Ders 3.51: Günlüklerinden bir AppArmor profili yazmak
Ubuntu'nun zorunlu erişim denetimi AppArmor, bir programı kim çalıştırırsa çalıştırsın, root dahil, profilinde yazılı yol ve izin listesiyle sınırlar. Gözlem (complain) kipinde yalnızca neyi engelleyeceğini günlüğe yazar; bir programın gerçekte neye ihtiyaç duyduğunu böyle öğrenirsin. Laboratuvarda Northwind'in eski fatura oluşturucusu root olarak çalışmak zorunda ve müşterilerin yüklediği dosyaları işliyor. Taslak profili bir gündür günlük tutuyor. Günlükleri okuyor, işin tam olarak ihtiyaç duyduğu kuralları ekliyor (bir saldırganın dosyasının tetiklediğini değil), zorlama kipine geçiyor ve aynı saldırının başarısız olduğunu izliyorsun.
18 dk
Bu derste öğreneceklerin
- AppArmor profillerini ve kiplerini açıklamak
- Çekirdek günlüğündeki ALLOWED ve DENIED kayıtlarını okumak
- En az ayrıcalıklı yol kuralları yazmak
- Bir profili apparmor_parser ile yüklemek ve zorlamak
- Gözlem kipi günlüklerinde bir saldırıyı tanımak
Temel terimler
- AppArmor profili
- Bir programın kullanabileceği yolları ve izinleri listeleyen /etc/apparmor.d içindeki dosya.
- Gözlem (complain) kipi
- Hiçbir şey engellenmez; profil dışındaki erişimler ALLOWED olarak günlüğe yazılır.
- Zorlama (enforce) kipi
- Profil dışındaki erişimler reddedilir ve DENIED olarak günlüğe yazılır.
- Yol kuralı
- Virgülle biten bir glob ve izinler: r okuma, w yazma, a ekleme, m eşleme, k kilit.
- Soyutlama
- Dinamik yükleyici ve libc gibi çoğu programın ihtiyaç duyduğu kuralları içeren ortak bir ekleme.
- apparmor_parser
- Bir profili derler ve çekirdeğe yükler ya da değiştirir.
← Yetenekler: parça parça root'un güçleri · Tüm dersler · Zarar görmüş bir LUKS başlığını kurtarmak →