この章では、 AppArmor を動作させている際に 「裏側で何が行なわれている のか」 (および YaST インターフェイスの仕組み) について、非常に 基本的な部分を説明しています。

AppArmor のプロファイルは単純なテキストファイル形式で、パス項目とそれに対する アクセス権が書かれています。プロファイルについて、詳しくは 20.1項 「AppArmor プロファイルの構成」 をお読みください。この テキストファイル内に含まれている設定は AppArmor ルーチン側で読み取られた あと、プロセスやプログラムを検疫するために利用されます。

AppArmor のプロファイルやポリシーを構築したり強制したりするにあたって、 下記のようなツールを利用することができます:

いったんプロファイルを構築して読み込むと、そのプロファイルに対する処理 方法を下記のいずれかから選択できるようになります:

AppArmor に関して基本的な知識を得ることができたら、次はプロファイルを生成する アプリケーションを選択する番です。プロファイル処理が必要なプログラムは 特権を取り扱うもので、下記のようにプログラムを使用するユーザはその資源 へのアクセス許可を持っていないものの、そのツールの使用時にそれらへの アクセスが許可されるようなプログラムが該当します:

その一方、特権を使用しないプログラムはプロファイルを行なう必要は ありません。たとえばシェルスクリプトは cp プログラム を使用する場合があります。 cp プログラムは独自の プロファイルを持たないため、呼び出し元のシェルスクリプトのプロファイルを 引き継ぐことになりますので、親のシェルスクリプトで読み込みや書き込みを 許可しているファイルであれば、任意のファイルをコピーすることができます。

cron で実行するプログラムを調べるには、まずお使いの環境で cron の設定を 調べる必要があります。残念ながら cron の設定は若干複雑な仕組みになって いるため、調査対象のファイルは複数存在します。定期的な cron ジョブは、 下記のファイルに書かれています:

/etc/crontab 
/etc/cron.d/* 
/etc/cron.daily/* 
/etc/cron.hourly/*
/etc/cron.monthly/* 
/etc/cron.weekly/*

また、 root の cron ジョブについては crontab -e で編集を行なうことができるほか、 crontab -l でジョブの一覧を表示することができます。それぞれ root になった 状態で実行してください。

プログラムを見つけることができたら、あとは AppArmor プロファイル ウイザード でプロファイルを作成してください。ここから先は 22.1項 「ウイザードを使用したプロファイルの追加」 をお読みください。

プロファイル対象とすべきネットワークサーバとして、動作しているデーモンを 発見する自動的な方法として、 aa-unconfined ツールが 用意されています。

aa-unconfined ツールは netstat -nlp コマンドを使用して、お使いのコンピュータの内側から接続可能なポートを調査 したあと、そのポートを使用しているプログラムを判断し、読み込んだ AppArmor の プロファイル集を調べます。調査が終了すると、 aa-unconfined プログラムは各プログラムとそれに関連する AppArmor のプロファイル (プロファイルが 無い場合は 「なし」) を表示します。

新しいプロファイルを作成する場合は、 AppArmor で効率よく制限を受けられるように するため、プロファイルされているプログラムを再起動しなければなりません。

下記は　aa-unconfined の出力例です:

2325 /sbin/portmap not confined 
3702 /usr/sbin/sshd confined
   by '/usr/sbin/sshd (enforce)' 
4040 /usr/sbin/ntpd confined by '/usr/sbin/ntpd (enforce)' 
4373 /usr/lib/postfix/master confined by '/usr/lib/postfix/master (enforce)' 
4505 /usr/sbin/httpd2-prefork confined by '/usr/sbin/httpd2-prefork (enforce)'
5274 /sbin/dhcpcd not confined 
5592 /usr/bin/ssh not confined 
7146 /usr/sbin/cupsd confined by '/usr/sbin/cupsd (complain)'
  

aa-unconfined を実行するには root の権限が 必要であるほか、 AppArmor のプロファイルで制限されたシェルから実行しては いけません。

aa-unconfined はネットワークインターフェイスを 識別することはしていないため、内部の LAN インターフェイスに対してのみ 待ち受けているプロセスであっても、 AppArmor で制限されていない場合は常に 表示されることに注意してください。

