このユーティリティは、選択したプログラムやアプリケーションに対して、 概要プロファイルを作成します。バイナリの実行形式のほか、インタプリタ 型のスクリプトプログラムに対しても、プロファイルを作成することができます。 作成されたプロファイルが 「概要プロファイル」 と呼ばれる のは、 AppArmor の制限下で動作するにあたって必要となる、すべての項目が含まれて いるわけではないことによります。 aa-autodep が生成する 最低限のプロファイルには、ほとんどのプログラムで必要となるプロファイル項目を 含む、基本的な include ディレクティブが書かれます。プログラムの種類によっては、 aa-autodep がさらに詳しいプロファイルを生成する場合もあります。 これはコマンドラインで指定した実行ファイルに対し、再帰的に ldd(1) を呼び出すことで生成されたプロファイルです。

概要プロファイルを作成するには aa-autodep プログラムを使用して行ないます。 aa-autodep に指定するパラメータは、パス名を含まないプログラム名 (aa-autodep 内部で PATH 環境変数を参照して検索します) かフルパスのプログラム名で指定します。概要 プロファイルを作成するプログラムには、任意の種類のものを指定できます (ELF 形式のバイナリ、シェルスクリプト、 Perl スクリプトなど) 。 aa-autodep は後に続く動的なプロファイル改善処理を行なう目的で、 概要プロファイルを作成します。

作成された概要プロファイルは、 AppArmor のプロファイル命名規約に従って /etc/apparmor.d ディレクトリ以下に作成されます。 これはプログラムの絶対パスのうち、スラッシュ (/) をピリオド (.) に置き換えた名前になります。 aa-autodep は通常、 root でログインした状態で、 端末ウインドウから下記のように入力して実行します:

aa-autodep [ -d /path/to/profiles ] [program1 program2...]

プログラム名を指定しない場合は、 aa-autodep の起動後に 問い合わせが表示されます。また、 /path/to/profiles を指定すると、既定で /etc/apparmor.d に設定されて いるプロファイルのパスを上書きすることができます。これにより、既定の 場所以外にプロファイルを作成することができます。

プロファイル作成を始めるには、まずお使いのアプリケーションを構成する それぞれの実行ファイルやサービスに対して、プロファイルを作成しなければ なりません (既にプロファイルを作成してあるプログラムや、そこから起動 される子プロセスなどは除きます) 。このようなプログラムを全て調べるのは 面倒な作業ですが、下記のようなやり方で調べることができます:

不平モード／学習モードツール (aa-complain) は、 プロファイル済みのプログラムが許可されていないファイルにアクセスした場合など、 プロファイルルールの違反事例を検出するようにします。この場合、違反事例は 許可されるものの、ログが記録されます。プロファイルを改善するには、まず 不平モードに設定したあとプログラムを起動し、プログラムの振る舞いを記録させる ために一通りの機能を動作させます。あとは AppArmor ツールを利用してログファイルを 事後処理し、ログイベントをプロファイルに適用します。

不平モードを手作業 (コマンドライン経由) で有効にした場合、プロファイルの 冒頭にフラグを追加します。これにより /bin/foo と書かれて いる行が /bin/foo flags=(complain) のようになります。 不平モードを使用するには、端末ウインドウを開いて root になり、 下記のいずれかを入力します:

上記のコマンドは、いずれも指定したプロファイルやプログラムに対して、 不平モードを有効にします。プログラム名がフルパス表記でない場合、 aa-complain はプログラムを $PATH 内で検索します。 たとえば aa-complain /usr/sbin/* のように実行すると、 /usr/sbin 以下にある全てのプログラムに関連づけられて いるプロファイルを検索し、不平モードに切り替えます。また、 aa-complain /etc/apparmor.d/* のように実行すると、 /etc/apparmor.d 内にある全てのプロファイルを 不平モードに切り替えます。

	YaST を利用したプロファイルのモード切り替え
YaST では、不平モードや強制モードへのプロファイル切り替えについて、 グラフィカルなフロントエンドを提供しています。詳しくは 22.6.2項 「個別のプロファイルに対するモード変更」 をお読みください。

