AppArmorとは何ですか、またどのようにしてUbuntuを安全に保つのですか？

AppArmorは、Ubuntu 7.10以降、Ubuntuにデフォルトで含まれている重要なセキュリティ機能です。しかし、それはバックグラウンドで静かに実行されるので、あなたはそれが何であるか、そしてそれが何をしているのかを知らないかもしれません。.

AppArmorは脆弱なプロセスをロックし、これらのプロセスにおけるセキュリティの脆弱性が引き起こす可能性のある損害を制限します。 AppArmorは、セキュリティ強化のためにMozilla Firefoxをロックダウンするためにも使用できますが、デフォルトではこれを行いません。.

AppArmorとは何ですか?

AppArmorは、FedoraおよびRed Hatでデフォルトで使用されているSELinuxに似ています。これらは動作が異なりますが、AppArmorとSELinuxはどちらも「必須アクセス制御」（MAC）セキュリティを提供します。実際、AppArmorはUbuntuの開発者がプロセスが実行できるアクションを制限することを可能にします。.

たとえば、Ubuntuのデフォルト設定で制限されているアプリケーションの1つにEvince PDFビューアがあります。 Evinceはあなたのユーザーアカウントとして動作するかもしれませんが、それは特定の行動をとることしかできません。 Evinceには、PDF文書を実行して作業するために最低限必要な権限しかありません。 EvinceのPDFレンダラで脆弱性が発見され、Evinceを引き継ぐ悪意のあるPDF文書を開いた場合、AppArmorはEvinceによる被害を制限します。伝統的なLinuxセキュリティモデルでは、Evinceはあなたがアクセスできるすべてのものにアクセスできます。 AppArmorでは、PDFビューアがアクセスする必要のあるものだけにアクセスできます。.

AppArmorは、Webブラウザやサーバーソフトウェアなど、悪用される可能性のあるソフトウェアを制限するのに特に便利です。.

AppArmorのステータスの表示

AppArmorのステータスを表示するには、端末で次のコマンドを実行します。

sudo apparmor_status

AppArmorがシステム上で実行されているか（デフォルトで実行されているか）、インストールされているAppArmorプロファイル、および実行中の制限されたプロセスが表示されます。.

AppArmorプロファイル

AppArmorでは、プロセスはプロファイルによって制限されています。上記のリストはシステムにインストールされているプロトコルを示しています - これらはUbuntuに付属しています。 apparmor-profilesパッケージをインストールして他のプロファイルをインストールすることもできます。たとえばサーバーソフトウェアなどのパッケージには、パッケージと一緒にシステムにインストールされる独自のAppArmorプロファイルが付属している場合があります。ソフトウェアを制限するために独自のAppArmorプロファイルを作成することもできます。.

プロファイルは「苦情モード」または「強制モード」で実行できます。強制モード - Ubuntuに付属のプロファイルのデフォルト設定 - AppArmorは、アプリケーションが制限された動作を実行するのを防ぎます。苦情モードでは、AppArmorはアプリケーションが制限された行動を取ることを許可し、これについて不満を言うログエントリを作成します。コンプレインモードは、Enforceモードで有効にする前にAppArmorプロファイルをテストするのに理想的です - Enforceモードで発生する可能性のあるエラーが表示されます。.

プロファイルは/etc/apparmor.dディレクトリに格納されています。これらのプロファイルはコメントを含むことができるプレーンテキストファイルです.

Firefox用AppArmorを有効にする

AppArmorにはFirefoxのプロファイルが付属しています。 usr.bin.firefox ファイル /etc/apparmor.d ディレクトリ。 Firefoxを制限しすぎて問題を引き起こす可能性があるため、デフォルトでは有効になっていません。の /etc/apparmor.d/disable フォルダにこのファイルへのリンクが含まれているため、無効になっています。.

Firefoxプロファイルを有効にしてFirefoxをAppArmorに限定するには、次のコマンドを実行します。

sudo rm /etc/apparmor.d/disable/usr.bin.firefox

cat /etc/apparmor.d/usr.bin.firefox | sudo apparmor_parser -a

これらのコマンドを実行した後、 sudo apparmor_status もう一度コマンドを実行すると、Firefoxのプロファイルがロードされたことがわかります。.

問題が発生している場合にFirefoxプロファイルを無効にするには、次のコマンドを実行します。

sudo ln -s /etc/apparmor.d/usr.bin.firefox /etc/apparmor.d/disable/

sudo apparmor_parser -R /etc/apparmor.d/usr.bin.firefox

AppArmorの使用に関する詳細については、AppArmorの公式Ubuntuサーバーガイドのページを参照してください。.