AppArmor 抽象列表

AppArmor 抽象列表

AppArmor (Application Armor) 是一种 Linux 内核安全模块，它提供了一种基于路径的强制访问控制 (MAC) 系统。与 SELinux 等其他 MAC 系统不同，AppArmor 的设计目标是易于使用和管理，更侧重于限制应用程序的能力，而不是强制执行复杂的策略。理解 AppArmor 的核心在于理解其“抽象列表”的概念，这是构建细粒度安全策略的基础。本文将深入探讨 AppArmor 抽象列表，为初学者提供详细的解释和实践指导。

什么是抽象列表？

在 AppArmor 中，抽象列表（Abstract List）并非简单的文件或目录列表，而是一组用于匹配文件和目录的模式。这些模式允许管理员定义应用程序可以访问的资源，而无需显式列出每个文件或目录。这种抽象机制极大地简化了策略维护，尤其是在应用程序的文件系统结构经常变化的情况下。

抽象列表的核心思想是使用通配符和模式匹配来概括一组文件或目录。这些模式可以基于文件名、路径、正则表达式或其他属性。AppArmor 策略使用这些抽象列表来定义应用程序可以执行的操作，例如读取、写入或执行。

抽象列表的类型

AppArmor 定义了几种主要的抽象列表类型，每种类型都适用于不同的场景：

/bin/: 通常包含系统可执行文件。
/boot/: 包含启动加载程序和内核文件。
/etc/: 包含系统配置文件。
/lib/: 包含共享库文件。
/opt/: 包含可选的应用程序软件包。
/sbin/: 包含系统管理命令。
/tmp/: 包含临时文件。
/usr/: 包含用户程序和数据。
/var/: 包含可变数据，如日志文件和数据库。
/var/log/: 专门用于存储日志文件。
/home/: 包含用户主目录。

这些预定义的抽象列表是构建更复杂策略的基石。此外，管理员还可以创建自定义抽象列表以满足特定应用程序的需求。

创建自定义抽象列表

创建自定义抽象列表允许管理员针对特定应用程序定义更精细的访问控制策略。自定义抽象列表通常位于 `/etc/apparmor.d/abstractions/` 目录下。

一个简单的自定义抽象列表文件可能如下所示：

```

/etc/apparmor.d/abstractions/my_app_files

/path/to/my/app/* rwk, /path/to/my/app/config.ini r, /path/to/my/app/data/ rwx, ```

在这个例子中，我们定义了一个名为 `my_app_files` 的抽象列表。它包含了三个条目：

`/path/to/my/app/*`: 允许应用程序读取、写入和执行 `/path/to/my/app/` 目录下的所有文件。
`/path/to/my/app/config.ini`: 允许应用程序读取 `/path/to/my/app/config.ini` 文件。
`/path/to/my/app/data/`: 允许应用程序读取、写入和执行 `/path/to/my/app/data/` 目录下的所有文件。

请注意，`rwk` 表示读取、写入和执行权限，`r` 表示只读权限。

将抽象列表应用到策略

创建抽象列表后，必须将其应用到 AppArmor 策略中。这可以通过在策略文件中使用 `include` 语句来实现。

例如，一个简单的 AppArmor 策略文件可能如下所示：

```

/etc/apparmor.d/my_app

profile my_app flags=(attach_disconnected) {

 include <abstractions/base>
 include <abstractions/nameservice>
 include <abstractions/my_app_files>

 /usr/bin/my_app ix,

} ```

在这个例子中，我们创建了一个名为 `my_app` 的策略，它应用于 `/usr/bin/my_app` 可执行文件。策略包含了三个抽象列表：

`<abstractions/base>`: 包含基本系统抽象列表。
`<abstractions/nameservice>`: 包含名称服务相关的抽象列表。
`<abstractions/my_app_files>`: 包含我们之前创建的自定义抽象列表。

`ix` 表示不可执行，但可以被继承。

抽象列表的模式匹配

AppArmor 使用各种模式匹配技术来定义抽象列表条目。以下是一些常用的模式：

通配符 (*): 匹配零个或多个字符。
正则表达式 (?): 提供更灵活的模式匹配功能。
全局通配符 (?*): 匹配目录及其所有子目录和文件。

正则表达式在 AppArmor 抽象列表中非常强大，但需要谨慎使用，以避免意外的访问权限。例如，可以使用正则表达式来匹配特定类型的文件或目录。