☰

AppArmor 审计日志...这是什么意思？

tag-icon • tag-icon 14.04 apparmor cups-lpd
AppArmor 审计日志...这是什么意思？ 
 1 Time(s): audit: type=1400 audit(1473854574.089:113): apparmor="STATUS" operation="profile_replace" profile="unconfined" name="/usr/lib/cups/backend/cups-pdf" pid=31430 comm="apparmor_parser"

 1 Time(s): audit: type=1400 audit(1473854574.089:114): apparmor="STATUS" operation="profile_replace" profile="unconfined" name="/usr/sbin/cupsd" pid=31430 comm="apparmor_parser"

 1 Time(s): audit: type=1400 audit(1473854574.089:115): apparmor="STATUS" operation="profile_replace" profile="unconfined" name="/usr/sbin/cupsd" pid=31430 comm="apparmor_parser"

我应该担心吗？

我正在运行 Ubuntu 14.04.5 LTS（GNU/Linux 4.4.0-36-generic x86_64）

答案1

首先，这意味着您应该阅读man -k apparmor，以及man页面。

其次，apparmor="STATUS"显示这是一个状态报告，报告一项操作，代表和，使用（参见）命令"profile_replace"将当前的 apparmor 配置文件替换为 配置文件。profile="unconfined"name="/usr/lib/cups/backend/cups-pdf" pid=31430name="/usr/sbin/cupsd" pid=31430name="/usr/sbin/cupsd" pid=31430apparmor_parserman apparmor_parser

用英语来说，这是在CUPS - Common Unix Printing System告诉 AppArmor，它想要以旧的、“不受限制的”、“AppArmor 不要打扰我”的模式执行，这种模式由那些还没有适应 AppArmor 的程序使用。

有关 AppArmor 的更多信息，请参阅什么是 AppArmor？https://askubuntu.com/questions/236381/what-is-apparmor?rq=1

您不需要担心，但一定程度的关心总是合适的。

答案2

我不同意 waltinator 的回答。如果一个进程可以对 apparmor 说“别管我”，那么 apparmor 就没什么意义了，不是吗？

我已阅读过手册页并欢迎适用的引用。

任何时候我输入“sudo service mysql restart”，我都会在系统日志中看到类似的消息...时间内核：审计：类型=1400 apparmor =“STATUS”操作=“profile_replace”配置文件=“unconfined”名称=“/usr/sbin/mysqld”pid=5014 comm=“apparmor_parser”

如果我随后输入“sudo aa-status”，我会看到 mysql 在列表中“nn 进程处于强制模式”，0 个进程处于投诉模式。0 个进程不受限制但具有定义的配置文件。

因此，我认为这条相当令人困惑的消息只是 apparmor 在说......我刚刚发现一个与 profile="unconfined" 匹配的进程，我将执行操作="profile_replace"。

当电脑重新启动时也会出现这些消息，大概是出于同样的原因，apparmor 首先加载，然后在其他进程加载时限制它们。

另请注意，如果您重新启动 apparmor，则当前正在运行的所有受限进程将不受限制。使用“sudo service apparmor reload”或在进行任何 apparmor 配置更改后重新启动。

相关内容