Безопасность сервера / Ступень 8 из 10 · шаг 4 из 5

Службе отказано в доступе

~20 мин

Не запущена Запускается обычно ~20 с

Ситуация

Внутренняя база знаний — служба lab-kb, приложение kb-server — на прошлой неделе переехала на новый диск: статьи перенесли из /var/lib/kb в /srv/kb, путь в /etc/kb-server/kb.conf поправили. С тех пор база не открывается:

curl -s http://127.0.0.1:8098/

Права коллега уже проверил: каталоги 755, файлы 644. От пользователя службы статья читается — sudo -u kb cat /srv/kb/howto/vpn.md. Рядом на том же диске лежит /srv/hr — выгрузки отдела кадров.

Задача

lab-kb отдаёт главную страницу со списком статей и сами статьи из /srv/kb, в том числе новые. Код приложения и путь к статьям в настройках прежние.
Защиту службы не ослабляй: процесс работает под своим профилем AppArmor kb-server в режиме enforce.
К /srv/kb служба получает только чтение. Писать туда, читать /srv/hr и /etc/shadow она по-прежнему не может.
Файл профиля из пакета /etc/apparmor.d/usr.local.bin.kb-server не правь — обновление пакета его заменит. Свои правила держи в /etc/apparmor.d/local/usr.local.bin.kb-server: исправление должно действовать и после загрузки профиля с диска.

Интернета на машине нет, всё нужное уже установлено. Команды администратора запускай через sudo.

Цели лабы

0 из 4

lab-kb отдаёт главную страницу и статьи из /srv/kb, в том числе новые; код приложения и путь к статьям прежние — ещё не проверялась
Процесс службы работает под профилем kb-server в режиме enforce — ещё не проверялась
Профиль даёт службе только чтение /srv/kb — /srv/hr, /etc/shadow и запись в /srv/kb ей закрыты — ещё не проверялась
Свои правила — в /etc/apparmor.d/local, файл профиля из пакета прежний; после загрузки профиля с диска служба работает — ещё не проверялась

Подсказки

открыто 0 из 3 · открываются по одной

Подсказка 1

Показать решение после 3 неудачных проверок

Для запуска машины нужен вход

Машина запускается на твой аккаунт, там же хранится прогресс. Читать можно без входа.

После входа вернёшься на эту лабу.

Безопасность · подобрано по лабе

AppArmor

Шпаргалка

$_ — вставить в терминал

sudo aa-status профили и режимы
journalctl -k | grep -i 'apparmor.*denied' что блокируется
sudo aa-complain /etc/apparmor.d/usr.sbin.nginx только лог
sudo aa-logprof дополнить профиль по логам
sudo aa-enforce /etc/apparmor.d/usr.sbin.nginx обратно блокировать
sudo apparmor_parser -r /etc/apparmor.d/usr.sbin.nginx перечитать

Режимы и команды

Профили — в /etc/apparmor.d/. Два режима:

enforce — нарушения блокируются;
complain — только логируются (для отладки/обкатки).

bash

sudo aa-status                                    # обзор
sudo aa-complain /etc/apparmor.d/usr.sbin.nginx   # → complain
sudo aa-enforce  /etc/apparmor.d/usr.sbin.nginx   # обратно в enforce
sudo aa-disable  /etc/apparmor.d/usr.sbin.nginx   # отключить профиль
sudo apparmor_parser -r /etc/apparmor.d/profile   # перечитать
sudo apparmor_parser -R /etc/apparmor.d/profile   # выгрузить профиль
sudo systemctl reload apparmor

Пакеты apparmor-utils дают aa-* хелперы; без них — только apparmor_parser.

Профили и обкатка

Структура профиля (упрощённо): путь к бинарю + правила доступа (capabilities, пути с r/w/ix), плюс #include <abstractions/...> и #include <tunables/...>.

Полуавтоматическая доводка профиля под реальное поведение:

bash

sudo aa-genprof /usr/bin/myapp    # создать профиль, гоняя приложение
sudo aa-logprof                   # правила по логам отказов

Типичный цикл: aa-complain → погонять нагрузку → aa-logprof (принять сгенерированные разрешения) → aa-enforce.

«Permission denied», а права (rwx) верные

Блокирует AppArmor. Смотри отказы:

bash

sudo journalctl -k | grep -i 'apparmor.*denied'
sudo dmesg | grep -i 'apparmor.*DENIED'

Строка DENIED ... operation="open" ... name="/path" укажет, к чему профиль не пустил.

Служба работает, но не может в новый каталог

Профиль не разрешает путь. На время отладки — aa-complain, погонять, затем aa-logprof дополнит профиль, и aa-enforce.

Профиль не перечитывается после правки

sudo apparmor_parser -r <профиль> (или reload apparmor). Синтаксическая ошибка — parser её покажет.

Хочу временно отключить для одной службы

sudo aa-complain <профиль> (мягко) или aa-disable. Полностью глушить AppArmor в проде не стоит — это потеря защиты.

snap-приложение и AppArmor

Snap использует свои профили (confinement); отказы тоже видны в journalctl -k (см. snap snap connections).