Cómo habilitar y deshabilitar AppArmor en Ubuntu 20.04

Los sistemas operativos Ubuntu vienen con AppArmor, un módulo de seguridad del kernel de Linux que permite al administrador del sistema restringir las capacidades de los programas con perfiles por programa. Los perfiles pueden permitir el acceso a la red, el acceso a sockets sin procesar y el permiso para leer, escribir o ejecutar archivos en rutas coincidentes. Los usuarios de la familia Rhel notarían que esto es similar a Selinux; sin embargo, funcionan de manera diferente y tienen ventajas y desventajas.

Lo siguiente cubrirá cómo habilitar y deshabilitar AppArmor y perfiles individuales; por lo general, la mayoría de los usuarios no necesitarían ajustar ninguna configuración con AppArmor, pero si surge la necesidad, se explicarán algunos comandos simples en el tutorial.

Requisitos

• SO recomendado: Ubuntu 20.04 o superior
• Cuenta de usuario: Una cuenta de usuario con sudo o acceso raíz.

Actualizar sistema operativo

Actualiza tu Ubuntu sistema operativo para asegurarse de que todos los paquetes existentes estén actualizados:

sudo apt update && sudo apt upgrade -y

El tutorial usará el comando sudo y asumiendo que tiene estado sudo .

Para verificar el estado de sudo en su cuenta:

sudo whoami

Ejemplo de salida que muestra el estado de sudo:

[joshua@ubuntu ~]$ sudo whoami
root

Para configurar una cuenta Sudo existente o nueva, visite nuestro tutorial sobre Cómo agregar un usuario a Sudoers en Ubuntu .

Para usar la cuenta raíz , use el siguiente comando con la contraseña de root para iniciar sesión.

su

El tutorial utilizará la interfaz del terminal, que se puede encontrar en el menú Mostrar aplicaciones.

Ejemplo:

Trabajar con los comandos del sistema AppArmor

De forma predeterminada, Apparmor está instalado y activado al instalar Ubuntu. Para verificar su estado usando el siguiente comando:

sudo systemctl status apparmor

Ejemplo de salida:

El siguiente es un resumen de los comandos de command systemctl:

Para detener Apparmor:

sudo systemctl stop apparmor

Para deshabilitar Apparmor en el arranque del sistema:

sudo systemctl disable apparmor

Para iniciar Apparmor:

sudo systemctl start apparmor

Para habilitar Apparmor en el arranque del sistema (predeterminado):

sudo systemctl enable apparmor

Para reiniciar Apparmor:

sudo systemctl restart apparmor

Para recargar Apparmor:

sudo systemctl reload apparmor

Verificar el estado de los perfiles de AppArmor

Primero, es ideal para ver el estado de los perfiles de Apparmor, lo cual se puede hacer usando el siguiente comando systemctl :

sudo apparmor_status

Ejemplo de salida:

apparmor module is loaded.
39 profiles are loaded.
37 profiles are in enforce mode.

Alternativamente, puede usar el comando aa-status que le dará la lectura exacta:

sudo aa-status

Tenga en cuenta que verá una lista extensa de perfiles en la salida. A menudo volverá a consultar este comando cuando verifique si los perfiles están habilitados o deshabilitados en el futuro.

Deshabilitar y habilitar perfiles Apparmor

Si necesita deshabilitar un perfil específico de Apparmor, esto se puede lograr individualmente sin deshabilitar toda la aplicación de seguridad. Primero, deberá navegar a /etc/apparmor.d directorio de la siguiente manera:

cd /etc/apparmor.d

Ahora, usando el comando ls, imprima una lista de perfiles que existen en este directorio:

sudo ls -s

Ejemplo de salida:

Por ejemplo, para deshabilitar el perfil usr.sbin.cupsd . Para hacer esto, use el siguiente comando:

sudo ln -s /etc/apparmor.d/usr.sbin.cupsd /etc/apparmor.d/disable/
sudo apparmor_parser -R /etc/apparmor.d/disable/usr.sbin.cupsd

Usando el apparmor_status comando, puede ver usr.sbin.cupsd eliminado de su lista de perfiles.

sudo apparmor_status

Ejemplo de salida con perfil eliminado:

1 processes are in enforce mode.
   /usr/sbin/cups-browsed (876) 

Desde originalmente:

2 processes are in enforce mode.
   /usr/sbin/cups-browsed (876) 
   /usr/sbin/cupsd (800) 

Si desea ver una lista de reglas que están deshabilitadas, vaya al directorio /etc/apparmor.d/disable y usa el comando ls:

cd /etc/apparmor.d/disable
ls

Ejemplo de salida:

Si necesita volver a habilitar este perfil o cualquier otro perfil que esté deshabilitado, use el siguiente comando:

sudo rm /etc/apparmor.d/disable/usr.sbin.cupsd
sudo apparmor_parser -r /etc/apparmor.d/usr.sbin.cupsd

Deberá reiniciar su sistema para ver el perfil en el comando apparmor_status :

sudo reboot now

Reutilice el comando de estado de la aplicación para volver a ver el perfil:

sudo apparmor_status

Salida con perfil atrás:

2 processes are in enforce mode.
   /usr/sbin/cups-browsed (876) 
   /usr/sbin/cupsd (800)