Como verificar se um perfil AppArmor está ativo no Linux

Introdução

Neste laboratório, você aprenderá como verificar o status dos perfis do AppArmor em um sistema Linux. AppArmor é um módulo de segurança que utiliza perfis para restringir as ações de aplicativos, aprimorando a segurança do sistema. Você explorará três métodos para determinar se os perfis do AppArmor estão ativos e como eles são configurados.

Especificamente, você usará o comando aa-status para listar os perfis carregados e seus modos (enforce ou complain), examinará o conteúdo do diretório /etc/apparmor.d para ver os arquivos de perfil disponíveis e inspecionará o status do AppArmor dentro do sistema de arquivos /sys/kernel/security. Essas etapas fornecerão uma compreensão abrangente de como verificar o estado operacional do AppArmor.

Listar perfis AppArmor com aa-status

Nesta etapa, você aprenderá como listar os perfis do AppArmor ativos em seu sistema usando o comando aa-status. AppArmor é um módulo de segurança que fornece controle de acesso obrigatório (MAC - Mandatory Access Control) confinando programas a um conjunto limitado de recursos.

Pense nos perfis do AppArmor como políticas de segurança para aplicativos específicos. Eles definem quais arquivos, recursos de rede e outras capacidades do sistema um aplicativo tem permissão para acessar. Isso ajuda a impedir que software malicioso ou aplicativos comprometidos causem danos generalizados.

Para ver quais perfis estão atualmente carregados e em vigor, abra seu terminal e digite o seguinte comando:

sudo aa-status

Você precisa usar sudo porque verificar o status do AppArmor requer privilégios administrativos.

Após executar o comando, você verá uma saída semelhante a esta:

apparmor module is loaded.
...
profiles are loaded.
...
profiles are in enforce mode.
...
profiles are in complain mode.
...
processes are unconfined.
...

A saída fornece um resumo do status do AppArmor:

• apparmor module is loaded: Indica que o módulo do kernel do AppArmor está ativo.
• profiles are loaded: Mostra o número total de perfis do AppArmor carregados no kernel.
• profiles are in enforce mode: Lista os perfis que estão restringindo ativamente o comportamento dos aplicativos associados. Se um aplicativo tentar fazer algo não permitido por seu perfil em modo enforce, a ação é bloqueada e uma mensagem de log é gerada.
• profiles are in complain mode: Lista os perfis que estão monitorando o comportamento dos aplicativos associados, mas não estão aplicando restrições. Se um aplicativo tentar fazer algo não permitido por seu perfil em modo complain, a ação é permitida, mas uma mensagem de log é gerada. Este modo é útil para desenvolver e testar perfis.
• processes are unconfined: Mostra o número de processos em execução que não estão sendo gerenciados por um perfil do AppArmor.

Compreender a saída de aa-status é o primeiro passo para gerenciar o AppArmor e entender a postura de segurança do seu sistema.

Clique em Continuar para prosseguir para a próxima etapa.

Verificar perfis em /etc/apparmor.d

Na etapa anterior, você viu uma lista de perfis do AppArmor carregados usando aa-status. Agora, vamos explorar onde esses perfis são armazenados no sistema de arquivos.

Os perfis do AppArmor estão tipicamente localizados no diretório /etc/apparmor.d/. Este diretório contém os arquivos de perfil, que são arquivos de texto simples que definem as regras para cada aplicativo confinado.

Para listar o conteúdo deste diretório, use o comando ls:

ls /etc/apparmor.d/

Você verá uma lista de arquivos e diretórios. Cada arquivo neste diretório (que não está em um subdiretório como abstractions ou tunables) geralmente representa um perfil específico do AppArmor para um aplicativo.

Exemplo de saída:

bootchartd             usr.sbin.tcpdump
...

Esses nomes de arquivos geralmente correspondem ao caminho do executável que eles são projetados para confinar. Por exemplo, usr.sbin.tcpdump é o perfil para o comando /usr/sbin/tcpdump.

Você pode visualizar o conteúdo de um arquivo de perfil usando um editor de texto como nano. Vamos olhar para o perfil de usr.sbin.tcpdump. Digite o seguinte comando:

nano /etc/apparmor.d/usr.sbin.tcpdump

Isso abrirá o arquivo de perfil no editor nano. Você verá linhas definindo regras de acesso a arquivos, permissões de rede e outras restrições. Não se preocupe em entender cada linha agora; o objetivo é apenas ver a estrutura de um arquivo de perfil.

Para sair do nano, pressione Ctrl + X. Se você fez alguma alteração, ele perguntará se você deseja salvar. Pressione N para Não, e depois Enter para confirmar.

Explorar os arquivos em /etc/apparmor.d/ fornece informações sobre as políticas de segurança específicas aplicadas a diferentes aplicativos em seu sistema.

Clique em Continuar para prosseguir.

Inspecionar o status do AppArmor em /sys/kernel/security

Além do comando aa-status, você também pode inspecionar o status do AppArmor diretamente através do sistema de arquivos /sys. O sistema de arquivos /sys fornece uma interface para as estruturas de dados do kernel e inclui informações sobre módulos de segurança como o AppArmor.

O diretório relevante para o status do AppArmor dentro de /sys é /sys/kernel/security/apparmor/.

Vamos listar o conteúdo deste diretório para ver quais informações estão disponíveis:

ls /sys/kernel/security/apparmor/

Você verá arquivos e diretórios que fornecem detalhes sobre o estado do AppArmor, como perfis carregados, regras de política e status de aplicação.

Exemplo de saída:

features  profiles  policy  revision  ...

Um arquivo particularmente útil é profiles. Você pode visualizar seu conteúdo usando o comando cat:

cat /sys/kernel/security/apparmor/profiles

Este arquivo lista os perfis do AppArmor atualmente carregados e seu status (por exemplo, enforce, complain ou unconfined). A saída é semelhante à lista de perfis que você viu com aa-status, mas é uma visualização direta do estado do kernel.

Exemplo de saída:

/usr/sbin/tcpdump (enforce)
...

Inspecionar o diretório /sys/kernel/security/apparmor/ e seus arquivos fornece uma maneira de nível inferior de entender o status do AppArmor e pode ser útil para depuração ou análise avançada.

Você agora aprendeu três maneiras diferentes de verificar o status e a presença de perfis do AppArmor em um sistema Linux.

Clique em Continuar para concluir o laboratório.

Resumo

Neste laboratório, você aprendeu como verificar se um perfil do AppArmor está ativo no Linux. Você começou usando o comando aa-status com sudo para listar os perfis do AppArmor carregados e entender seu status, incluindo se eles estão no modo enforce ou complain. Este comando fornece uma visão geral rápida do estado do módulo AppArmor e do número de perfis que gerenciam ativamente os processos.

O laboratório também abordou como inspecionar o diretório /etc/apparmor.d para visualizar os arquivos de perfil do AppArmor disponíveis, que representam as políticas de segurança para diferentes aplicativos. Finalmente, você aprendeu como examinar o caminho /sys/kernel/security para confirmar a presença e o status do módulo do kernel AppArmor dentro da estrutura de segurança do sistema.