ネットワーククライアントとして動作しているアプリケーションの検出は、 お使いの環境に依存します。 aa-unconfined ツール でもクライアントアプリケーションで開いているネットワークポートを検出し、 報告する機能を備えていますが、 aa-unconfined による 分析を行なったタイミングで動作しているクライアントアプリケーションしか 検出することができません。これは、ネットワークサービスは常時稼働している のに対し、ネットワーククライアントは必要な時にしかネットワークに接続しない ためです。

AppArmor のプロファイルをお使いのネットワーククライアントアプリケーションに 適用する際も、お使いの環境に依存します。そのため、ネットワーククライアント に対するプロファイルについては、ユーザ側でさらに調整する余地を残した作り にしています。

デスクトップアプリケーションに対して積極的に制限を行ないたい場合、 aa-unconfined コマンドに対して paranoid (偏執) オプションを設定してください。これにより動作中のすべてのプロセスと それに対応する AppArmor のプロファイルが、各プロセスに関連しているかどうかに 関わらず表示されるようになります。ユーザはその情報から、それらのプログラム に対して AppArmor のプロファイルを設定する必要があるかどうかを判断できます。

また、新しく作成したプロファイルや修正済みのプロファイルをお持ちの場合は、 apparmor-general@forge.novell.com のメーリングリストに、アプリケーションの使用事例とともに送信することも できます。これにより AppArmor チームがプロファイルを分析し、 openSUSE 内に取り込んでもらうことができる場合があります。お送りいただいたすべての プロファイルを取り込む保証はできませんが、できる限り openSUSE に同梱できるように努力させていただきます。 なお、上記のメーリングリストは英語でのみサービスを提供させていただいて おります。あらかじめご注意ください。

上記以外にも、 AppArmor のプロファイルリポジトリを使用して、作成した プロファイルを他のユーザに公開したり、他の AppArmor ユーザや開発者が作成した プロファイルをダウンロードしたりすることもできます。 AppArmor のプロファイル リポジトリの使い方について、詳しくは 第21章 AppArmor のプロファイルリポジトリ をお読みください。

19.4.1. Web アプリケーションへの免疫付与¶

Web アプリケーションを見つけるには、お使いの Web サーバの設定を調査する ところから始まります。 Apache Web サーバは高度な設定を行なうことができる システムであるため、 Web アプリケーションを設定に応じて様々な場所に 配置することができます。 openSUSE では、 Web アプリケーションの既定の 配置場所として /srv/www/cgi-bin/ というディレクトリが 用意されています。なお、最大限の保護を行なう目的から、それぞれの Web アプリケーションに対して AppArmor のプロファイルを用意しておくことをお勧め します。

これらのプログラムを見つけることができたら、 AppArmor の AppArmor プロファイル ウイザード を使用して、それらに対するプロファイルを作成します。詳しくは 22.1項 「ウイザードを使用したプロファイルの追加」 をお読みください。

CGI プログラムは Apache Web サーバから実行される仕組みであるため、 Apache 自身に 対するプロファイル usr.sbin.httpd2-prefork (openSUSE 用の Apache2 の場合) を編集し、これら CGI プログラムに対する実行許可を追加しなければ なりません。たとえば /srv/www/cgi-bin/my_hit_counter.pl rpx を追加すると、 Apache に対して my_hit_counter.pl の実行を許可し、 my_hit_counter.pl に対する独自のプロファイルを適用するように 指定することになります。 my_hit_counter.pl に対する独自の プロファイルが存在しない場合、 /srv/www/cgi-bin/my_hit_counter.pl rix は usr.sbin.httpd2-prefork のプロファイルを継承して使用する 意味になります。

上記のように、 Apache が実行する可能性のある各 CGI スクリプトに対して実行許可を 指定するほうが便利な場合があるほか、 CGI スクリプト全体に対して許可を設定する 方法もあります。たとえば /srv/www/cgi-bin/*.{pl,py,pyc} rix という行を追加すると、 /srv/www/cgi-bin/ ディレクトリ以下に 存在し、 .pl (Perl スクリプト), .py, .pyc (Python スクリプト) で終わる全てのファイルに対して、 実行許可を与えることになります。上記の例ではルールに ix と書いていますが、これは Python スクリプトに対して、独自のプロファイルが存在 しない場合、 Apache 側のプロファイルを継承する意味になります。

