Erstellt ein vorläufiges Profil für das Programm oder die Anwendung, für die Sie das Werkzeug ausführen. Sie können vorläufige Profile für ausführbare Binärdateien und interpretierte Skriptprogramme generieren. Das resultierende Profil wird „vorläufig“ genannt, da es nicht notwendigerweise alle Profileinträge enthält, die das Programm braucht, um korrekt von Novell AppArmor eingeschränkt zu werden. Das minimale vorläufige autodep-Profil enthält wenigstens eine grundlegende include-Direktive, die grundlegende Profileinträge für die meisten Programme enthält. Für bestimmte Programmtypen generiert autodep ein ausführlicheres Profil. Das Profil wird durch den rekursiven Aufruf von ldd(1) mit den ausführbaren Programmen generiert, die in der Befehlszeile aufgelistet sind.

Verwenden Sie zur Generierung eines vorläufigen Profils das Programm autodep. Das Programmargument kann entweder der einfache Name des Programms sein, den autodep beim Durchsuchen der Pfadvariablen Ihrer Shell findet, oder ein vollständig qualifizierter Pfad. Das Programm selbst kann einen beliebigen Typ haben (ELF-Binärformat, Shell-Skript, Perl-Skript usw.) und autodep generiert ein vorläufiges Profil, das durch anschließende dynamische Profilerstellung verbessert werden kann.

Das resultierende vorläufige Profil wird in das Verzeichnis /etc/apparmor.d geschrieben. Dabei wird die Novell AppArmor-Konvention verwendet, das Profil nach dem absoluten Pfad anzugeben und die Schrägstriche (/) im Pfad jeweils durch einen Punkt (.) zu ersetzen. Die allgemeine Form von autodep besteht in der Eingabe des Folgenden in ein Terminalfenster während einer Anmeldung als root:

autodep [ -d /path/to/profiles ] [program1 program2...]

Wenn Sie den oder die Programmnamen nicht eingeben, werden Sie dazu aufgefordert. /path/to/profiles hat Vorrang vor dem Standardspeicherort /etc/apparmor.d.

Um die Profilerstellung zu beginnen, müssen Sie Profile für jeden ausführbaren Hauptdienst anlegen, der Ihrer Anwendung angehört (alles, das keinem anderen Programm mit Profil untergeordnet ist). Das Auffinden aller solcher Programme hängt von der betreffenden Anwendung ab. Strategien zum Auffinden solcher Programme:

Das Meldungs- oder Lernmoduswerkzeug entdeckt Verletzungen von Novell AppArmor-Profilregeln, etwa wenn das Programm, für welches das Profil gilt, auf Dateien zugreift, die das Profil nicht gestattet. Die Verletzungen werden erlaubt, allerdings auch protokolliert. Um das Profil zu verbessern, aktivieren Sie den Meldungsmodus, führen Sie das Programm in einer Testfolge aus, um Protokollereignisse zu generieren, die den Zugriffsanforderungen des Programms entsprechen. Führen Sie dann eine Nachverarbeitung des Protokolls mit den Novell AppArmor-Werkzeugen aus, um Protokollereignisse in verbesserte Profile umzuwandeln.

Manuelle Aktivierung des Meldungsmodus (über die Befehlszeile) fügt am Beginn des Profils eine Flag ein, d. h., /bin/foo wird zu /bin/foo flags=(complain). Öffnen Sie für die Verwendung des Meldungsmodus ein Terminalfenster und geben Sie eine der folgenden Zeilen als root-Benutzer ein.

Jeder der obigen Befehle aktiviert den Meldungsmodus für die aufgelisteten Profile/Programme. Der Befehl kann Programme oder Profile auflisten. Wenn der Programmname nicht den vollständigen Pfad umfasst, durchsucht "complain" $PATH für das Programm. complain /usr/sbin/* findet also beispielsweise Profile, die mit allen Programmen in /usr/sbin verbunden sind, und setzt sie in den Meldungsmodus und complain /etc/apparmor.d/* setzt alle Profile in /etc/apparmor.d in den Meldungsmodus.

Das Erzwingen-Modus-Werkzeug entdeckt Verletzungen von Novell AppArmor-Profilregeln, etwa wenn das Programm, für welches das Profil gilt, auf Dateien zugreift, die das Profil nicht gestattet. Die Verletzungen werden protokolliert und nicht erlaubt. Standardmäßig ist der Erzwingen-Modus aktiviert. Aktivieren Sie den Meldungsmodus, wenn die Novell AppArmor-Profile den Zugriff des Programms steuern sollen, für das ein Profil festgelegt wird. Erzwingen- und Meldungsmodus schließen sich gegenseitig aus.

