Entre os mil motivos para apreciar o trabalho com o Linux, talvez um dos mais importantes, para mim, seja a ampla disponibilidade de ferramentas confiaveis para a gestao da seguranca do sistema. Esse leque de opcoes capacita o administrador, apos um razoavel periodo de avaliacao e testes, a adotar um pacote de solucoes de seguranca sob medida para suas necessidades, mantendo o computador praticamente imune ate mesmo a ataques com alto nivel de engenhosidade.O Apparmor e uma dessas ferramentas, pela qual fiquei encantado. Basicamente, o que o Apparmor faz e restringir o acesso dos aplicativos a areas e funcoes criticas de seu computador. Essa restricao e feita no nivel do kernel, o nivel mais basico do sistema operacional, de modo que o aplicativo fica imunizado contra ataques. Mesmo que um hipotetico virus ou tecnica maliciosa consiga alterar o codigo do programa para obriga-lo desempenhar uma funcao estranha a sua finalidade original, o sistema operacional turbinado pelo Apparmor impedira o aplicativo infectado de fazer qualquer coisa nao prevista em suas funcoes normais. O Apparmor funciona, portanto, como uma especie de "lista branca", que proibe tudo o que nao for explicitamente autorizado.Como quase tudo no Linux, as "listas brancas" dos aplicativos sao salvas sob a forma de pequenos arquivos de texto. Esses arquivos, chamados "perfis", sao salvos, em meu sistema Debian Jessie, na pasta /etc/apparmor.d/.A redacao de um guia completo de instalacao, configuracao, criacao e manutencao de perfis do Apparmor ultrapassaria muito o tempo que tenho disponivel para a redacao deste blog, bem como minha competencia tecnica, ja que nao sou profissional de TI e o assunto e bastante complexo. Entretanto, decidi publicar aqui alguns dos perfis do Apparmor que eu mesmo criei, na esperanca de que possam ser uteis a quem estiver estudando o assunto.Se voce for profissional de TI e tiver criticas ou correcoes a fazer, peco que fique a vontade para registra-las na area de comentarios. Esclareco tambem que, embora todos os softwares confinados por esses perfis em "enforce mode", nas versoes especificadas, estejam funcionando perfeitamente em minha maquina, um sistema Debian Linux Jessie 8.3, versao do kernel 3.16.0-4-amd64, nao ofereco nenhuma garantia de que vao funcionar em sua maquina, nem que serao eficientes formas de seguranca contra este ou aquele tipo de ataque. Experimente-os por sua conta e risco!Perfil Apparmor para o navegador web Debian Iceweasel 38.6.1nome do arquivo: usr.lib.iceweasel.iceweasel# Last Modified: Mon Feb 15 11:18:40 2016#include <tunables/global># vim:syntax=apparmor# ------------------------------------------------------------------## Copyright (C) 2009-2011 Canonical Ltd.## This program is free software; you can redistribute it and/or# modify it under the terms of version 2 of the GNU General Public# License published by the Free Software Foundation.## ------------------------------------------------------------------ /usr/lib/iceweasel/iceweasel { #include <abstractions/audio> #include <abstractions/cups-client> #include <abstractions/dbus-session> #include <abstractions/gnome> #include <abstractions/ibus> #include <abstractions/kde> #include <abstractions/nameservice> #include <abstractions/totem> network inet stream, network inet6 stream, deny /.suspended r, deny /boot/initrd.img* r, deny /boot/vmlinuz* r, deny /usr/bin/gconftool-2 x, deny /usr/lib/iceweasel/** w, deny /usr/lib/iceweasel/components/extensions/**/ w, deny /usr/lib/iceweasel/update.test w, deny /usr/lib/xulrunner-*/components/*.tmp w, deny /usr/lib/xulrunner-addons/extensions/**/ w, deny /usr/lib/{iceweasel,xulrunner}-addons/** w, deny /usr/share/mozilla/ w, deny /usr/share/mozilla/extensions/**/ w, deny /var/cache/fontconfig/ w, / r, /bin/which rix, /etc/fstab r, /etc/gre.d/* r, /etc/iceweasel*/** r, /etc/lsb-release