Stoppen Sie die Anwendung, bevor Sie Profile erstellen, um sicherzustellen, dass der Anwendungsstart im Profil enthalten ist. Stellen Sie dazu sicher, dass die Anwendung oder der Daemon erst dann ausgeführt werden, wenn ein Profil für sie erstellt ist.

Beispiel: Geben Sie /etc/init.d/PROGRAM stop in ein Terminalfenster ein, während Sie als root angemeldet sind. Ersetzen Sie dabei PROGRAM durch den Namen des Programms, für das Sie ein Profil erstellen möchten.

Falls noch nicht geschehen, klicken Sie in der YaST-Oberfläche auf Novell AppArmor+Add Profile Wizard (Assistent zum Hinzufügen eines Profils).

Geben Sie den Namen der Anwendung ein oder navigieren Sie zum Speicherort des Programms.

Klicken Sie auf Erstellen. Damit wird das Novell AppArmor-Werkzeug autodep ausgeführt, das eine statische Analyse des Programms ausführt, für das ein Profil erstellt werden soll, und ein vorläufiges Profil in das Novell AppArmor-Modul lädt. Weitere Informationen zu autodep finden Sie unter Abschnitt 3.5.3.1, „autodep“ (↑ Novell AppArmor 2.0-Administrationshandbuch ).

Das Fenster des AppArmor-Profilassistenten wird geöffnet.

Im Hintergrund setzt Novell AppArmor auch das Profil in den Lernmodus. Weitere Informationen zum Lernmodus finden Sie unter Abschnitt 3.5.3.2, „Meldungs- oder Lernmodus“ (↑ Novell AppArmor 2.0-Administrationshandbuch ).

Führen Sie die Anwendung aus, für die ein Profil erstellt wird.

Führen Sie möglichst viele der Anwendungsfunktionen aus, damit der Lernmodus die Dateien und Verzeichnisse protokollieren kann, auf die das Programm für eine korrekte Funktion zugreifen muss.

Klicken Sie auf Scan System Log for Entries to Add to Profile (Systemprotokoll auf Einträge für Profil durchsuchen), um die Lernmodus-Protokolldateien zu analysieren. Damit wird eine Serie von Fragen erzeugt, die Sie beantworten müssen, um den Assistenten beim Generieren des Sicherheitsprofils anzuleiten.

	Anmerkung
Wenn Anforderungen zum Erstellen von Hats auftreten, fahren Sie mit Kapitel 5, Erstellen von Profilen für Ihre Webanwendungen mit ChangeHat Apache (↑ Novell AppArmor 2.0-Administrationshandbuch ) fort.

Die Fragen lassen sich in zwei Kategorien teilen:

Jeder dieser Fälle führt zu einer Serie von Fragen, die Sie beantworten müssen, um dem Profil die Ressource oder das Programm hinzuzufügen. Die folgenden beiden Abbildungen zeigen ein Beispiel für den jeweiligen Fall. Nachfolgende Schritte beschreiben Ihre Möglichkeiten bei der Beantwortung dieser Fragen.

Das Fenster des AppArmor-Profilassistenten wird geöffnet.

Abbildung 3.1. Lernmodus-Ausnahme: Kontrolle des Zugriffs auf bestimmte Ressourcen

Abbildung 3.2. Lernmodus-Ausnahme: Definieren von Ausführungsberechtigungen für einen Eintrag

Der Assistent zum Hinzufügen eines Profils beginnt Verzeichnispfad-Einträge vorzuschlagen, auf welche die Anwendung, für die Sie ein Profil erstellen, zugegriffen hat (wie in Abbildung 3.1, „Lernmodus-Ausnahme: Kontrolle des Zugriffs auf bestimmte Ressourcen“ (↑ Novell AppArmor 2.0-Administrationshandbuch ) gezeigt), oder fordert Sie auf, Ausführungsberechtigungen für Einträge zu definieren (wie in Abbildung 3.2, „Lernmodus-Ausnahme: Definieren von Ausführungsberechtigungen für einen Eintrag“ (↑ Novell AppArmor 2.0-Administrationshandbuch ) gezeigt).