Manuelle Aktivierung des Erzwingen-Modus (über die Befehlszeile) fügt am Beginn des Profils eine Flag ein, d. h., /bin/foo wird zu /bin/foo flags=(enforce). Öffnen Sie für die Verwendung des Erzwingen-Modus ein Terminalfenster und geben Sie eine der folgenden Zeilen als root-Benutzer ein.

Jeder der obigen Befehle aktiviert den Erzwingen-Modus für die aufgelisteten Profile und Programme.

Wenn Sie den oder die Programm- oder Profilnamen nicht eingeben, werden Sie dazu aufgefordert. /path/to/profiles hat Vorrang vor dem Standardspeicherort /etc/apparmor.d.

Das Argument kann entweder eine Liste von Programmen oder eine Liste von Profilen sein. Wenn der Programmname nicht den vollständigen Pfad umfasst, durchsucht "enforce" $PATH für das Programm. enforce /usr/sbin/* findet beispielsweise Profile, die mit allen Programmen in /usr/sbin verbunden sind, und setzt sie in den Erzwingen-Modus. enforce /etc/apparmor.d/* setzt alle Profile in /etc/apparmor.d in den Erzwingen-Modus.

genprof (Profil erstellen) ist das Novell AppArmor-Dienstprogramm zur Profilerstellung. Es führt autodep am angegebenen Programm aus, erstellt ein vorläufiges Profil (falls nicht bereits ein Profil für das Programm existiert), setzt es in den Erzwingen-Modus, lädt es erneut in Novell AppArmor, markiert das Systemprotokoll und fordert den Benutzer auf, das Programm und seine Funktionalität auszuführen. Die Syntax lautet wie folgt:

genprof [ -d /path/to/profiles ]  program

Wenn Sie ein Profil für das Apache-Webserver-Programm httpd2-prefork erstellen möchten, führen Sie Folgendes in einer root-Shell aus:

logprof ist ein interaktives Werkzeug zur Anzeige der Ausgabe des Lern- und Meldungsmodus in den Syslog-Einträgen und der anschließenden Generierung von neuen Einträgen in Novell AppArmor-Sicherheitsprofilen.

Wenn Sie logprof ausführen, beginnt es, die Protokolldateien zu scannen, die im Lern- oder Meldungsmodus erzeugt wurden, und wenn Sicherheitsereignisse vorhanden sind, die nicht durch den bestehenden Profilsatz abgedeckt werden, schlägt es Änderungen des Profils vor. Der Lern- oder Meldungsmodus verfolgt das Programmverhalten und zeichnet es in Syslog auf. logprof verwendet diese Information zur Beobachtung des Programmverhaltens.

Wenn ein eingeschränktes Programm ein anderes Programm mit "fork" und "exec" ausführt, erkennt logprof dies und fragt den Benutzer, welcher Ausführungsmodus beim Start des untergeordneten Prozesses verwendet werden soll. Die folgenden Ausführungsmodi sind Optionen für das Starten des untergeordneten Prozesses: ix, px und ux. Wenn für den untergeordneten Prozess ein separates Profil existiert, ist px die Standardauswahl. Wenn keines existiert, wird standardmäßig ix für das Profil angegeben. An untergeordneten Prozessen mit separaten Profilen wird autodep ausgeführt und sie werden in Novell AppArmor geladen, falls dieses läuft.

Beim Beenden von logprof werden Profile mit den Änderungen aktualisiert. Wenn das AppArmor-Modul ausgeführt wird, werden die aktualisierten Profile neu geladen. Und wenn Prozesse, die Sicherheitsereignisse generiert haben, noch im Null-Complain-Profil (ohne Meldungen) ausgeführt werden, werden diese Prozesse so eingestellt, dass sie unter ihren korrekten Profilen laufen.

Sie führen logprof aus, indem Sie logprof in ein Terminalfenster eingeben, während Sie als root angemeldet sind. Sie können auch die folgenden Optionen für logprof verwenden.

logprof scannt das Protokoll und fragt Sie, wie jedes protokollierte Ereignis behandelt werden soll. Jede Frage präsentiert eine nummerierte Liste von Novell AppArmor-Regeln, die durch Drücken der Zahl des jeweiligen Listeneintrags hinzugefügt werden können.

Standardmäßig sucht logprof Profile in /etc/apparmor.d/ und scannt das Protokoll in /var/log/messages. Es reicht also in vielen Fällen, logprof als root auszuführen, um das Profil zu erstellen.

