽权限：如果发现是权限不足导致的问题，可以逐步放宽配置文件中的权限，直到应用程序能够正常运行。但要注意，不要过度放宽权限，以免降低系统的安全性。

9.2 日志文件过大

定期清理：定期清理/var/log/audit/audit.log日志文件，避免日志文件过大占用过多的磁盘空间。可以使用日志轮转工具（如logrotate）来自动管理日志文件。
优化配置文件：优化 AppArmor 配置文件，减少不必要的访问记录。例如，合理使用通配符和权限组合，避免记录过多的重复访问事件。

10. 总结与展望

AppArmor 是一个强大的 Linux 安全机制，通过合理配置和管理配置文件，可以有效提高系统的安全性，保护应用程序免受不必要的访问和攻击。本文详细介绍了 AppArmor 的规则配置、使用 YaST 和命令行工具进行配置文件管理的方法，以及与其他安全机制的结合和常见问题的解决方案。

未来，随着 Linux 系统的不断发展和应用场景的不断变化，AppArmor 可能会不断完善和优化。例如，可能会提供更便捷的配置文件管理工具和更智能的规则生成算法，帮助用户更轻松地管理系统安全。同时，与其他安全机制的集成也将更加紧密，为用户提供更全面的安全防护。

以下是一个总结 AppArmor 管理方式的表格：
| 管理方式 | 工具/方法 | 适用场景 | 操作步骤 |
| ---- | ---- | ---- | ---- |
| 创建配置文件 | 新配置文件向导 | 初次为应用程序创建配置文件 | 停止应用 -> 启动 YaST -> 选择向导 -> 输入应用 -> 使用应用 -> 扫描日志 -> 处理事件 -> 完成 |
| | 手动创建 | 需要自定义配置文件 | 选择 YaST 手动添加 -> 选择文件 -> 打开对话框 -> 添加/编辑/删除条目 |
| 更新配置文件 | 再次运行添加配置文件向导 | 更新特定配置文件，适用于运行时间有限的客户端应用 | 运行向导，基于现有配置文件更新 |
| | 运行更新配置文件向导 | 更新多个或长时间运行应用的配置文件 | 决定更新对象 -> 使用complain命令 -> 使用应用创建事件 -> 启动 YaST 更新向导 -> 处理日志 -> 使用enforce命令 |
| 删除配置文件 | YaST 删除配置文件功能 | 不再需要对应用进行安全限制 | 启动 YaST -> 选择删除 -> 选择文件 -> 确认删除 |
| 命令行管理 | autodep | 生成配置文件骨架并加载到抱怨模式 |autodep program1 program2 ...|
| | genprof | 创建应用程序配置文件 | 停止应用 -> 运行genprof-> 启动应用并使用 -> 按s调用logprof|
| | logprof | 扫描日志并创建新配置文件条目 |logprof或logprof -m "特定点"|
| | vim | 编辑配置文件 | 使用vim打开配置文件进行编辑 |

graph LR A[创建配置文件] --> B[新配置文件向导] A --> C[手动创建] D[更新配置文件] --> E[再次运行添加向导] D --> F[运行更新向导] G[删除配置文件] --> H[YaST 删除功能] I[命令行管理] --> J[autodep] I --> K[genprof] I --> L[logprof] I --> M[vim]

通过本文的介绍，希望读者能够全面掌握 AppArmor 的使用方法，在实际应用中充分发挥其安全性优势，为 Linux 系统的安全运行提供有力保障。