Curso de AppArmor

Directorios clave: `/etc/apparmor.d`, `/sys/kernel/security`

Archivos de perfiles y su estructura

Carga de perfiles con `apparmor_parser`

Herramientas principales (`aa-status`, `aa-complain`, etc.)

Módulo del kernel y modo de operación

Soporte con systemd y servicios de arranque

Ciclo de vida de un perfil activo

Procesos confinados vs no confinados

Limitaciones del enfoque binario

Práctica: identificar servicios actualmente confinados

En qué consiste el modo enforce

Modo complain: uso para pruebas y afinación

`unconfined`: qué implica y cuándo ocurre

Cómo cambiar el modo de un perfil activo

Ventajas del complain en producción inicial

Logs generados en cada modo

Transición segura entre modos

Pruebas de seguridad sin afectar servicio

Ejemplos prácticos con nginx y curl

Práctica: establecer perfiles en modo complain para pruebas

Sintaxis básica de un perfil AppArmor

Comandos permitidos, archivos, red y ejecución

Permisos básicos: r, w, m, ix, px, ux

Globs, rutas recursivas y aliases

Control de ejecución de scripts y binarios

Denegación de rutas específicas

Secuencia de carga de perfiles desde el sistema

Plantillas para perfiles estándar

Ejemplo: perfil mínimo para `/usr/bin/wget`

Práctica: escribir un perfil para proteger un script bash

Herramienta `aa-genprof`: cómo funciona

Recolección de eventos en modo complain

`aa-logprof` para sugerencias de ajuste

Lectura interactiva de logs con propuesta de acciones

Uso de `audit.log` y `journalctl` para evidencias

Refinamiento iterativo del perfil

Análisis de acceso no solicitado o inseguro

Automatización con `aa-autodep`

Limitaciones del modo automático

Práctica: generar perfil para servicio `mysqld`

Rutas comunes de log para AppArmor

`/var/log/audit/audit.log` vs `journalctl`

Identificación de errores AppArmor en syslog

Decodificación de denegaciones

Interpretación del mensaje de permiso denegado

Corrección basada en contexto de ejecución

Relación entre permisos y comportamiento real

Detectar errores silenciosos causados por AppArmor

Práctica: depurar aplicación fallida por acceso denegado

Confinamiento de red, sockets y puertos

Limitación de acceso a recursos `/proc`, `/dev` y `/tmp`

Protección de secretos, certificados y claves

Restringir comunicación entre procesos

Control de señales y lectura de entorno

Política de acceso a dispositivos físicos

Monitorización de uso de recursos críticos

Prevención de escalado de privilegios

Práctica: bloqueo de conexiones externas desde un proceso

Servicios comunes para proteger: nginx, openssh, mysql

Diseño de perfiles por daemon

Integración con systemd y unidades de servicio

Testeo en entornos staging y paso a producción

Aplicación por ruta binaria (`/usr/sbin/sshd`)

Protección frente a scripts secundarios

Restricción por acceso a ficheros de config

Supervisión tras arranque

Compatibilidad con journald

Práctica: confinamiento total de un servidor web interno

AppArmor en contenedores: cómo funciona

Docker y `--security-opt apparmor=`

Perfiles por imagen y por contenedor

Ejemplo de aplicación AppArmor en un `nginx` container

Diferencias con seccomp y cgroups

AppArmor y Snaps: perfiles predefinidos y sandbox

Control de acceso en aplicaciones empacadas

Protección de host desde contenedor

Práctica: aplicar un perfil a contenedor Docker y verificar funcionamiento

AppArmor como herramienta de compliance

Verificación de perfiles en entornos de integración continua

Escenarios de testeo en pipelines GitLab/GitHub

Validación automática de logs y errores

Despliegue seguro con perfiles versionados

Integración con herramientas de escaneo de seguridad

Revisión de permisos otorgados en código

Políticas como código: versionado y rollback

Práctica: incluir AppArmor en un flujo de CI/CD

Principio de mínimo privilegio aplicado a AppArmor

Revisión periódica de rutas abiertas

Auditoría de permisos y refactorización

Automatización del refuerzo de políticas

Reglas de exclusión estrictas para rutas inseguras

Establecimiento de rutas explícitas y no genéricas

Separación de procesos en perfiles individuales

Políticas por entorno (dev, pre, prod)

Documentación de perfiles activos

Práctica: checklist de perfil seguro para microservicio

Diferencias clave con SELinux y cómo interactúan

Qué ocurre cuando ambas están activas

Elección de un sistema MAC por distribución

AppArmor + systemd sandboxing

AppArmor + seccomp en Docker

Combinación con políticas de red y firewalld

AppArmor + kernel lockdown

Consideraciones de kernel hardened

Práctica: entorno dual con AppArmor y systemd-nspawn

AppArmor en auditorías técnicas

Evidencias generadas automáticamente

Reportes de actividad y eventos

Asociación de logs a procesos y servicios

Comprobación de cobertura por perfil

Revisión de cumplimiento en infraestructuras híbridas

Herramientas de soporte (auditctl, ausearch)

Reporte diario/semanal de anomalías

Práctica: generar informe de seguridad por perfil activo

Herramientas para supervisión de procesos AppArmor

Monitoreo de eventos por perfil

Mantenimiento de perfiles en sistemas en producción

Rotación de logs, limpieza y archivado

Alertas por denegaciones persistentes

Actualización de perfiles tras cambios en apps

Impacto de actualizaciones del sistema en AppArmor

Planificación de pruebas y revisión regular

Práctica: revisión mensual automatizada de logs AppArmor

Selección de un servicio real (API interna, servicio cron, etc.)

Generación inicial del perfil con `aa-genprof`

Afinación del perfil mediante logs

Simulación de uso legítimo y ataque controlado

Refuerzo con restricciones adicionales

Comprobación con `auditd` y logs estructurados

Versionado y documentación del perfil

Prueba en entorno de staging o VM

Validación del comportamiento esperado

Presentación del perfil como componente de seguridad formal