1
# 查看 AppArmor 状态
2
sudo aa-status
3

4
# 输出示例：
5
# apparmor module is loaded.
6
# 47 profiles are loaded.
7
# 32 profiles are in enforce mode.
8
# 15 profiles are in complain mode.

1
# 将某个 profile 设为强制模式
2
sudo aa-enforce /etc/apparmor.d/usr.bin.nginx
3

4
# 将某个 profile 设为投诉模式（调试用）
5
sudo aa-complain /etc/apparmor.d/usr.bin.nginx
6

7
# 将所有 profile 设为强制模式
8
sudo aa-enforce /etc/apparmor.d/*

1
sudo apt install apparmor-profiles apparmor-profiles-extra -y

1
# 第一步：启动交互式学习模式
2
sudo aa-genprof /usr/local/bin/my-app
3

4
# 第二步：在另一个终端中正常运行你的应用
5
# 模拟所有正常操作——访问应该读的文件、绑定应该用的端口等
6

7
# 第三步：回到 aa-genprof 终端，按 Ctrl+C 结束扫描
8
# AppArmor 会列出应用做的所有操作，逐条询问：
9
#   A = Allow（允许）
10
#   D = Deny（拒绝）
11
#   I = Ignore（本次忽略）
12
#   N = Never Allow（永远不允许）
13

14
# 第四步：完成交互后，将生成的 profile 设为强制模式
15
sudo aa-enforce /etc/apparmor.d/usr.local.bin.my-app

1
# aa-logprof 扫描最近的拒绝日志，帮助你更新现有 profile
2
sudo aa-logprof
3

4
# 交互过程与 aa-genprof 相同：逐个审核拒绝事件
5
# 适合场景：服务升级后行为变化、迁移服务器后路径不同

1
# 实时查看拒绝事件
2
sudo journalctl -f | grep -i apparmor
3

4
# 或通过 dmesg
5
sudo dmesg | grep -i apparmor
6

7
# 典型拒绝日志格式：
8
# audit: type=1400 apparmor="DENIED" operation="open"
9
#   profile="/usr/sbin/nginx" name="/etc/shadow" pid=1234
10
#   requested_mask="r" denied_mask="r"

1
# Nginx
2
sudo aa-enforce /etc/apparmor.d/usr.sbin.nginx
3

4
# MySQL / MariaDB
5
sudo aa-enforce /etc/apparmor.d/usr.sbin.mysqld
6

7
# PHP-FPM（如果路径是 /usr/sbin/php-fpm*）
8
sudo aa-enforce /etc/apparmor.d/usr.sbin.php-fpm*
9

10
# Docker（限制容器逃逸风险）
11
sudo aa-enforce /etc/apparmor.d/docker-default

1
sudo apt install auditd audispd-plugins -y
2
sudo systemctl enable auditd
3
sudo systemctl start auditd

1
# ===== 清空现有规则 =====
2
-D
3

4
# ===== 缓冲区大小（减少事件丢失风险）=====
5
-b 8192
6

7
# ===== 用户与组文件监控 =====
8
-w /etc/passwd    -p wa -k passwd_changes
9
-w /etc/shadow    -p wa -k shadow_changes
10
-w /etc/group     -p wa -k group_changes
11
-w /etc/gshadow   -p wa -k gshadow_changes
12
-w /etc/sudoers   -p wa -k sudoers_changes
13
-w /etc/sudoers.d -p wa -k sudoers_changes
14

15
# ===== SSH 配置监控 =====
16
-w /etc/ssh/sshd_config -p wa -k ssh_config_changes
17

18
# ===== 认证日志监控 =====
19
-w /var/log/auth.log -p wa -k auth_log
20

21
# ===== 关键系统二进制文件监控 =====
22
-w /usr/bin/passwd  -p x -k passwd_exec
23
-w /usr/bin/sudo    -p x -k sudo_exec
24
-w /usr/bin/su      -p x -k su_exec
25
-w /usr/bin/chmod   -p x -k chmod_exec
26
-w /usr/bin/chown   -p x -k chown_exec
27

28
# ===== root 权限命令监控 =====
29
-a always,exit -F arch=b64 -S execve -F euid=0 -k root_commands
30
-a always,exit -F arch=b32 -S execve -F euid=0 -k root_commands
31

32
# ===== 挂载操作 =====
33
-a always,exit -F arch=b64 -S mount -S umount2 -k mount_ops
34
-a always,exit -F arch=b32 -S mount -S umount -k mount_ops
35

36
# ===== 网络配置变更监控 =====
37
-w /etc/hosts       -p wa -k network_config
38
-w /etc/resolv.conf -p wa -k network_config
39
-w /etc/hostname    -p wa -k network_config
40

41
# ===== 内核模块加载 =====
42
-w /sbin/insmod -p x -k kernel_modules
43
-w /sbin/modprobe -p x -k kernel_modules
44
-w /sbin/rmmod -p x -k kernel_modules
45

46
# ===== 锁定规则（-e 2 使规则不可变，需重启才能修改）=====
47
-e 2

1
# 应用规则
2
sudo systemctl restart auditd
3

4
# 查看当前所有活跃规则
5
sudo auditctl -l
6

7
# 查看审计子系统状态
8
sudo auditctl -s

1
# 查找所有与 passwd 文件变更相关的事件
2
sudo ausearch -k passwd_changes
3

4
# 查找今天所有的 root 命令执行
5
sudo ausearch -ts today -k root_commands
6

7
# 查找指定时间范围内的事件
8
sudo ausearch -ts 05/16/2026 08:00:00 -te 05/16/2026 18:00:00 -k root_commands
9

10
# 查找特定用户的 sudo 操作
11
sudo ausearch -ua deploy -k root_commands
12

13
# 查找失败的事件（被拒绝的访问）
14
sudo ausearch -m syscall --success no

1
# 身份认证事件摘要
2
sudo aureport -au
3

4
# 可执行文件执行摘要
5
sudo aureport -x --summary
6

7
# 文件访问摘要
8
sudo aureport -f -i --summary
9

10
# 登录事件报告
11
sudo aureport -l -i
12

13
# 异常报告（如被拒绝的访问尝试）
14
sudo aureport --failed -i

1
# 实时追踪审计事件
2
sudo ausearch -k root_commands --live
3

4
# 或直接用 journalctl 过滤
5
sudo journalctl -f | grep -i audit