roddhjav/apparmor.d1500以上のAppArmorプロファイルを包括的に集めたセットで、Linuxシステムプロセス、デスクトップ、サービスを制限し、複数のディストリビューションやデスクトップ環境に対応します。
AppArmorプロファイルの完全なセット
[!WARNING] このプロジェクトはまだ初期開発段階です。ヘルプは大歓迎です。ドキュメントウェブサイトの開発セクションをご覧ください。
AppArmor.dは、1500以上のAppArmorプロファイルのセットであり、その目的はほとんどのLinuxベースのアプリケーションとプロセスを制限することです。
目的
systemdツール、bluetooth、dbus、polkit、NetworkManager、OpenVPN、GDM、rtkit、colordなどのすべてのルートプロセスを制限するPipewire、Gvfsd、dbus、xdg、xwaylandなどのすべてのユーザーサービスを制限する目標
デモ
このプロジェクトを試してみたい場合、またはマシンにインストールせずに提供される高度な使用方法やセキュリティに興味がある場合は、私のAppArmorプレイマシン https://play.pujol.io/ でオンラインで試すことができます。
このプロジェクトは元々Morfikovの研究に基づいており、それをより多くのLinuxディストリビューションとデスクトップ環境に拡張することを目的としています。
Linuxパッケージは50000以上あり、アプリケーションはさらに多く存在します。それらすべてに対してAppArmorプロファイルを作成することは単純に不可能です。そこで、疑問が生じます:
何を制限するのか、そしてなぜか？
私たちはAndroid/ChromeOSのセキュリティモデルからインスピレーションを得て、それをLinuxの世界に適用しています。現代のLinuxセキュリティディストリビューションは通常、厳選されたアプリケーションセットを持つ不変のコアベースイメージを考慮しています。それ以外はすべてサンドボックス化されるべきです。したがって、このプロジェクトは通常Linuxシステムで見られるすべてのコアアプリケーション（すべてのsystemdサービス、Xwayland、ネットワーク、Bluetooth、デスクトップ環境など）を制限しようとします。非コアのユーザーアプリケーションは、専用ツール（minijail、bubblewrap、toolboxなど）を使用してサンドボックス化されるべきであるため、範囲外です。
これは、通常インターネットやユーザーに直面するアプリケーションのみを制限することが一般的であるLinuxサーバーでのAppArmorの一般的な使用方法とは根本的に異なります。
発表
最大のAppArmorプロファイルセットの構築:
AppArmor Playマシン作成中に学んだ教訓:
詳細は apparmor.pujol.io/install をご覧ください
詳細は apparmor.pujol.io/configuration をご覧ください
詳細は apparmor.pujol.io/usage をご覧ください
フィードバック、コントリビューター、プルリクエストはすべて大歓迎です。コントリビューションのプロセスの詳細については、apparmor.pujol.io/development をお読みください。
開発チャットは https://matrix.to/#/#apparmor.d:matrix.org で利用可能です。
このプロジェクトは元々Mikhail Morfikovのapparmorプロファイルプロジェクトに基づいており、同じライセンス（GPL2）を持っています。