AppArmor : プロファイルの有効化/無効化2024/06/18 |
|
AppArmor でロードされている各プロファイルは、以下のようにして個別に 有効化/無効化 することができます。 |
|
| [1] | AppArmor を操作するための各種ツールが含まれたパッケージをインストールしておきます。 |
|
root@dlp:~# apt -y install apparmor-utils
|
| [2] | プロファイルを無効化する場合は以下のように設定します。 |
|
root@dlp:~# aa-status apparmor module is loaded. 112 profiles are loaded. 24 profiles are in enforce mode. /usr/bin/man /usr/lib/snapd/snap-confine /usr/lib/snapd/snap-confine//mount-namespace-capture-helper lsb_release man_filter man_groff nvidia_modprobe nvidia_modprobe//kmod plasmashell plasmashell//QtWebEngineProcess rsyslogd tcpdump ubuntu_pro_apt_news ubuntu_pro_esm_cache ubuntu_pro_esm_cache//apt_methods ubuntu_pro_esm_cache//apt_methods_gpgv ubuntu_pro_esm_cache//cloud_id ubuntu_pro_esm_cache//dpkg ubuntu_pro_esm_cache//ps ubuntu_pro_esm_cache//ubuntu_distro_info ubuntu_pro_esm_cache_systemctl ubuntu_pro_esm_cache_systemd_detect_virt unix-chkpwd unprivileged_userns 0 profiles are in complain mode. 0 profiles are in prompt mode. 0 profiles are in kill mode. 88 profiles are in unconfined mode. ..... ..... # 各プロファイルの設定ファイルは以下 root@dlp:~# ll /etc/apparmor.d total 464 drwxr-xr-x 9 root root 4096 Jun 4 23:44 ./ drwxr-xr-x 108 root root 4096 Jun 17 04:08 ../ -rw-r--r-- 1 root root 354 Mar 31 07:27 1password -rw-r--r-- 1 root root 352 Mar 31 07:27 Discord -rw-r--r-- 1 root root 386 Mar 31 07:27 MongoDB_Compass -rw-r--r-- 1 root root 404 Mar 31 07:27 QtWebEngineProcess drwxr-xr-x 2 root root 4096 Apr 23 09:40 abi/ drwxr-xr-x 4 root root 4096 Apr 23 09:40 abstractions/ ..... ..... # プロファイルを個別に無効化する場合はプロファイル名を指定する # 例として [tcpdump] を無効化 root@dlp:~# aa-disable usr.bin.tcpdump Disabling /etc/apparmor.d/usr.bin.tcpdump. # 例として [rsyslogd] を無効化 root@dlp:~# aa-disable usr.sbin.rsyslogd Disabling /etc/apparmor.d/usr.sbin.rsyslogd. # 無効化されたプロファイルは以下で確認可 root@dlp:~# ll /etc/apparmor.d/disable total 8 drwxr-xr-x 2 root root 4096 Jun 18 00:16 ./ drwxr-xr-x 9 root root 4096 Jun 4 23:44 ../ lrwxrwxrwx 1 root root 31 Jun 18 00:16 usr.bin.tcpdump -> /etc/apparmor.d/usr.bin.tcpdump lrwxrwxrwx 1 root root 33 Jun 18 00:16 usr.sbin.rsyslogd -> /etc/apparmor.d/usr.sbin.rsyslogdroot@dlp:~# aa-status apparmor module is loaded. 110 profiles are loaded. 22 profiles are in enforce mode. /usr/bin/man /usr/lib/snapd/snap-confine /usr/lib/snapd/snap-confine//mount-namespace-capture-helper lsb_release man_filter man_groff nvidia_modprobe nvidia_modprobe//kmod plasmashell plasmashell//QtWebEngineProcess ubuntu_pro_apt_news ubuntu_pro_esm_cache ubuntu_pro_esm_cache//apt_methods ubuntu_pro_esm_cache//apt_methods_gpgv ubuntu_pro_esm_cache//cloud_id ubuntu_pro_esm_cache//dpkg ubuntu_pro_esm_cache//ps ubuntu_pro_esm_cache//ubuntu_distro_info ubuntu_pro_esm_cache_systemctl ubuntu_pro_esm_cache_systemd_detect_virt unix-chkpwd unprivileged_userns 0 profiles are in complain mode. 0 profiles are in prompt mode. 0 profiles are in kill mode. 88 profiles are in unconfined mode. ..... ..... |
| [3] | プロファイルを有効化する場合は以下のように設定します。 |
|
# 例として [tcpdump] を [enforce] モードで有効化 # [enforce] モード : プロファイルで許可された動作のみを許可 # [complain] モード : プロファイルで許可されない動作をログに記録するが拒否はしない root@dlp:~# aa-enforce usr.bin.tcpdump Setting /etc/apparmor.d/usr.bin.tcpdump to enforce mode. # 例として [rsyslogd] を [complain] モードで有効化 root@dlp:~# aa-complain usr.sbin.rsyslogd Setting /etc/apparmor.d/usr.sbin.rsyslogd to complain mode. aa-status apparmor module is loaded. 112 profiles are loaded. 23 profiles are in enforce mode. /usr/bin/man /usr/lib/snapd/snap-confine /usr/lib/snapd/snap-confine//mount-namespace-capture-helper lsb_release man_filter man_groff nvidia_modprobe nvidia_modprobe//kmod plasmashell plasmashell//QtWebEngineProcess tcpdump ubuntu_pro_apt_news ubuntu_pro_esm_cache ubuntu_pro_esm_cache//apt_methods ubuntu_pro_esm_cache//apt_methods_gpgv ubuntu_pro_esm_cache//cloud_id ubuntu_pro_esm_cache//dpkg ubuntu_pro_esm_cache//ps ubuntu_pro_esm_cache//ubuntu_distro_info ubuntu_pro_esm_cache_systemctl ubuntu_pro_esm_cache_systemd_detect_virt unix-chkpwd unprivileged_userns 1 profiles are in complain mode. rsyslogd 0 profiles are in prompt mode. 0 profiles are in kill mode. 88 profiles are in unconfined mode. ..... ..... |
| Sponsored Link |