Garantir l'installation des utilitaires AppArmor
Garantit que le paquet apparmor-utils est installé, fournissant les outils (aa-status, aa-enforce, aa-complain, aa-genprof) nécessaires à la gestion des profils AppArmor.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le paquet de base apparmor applique les profils mais ne fournit aucune commande de gestion. Sans apparmor-utils, les administrateurs ne peuvent ni inspecter l'état des profils, ni basculer entre les modes enforce et complain, ni générer de nouveaux profils, rendant la couche MAC de fait inexploitable. CIS exige ces utilitaires pour qu'AppArmor puisse être opérée et auditée.
Ce que vérifie Pavois
Pavois interroge dpkg (via la ressource InSpec package) pour savoir si apparmor-utils est installé. Cela reflète l'état effectif des paquets plutôt que de supposer la présence des outils parce que le cadre de base est installé.
describe package('apparmor-utils') do
it { should be_installed }
endComment vérifier qu’elle est appliquée
Exécutez dpkg -s apparmor-utils, attendu Status: install ok installed. Ensuite aa-status doit s'exécuter et indiquer le nombre de profils chargés.
Inspecter et investiguer
dpkg -l apparmor-utilsconfirme l'installation ;aa-statusliste les profils enforce/complain.- Les modifications de profils faites avec ces outils apparaissent comme événements noyau AppArmor dans
journalctl -k | grep apparmoret comme refus d'audit dans/var/log/audit/audit.log.
Remédiation
Le plan de durcissement de Pavois installe le paquet apparmor-utils (ressource package, action install) lorsque vous lancez pavois harden apply. Il installe les commandes de gestion mais ne change le mode d'aucun profil.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | install |
|---|---|
| name | apparmor-utils |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Installer les utilitaires est sûr et non perturbateur, cela n'ajoute que des outils en ligne de commande. Le risque ne provient que de l'usage ultérieur de ces outils (par exemple aa-enforce sur un profil incomplet pourrait bloquer un service) ; testez d'abord les changements de profils en mode complain.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 1.3.1.1 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.