💡 Apparmor란?

• 시스템 관리자가 프로그램 프로필 별로 프로그램의 역량을 제한할 수 있게 해주는 리눅스 커널 보안 모듈
• 프로필들은 네트워크 액세스, raw 소켓 엑세스, 파일의 읽기·쓰기·실행 과 같은 능력을 허용할 수 있음
• 강제적 접근 통제(Mandatory Access Control, MAC)를 제공함으로써 전통적인 유닉스 임의적 접근 통제(Discretionary Access Control, DAC) 모델을 지원

운영체제에서는 접근 통제를 통해 시스템 자원을 적절한 권한을 가진 사용자나 그룹만 접근 및 사용할 수 있도록 함

🔒 DAC(임의적 접근 통제)
시스템 객체에 대한 접근을 사용자나 그룹의 신분을 기준으로 제한
사용자나 그룹이 객체의 소유자라면 다른 주체에 대해 이 객체에 대한 접근 권한을 설정할 수 있음
사용자가 임의로 접근 권한을 지정하므로 사용자의 권한을 탈취당하면 사용자가 소유하고 있는 모든 객체 접근 권한을 가질 수 있게 되는 치명적인 문제가 있음
🔒 MAC(강제적 접근 통제)
미리 정해진 정책과 보안 등급에 의거하여 주체에게 허용된 접근 권한과 객체에게 부여된 허용 등급을 비교하여 접근을 통제
높은 보안을 요구하는 정보는 낮은 보안 수준의 주체가 접근할 수 없으며 소유자라고 해도 정책에 어긋나면 객체에 접근할 수 없으므로 강력한 보안을 제공함

apparmor은 debian 설치 시 기본적으로 깔려 있지만
sudo dkpg -l apparmor 로 설치 여부를 확인했을 때,
설치되어 있지 않다면
sudo apt install apparmor
sudo apt install apparmor-utils
위의 명령어를 통해 설치가 가능하다.

CentOS의 경우에는 설치와 동시에 AppArmor와 같은 보안 모듈이 설치되지 않는다
별도로 SELinux를 설치하고 설정을 해야함

🏷 AppArmor 프로필

프로필은 /etc/apparmor.d 디렉토리에 저장되어 있다.

지금은 가상환경에 프로그램을 설치하지 않으므로 따로 프로필에 관해서는 설정할 필요는 없음.
AppArmor 프로필은 한마디로 각 프로그램별 보안 정책을 설정하는 것이라고 할 수 있음!

쉽게 비유를 들자면,
휴대폰 설정에서 각 어플(프로그램) 별 카메라 권한 허용, 마이크 권한 허용, 화면 기록 권한 허용 등을 설정할 수 있는 것과 비슷한 개념

참고 사이트

• https://parkseunghan.notion.site/born2beroot-afdb78d74995456d9c91a4ae1be9874f?p=22792a48e9d2490680a7ddcb25a79ded
• https://velog.io/@kdkeiie8/Linux-AppArmor-리눅스-커널-보안-모듈
• https://en.wikipedia.org/wiki/AppArmor