Web アプリケーションが Apache のモジュール (mod_perl や mod_php) で処理されている環境で、サブプロセス制限 モジュール (apache2-mod-apparmor) の機能を使用したい場合は、 YaST やコマンドラインでプロファイルを追加する際、 ChangeHat (ハット変更) 機能を 利用してください。サブプロセスの制限に対して、さらに詳しく知るには 24.1項 「Apache のハット変更」 をお読みください。

mod_perl や mod_php を使用する Web アプリケーションのプロファイルは、通常とは少し異なる方法で行なう必要が あります。この場合、 「プログラム」 はモジュールで直接解釈され Apache 内で実行されるスクリプトのことを指すため、プロセスの起動は行なわれ なくなります。その代わり、 Apache の AppArmor バージョンが、要求された URI の 名前に応じてサブプロファイル (「ハット」) を利用するよう、 change_hat() を呼び出します。

実行するスクリプトに対する名前は、 URI と異なる場合があります。これは Apache のモジュールスクリプトの参照先に依存して決まります。 Apache で スクリプトの場所を異なる場所に指定した場合、 AppArmor がアクセス違反を報告 する際に異なる名前が表示されます。詳しくは 第26章 プロファイルを作成したアプリケーションの管理 をお読みください。

mod_perl と mod_php を利用して 実行されるスクリプトの場合、これはリクエストされた　Perl スクリプトや PHP ページの名前になります。たとえば下記のサブプロファイルでは、 localtime.php のページに対して実行を許可し、ローカルの システム時刻へのアクセスを許可します:

/usr/bin/httpd2-prefork {
  # ...
  ^/cgi-bin/localtime.php {
    /etc/localtime                  r,
    /srv/www/cgi-bin/localtime.php  r,
    /usr/lib/locale/**              r,
  }
}

サブプロファイルを何も指定しない場合は、 Apache の AppArmor バージョンは DEFAULT_URI のハットを適用します。このサブ プロファイルは基本的に HTML の Web ページを表示するには十分な設定に なっているはずのものです。 AppArmor が既定で提供する DEFAULT_URI ハットは下記のとおりです:

^DEFAULT_URI {
    /usr/sbin/suexec2                  mixr,
    /var/log/apache2/**                rwl,
    @{HOME}/public_html                r,
    @{HOME}/public_html/**             r,
    /srv/www/htdocs                    r,
    /srv/www/htdocs/**                 r,
    /srv/www/icons/*.{gif,jpg,png}     r,
    /srv/www/vhosts                    r,
    /srv/www/vhosts/**                 r,
    /usr/share/apache2/**              r,
    /var/lib/php/sess_*                rwl }
    

Apache で処理される全ての Web ページと CGI スクリプトに対して、単一の AppArmor プロファイルを使用する場合、 DEFAULT_URI サブプロファイルを編集するのが最も良い方法です。

19.4.2. ネットワークエージェントへの免疫付与¶

プロファイルすべきネットワークサーバデーモンやネットワーククライアント (たとえば fetchmail, Firefox, Amarok, Banshee など) を見つけるには、 まずお使いのマシンにおけるポートの使用状況を調べる必要があります。その後 それらのポートを待ち受けているプログラムを調査し、それらに対して可能な 限りプロファイルを設定します。ネットワークポートを開いている全てのプログラム に対してプロファイルを設定すると、攻撃者は AppArmor のプロファイルポリシーを 介することでしかシステムにアクセスできないようになります。

お使いのサーバで開いているポートを調べるには、マシンの外側から実施するには スキャナ (nmap など) を使用できるほか、マシン内から実施する場合は netstat --inet -n -p コマンドを利用することで調べる ことができます。その後、検出された各ポートに対して、応答しているプログラムが 何であるのかを調べます。

利用可能なオプションについての説明は、 netstat の マニュアルページをお読みください。