Debian AppArmor 配置
AppArmor 是一个 Linux 内核安全模块，用于限制程序的能力，从而增强系统的安全性。它通过配置文件来定义程序可以访问的文件、目录和网络资源。本文将介绍如何在 Debian 系统中配置和使用 AppArmor。
什么是 AppArmor？
AppArmor 是一种基于路径的访问控制机制，它通过为每个应用程序创建配置文件来限制其行为。这些配置文件定义了应用程序可以访问的文件、目录和网络资源。AppArmor 的主要目标是防止应用程序被滥用或利用，从而减少系统的攻击面。
安装 AppArmor
在 Debian 系统中，AppArmor 通常已经预装。如果没有安装，可以使用以下命令进行安装：
sudo apt-get update
sudo apt-get install apparmor apparmor-utils
安装完成后，可以使用以下命令检查 AppArmor 的状态：
sudo aa-status
输出将显示当前启用的 AppArmor 配置文件以及正在运行的受限制进程。
配置 AppArmor
1. 创建 AppArmor 配置文件
AppArmor 配置文件通常位于 /etc/apparmor.d/ 目录下。每个配置文件对应一个应用程序，文件名通常与应用程序的路径相关。例如，/usr/bin/firefox 的配置文件可能命名为 usr.bin.firefox。
要创建一个新的配置文件，可以使用 aa-genprof 命令。例如，为 nginx 创建配置文件：
sudo aa-genprof nginx
该命令将启动一个交互式会话，指导你为 nginx 创建配置文件。
2. 编辑 AppArmor 配置文件
配置文件使用一种简单的语法来定义应用程序的访问权限。以下是一个简单的配置文件示例：
#include <tunables/global>
/usr/sbin/nginx {
#include <abstractions/base>
#include <abstractions/nameservice>
/etc/nginx/** r,
/var/log/nginx/** rw,
/var/www/html/** r,
/run/nginx.pid rw,
capability dac_override,
capability net_bind_service,
network inet tcp,
}
在这个示例中，nginx 被允许读取 /etc/nginx/ 目录下的所有文件，写入 /var/log/nginx/ 目录下的日志文件，并访问 /var/www/html/ 目录下的网页文件。此外，nginx 还被授予了 dac_override 和 net_bind_service 的能力，并允许使用 TCP 网络。
3. 加载和启用配置文件
创建或编辑配置文件后，需要将其加载到内核中：
sudo apparmor_parser -r /etc/apparmor.d/usr.sbin.nginx
要启用配置文件，可以使用以下命令：
sudo aa-enforce /usr/sbin/nginx
要禁用配置文件，可以使用以下命令：
sudo aa-complain /usr/sbin/nginx
4. 测试 AppArmor 配置
在启用配置文件后，可以通过运行应用程序并观察其行为来测试配置是否正确。如果应用程序被限制访问某些资源，AppArmor 将记录相关日志。可以使用以下命令查看日志：
sudo dmesg | grep apparmor
实际案例
假设你正在运行一个 Web 服务器，并且希望限制 nginx 的访问权限，以防止其访问敏感文件。你可以创建一个 AppArmor 配置文件，限制 nginx 只能访问 /var/www/html/ 目录下的文件，并且只能写入 /var/log/nginx/ 目录下的日志文件。
通过这种方式，即使 nginx 被攻击者利用，攻击者也无法访问系统上的其他文件或目录，从而增强了系统的安全性。
总结
AppArmor 是一个强大的工具，可以帮助你增强 Debian 系统的安全性。通过为每个应用程序创建配置文件，你可以限制其访问权限，从而减少系统的攻击面。本文介绍了如何安装、配置和使用 AppArmor，并提供了一个实际案例来展示其应用场景。
附加资源
练习
- 为你的系统中运行的某个应用程序创建一个 AppArmor 配置文件。
- 使用
aa-genprof命令生成配置文件，并根据应用程序的需求进行编辑。 - 启用配置文件并测试应用程序的行为，确保其访问权限被正确限制。