強制モードでは、 AppArmor のプロファイル済みのプログラムが許可されていない ファイルにアクセスした場合など、プロファイルルールの違反事例を検出し、 禁止します。強制モードは通常時に使用しておくべきものです。違反事例を 検出だけして、禁止したくない場合は、不平モードをお使いください。

強制モードを手作業 (コマンドライン経由) で有効にした場合、プロファイルの 冒頭にフラグを追加します。これにより /bin/foo と書かれて いる行が /bin/foo flags=(enforce) のようになります。 強制モードを使用するには、端末ウインドウを開いて root になり、 下記のいずれかを入力します:

上記のコマンドは、いずれも指定したプロファイルやプログラムに対して、 強制モードを有効にします。

プログラム名やプロファイル名を指定しない場合は、起動後に問い合わせが 表示されます。また、 /path/to/profiles を指定すると、既定で /etc/apparmor.d に設定されて いるプロファイルのパスを上書きすることができます。

パラメータにはプログラム名のほか、プロファイルの一覧を指定することも できます。プログラム名がフルパス表記でない場合、 aa-enforce はプログラムを $PATH 内で検索します。

	YaST を利用したプロファイルのモード切り替え
YaST では、不平モードや強制モードへのプロファイル切り替えについて、 グラフィカルなフロントエンドを提供しています。詳しくは 22.6.2項 「個別のプロファイルに対するモード変更」 をお読みください。

aa-genprof は AppArmor のプロファイル生成ユーティリティです。 指定したプログラムに対して aa-autodep を起動して 概要プロファイルを作成 (プロファイルが存在していなかった場合) し、プロファイルを 不平モードに切り替えます。その後 AppArmor の再読み込み処理を行なってログに印を付け、 ユーザに対してプログラムを起動して一通りの機能を利用するように促します。 aa-genprof の書式は下記のとおりです:

aa-genprof [ -d /path/to/profiles ]  program

たとえば Apache Web サーバのプログラムである httpd2-prefork に対して プロファイルを作成するには、下記の手順を root で実行します:

AppArmor のプロファイルを構築する際のグラフィカルなフロントエンドと同様に、 YaST の AppArmor プロファイルウイザードと aa-genprof では、 /etc/apparmor/profiles/extras ディレクトリ内にある ローカルプロファイル と、リモートの AppArmor プロファイルリポジトリ を利用することができます。

ローカルリポジトリ内のプロファイルを利用するには、下記の手順を実施します:

aa-genprof でリモートの AppArmor プロファイルリポジトリを使用するには、 下記の手順を実施します:

aa-logprof は、学習モードや不平モードで /var/log/audit/audit.log や /var/log/messages (auditd が動作していない場合) に出力されたログ項目を確認するための対話的なツールで、ここから AppArmor のセキュリティプロファイルに対する新しい項目を作成することができます。

aa-logprof を実行すると、学習モードや不平モードで生成されたログファイルを 読み込み、既存のプロファイルセットではカバーしていない、新しいセキュリティイベントが 存在しないかどうかを確認したあと、プロファイルの修正について提案を表示します。 学習モードや不平モードはプログラムの動作を追跡してそれらをログに記録する仕組みで あるため、 aa-logprof はこの情報を利用してプログラムの振る舞いを監視します。

制限下にあるプログラムが fork() したり他のプログラムを実行したりした 場合、 aa-logprof はこれを検知して、子プロセスの起動時に使用する実行モードを ユーザに問い合わせます。実行モードはそれぞれ ix, px, Px, ux, Ux の中から選択します。子プロセスに 対して個別のプロファイルが存在する場合、既定の選択肢は px に なります。個別のプロファイルが存在しない場合は、既定値は ix になります。個別のプロファイルが存在する子プロセス に対しても aa-autodep を動作させ、 AppArmor 内に読み込む必要があります。

aa-logprof が終了すると、プロファイルは更新されます。 AppArmor モジュールが動作している 場合は更新されたプロファイルが再読み込みされます。また、セキュリティイベントを 生成しているプロセスが、その時点でも NULL-不平プロファイルで動作していた場合は、 それらのプロセスは適切なプロファイルで動作するように設定されます。

aa-logprof を実行するには、 root でログインしている 状態で端末ウインドウから aa-logprof と入力します。 aa-logprof に対しては下記のようなオプションを指定できます:

aa-logprof がログを読み出すと、それぞれ記録されたイベントに対して、どのように 処理すべきかを尋ねてきます。それぞれの質問には AppArmor ルールに対する番号付きリストが 表示され、その番号を選択することでルールに追加することができるようになっています。

