Vorbereitung¶

Bevor man eine eigene Regel für ein Programm schreibt, sollte man sich überlegen, welche Bestandteile des Programms man alle benutzen möchte. Am besten erstellt man sich eine Liste dieser Features, denn wenn man hier etwas vergisst, dann wird das AppArmor-Profil unter Umständen nachher die Benutzung dieses Features verbieten. Man sollte auch Dinge bedenken, die das Programm nur selten oder nur unter ganz bestimmten Voraussetzungen macht. Diese Vorgänge muss man versuchen, nachzustellen, damit AppArmor sie erfassen kann.

Erstellen einer Log¶

Ist man sich sicher, dass man jedes Feature im Kopf hat, kann es los gehen. Man startet nun das Programm im "Complain-modus", indem man vom Terminal aus folgenden Befehl eingibt:

sudo aa-genprof <Programmname> 

AppArmor wird versuchen, den Pfad zum Programm zu ermitteln. Dies klappt jedoch nicht immer und es kann ggf. notwendig sein, den kompletten Pfad zur Datei anzugeben anstatt nur den Namen des Programms. Danach wird diese Ausgabe im Terminal erscheinen:

Connecting to repository.....
Writing updated profile for /usr/bin/Programm-Name.
Setting /usr/bin/Programm-Name to complain mode.

Please start the application to be profiled in
another window and exercise its functionality now.

Once completed, select the "Scan" button below in
order to scan the system logs for AppArmor events.

For each AppArmor event, you will be given the
opportunity to choose whether the access should be
allowed or denied.

Profiling: /usr/bin/Programm-Name

[(S)can system log for SubDomain events] / (F)inish

in der man aufgefordert wird, das Programm zu starten. Dies sollte man auch machen und es ist der Zeitpunkt gekommen indem man nun das Programm ausgiebig benutzen sollte. Jedes Feature des Programms, das man jetzt nicht benutzt wird möglicherweise später von AppArmor verboten werden. Es muss also sehr penibel darauf geachtet werden wirklich alles zu machen, was man mit dem Programm machen kann/will.

Ist man fertig, kann man das Programm, für das man ein Profil erstellen möchte, beenden und drückt im Terminal-Fenster von oben die S -Taste.

Erstellen des eigentlichen Profils¶

AppArmor liest jetzt die Syslog aus und wird einen daraufhin eine Reihe von Fragen stellen, was dem Programm erlaubt werden soll und was nicht. Die Fragen gliedern sich in 2 Kategorien: Programme ausführen und Dateien lesen/schreiben.

• Eine Abfrage ob ein Programm ausgeführt werden darf sieht zum Beispiel so aus:

Profile:  /usr/local/bin/sylpheed
Execute:  /usr/bin/gpg
Severity: unknown

[(I)nherit] / (P)rofile / (U)nconfined / (D)eny / Abo(r)t / (F)inish

• Eine Abfrage über Zugriffsrechte auf eine Datei sieht zum Beispiel so aus:

Profile:  /usr/local/bin/sylpheed
Path:     /etc/fonts/conf.avail/20-fix-globaladvance.conf
Mode:     r
Severity: unknown

  1 - #include <abstractions/fonts>
  2 - #include <abstractions/gnome>
  3 - #include <abstractions/kde>
  4 - /etc/fonts/conf.avail/20-fix-globaladvance.conf
 [5 - /etc/fonts/**]

[(A)llow] / (D)eny / (G)lob / Glob w/(E)xt / (N)ew / Abo(r)t / (F)inish

Die Bedeutung der einzelnen Überschriften und Wahlmöglichkeiten kann man der folgenden Tabelle entnehmen:

Es gilt bei jeder Frage individuell zu prüfen wie gefährlich es ist den Zugriff auf die einzelne Datei oder ihren ganzen Oberordner zu erlauben bzw. ob das Programm ausgeführt werden darf.

Stellt AppArmor keine Fragen mehr, kann das Profil mit der S -Taste speichern und mit der F -Taste dann das Programm verlassen werden. Zuletzt sollte man das erfolgreiche Erstellen der Regel mit:

sudo aa-status 

überprüfen. Dort sollte das Profil im Complain-Modus aufgelistet werden.

Testen des Profils¶

Nachdem das Profil erstellt wurde, gilt es nun, es in den Enforce-Modus zu setzen und dann den AppArmor-Dienst neu zu laden:

sudo /etc/init.d/apparmor reload 

Von nun an wird AppArmor jeden Zugriff des Programms, der nicht im Profil erlaubt wurde, verbieten. Es bietet sich also an, das Programm wieder ausgiebig zu testen, um zu schauen, ob alles funktioniert.

Feintuning des Profils¶

Stellt man fest, dass etwas im Programm nach Aktivierung eines Profils nicht mehr funktioniert, kann man nachträglich ein Feintuning durchführen. Dazu startet man das Programm logprof:

sudo aa-logprof 

logprof überprüft die Syslog nach Meldungen, dass AppArmor etwas verboten hat. Man bekommt für die gefundenen Meldungen jetzt nochmal die gleichen Fragen gestellt wie oben und kann das Profil updaten.

Links¶

• AppArmor - Hauptartikel