Gelegentlich müssen jedoch archivierte Protokolldateien durchsucht werden, z. B. wenn die Ausführungsdauer des Programms das Protokollrotationsfenster überschreitet (wenn die Protokolldatei archiviert und eine neue Protokolldatei begonnen wird). In diesem Fall können Sie zcat -f `ls -1tr /var/log/messages*` | logprof -f - eingeben.

Nachfolgend erhalten Sie ein Beispiel dafür, wie logprof die Situation behandelt, wenn httpd2-prefork auf die Datei /etc/group zugreift. Das Beispiel verwendet [], um die Standardoption anzugeben.

In diesem Beispiel ist der Zugriff auf /etc/group Teil von httpd2-prefork, das auf Namensdienste zugreift. Die passende Antwort lautet 1, was einen vordefinierten Satz von Novell AppArmor-Regeln abruft. Wenn Sie 1 wählen, um das Namensdienst-Paket als #include aufzunehmen, werden alle zukünftigen Fragen hinsichtlich DNS-Lookups erledigt und das Profil wird weniger labil, d. h.. — Änderungen an der DNS-Konfiguration und am zugehörigen Namensdienst-Profilpaket brauchen nur einmal zu erfolgen, ohne dass viele Profile überarbeitet werden müssen.

Profile:  /usr/sbin/httpd2-prefork
Path:     /etc/group
New Mode: r

[1 - #include <abstractions/nameservice>]
 2 - /etc/group
[(A)llow] / (D)eny / (N)ew / (G)lob / Glob w/(E)xt / Abo(r)t / (F)inish

Wählen Sie eine der folgenden Antworten:

In einem Beispiel aus der Profilerstellung für vsftpd wird diese Frage angezeigt:

Profile:  /usr/sbin/vsftpd
Path:     /y2k.jpg
New Mode: r

[1 - /y2k.jpg]

(A)llow / [(D)eny] / (N)ew / (G)lob / Glob w/(E)xt / Abo(r)t / (F)inish

Diese Frage umfasst mehrere interessante Elemente. Beachten Sie zunächst, dass vsftpd am Beginn der Struktur nach einem Pfadeintrag fragt, obwohl vsftpd in SUSE Linux standardmäßig FTP-Dateien aus /srv/ftp bereitstellt. Das liegt daran, dass httpd2-prefork Chroot verwendet und Novell AppArmor für den Teil des Codes im Chroot-Jail Dateizugriffe in Bezug auf die Chroot-Umgebung sieht und nicht im globalen absoluten Pfad.

Der zweite interessante Punkt ist, dass Sie FTP-Lesezugriff auf alle JPEG-Dateien im Verzeichnis gewähren sollten. Sie könnten also Glob mit Erw und den vorgeschlagenen Pfad von /*.jpg verwenden. Dann würden alle vorherigen Regeln verworfen, die Zugriff auf einzelne .jpg-Dateien gewährt haben, und zukünftige Fragen hinsichtlich des Zugriffs auf .jpg-Dateien würden unterbunden.

Zuletzt sollten Sie einen allgemeineren Zugriff auf FTP-Dateien gewähren. Wenn Sie im letzten Eintrag Glob wählen, ersetzt logprof den vorgeschlagenen Pfad /y2k.jpg durch /*. Sie können sogar noch mehr Zugriff auf die ganze Verzeichnisstruktur gewähren, indem Sie die Pfadoption New (Neu) verwenden und /**.jpg eingeben (wodurch Zugriff auf alle .jpg-Dateien in der ganzen Verzeichnisstruktur gewährt wird) oder /** (wodurch Zugriff auf alle Dateien in der ganzen Verzeichnisstruktur gewährt wird).

Bei Obigem handelt es sich um Lesezugriffe. Schreibzugriffe sind ähnlich, jedoch ist es empfehlenswert, reguläre Ausdrücke für den Schreibzugriff zurückhaltender zu verwenden.

Der Umgang mit Ausführungszugriffen ist komplexer. Sie müssen entscheiden, welche der drei Arten von Ausführungsberechtigungen Sie gewähren möchten:

Im folgenden Beispiel wird für den Mailclient /usr/bin/mail ein Profil erstellt und logprof hat festgestellt, dass /usr/bin/mail als Hilfsanwendung /usr/bin/less ausführt, um lange Mail-Nachrichten „seitenweise“ auszugeben. Daher präsentiert es diese Eingabe-Aufforderung:

/usr/bin/nail -> /usr/bin/less
(I)nherit / (P)rofile / (U)nconstrained / (D)eny

	Tipp
Die aktuelle ausführbare Datei für /usr/bin/mail ist /usr/bin/nail, wobei es sich um keinen Schreibfehler handelt.

