AppArmor в Linux: профили безопасности для сервисов

Проверка и управление состоянием AppArmor:

# Статус AppArmor и загруженных профилей
sudo aa-status
# apparmor module is loaded.
# 42 profiles are loaded.
# 28 profiles are in enforce mode.
# 14 profiles are in complain mode.

# Установка утилит (если отсутствуют)
sudo apt install apparmor-utils apparmor-profiles apparmor-profiles-extra

# Перевод профиля в режим enforce (блокировка нарушений)
sudo aa-enforce /etc/apparmor.d/usr.sbin.nginx

# Перевод профиля в режим complain (логирование без блокировки)
sudo aa-complain /etc/apparmor.d/usr.sbin.nginx

# Отключение профиля
sudo aa-disable /etc/apparmor.d/usr.sbin.nginx

# Перезагрузка всех профилей
sudo systemctl reload apparmor

Режим enforce блокирует запрещённые действия. Режим complain только логирует нарушения в syslog — используйте его при разработке и тестировании профилей.

Рассмотрим базовую структуру профиля:

# /etc/apparmor.d/usr.local.bin.myapp
#include <tunables/global>

/usr/local/bin/myapp {
  # Подключение базовых абстракций
  #include <abstractions/base>
  #include <abstractions/nameservice>

  # Права на файлы
  /usr/local/bin/myapp          mr,    # чтение + mmap самого бинарника
  /etc/myapp/config.yml         r,     # чтение конфигурации
  /var/log/myapp/*.log          w,     # запись логов
  /var/lib/myapp/**             rw,    # чтение-запись данных
  /tmp/myapp-*                  rw,    # временные файлы

  # Сетевые разрешения
  network inet stream,                 # TCP IPv4
  network inet6 stream,                # TCP IPv6

  # Capability
  capability net_bind_service,          # привязка к порту <1024

  # Запрет всего остального (implicit deny)
}

Основные модификаторы доступа к файлам:

Утилита aa-genprof запускает интерактивный процесс создания профиля на основе реальной активности приложения:

# Запуск генерации профиля
sudo aa-genprof /usr/sbin/nginx

# В другом терминале — выполните типичные операции:
# перезапустите nginx, откройте сайт, загрузите файлы
sudo systemctl restart nginx
curl http://localhost/

# Вернитесь в первый терминал и нажмите S (scan)
# Для каждого обнаруженного доступа выберите действие:
# (A)llow — разрешить
# (D)eny — запретить
# (G)lob — использовать шаблон пути
# После завершения нажмите S (save)

Генератор создаст базовый профиль, который нужно будет дополнить и подправить вручную.

Полный профиль для nginx с учётом типичной конфигурации:

# /etc/apparmor.d/usr.sbin.nginx
#include <tunables/global>

/usr/sbin/nginx {
  #include <abstractions/base>
  #include <abstractions/nameservice>
  #include <abstractions/openssl>
  #include <abstractions/ssl_certs>

  # Бинарник и модули
  /usr/sbin/nginx                    mr,
  /usr/lib/nginx/modules/*.so        mr,

  # Конфигурация
  /etc/nginx/**                      r,
  /etc/ssl/private/**                r,
  /etc/letsencrypt/live/**           r,
  /etc/letsencrypt/archive/**        r,

  # Контент сайтов (только чтение)
  /var/www/**                        r,
  /usr/share/nginx/**                r,

  # Загрузка файлов (чтение-запись)
  /var/www/uploads/**                rw,

  # Логи
  /var/log/nginx/*.log               w,

  # PID и временные файлы
  /run/nginx.pid                     rw,
  /var/lib/nginx/**                  rw,
  /tmp/nginx*                        rw,

  # Сеть
  network inet stream,
  network inet6 stream,
  capability net_bind_service,
  capability setuid,
  capability setgid,
  capability dac_override,

  # Сигналы для worker-процессов
  signal send set=(hup term quit usr1 usr2) peer=/usr/sbin/nginx,
  signal receive set=(hup term quit usr1 usr2) peer=/usr/sbin/nginx,
}

После создания профиля загрузите его:

sudo apparmor_parser -r /etc/apparmor.d/usr.sbin.nginx
sudo aa-enforce /etc/apparmor.d/usr.sbin.nginx

Ограничим PHP-FPM доступом только к нужным директориям:

# /etc/apparmor.d/usr.sbin.php-fpm8.3
#include <tunables/global>

/usr/sbin/php-fpm8.3 {
  #include <abstractions/base>
  #include <abstractions/nameservice>
  #include <abstractions/php>

  # Бинарник
  /usr/sbin/php-fpm8.3              mr,

  # Конфигурация PHP
  /etc/php/8.3/**                   r,

  # Код приложения (только чтение!)
  /var/www/mysite/**                r,

  # Директории записи (кэш, сессии, загрузки)
  /var/www/mysite/storage/**        rw,
  /var/www/mysite/bootstrap/cache/** rw,
  /tmp/php*                         rw,
  /var/lib/php/sessions/**          rw,

  # Логи
  /var/log/php*                     w,

  # Сокет
  /run/php/php8.3-fpm.sock          rw,
  /run/php/php8.3-fpm.pid           rw,

  # Сеть (для подключения к БД и API)
  network inet stream,
  network inet6 stream,
  network unix stream,

  # DENY: выполнение произвольных программ
  deny /usr/bin/bash                x,
  deny /usr/bin/sh                  x,
  deny /usr/bin/dash                x,
  deny /usr/bin/python*             x,
  deny /usr/bin/perl                x,
  deny /usr/bin/wget                x,
  deny /usr/bin/curl                x,

  capability setuid,
  capability setgid,
  capability kill,
}

Явный deny на интерпретаторы и утилиты загрузки предотвращает типичные атаки reverse shell. Даже если злоумышленник загрузит PHP-шелл, AppArmor заблокирует выполнение системных команд.

Нарушения AppArmor записываются в syslog с меткой DENIED:

# Просмотр нарушений в реальном времени
sudo journalctl -f | grep -i apparmor

# Поиск нарушений конкретного профиля
sudo journalctl --since "1 hour ago" | grep 'apparmor="DENIED"' | grep nginx

# Типичная запись нарушения:
# apparmor="DENIED" operation="open" profile="/usr/sbin/nginx"
#   name="/etc/ssl/dhparam.pem" pid=1234 comm="nginx"
#   requested_mask="r" denied_mask="r" fsuid=0

# Утилита для парсинга логов и генерации правил
sudo aa-logprof
# Интерактивно предложит добавить разрешения на основе логов

Утилита aa-logprof — самый удобный способ дополнить профиль. Она парсит лог, группирует нарушения и предлагает правила для каждого.

Создайте профиль и укажите его при запуске контейнера:

# /etc/apparmor.d/docker-myapp
#include <tunables/global>

profile docker-myapp flags=(attach_disconnected,mediate_deleted) {
  #include <abstractions/base>

  # Файловая система контейнера
  /** r,
  /app/** r,
  /app/storage/** rw,
  /tmp/** rw,

  # Сеть
  network inet stream,
  network inet6 stream,

  # Запрет монтирования
  deny mount,

  # Запрет изменения сетевых интерфейсов
  deny network raw,

  # Запрет ptrace (защита от container escape)
  deny ptrace,

  # Минимальные capability
  capability net_bind_service,
  deny capability sys_admin,
  deny capability sys_ptrace,
}

# Загрузка профиля
sudo apparmor_parser -r /etc/apparmor.d/docker-myapp

# Запуск контейнера с профилем
docker run --security-opt apparmor=docker-myapp -d myapp:latest

В Docker Compose:

services:
  myapp:
    image: myapp:latest
    security_opt:
      - apparmor:docker-myapp

Пример Ansible-playbook для развёртывания профилей:

---
- name: Deploy AppArmor profiles
  hosts: webservers
  become: true
  tasks:
    - name: Install apparmor-utils
      apt:
        name: apparmor-utils
        state: present

    - name: Copy AppArmor profiles
      copy:
        src: "apparmor.d/{{ item }}"
        dest: "/etc/apparmor.d/{{ item }}"
        owner: root
        group: root
        mode: '0644'
      loop:
        - usr.sbin.nginx
        - usr.sbin.php-fpm8.3
      notify: Reload AppArmor

    - name: Enforce profiles
      command: "aa-enforce /etc/apparmor.d/{{ item }}"
      loop:
        - usr.sbin.nginx
        - usr.sbin.php-fpm8.3

  handlers:
    - name: Reload AppArmor
      systemd:
        name: apparmor
        state: reloaded