既定では aa-logprof は、 /etc/apparmor.d/ 内でプロファイルを検索し、 /var/log/messages 内で ログを検索します。多くの場合、 root で aa-logprof を起動すれば、プロファイルを作成するには十分な環境となります。

ただし、ログのローテーション (今まで書き込んでいたログの書き込みを停止し、 新しいログへの書き込みを始めること) 期間をまたいでいる場合など、アーカイブ されたログファイルを検索する必要がある場合は注意が必要です。この場合は zcat -f `ls -1tr /var/log/messages*` | aa-logprof -f - のようにして実行してください。

下記に示す例は、 aa-logprof が httpd2-prefork のログを調査している場合の 例で、 /etc/group ファイルへのアクセスを行なって います。なお、 [] は既定値を示しています。

下記の例では /etc/group へのアクセスが httpd2-prefork のネームサービスアクセスの一部として扱っています。ここでの適切な応答は 1 で、 AppArmor ルール集として事前に定義されているものを 取り込むように指定します。 1 である #include を選択すると、 DNS 参照に分類される全ての質問のうち、今後発生するものを ネームサービスのパッケージで全て解決するようになります。また、このように することで、 DNS の設定を変更してもプロファイルが役に立たなくなるような 事態を防ぐことができるほか、関連するネームサービス関連の設定をひとまとめに することができます。

Profile:  /usr/sbin/httpd2-prefork
Path:     /etc/group
New Mode: r

[1 - #include <abstractions/nameservice>]
 2 - /etc/group
[(A)llow] / (D)eny / (N)ew / (G)lob / Glob w/(E)xt / Abo(r)t / (F)inish

それぞれ下記のように入力します:

たとえば vsftpd に対してプロファイル作成を行なうと、下記のような 質問が表示されます:

Profile:  /usr/sbin/vsftpd
Path:     /y2k.jpg
New Mode: r

[1 - /y2k.jpg]

(A)llow / [(D)eny] / (N)ew / (G)lob / Glob w/(E)xt / Abo(r)t / (F)inish

この質問にはいくつか注目すべき項目があります。まず 1 つめには、 openSUSE 上で動作する vsftpd は、既定では /srv/ftp 内にあるファイルを公開するはずなのに対し、 トップレベルのディレクトリにある項目のアクセス可否を尋ねていることがあります。 これは vsftpd が chroot を使用 しているためで、コードの一部が chroot 環境内で動作するためです。 AppArmor はグローバルな絶対パスではなく、 chroot 環境下のパスとしてファイル アクセスを確認するためです。

2 つめに注目すべき項目としては、このディレクトリ内にある全ての JPEG ファイルに対して FTP からの読み込みアクセスを許可したい場合、 拡張子付きグロブ を利用し、 /*.jpg というパスを設定できる点です。このようにして個別の .jpg ファイルに対するアクセス許可ルールを集約し、 今後発生する .jpg ファイルの質問に対して、 前もって手を打つことができます。

最後に、 FTP で提供されているファイルに対してより広範囲のアクセス許可を 設定することができます。最後の行に書かれている Glob を選択すると、 aa-logprof は表示されているパス /y2k.jpg を /* に置き換える ことができます。またこれ以外にも、ディレクトリツリー全体に対してアクセス 許可を設定したい場合は、 New を選択してから /**.jpg と入力する (サブディレクトリを含む全ての .jpg ファイルにアクセスを許可する意味) か、もしくは /** と入力して (サブディレクトリを含む全てのファイルに アクセスを許可する意味) ください。

ここまでの説明では読み込みアクセスについて記述してきましたが、書き込み アクセスに対しても同様です。ただし書き込みアクセスに対しては、正規表現を 使用する場合でもより注意して作っておいたほうが良いでしょう。また、実行 許可の設定はより複雑なやり方になります。詳しくは 例23.1「学習モードの例外: 特定リソースに対するアクセス制御」 をお読みください。

