36 プロファイルを作成したアプリケーションの管理 #Edit source
AppArmor® でアプリケーションのプロファイルを作成して予防接種を実施し、プロファイルをメンテナンス (ログファイルの分析からプロファイルの更新、プロファイルのバックアップや最新状態への維持) することで、 openSUSE® Leap は非常に効率的にシステムを堅牢にすることができます。また、電子メールへのイベント通知を設定し、 aa-logprof ツールを利用してログを調査し、プロファイルを更新することで、様々な問題が顕在化する前に対応を取ることができます。
36.1 アクセス拒否イベントへの対応 #Edit source
何らかのアクセス拒否イベントが見つかった場合、まずはその内容がセキュリティ上の脅威によるものなのか、もしくは通常のアプリケーションの動作として発生したものなのかを判断します。この判断にあたっては、アプリケーション固有の知識が必要となります。もしもアクセス拒否イベントが通常のアプリケーション動作として発生したものであった場合は、コマンドラインで aa-logprof を実行してください。
アクセス拒否イベントが通常のアプリケーション動作では無いものである場合は、 AppArmor の仕組みで未然に防止することができたものの、それは悪意のある侵入である可能性があります。このような状況が発生した場合は、組織内のセキュリティ責任者に連絡を取って、対応を検討することをお勧めします。
36.2 セキュリティプロファイルの管理 #Edit source
本番環境においては、配置済みのすべてのアプリケーションに対して、プロファイルをメンテナンスするよう計画すべきです。セキュリティポリシーの策定と、それに伴うプロファイルの作成を、配置作業の一環として実施すべきです。また、セキュリティポリシーファイルのバックアップと復元のほか、お使いの環境でのソフトウエア仕様変更の計画や、それに伴うセキュリティポリシーの修正についても、検討を行うべきです。
36.2.1 セキュリティプロファイルのバックアップ #Edit source
プロファイルをバックアップしておくことで、ディスク障害が発生してもプログラムのプロファイルを作り直す必要が無くなります。また、プロファイルを変更した場合でも、バックアップから復元することで、容易に以前の状態に戻ることができます。
ポリシーのバックアップ作業は、特定のディレクトリ内にプロファイルをコピーするだけです。
まずはプロファイルを 1 つのファイルにまとめます。これを行うには、端末ウインドウを開いて、
rootになって下記を実行します:>sudotar zclpf profiles.tgz /etc/apparmor.dまた、システムを定期的にバックアップしている場合は、バックアップ対象のディレクトリに
/etc/apparmor.dを追加しておくことで、お使いのバックアップ内にプロファイルを入れておくことができます。scpや Nautilus のようなファイルマネージャを使用することで、他のストレージメディアやネットワーク、その他のコンピュータなどにコピーすることもできます。
36.2.2 セキュリティプロファイルの変更 #Edit source
セキュリティプロファイルのメンテナンス作業には、アプリケーションに対するセキュリティを修正してシステムを適切に保護する作業が含まれます。 AppArmor 内でプロファイルを変更する方法について、詳しくは 32.2項 「プロファイルの編集」 をお読みください。
36.2.3 お使いの環境に対する新規ソフトウエアの導入 #Edit source
システム内にインストールされているアプリケーションのバージョンを上げた場合や、修正を適用した場合、お使いの要件にあわせてプロファイルを更新する必要があります。更新方法にはいくつかのものがありますが、組織内の配置戦略にあわせて決定してください。また、テスト環境や本番環境に対して、修正やアップグレードを配置することもできます。以下では、これらそれぞれの方法について、どのようにすべきなのかについて説明しています。
テスト環境に修正やアップグレードを適用しようとしている場合は、端末を開いて root になり、 aa-logprof を実行してプロファイルを更新するのが最適な方法です。詳しい手順については 33.7.3.9項 「aa-logprof: システムログのスキャン」 をお読みください。
本番環境に直接修正やアップグレードを適用しようとしている場合は、 aa-logprof を利用してシステムを頻繁に監視し、プロファイルに更新すべき内容が無いかどうかを細かく調べて、必要であれば追加するのが最適な方法です。詳しい手順については 33.7.3.9項 「aa-logprof: システムログのスキャン」 をお読みください。