/usr/bin/less scheint ein einfaches Programm zum Abrollen von Text zu sein, der länger als eine Bildschirmseite ist, wofür /usr/bin/mail es auch verwendet. Jedoch ist less tatsächlich ein umfangreiches und leistungsstarkes Programm, das viele andere Hilfsanwendungen nutzt, wie etwa tar und rpm.

	Tipp
Führen Sie less an einem Tarball oder einer RPM-Datei aus, dann sehen Sie das Inhaltsverzeichnis dieser Container.

Sie sollten rpm beim Lesen von Mail-Nachrichten nicht automatisch ausführen (das führt direkt zu Virusangriffen im Stil von Microsoft* Outlook, da rpm Systemprogramme installieren und ändern kann), daher entscheiden Sie sich in diesem Fall am besten für Inherit (Erben). Das Programm less wird dann in diesem Kontext unter dem Profil für /usr/bin/mail ausgeführt. Das hat zwei Folgen:

Unter anderen Umständen sollten Sie stattdessen die Option Profil verwenden. Das hat zwei Auswirkungen auf logprof:

Zuletzt sollten Sie dem untergeordneten Prozess sehr leistungsstarken Zugriff gewähren, indem Sie Unconfined (Uneingeschränkt) angeben. Dies schreibt ux in das Profil des übergeordneten Programms. Wenn also das untergeordnete Programm abläuft, wird es ohne jegliches Novell AppArmor-Profil ausgeführt. Das bedeutet eine Ausführung ohne jeglichen Schutz und sollte nur verwendet werden, wenn unbedingt nötig.

Eine Syntaxfarbgebungsdatei für den Texteditor vim markiert verschiedene Funktionen eines Novell AppArmor-Profils mit Farben. Durch die Verwendung von vim und dem Novell AppArmor-Syntaxmodus für vim können Sie die semantischen Implikationen Ihrer Profile anhand von farblichen Markierungen sehen. Verwenden Sie vim, um Ihr Profil anzuzeigen und zu bearbeiten, indem Sie "vim" in ein Terminalfenster eingeben.

Wenn Sie beim Bearbeiten eines Novell AppArmor-Profils in vim Syntaxfarben aktivieren möchten, verwenden Sie die Befehle :syntax on und dann :set syntax=apparmor. Alternativ können Sie diese Zeilen in Ihre Datei ~/.vimrc eingeben:

syntax on
set modeline
set modelines=5

Wenn Sie diese Funktion aktivieren, färbt vim die Zeilen des Profils für Sie:

	Anmerkung
Bei der Verwendung dieser Zeilen in Ihrer .vimrc-Datei besteht ein Sicherheitsrisiko, da sie vim veranlassen, dem Syntaxmodus in den Dateien zu vertrauen, die Sie bearbeiten. Das kann einem Angreifer ermöglichen, Ihnen eine Datei zu senden, die mit vim geöffnet wird und schädliche Aktionen ausführt.

Verwenden Sie die Manualpages apparmor.vim und vim und die Syntax :help im vim-Editor, um weitere vim-Hilfe zur Syntaxmarkierung zu erhalten. Die Novell AppArmor-Syntax wird in /usr/share/vim/current/syntax/apparmor.vim gespeichert.

Der Befehl unconfined prüft offene Netzwerkports auf Ihrem System, vergleicht diese mit dem auf dem System geladenen Profilsatz und meldet Netzwerkdienste, die über kein Novell AppArmor-Profil verfügen. Er benötigt root-Berechtigung und darf nicht durch ein Novell AppArmor-Profil eingeschränkt sein.

unconfined muss als root ausgeführt werden, um den Link auf das im Prozess ausgeführte Programm aus dem proc-Dateisystem abzurufen. Dieses Programm hat Probleme bei den folgenden zeitabhängigen Konflikten:

	Anmerkung
Dieses Programm listet nur Prozesse auf, die TCP und UDP verwenden. Kurz gesagt eignet sich dieses Programm nicht zum Nachweis von Abläufen und ist nur als Hilfe dafür gedacht, Profile für alle im Netzwerk zugänglichen Prozesse im Labor zu erstellen.

Weitere Informationen über die Theorie und Sicherheit von Novell AppArmor finden Sie in den folgenden Arbeiten: