0:00:15já vás tady vítám vás neslyší ta
0:00:19ne se nechovala susu se jako celek věděli
0:00:22a zase pro vás připravil přednášku na téma
0:00:25apparmor
0:00:28sem se tam smí někdo
0:00:30ano je
0:00:33tak dobře
0:00:35aktivně pracujete s tím nebo zkoušel ta
0:00:39to je chcete zpracovávat ta přednáška zaměřená to byste nepochopili co to je jak to
0:00:44funguje to můžete používat že ten jako vystrašený to vypadá
0:00:48a eště sem se včera večer trochu nudil jsem např o nějaký takový malý informace
0:00:55takže
0:00:58protože se podívat na to
0:01:00a nějaké základní věci a to co s tak informace o tom co to vůbec
0:01:04je
0:01:05té device krásná jak definice já si prosím přečíst
0:01:08a prali rozšíření a ta linuxová mandatorní řízení přístupu sloužící ke zvýšení počítačové bezpečnosti a
0:01:14pan umožňuje definovat praní provedení určitého práce na úrovni jednotlivých procesů v závislosti na umístění
0:01:19spořitelna souboru tím že na kritická místa jádro umístil volání svých kontrolních rutin
0:01:25tím dochází ke zvýšení lže systému avšak je možné straně programu aby provedlo potenciálně nebezpečnou
0:01:30akci která může vést k narušení bezpečnosti tři dny relace oprávnění
0:01:35tak a že vše pochopil o čem to je může mi domů
0:01:39takže mysim zmínil
0:01:41a takovou důležitou věc a to je to nácek se všema metry akce zkontrolovat se
0:01:46tam bezpečnostní metoda která explicitně nebo ne politiku která je povolena
0:01:51ta
0:01:53přibyly apparmor u se dá světel a se to co je tom profilu to co
0:01:56tam budete to
0:01:58je může dělat
0:01:59případně zakázat ještě něco co jsi mě
0:02:05v it opensource znamená že zdrojové kódy jsou dostupné normálně
0:02:10na internetu vám trestní na to recept a
0:02:14linuxu je jako takovém jádře jemuž od roku dva tisíce deset ho odveze dva šest
0:02:21takže jako dobu tomu vše
0:02:22a je to zase klid modul linuxy klidem modul
0:02:29je to tak za návrat jinýho krát systémů chtěl možná někdo slyšel a selinux
0:02:34to je to podstatě alternativa
0:02:36ne selinux u
0:02:39která umožňuje zabalí útokům až interním externím
0:02:44a nebo dokonce i za doby útokům
0:02:46co vše si
0:02:47víte co sou zrady které byly útoky dosud ikee
0:02:51eště nebe nanášeny takže na to nese ani ne nedělají žádné opravit
0:02:58uplatňování politik takzvaný souboru pravidel si byla pomocí profilů
0:03:05se stane se definuje ta aplikace může nebo nemůže dělat
0:03:11ty profily
0:03:14díky tomu že máme několik nebo máma mele variaci distribucí tak až ale distribuce na
0:03:19ty profily upravené pro sebe zeném to může třeba lokace některých adresářů její na nižší
0:03:25vojíne distribuce takže
0:03:27ty profily třebas
0:03:29tam příkaz časů to nemusí nutně fungovat na open suse
0:03:32ale dej se upravit tak aby fungovaly by se tam zvíře jaká cesta nebo se
0:03:37pro víš nějaká jiná oprávnění které která sou potřeba
0:03:43čemu slouží a proč dobré je používat
0:03:47cena
0:03:48jedná se o to že apparmor přidává vlastně další vrstvu zabezpečení a tím snižuje riziko
0:03:55kompletace systémů
0:03:58případně tak _e tu mít dopady
0:04:01pokud ten útok už byl proveden a to
0:04:04zejména tím že vlastně definuje definován to profilu jsem schopen říci sem se můžeš a
0:04:11jinam můžeš takže ten boční který by se dostanu toho do počítače
0:04:15vlastně mám omezený
0:04:17pole působnosti
0:04:19já
0:04:21také se to dá použít jako jakousi ochranu proti nezdivočelým aplikacím a to může být
0:04:27například
0:04:28nějaká cílená aplikace která se snaží jakým ale když se snažit pan takže ječet
0:04:32a případně vy zneužít aplikaci nějakou k
0:04:36například třeba vedro user
0:04:38a nebo také jenom
0:04:40sem se dá zabránit tím že aplikacema chybu nějakýma který za normálních okolností ne není
0:04:46vidět ale
0:04:49určitém případě je docela volit smazat nějaký a
0:04:52adresáře mu soubory které má takovou nebo někde jinde
0:04:57a také lze je za i zjistit vlastně
0:05:00takže testováním že co ta aplikace té hoře stáhl chce dělat na mém systému a
0:05:05jsem kdo může nebo ne
0:05:08vtom že je se dá použít _e bezpečnostní moc
0:05:11který já se pokusím se typy později
0:05:15kde a pak _e a najdeme
0:05:17jak jsem říkal fúzí distribucích já jsem tady uvedl
0:05:21takové známějších
0:05:24redhat nebo centos tam je záměrně tě jak jsem zmínil selinux
