AppArmor : प्रोफ़ाइल बनाएं : aa-autodep2023/09/20 |
[aa-autodep] कमांड के साथ किसी प्रोग्राम के लिए एक प्रोफ़ाइल बनाएं।
[aa-genprof] से भिन्न बिंदु यह है कि [aa-autodep] एक खाली प्रोफ़ाइल बनाता है और तुरंत समाप्त कर देता है, और फिर लक्ष्य प्रोग्राम को [complain] मोड नियंत्रण में दर्ज किया जाता है।
|
|
[1] | उदाहरण के लिए, [aa-autodep] कमांड के साथ सांबा के लिए एक प्रोफ़ाइल बनाएं। |
# Samba के लिए एक प्रोफ़ाइल बनाएं root@dlp:~# aa-autodep /usr/sbin/smbd Writing updated profile for /usr/sbin/smbd. # इसे [complain] मोड में दर्ज किया गया है root@dlp:~# aa-status apparmor module is loaded. 14 profiles are loaded. 13 profiles are in enforce mode. /usr/bin/man /usr/lib/NetworkManager/nm-dhcp-client.action /usr/lib/NetworkManager/nm-dhcp-helper /usr/lib/connman/scripts/dhclient-script /usr/lib/snapd/snap-confine /usr/lib/snapd/snap-confine//mount-namespace-capture-helper /{,usr/}sbin/dhclient lsb_release man_filter man_groff nvidia_modprobe nvidia_modprobe//kmod tcpdump 1 profiles are in complain mode. /usr/sbin/smbd ..... ..... # इसके बाद, इसे [complain] मोड में आवश्यक संचालन सीखने की जरूरत है # Samba जैसे बड़े पैमाने के अनुप्रयोग के लिए, इसे कई आवश्यक संचालन सीखने की आवश्यकता है # लंबे समय तक लॉग में, शायद कुछ महीनों में # लॉग में प्रत्येक अनधिकृत कार्रवाई के लिए चरण दर चरण नीति निर्धारित करें root@dlp:~# aa-logprof Updating AppArmor profiles in /etc/apparmor.d. Reading log entries from /var/log/syslog. Complain-mode changes: Profile: /usr/sbin/smbd Path: /var/log/samba/log.smbd New Mode: owner w Severity: 8 [1 - include <abstractions/samba>] 2 - owner /var/log/samba/log.smbd w, (A)llow / [(D)eny] / (I)gnore / (G)lob / Glob with (E)xtension / (N)ew / Audi(t) / (O)wner permissions off / Abo(r)t / (F)inish Adding include <abstractions/samba> to profile. Profile: /usr/sbin/smbd Network Family: netlink Socket Type: raw [1 - include <abstractions/nameservice>] 2 - network netlink raw, (A)llow / [(D)eny] / (I)gnore / Audi(t) / Abo(r)t / (F)inish Adding include <abstractions/nameservice> to profile. Enforce-mode changes: Profile: /usr/bin/node Path: /dev/ttyS0 New Mode: owner rw Severity: 9 [1 - owner /dev/ttyS0 rw,] (A)llow / [(D)eny] / (I)gnore / (G)lob / Glob with (E)xtension / (N)ew / Audi(t) / (O)wner permissions off / Abo(r)t / (F)inish Adding owner /dev/ttyS0 rw, to profile. ..... ..... # यदि प्रोफ़ाइल अंततः पूरी हो गई है, तो लक्ष्य ऐप की सुरक्षा के लिए [enforce] मोड पर जाएँ root@dlp:~# aa-enforce /usr/sbin/smbd |
[2] | वैसे, यह यहां पर [aa-autodep] के साथ एक प्रोफ़ाइल बनाने के लिए एक उदाहरण के रूप में Samba का उपयोग करता है, हालांकि, कुछ प्रोफ़ाइल सांबा जैसे प्रसिद्ध और अक्सर उपयोग किए जाने वाले अनुप्रयोगों के लिए एक पैकेज के रूप में प्रदान की जाती हैं। |
root@dlp:~#
root@dlp:~# apt -y install apparmor-profiles dpkg -L apparmor-profiles /. /etc /etc/apparmor.d /etc/apparmor.d/apache2.d /etc/apparmor.d/apache2.d/phpsysinfo /etc/apparmor.d/bin.ping /etc/apparmor.d/local /etc/apparmor.d/php-fpm /etc/apparmor.d/samba-bgqd /etc/apparmor.d/sbin.klogd /etc/apparmor.d/sbin.syslog-ng /etc/apparmor.d/sbin.syslogd /etc/apparmor.d/usr.sbin.avahi-daemon /etc/apparmor.d/usr.sbin.dnsmasq /etc/apparmor.d/usr.sbin.identd /etc/apparmor.d/usr.sbin.mdnsd /etc/apparmor.d/usr.sbin.nmbd /etc/apparmor.d/usr.sbin.nscd /etc/apparmor.d/usr.sbin.smbd /etc/apparmor.d/usr.sbin.smbldap-useradd /etc/apparmor.d/usr.sbin.tracerouteroot@dlp:~# aa-status apparmor module is loaded. 31 profiles are loaded. 14 profiles are in enforce mode. /usr/bin/man /usr/bin/node /usr/lib/NetworkManager/nm-dhcp-client.action /usr/lib/NetworkManager/nm-dhcp-helper /usr/lib/connman/scripts/dhclient-script /usr/lib/snapd/snap-confine /usr/lib/snapd/snap-confine//mount-namespace-capture-helper /{,usr/}sbin/dhclient lsb_release man_filter man_groff nvidia_modprobe nvidia_modprobe//kmod tcpdump 17 profiles are in complain mode. avahi-daemon dnsmasq dnsmasq//libvirt_leaseshelper identd klogd mdnsd nmbd nscd php-fpm ping samba-bgqd smbd smbldap-useradd smbldap-useradd///etc/init.d/nscd syslog-ng syslogd traceroute 0 profiles are in kill mode. 0 profiles are in unconfined mode. 0 processes have profiles defined. 0 processes are in enforce mode. 0 processes are in complain mode. 0 processes are unconfined but have a profile defined. 0 processes are in mixed mode. 0 processes are in kill mode. |
Sponsored Link |
|