Ubuntu 22.04
Sponsored Link

AppArmor : प्रोफ़ाइल बनाएं : aa-autodep2023/09/20

 
[aa-autodep] कमांड के साथ किसी प्रोग्राम के लिए एक प्रोफ़ाइल बनाएं।
[aa-genprof] से भिन्न बिंदु यह है कि [aa-autodep] एक खाली प्रोफ़ाइल बनाता है और तुरंत समाप्त कर देता है, और फिर लक्ष्य प्रोग्राम को [complain] मोड नियंत्रण में दर्ज किया जाता है।
[1] उदाहरण के लिए, [aa-autodep] कमांड के साथ सांबा के लिए एक प्रोफ़ाइल बनाएं।
# Samba के लिए एक प्रोफ़ाइल बनाएं

root@dlp:~#
aa-autodep /usr/sbin/smbd

Writing updated profile for /usr/sbin/smbd.
# इसे [complain] मोड में दर्ज किया गया है

root@dlp:~#
aa-status

apparmor module is loaded.
14 profiles are loaded.
13 profiles are in enforce mode.
   /usr/bin/man
   /usr/lib/NetworkManager/nm-dhcp-client.action
   /usr/lib/NetworkManager/nm-dhcp-helper
   /usr/lib/connman/scripts/dhclient-script
   /usr/lib/snapd/snap-confine
   /usr/lib/snapd/snap-confine//mount-namespace-capture-helper
   /{,usr/}sbin/dhclient
   lsb_release
   man_filter
   man_groff
   nvidia_modprobe
   nvidia_modprobe//kmod
   tcpdump
1 profiles are in complain mode.
   /usr/sbin/smbd
.....
.....

# इसके बाद, इसे [complain] मोड में आवश्यक संचालन सीखने की जरूरत है
# Samba जैसे बड़े पैमाने के अनुप्रयोग के लिए, इसे कई आवश्यक संचालन सीखने की आवश्यकता है
# लंबे समय तक लॉग में, शायद कुछ महीनों में

# लॉग में प्रत्येक अनधिकृत कार्रवाई के लिए चरण दर चरण नीति निर्धारित करें

root@dlp:~#
aa-logprof

Updating AppArmor profiles in /etc/apparmor.d.
Reading log entries from /var/log/syslog.
Complain-mode changes:

Profile:  /usr/sbin/smbd
Path:     /var/log/samba/log.smbd
New Mode: owner w
Severity: 8

 [1 - include <abstractions/samba>]
  2 - owner /var/log/samba/log.smbd w,
(A)llow / [(D)eny] / (I)gnore / (G)lob / Glob with (E)xtension / (N)ew / Audi(t) / (O)wner permissions off / Abo(r)t / (F)inish
Adding include <abstractions/samba> to profile.

Profile:        /usr/sbin/smbd
Network Family: netlink
Socket Type:    raw

 [1 - include <abstractions/nameservice>]
  2 - network netlink raw,
(A)llow / [(D)eny] / (I)gnore / Audi(t) / Abo(r)t / (F)inish
Adding include <abstractions/nameservice> to profile.
Enforce-mode changes:

Profile:  /usr/bin/node
Path:     /dev/ttyS0
New Mode: owner rw
Severity: 9

 [1 - owner /dev/ttyS0 rw,]
(A)llow / [(D)eny] / (I)gnore / (G)lob / Glob with (E)xtension / (N)ew / Audi(t) / (O)wner permissions off / Abo(r)t / (F)inish
Adding owner /dev/ttyS0 rw, to profile.

.....
.....

# यदि प्रोफ़ाइल अंततः पूरी हो गई है, तो लक्ष्य ऐप की सुरक्षा के लिए [enforce] मोड पर जाएँ

root@dlp:~#
aa-enforce /usr/sbin/smbd

[2] वैसे, यह यहां पर [aa-autodep] के साथ एक प्रोफ़ाइल बनाने के लिए एक उदाहरण के रूप में Samba का उपयोग करता है, हालांकि, कुछ प्रोफ़ाइल सांबा जैसे प्रसिद्ध और अक्सर उपयोग किए जाने वाले अनुप्रयोगों के लिए एक पैकेज के रूप में प्रदान की जाती हैं।
root@dlp:~#
apt -y install apparmor-profiles
root@dlp:~#
dpkg -L apparmor-profiles

/.
/etc
/etc/apparmor.d
/etc/apparmor.d/apache2.d
/etc/apparmor.d/apache2.d/phpsysinfo
/etc/apparmor.d/bin.ping
/etc/apparmor.d/local
/etc/apparmor.d/php-fpm
/etc/apparmor.d/samba-bgqd
/etc/apparmor.d/sbin.klogd
/etc/apparmor.d/sbin.syslog-ng
/etc/apparmor.d/sbin.syslogd
/etc/apparmor.d/usr.sbin.avahi-daemon
/etc/apparmor.d/usr.sbin.dnsmasq
/etc/apparmor.d/usr.sbin.identd
/etc/apparmor.d/usr.sbin.mdnsd
/etc/apparmor.d/usr.sbin.nmbd
/etc/apparmor.d/usr.sbin.nscd
/etc/apparmor.d/usr.sbin.smbd
/etc/apparmor.d/usr.sbin.smbldap-useradd
/etc/apparmor.d/usr.sbin.traceroute

root@dlp:~#
aa-status

apparmor module is loaded.
31 profiles are loaded.
14 profiles are in enforce mode.
   /usr/bin/man
   /usr/bin/node
   /usr/lib/NetworkManager/nm-dhcp-client.action
   /usr/lib/NetworkManager/nm-dhcp-helper
   /usr/lib/connman/scripts/dhclient-script
   /usr/lib/snapd/snap-confine
   /usr/lib/snapd/snap-confine//mount-namespace-capture-helper
   /{,usr/}sbin/dhclient
   lsb_release
   man_filter
   man_groff
   nvidia_modprobe
   nvidia_modprobe//kmod
   tcpdump
17 profiles are in complain mode.
   avahi-daemon
   dnsmasq
   dnsmasq//libvirt_leaseshelper
   identd
   klogd
   mdnsd
   nmbd
   nscd
   php-fpm
   ping
   samba-bgqd
   smbd
   smbldap-useradd
   smbldap-useradd///etc/init.d/nscd
   syslog-ng
   syslogd
   traceroute
0 profiles are in kill mode.
0 profiles are in unconfined mode.
0 processes have profiles defined.
0 processes are in enforce mode.
0 processes are in complain mode.
0 processes are unconfined but have a profile defined.
0 processes are in mixed mode.
0 processes are in kill mode.
मिलान सामग्री