下記の例では、 /usr/bin/mail というメールクライアントに 対してプロファイルを作成していて、 /usr/bin/mail が /usr/bin/less をヘルパーアプリケーションとして呼び出し、 長いメールメッセージを表示している例です:

/usr/bin/nail -> /usr/bin/less
(I)nherit / (P)rofile / (U)nconfined / (D)eny

/usr/bin/mail の実際の実行ファイルは /usr/bin/nail です。印字ミスなどではありません。

プログラム /usr/bin/less は 1 画面以上にわたる テキストファイルに対して、これをスクロールさせながら読むのに適した シンプルなソフトウエアです。 /usr/bin/mail が使用して いることからもわかるとおり、シンプルではありますがパワフルで広範囲の用途を 持った、 tar や rpm のようなヘルパーアプリケーションを使用することもできる ソフトウエアです。

tar 形式のファイルや RPM ファイルに対して less を 実行すると、これらのファイルに含まれる内容を表示することができます。

たとえばメールメッセージを表示したとき、 rpm コマンドを 自動では動作させたくない場合 (RPM ファイルはシステムプログラムを インストールしたり修正したりする機能があるため、 Microsoft* Outlook スタイルの直接的なウイルス攻撃になります) は、 継承 を選択しておくのがベストです。これにより、この環境下で less プログラムを 実行すると、 /usr/bin/mail 向けのプロファイルで 動作するようになるため、下記のような影響があります:

その他の状況下では、 プロファイル オプションを使用する こともできます。これは aa-logprof に対して 2 つの影響があります:

制限下にあるプログラムが fork() したり他のプログラムを実行したりした 場合、 aa-logprof はこれを検知して、子プロセスの起動時に使用する 実行モードをユーザに問い合わせます。実行モードはそれぞれ継承、 プロファイル、無制限、もしくは実行の拒否を選択できます。

また、子プロセスに対して個別のプロファイルが存在する場合、既定の選択肢は プロファイルになります。個別のプロファイルが存在しない場合は、既定値は 継承になります。継承 (ix) について、詳しくは 20.7項 「ファイルのアクセス許可とアクセスモード」 をお読みください。

プロファイルの選択肢は、子プロセスに対して独自のプロファイル下で実行 させることを指しています。 2 つめの質問では、親から引き継ぐ子プロセス 向けの環境変数について、実行動作を変更することのできるものを取り除く かどうかが問い合わせられます。取り除く処理を有効にすると、お使いの AppArmor プロファイル内にある実行オプションに Px が設定され ます。取り除く処理を選択しなかった場合は実行オプションに px が設定され、環境変数はそのまま引き継がれます。プロファイルを選択した 場合の実行モードの既定値は px です。

無制限モードでの実行は非推奨であり、その他の選択ではどうしても動作する プロファイルを生成できない場合にのみ選択すべきものです。無制限オプションを 選択すると、警告ダイアログが表示されて確認が求められます。メッセージを確認 して はい を押すと、実行動作を変更することのできる 環境変数について、これらを取り除くかどうかを選択します。 はい を選択すると、お使いのプロファイル内の実行オプションに Ux が設定されます。 いいえ を選択すると実行モードは ux が設定されます。無制限モードでの既定値は Ux です。

	無制限モードでの実行
ux の選択は非常に危険なものであり、プログラムの実行 動作に対して一切の強制力 (セキュリティ観点での) が働かなくなります。

aa-unconfined コマンドは、お使いのシステムからネットワークに対して 開いているポートを検出し、システムに読み込まれているプロファイル集との 比較を行ないます。その後、 AppArmor プロファイルが適用されていない ネットワークサービスについて報告を行ないます。このコマンドの実行には root の権限が必要で、 AppArmor のプロファイルでの制限を受けてはいけません。

aa-logprof は /proc ファイルシステムから プロセスの実行ファイルへのリンクを探すため、 root で動作させなければ なりません。なお、このプログラムは下記のような状況では正しく動作しない 場合もあります:

このプログラムは TCP と UDP を使用しているプロセスのみを列挙します。 つまり、このプログラムは危険箇所を把握するためのソフトウエアではなく、 検証環境などからネットワークにアクセスできる全てのプログラムを検出し、 プロファイルを作成するために用意されているものです。