Linux服务器 AppArmor 安全配置

最近，某云服务商因Web服务被提权攻击，导致整个系统被黑客入侵。如果启用了AppArmor，即使黑客利用了Web服务的漏洞，也无法突破应用的权限边界。让我们深入了解AppArmor的安全配置实践。

一、AppArmor基础概念

1.1 工作机制

plaintext
AppArmor运行模式：
模式          限制级别      适用场景
enforce      强制执行      生产环境
complain     警告记录      测试环境
disabled     禁用保护      开发环境

保护范围：
- 文件访问控制
- 网络访问控制
- Linux能力控制
- 系统调用限制

1.2 配置检查

bash
# 检查AppArmor状态
aa-status
aa-enabled

# 检查配置文件
ls /etc/apparmor.d/

# 检查内核模块
lsmod | grep apparmor

# 检查系统日志
grep audit /var/log/syslog | grep apparmor

二、配置文件编写

2.1 基础配置模板

plaintext
# /etc/apparmor.d/usr.sbin.nginx
#include <tunables/global>

profile nginx /usr/sbin/nginx {
    #include <abstractions/base>
    #include <abstractions/nameservice>
    #include <abstractions/openssl>

    # 基础权限
    capability net_bind_service,
    capability setuid,
    capability setgid,

    # 二进制文件
    /usr/sbin/nginx mr,

    # 配置目录
    /etc/nginx/** r,
    /etc/ssl/** r,

    # 日志目录
    /var/log/nginx/* w,

    # Web目录
    /var/www/** r,

    # PID文件
    /var/run/nginx.pid rw,
}

2.2 高级规则配置

python
def generate_apparmor_rules():
    """生成AppArmor规则"""
    rules = {
        'file_access': {
            'read': [
                '/etc/passwd r',
                '/etc/group r',
                '/etc/hosts r'
            ],
            'write': [
                '/var/log/app.log w',
                '/tmp/app-* rw'
            ],
            'deny': [
                '/etc/shadow',
                '/etc/gshadow'
            ]
        },
        'network_access': {
            'tcp': [
                'tcp_connect (3000, 3306)',
                'tcp_bind (80, 443)'
            ],
            'udp': [
                'udp_send (53)',
                'udp_receive (53)'
            ]
        },
        'capabilities': [
            'net_bind_service',
            'sys_resource',
            'chown'
        ]
    }
    return compile_rules(rules)

三、应用场景配置

3.1 Web服务器配置

python
class WebServerProfile:
    def generate_profile(self):
        """生成Web服务器配置文件"""
        profile = {
            'binary': '/usr/sbin/nginx',
            'includes': [
                '<abstractions/base>',
                '<abstractions/apache2-common>',
                '<abstractions/openssl>'
            ],
            'capabilities': [
                'net_bind_service',
                'setuid',
                'setgid'
            ],
            'file_rules': {
                'config_files': '/etc/nginx/** r',
                'web_files': '/var/www/** r',
                'log_files': '/var/log/nginx/* w',
                'temp_files': '/tmp/nginx* rw'
            },
            'network_rules': {
                'tcp_ports': [80, 443],
                'protocols': ['tcp', 'udp']
            }
        }
        return self.compile_profile(profile)

3.2 数据库服务配置

plaintext
# /etc/apparmor.d/usr.sbin.mysqld
配置样例：
profile mysqld /usr/sbin/mysqld {
    # 文件权限
    /var/lib/mysql/ r,
    /var/lib/mysql/** rwk,
    /var/log/mysql/ r,
    /var/log/mysql/* w,
    
    # 网络权限
    network tcp,
    
    # 能力限制
    capability dac_override,
    capability sys_resource,
    
    # 拒绝规则
    deny /etc/shadow r,
    deny /etc/mysql/*.bak rw,
}

四、监控与审计

4.1 日志监控

python
class AppArmorMonitor:
    def monitor_violations(self):
        """监控违规行为"""
        patterns = {
            'access_denied': {
                'pattern': 'apparmor="DENIED"',
                'severity': 'error'
            },
            'profile_loaded': {
                'pattern': 'apparmor="STATUS".*profile_load',
                'severity': 'info'
            },
            'profile_replaced': {
                'pattern': 'apparmor="ALLOWED".*profile_replace',
                'severity': 'warning'
            }
        }
        
        log_files = [
            '/var/log/syslog',
            '/var/log/audit/audit.log',
            '/var/log/messages'
        ]
        
        for log_file in log_files:
            violations = self.parse_log(log_file, patterns)
            if violations:
                self.handle_violations(violations)

4.2 性能监控

python
def monitor_performance():
    """监控AppArmor性能影响"""
    metrics = {
        'system': {
            'cpu_overhead': measure_cpu_impact(),
            'memory_usage': measure_memory_impact(),
            'io_impact': measure_io_impact()
        },
        'application': {
            'startup_time': measure_startup_delay(),
            'response_time': measure_response_impact(),
            'throughput': measure_throughput_impact()
        }
    }
    return analyze_performance(metrics)

五、故障排查指南

5.1 常见问题处理

python
def troubleshoot_issues():
    """问题排查流程"""
    checklist = {
        'profile_issues': {
            'check_syntax': check_profile_syntax,
            'verify_paths': verify_file_paths,
            'test_permissions': test_permissions
        },
        'system_issues': {
            'check_status': check_apparmor_status,
            'verify_modules': verify_kernel_modules,
            'check_logs': analyze_system_logs
        },
        'performance_issues': {
            'check_overhead': measure_overhead,
            'analyze_bottlenecks': find_bottlenecks,
            'optimize_rules': optimize_apparmor_rules
        }
    }
    return execute_checklist(checklist)

5.2 调试方法

bash
# 启用调试模式
aa-complain /etc/apparmor.d/usr.sbin.nginx

# 查看详细日志
aa-logprof

# 生成新规则
aa-genprof /path/to/binary

# 测试配置
aa-verify /etc/apparmor.d/*

六、最佳实践建议

6.1 配置建议

1. 基础原则

• 最小权限原则
• 白名单优先
• 分层防护策略

2. 性能优化

plaintext
优化项目        措施              效果
规则组织       逻辑分组          提升解析速度
缓存优化       预加载配置        减少延迟
日志控制       选择性记录        降低开销

3. 安全增强

• 启用强制模式
• 定期更新规则
• 监控违规行为

6.2 运维建议

yaml
# 运维检查清单
daily_checks:
  - name: "检查AppArmor状态"
    command: "aa-status"
    frequency: "daily"
    
  - name: "检查违规日志"
    command: "aa-notify -s 1"
    frequency: "hourly"
    
  - name: "验证配置完整性"
    command: "aa-verify"
    frequency: "daily"

实践总结

针对开头的安全事件，通过AppArmor配置，我们可以：

1. 安全加固

• 限制文件访问
• 控制网络行为
• 约束系统调用

2. 监控预警

• 实时日志分析
• 告警及时响应
• 事件追踪分析

3. 效果验证

• 安全性提升
• 性能影响<5%
• 误报率降低