1. Für (↑ Novell AppArmor 2.0-Administrationshandbuch ): Wählen Sie aus den folgenden Optionen die geeignete für die Zugriffsanforderung, etwa eine vorgeschlagene include-Anweisung, eine bestimmte Pfadversion mit Platzhaltern oder den tatsächlichen Pfadnamen. Beachten Sie, dass nicht immer alle Optionen verfügbar sind.

   #include

   Der Abschnitt eines Novell AppArmor-Profils, der auf eine include-Datei verweist. Include-Dateien beziehen Zugriffsberechtigungen für Programme. Durch Verwenden einer include-Anweisung können Sie dem Programm Zugriff auf Verzeichnispfade oder Dateien geben, die auch von anderen Programmen benötigt werden. Mithilfe von include-Anweisungen lässt sich die Größe eines Profils verringern. Es empfiehlt sich, include-Anweisungen zu wählen, wenn diese vorgeschlagen werden.

   Version mit Platzhalter

   Zugriff durch Klicken auf Glob, wie im nächsten Schritt beschrieben. Weitere Informationen zur Auflösung der Syntax finden Sie unter Abschnitt 3.6, „Pfadnamen und Platzhalter“ (↑ Novell AppArmor 2.0-Administrationshandbuch ).

   Tatsächlicher Pfadname

   Buchstabengetreu angegebener Pfad, auf den das Programm zugreifen muss, damit es reibungslos ablaufen kann.

2. Für (↑ Novell AppArmor 2.0-Administrationshandbuch ): Wählen Sie aus den folgenden Optionen diejenige, die Ihren Zugriffsanforderungen entspricht.

   Inherit (Erben)

   Verbleiben im selben Sicherheitsprofil (übergeordnetes Profil).

   Profil

   Verlangt, dass ein separates Profil für das ausgeführte Programm existiert.

   Unconfined (Uneingeschränkt)

   Führt das Programm ohne Sicherheitsprofil aus.

   	Warnung
   Sofern nicht unbedingt nötig, führen Sie das Programm nicht uneingeschränkt aus. Wenn Sie die Option Unconfined (Uneingeschränkt) wählen, wird das neue Programm ohne jeglichen Schutz von AppArmor ausgeführt.

Nach der Wahl eines Verzeichnispfads müssen Sie diesen als einen Eintrag im Novell AppArmor-Profil festlegen, indem Sie auf Allow (Erlauben) oder Deny (Ablehnen) klicken. Wenn Sie nicht mit dem angezeigten Eintrag des Verzeichnispfads einverstanden sind, können Sie ihn durch Glob oder Edit (Bearbeiten) ändern.

Die folgenden Optionen sind für die Verarbeitung der Lernmodus-Einträge und die Erstellung des Profils verfügbar:

Klicken Sie für jeden Lernmodus-Eintrag auf Allow (Erlauben) oder Deny (Ablehnen). Diese Einträge helfen bei der Erstellung des Novell AppArmor-Profils.

	Anmerkung
Die Anzahl der Lernmodus-Einträge hängt von der Komplexität der Anwendung ab.

Wiederholen Sie die vorherigen Schritte, wenn Sie in Ihrer Anwendung mehr Funktionalität ausführen müssen.

Wenn Sie fertig sind, klicken Sie auf Beenden. Klicken Sie im darauf folgenden Popup-Fenster auf Ja, um den Assistenten zur Profilerstellung zu beenden. Das Profil wird gespeichert und in das Novell AppArmor-Modul geladen.

Um ein Profil hinzuzufügen, öffnen Sie YaST+Novell AppArmor. Die Novell AppArmor-Oberfläche wird geöffnet.

Klicken Sie in Novell AppArmor auf Profil manuell hinzufügen (siehe Abbildung 3.3, „Manuelles Hinzufügen eines Profils: Anwendung auswählen“ (↑ Novell AppArmor 2.0-Administrationshandbuch )).

Abbildung 3.3. Manuelles Hinzufügen eines Profils: Anwendung auswählen

Navigieren Sie in Ihrem System zu der Anwendung, für die das Profil erstellt werden soll.

Um das Profil zu finden, wählen Sie es aus und klicken Sie auf Öffnen. Ein grundlegendes leeres Profil wird im Dialogfeld Novell AppArmor-Profil angezeigt.

Im Fenster AppArmor-Profildialog können Sie Novell AppArmor-Profileinträge hinzufügen, bearbeiten oder löschen, indem Sie auf die entsprechenden Schaltflächen klicken und die folgenden Abschnitte beachten: Abschnitt 3.3.2.1, „Hinzufügen eines Eintrags“ (↑ Novell AppArmor 2.0-Administrationshandbuch ), Abschnitt 3.3.2.2, „Bearbeiten eines Eintrags“ (↑ Novell AppArmor 2.0-Administrationshandbuch ) bzw. Abschnitt 3.3.2.2, „Bearbeiten eines Eintrags“ (↑ Novell AppArmor 2.0-Administrationshandbuch ).

Wenn Sie fertig sind, klicken Sie auf Fertig.

Öffnen Sie YaST+Novell AppArmor.

Klicken Sie unter Novell AppArmor auf Profil bearbeiten. Das Fenster Edit Profile—Choose Profile to Edit (Profil bearbeiten – Profil auswählen) wird geöffnet.

Wählen Sie aus der Liste der Programme mit Profil das Profil, das Sie bearbeiten möchten.

Klicken Sie auf Weiter. Das Fenster AppArmor-Profildialog zeigt das Profil an.

Im Fenster AppArmor-Profildialog können Sie Novell AppArmor-Profileinträge hinzufügen, bearbeiten oder löschen, indem Sie auf die entsprechenden Schaltflächen klicken und die folgenden Abschnitte beachten: Abschnitt 3.3.2.1, „Hinzufügen eines Eintrags“ (↑ Novell AppArmor 2.0-Administrationshandbuch ), Abschnitt 3.3.2.2, „Bearbeiten eines Eintrags“ (↑ Novell AppArmor 2.0-Administrationshandbuch ) bzw. Abschnitt 3.3.2.3, „Löschen eines Eintrags“ (↑ Novell AppArmor 2.0-Administrationshandbuch ).

Wenn Sie fertig sind, klicken Sie auf Fertig.

Klicken Sie im darauf folgenden Popup-Fenster auf Ja, um die Änderungen des Profils zu bestätigen.

Öffnen Sie YaST+Novell AppArmor. Die Novell AppArmor-Oberfläche wird angezeigt.

Klicken Sie unter Novell AppArmor auf das Symbol Profil löschen. Das Fenster Delete Profile - Choose Profile to Delete (Profil löschen – Profil auswählen) wird geöffnet.

Wählen Sie das zu löschende Profil aus.

Klicken Sie auf Weiter.

Klicken Sie im darauf folgenden Popup-Fenster auf Ja, um das Profil zu löschen.

Öffnen Sie YaST+Novell AppArmor. Die Novell AppArmor-Oberfläche wird angezeigt.

Klicken Sie unter Novell AppArmor auf Assistent zum Aktualisieren von Profilen. Das Fenster AppArmor-Profilassistent wird geöffnet.

Beim Ausführen des Assistenten zum Aktualisieren von Profilen (logprof) werden die Lernmodus-Protokolldateien analysiert. Damit wird eine Serie von Fragen erzeugt, die Sie beantworten müssen, um logprof beim Generieren des Sicherheitsprofils zu lenken.

Die Fragen lassen sich in zwei Kategorien teilen:

Jeder dieser Fälle führt zu einer Frage, die Sie beantworten müssen, um dem Profil die Ressource oder das Programm hinzuzufügen. Die folgenden beiden Abbildungen zeigen ein Beispiel für den jeweiligen Fall. Nachfolgende Schritte beschreiben Ihre Möglichkeiten bei der Beantwortung dieser Fragen.

Abbildung 3.4. Lernmodus-Ausnahme: Kontrolle des Zugriffs auf bestimmte Ressourcen

Abbildung 3.5. Lernmodus-Ausnahme: Definieren von Ausführungsberechtigungen für einen Eintrag

logprof beginnt Verzeichnispfad-Einträge vorzuschlagen, auf welche die Anwendung, für die Sie ein Profil erstellen, zugegriffen hat (wie in Abbildung 3.4, „Lernmodus-Ausnahme: Kontrolle des Zugriffs auf bestimmte Ressourcen“ (↑ Novell AppArmor 2.0-Administrationshandbuch ) gezeigt), oder fordert Sie auf, Ausführungsberechtigungen für Einträge zu definieren (wie in Abbildung 3.5, „Lernmodus-Ausnahme: Definieren von Ausführungsberechtigungen für einen Eintrag“ (↑ Novell AppArmor 2.0-Administrationshandbuch ) gezeigt).

