Логи аудита AppArmor … что это означает?

Question 1

 1 раз(а): аудит: тип=1400 аудит(1473854574.089:113): apparmor="STATUS" операция="profile_replace" профиль="unconfined" имя="/usr/lib/cups/backend/cups-pdf" pid=31430 comm="apparmor_parser"

 1 раз(а): аудит: тип=1400 аудит(1473854574.089:114): apparmor="STATUS" операция="profile_replace" профиль="unconfined" имя="/usr/sbin/cupsd" pid=31430 comm="apparmor_parser"

 1 раз(а): аудит: тип=1400 аудит(1473854574.089:115): apparmor="STATUS" операция="profile_replace" профиль="unconfined" имя="/usr/sbin/cupsd" pid=31430 comm="apparmor_parser"

Должен ли я волноваться?

Я использую Ubuntu 14.04.5 LTS (GNU/Linux 4.4.0-36-generic x86_64)

Question 2

Во-первых, это означает, что вам следует прочитать man -k apparmor и страницы man.

Во-вторых, apparmor="STATUS" показывает, что это отчет о статусе, сообщающий о операции "profile_replace", заменяющий текущий профиль apparmor на профиль profile="unconfined", от имени name="/usr/lib/cups/backend/cups-pdf" pid=31430, name="/usr/sbin/cupsd" pid=31430 и name="/usr/sbin/cupsd" pid=31430, с использованием команды apparmor_parser (см. man apparmor_parser).

На английском это CUPS - Common Unix Printing System говорит AppArmor, что он хочет работать в старом, “unconfined”, режиме “AppArmor не беспокой меня”, который используется программами, которые еще не адаптировались к жизни с AppArmor.

Для получения дополнительной информации о AppArmor смотрите “Что такое AppArmor?” https://askubuntu.com/questions/236381/what-is-apparmor?rq=1

Вам не нужно волноваться, но определенный уровень обеспокоенности всегда уместен.

Question 3

Я бы хотел не согласиться с ответом waltinator. Если процесс мог бы сказать apparmor “оставь меня в покое”, то в этом не было бы смысла, верно?

Я прочитал страницы справки и приветствую ссылки, которые могут быть применимы.

Каждый раз, когда я ввожу “sudo service mysql restart”, я вижу похожее сообщение в syslog…
время ядра: аудит: тип=1400 apparmor=”STATUS” операция=”profile_replace” профиль=”unconfined” имя=”/usr/sbin/mysqld” pid=5014 comm=”apparmor_parser”

Если я затем введу “sudo aa-status”, я вижу, что mysql находится в списке “nn процессов работает в режиме enforcement”
0 процессов в режиме complain.
0 процессов не имеет профиля, но профиль определен.

Так что я думаю, что это довольно запутанное сообщение просто говорит apparmor… Я только что нашел процесс, совпадающий с profile=”unconfined”, и я собираюсь выполнить операцию=”profile_replace”.

Эти сообщения также появляются, когда ПК перезагружается, предположительно по той же причине: apparmor загружается первым, а затем, когда другие процессы загружаются, он их ограничивает.

Также обратите внимание, что если вы перезапустите apparmor, то все ограниченные в данный момент процессы станут неограниченными. Используйте “sudo service apparmor reload” или перезагрузите после внесения любых изменений в конфигурацию apparmor.

Question 4

Резюме

Эти сообщения указывают на то, что подсистема AppArmor (пере)загружает профиль(и), которые определяют политику безопасности AppArmor. Это происходит нормально во время запуска системы или если вы перезапускаете единицу apparmor.service.

Они не указывают на что-то, что было разрешено или отклонено AppArmor. Они указывают на то, что политика (которая определяет правила для разрешения/отказа) была (пере)загружена.

Детали

Аудит

аудит: тип=1400 аудит(1473854574.089:114):

Префикс audit: означает, что это сообщение от подсистемы аудита ядра, которая используется как SELinux, так и AppArmor. В контексте компьютерной безопасности “аудит” обычно означает “регистрация”. (Поскольку логи позволяют отслеживать события, происходящие в системе. Терминология перегружена.)

тип=1400 – это код типа события. 1400 – это AUDIT_AVC, “отказ или разрешение SE Linux avc”. Хотя AppArmor работает, чтобы заменить SELinux с точки зрения интерфейса для оператора, он реализован поверх некоторых примитивов SELinux. В результате большинство/все сообщения AppArmor регистрируются с использованием этого кода.

аудит(1473854574.089:114) предоставляет временную отметку и идентификатор события.

Временная отметка использует стандартный формат Unix “секунды с 1 января 1970 года, 00:00:00 UTC”. Вы можете декодировать ее с помощью утилиты GNU date(1). Например:

$ date -d '@1473854574.089'
Ср, 14 сентября 2016 года 08:02:54 EDT

Идентификатор события – это в основном просто номер последовательности, начиная с одного (не нуля) при загрузке системы. Предполагается, что несколько строк журнала могут ссылаться на один и тот же идентификатор события, если они все являются частью одной транзакции.

Лидер AppArmor

apparmor="STATUS" операция="profile_replace"

apparmor=STATUS указывает, что это сообщение AppArmor (в отличие от правильного сообщения SELinux). Тип сообщения AppArmor здесь – это статусный отчет, т.е. что-то о системе AppArmor в целом – и не о решении по разрешениям. Они регистрируются как ALLOWED или DENIED.

operation указывает на операцию, которая спровоцировала сообщение журнала аудита AppArmor. profile_replace означает, что определение профиля в ядре заменяется новым. Для обычных операций это такие действия, как open или write.

Сущности AppArmor

профиль="unconfined" имя="/usr/lib/cups/backend/cups-pdf"

Профиль AppArmor – это набор правил, которые применяются в определенных обстоятельствах. profile=unconfined означает, что процесс, который вызвал это событие, не ограничен никаким профилем AppArmor. Никакой профиль не применяется. Никакие правила AppArmor не применяются. Это имеет смысл, поскольку большинство ограничений блокировало бы profile_reload.

name сообщает нам имя объекта, связанного с этим событием. Здесь объект используется в грамматическом смысле: это то, на что воздействуют. Поскольку это операция profile_replace, это профиль, который заменяется.

Профили AppArmor традиционно именуются с использованием полного пути к исполняемому файлу. При поиске файла определения профиля слэши (/) заменяются на точки (.). Таким образом, соответствующий профиль будет /etc/apparmor.d/usr.lib.cups.backend.cups-pdf.

Детали процесса

pid=31430 comm="apparmor_parser"

Идентификатор процесса 31430 выполнил операцию profile_replace. Название команды, связанной с этим процессом, было apparmor_parser. apparmor_parser – это имя программы, которая загружает профили AppArmor в ядро.