آنچه باید بدانید
- این برنامهٔ آمادگی ۲۰۲۷ بر پایهٔ قابلیت‌های فعلی است.
- یک پروفایل موجود را در محیط آزمایشی بررسی کنید.
- پس از آزمون عملکرد، محدودیت را با راه برگشت هدفمند اعمال کنید.
برنامهٔ آمادگی با بازبینی اکتبر ۲۰۲۶
این مطلب برنامه‌ریزی برای ۲۰۲۷ با قابلیت‌های مستند فعلی AppArmor است؛ خبر انتشار سیستم‌عامل آینده یا آسیب‌پذیری جدید نیست. محدودهٔ مثال، میزبان اوبونتو با پروفایل مشخصِ قابل‌بازبینی برای سرویس است. پیش از تطبیق با محیط دیگر، راهنمای نصب‌شده و پشتیبانی بستهٔ توزیع خود را بررسی کنید.
مرز محافظت فعلی را بشناسید
راهنمای AppArmor اوبونتو، کنترل اجباریِ مخصوص برنامه را مکمل مجوز معمول یونیکس می‌داند. وضعیت بارگذاری و رویدادهای تازهٔ کرنل را ببینید:
sudo aa-status
sudo journalctl -k --since "1 hour ago" --no-pagerثبت کنید کدام پروفایل سرویس را پوشش می‌دهد، آیا محدودیت اجرا می‌شود و برنامه واقعاً چه فایل‌هایی را می‌خواند یا می‌نویسد. خروجی لاگ شاید جزئیات کاربر یا فایل داشته باشد؛ آن را محافظت کنید. نصب بستهٔ AppArmor به معنی محصوربودن همهٔ برنامه‌ها نیست.
یک پروفایل منتخب را آزمایشی مشاهده کنید
محیط جدا بسازید و پروفایل فعلی را ذخیره کنید. مرجع aa-complain حالتی را توضیح می‌دهد که بیشتر تخطی‌ها را به‌جای مسدودکردن ثبت می‌کند؛ قواعد صریح deny همچنان اجرا می‌شوند. برای سرویس دارای پروفایل، مسیر اجرایی نمونه را پیش از استفاده عوض کنید:
sudo aa-complain /usr/sbin/YOUR_PROFILED_SERVICEفرمان را روی همهٔ پروفایل‌ها اجرا نکنید و آن را راه‌حل دائمی محیط واقعی ندانید. شروع سرویس، فایل، آپلود، کار زمان‌بندی‌شده، چرخش لاگ و بازیابی را بیازمایید. هر رد دسترسی را با نیاز واقعی بسنجید؛ تمام پیشنهادهای لاگ را خودکار مجاز نکنید.
محدودیت را اعمال و آزمون را تکرار کنید
پس از بازبینی محدود پروفایل، مرجع aa-enforce روش بازگشت همان پروفایل منتخب به اجرای محدودیت را توضیح می‌دهد:
sudo aa-enforce /usr/sbin/YOUR_PROFILED_SERVICE
sudo aa-statusکارهای محیط آزمایشی را تکرار و ردهای تازه را بررسی کنید. انتشار واقعی را با پروفایل ذخیره‌شده و برنامهٔ بازیابی همان سرویس زمان‌بندی کنید. در شکست آزمون، پروفایل بازبینی‌شده یا حالت موقت توافق‌شدهٔ همان سرویس را برگردانید؛ خاموش‌کردن سراسری AppArmor اصلاح هدفمند نیست.
تمرین را به کار نگهداری ۲۰۲۷ تبدیل کنید
در تحویل پیشنهادی ما، مسئول پروفایل، نسخهٔ بسته، مسیرهای آزموده، نتیجهٔ بررسی ردها و تاریخ بازبینی بعدی ثبت می‌شود. پس از ارتقای تغییر‌دهندهٔ مسیر یا رفتار برنامه دوباره بررسی کنید. این محدودسازی را کنار آپدیت امنیتی، لاگ مفید و بازیابی آزموده بگذارید. این شواهد، معیار روشن‌تری از برچسب کلی «امنیت ۲۰۲۷» هستند.
منابع و مطالعهٔ بیشتر
گزارش این مطلب بر پایهٔ منابع اصلی زیر است. توصیه‌های اجرایی، راهنمای عمومی کیاوا هستند و باید با شرایط پروژه تطبیق داده شوند.