1. Für Abbildung 3.4, „Lernmodus-Ausnahme: Kontrolle des Zugriffs auf bestimmte Ressourcen“ (↑ Novell AppArmor 2.0-Administrationshandbuch ): Wählen Sie aus den folgenden Optionen die geeignete für die Zugriffsanforderung, etwa eine vorgeschlagene include-Anweisung, eine bestimmte Pfadversion mit Platzhaltern oder den tatsächlichen Pfadnamen. Beachten Sie, dass nicht immer alle Optionen verfügbar sind.

   #include

   Der Abschnitt eines Novell AppArmor-Profils, der auf eine include-Datei verweist. Include-Dateien rufen Zugriffsberechtigungen für Programme ab. Durch Verwenden einer include-Anweisung können Sie dem Programm Zugriff auf Verzeichnispfade oder Dateien geben, die auch von anderen Programmen benötigt werden. Mithilfe von include-Anweisungen lässt sich die Größe eines Profils verringern. Es empfiehlt sich, include-Anweisungen zu wählen, wenn diese vorgeschlagen werden.

   Version mit Platzhalter

   Zugriff durch Klicken auf Glob, wie im nächsten Schritt beschrieben. Weitere Informationen zur Auflösung der Syntax finden Sie unter Abschnitt 3.6, „Pfadnamen und Platzhalter“ (↑ Novell AppArmor 2.0-Administrationshandbuch ).

   Tatsächlicher Pfadname

   Dies ist der buchstabengetreu angegebene Pfad, auf den das Programm zugreifen muss, damit es reibungslos ablaufen kann.

2. Für Abbildung 3.5, „Lernmodus-Ausnahme: Definieren von Ausführungsberechtigungen für einen Eintrag“ (↑ Novell AppArmor 2.0-Administrationshandbuch ): Wählen Sie die Option, die Ihren Zugriffsanforderungen entspricht, aus den folgenden:

   Inherit (Erben)

   Verbleiben im selben Sicherheitsprofil (Profil des übergeordneten Programms).

   Profil

   Verlangt, dass ein separates Profil für das ausgeführte Programm existiert.

   Unconfined (Uneingeschränkt)

   Programm ohne Sicherheitsprofil ausgeführt

   	Warnung
   Sofern nicht unbedingt nötig, führen Sie das Programm nicht uneingeschränkt aus. Wenn Sie die Option Unconfined (Uneingeschränkt) wählen, wird das neue Programm ohne jeglichen Schutz von AppArmor ausgeführt.

Nach der Wahl eines Verzeichnispfads müssen Sie diesen als einen Eintrag im Novell AppArmor-Profil festlegen, indem Sie auf Allow (Erlauben) oder Deny (Ablehnen) klicken. Wenn Sie nicht mit dem angezeigten Eintrag des Verzeichnispfads einverstanden sind, können Sie ihn durch Glob oder Edit (Bearbeiten) ändern.

Die folgenden Optionen sind für die Verarbeitung der Lernmodus-Einträge und die Erstellung des Profils verfügbar:

Klicken Sie für jeden Lernmodus-Eintrag auf Allow (Erlauben) oder Deny (Ablehnen). Diese Einträge helfen bei der Erstellung des Novell AppArmor-Profils.

	Anmerkung
Die Anzahl der Lernmodus-Einträge hängt von der Komplexität der Anwendung ab.

Wiederholen Sie die vorherigen Schritte, wenn Sie in Ihrer Anwendung mehr Funktionalität ausführen müssen.

Wenn Sie fertig sind, klicken Sie auf Beenden. Klicken Sie im darauf folgenden Popup-Fenster auf Ja, um den Assistenten zur Profilerstellung zu beenden. Das Profil wird gespeichert und in das Novell AppArmor-Modul geladen.

Wenn Sie auf Novell AppArmor-Kontrollleiste klicken, wird das Fenster Novell AppArmor-Konfiguration wie folgt geöffnet:

Bestimmen Sie im Fenster AppArmor-Konfiguration, ob Novell AppArmor und die Sicherheitsereignisbenachrichtigung ausgeführt werden, indem Sie nach einer Statusmeldung suchen, die enabled (aktiviert) lautet.