0:05:30tak ten patří ho podržet na jeho derivátům
0:05:35nejsem si jistý jestli tam s aktuálně mají balíčky ale ze ten to může rpm
0:05:39balíčky se dají najít ta na open suse
0:05:43i na snesl jsou takže předpokládám že jsou i fernetu
0:05:52ne na
0:05:55tak nemám
0:05:57ty rpm balíčky nebo ne romové rpm balíčky se i vybuildit u nás na open
0:06:01suse by byl celej se která může podstatě vytvořit kompilaci
0:06:05kterýkoli balíček nebo vytvořit balíček s čehokoliv i pro jakoukoli distribuci
0:06:10to není limitovaný ananasu se nebo open suse
0:06:15případně pokud chcete tak můžete přímo náš peru forma panu si stáhnu ze školy a
0:06:20sami se to zbuildit
0:06:23u sem nač nule selinux apparmor tak jaké jsou rozdíly
0:06:30jsou takové
0:06:32řekne spíš individuální nebo
0:06:35osobní pro někoho může být více náročné více komplexní
0:06:39nastavovat
0:06:41s selinux politiky u politiků
0:06:45případně
0:06:48tak u sem zmínil redhat a centos používá pak default selinux
0:06:53apparmor je scott ubuntu bude by janou open suse nebo sou suse
0:07:02a parma práce s cestami soše vy velký rozdíl oproti je se naučili pracuje se
0:07:07štítky
0:07:09což znamená že vlastně
0:07:11politika ty profily se aplikují na cestu kam mám nebo odkud se lze pustí ten
0:07:17ten program ta aplikace
0:07:18no ten proces
0:07:22tam _e tak ještě rozdíl tím že selinux přistupuje nové přistupuje k cestám jako takovým
0:07:27ale kino dám a to se případě hardinů třeba může lišit
0:07:31simtě funguje back je rozdíl mezi hanlivě vás okénkem nebo se psem enkem
0:07:35tak
0:07:36případě toho hardinovu pokud máme cestou například třeba etc apparmor ne tak pět od jedna
0:07:44cesta ale může sahat linkovat
0:07:46někam celý uzel etc nebo někam jinam
0:07:49v tom případě ta cesta jako taková nebo cesta k tomu souboru je furt jedna
0:07:53to sama ale
0:07:55pohledu jinudy se jedná o jinou takže jsem sem přístup je trochu jiná
0:08:00tím že dobrý jako vy dva různé objekty
0:08:04na
0:08:05apparmor krkem rodina na aplikace a selinux na sestup na systém jako celek
0:08:12tomu se ještě dostaneme
0:08:13později jaký sou
0:08:16vlastně základní politiky nebo verze armor aplikovat na systém
0:08:22pitts ještě podíváme na komponenty a nástroje
0:08:30jedná se o karlovi modul který je zaveden jádra
0:08:32to je jedna s komponent
0:08:35druhý je pár server který podstatě má na starosti to že se stará o vkládání
0:08:41těch profilu do jádra by se s nimi vlastně s nimi dalo pracovat
0:08:48tady ty profily lze najít přímo když se třeba podíváme mbed jaké teprve sou načtené
0:08:54tak a push přes ovládací pětky
0:08:56které jsou k dispozici se na systému
0:09:00tak je zároveň i se podíváme do si s
0:09:03s
0:09:05se s kernel se chvíli ty apparmor
0:09:08mohli si pro file smyslem
0:09:12co marie
0:09:13tohoto může být trochu rozdílné je dle distribuce ale
0:09:18standardně to vy čtete této cestě
0:09:22není doporučené přímo jakoby upravovat je tedy tyto změny přes
0:09:28se dá přes a leje do proč nepoužíváte u ty ledky případně jaké knihovny
0:09:35jak to funguje
0:09:37a parma načte při startu modul a limity dostupné profily
0:09:44typické etc apparmor ví
0:09:47cesta co moři závisí na distribuci pokuď je nějaká jiná
0:09:52lze to přes konfigurační soubory upravit
0:09:55tyto progrese roztřídit dle módu ve kterém ne nebo do kterého patří a path mode
0:10:02sou puče to disable to znamená se úloze team anglické výrazy ale se překlad do
0:10:08češtiny takový
0:10:09kostrbatý a mluví spíš matoucí
0:10:12visible zakázaný to znamená že ten profily což je ignorován
0:10:17potom je ten tom plyn takzvaný learning holt který
0:10:24vlastně se stará o to že
0:10:28aplikace běží není reálně není omezena nebo není svázaná ale do logů
0:10:36vám bude házet
0:10:38práci tebe zakázané nebo které by byly zakázány kdyby byla opuštěna tom třetím módu
0:10:43a ten forrest
0:10:45tak za nasazená že prostě v noci na politika a tím pádem jo
0:10:50když
0:10:51no
0:10:51chce zapisovat nebo číst někdy kdo nemá přístup tak zakázáno
0:10:56a
0:10:57tím pádem se neprovede ta operace
0:11:02potom implicitní politika armor takle tu práci se jednoduše ale ranec jsou samozřejmě věci trochu
0:11:09komplikovanější
0:11:11ať už teda za a zakazující slajd trestem se znamená že vlastně zakážete všecko profil
0:11:17ale povolím jenom to co chci
0:11:20a nebo foley všecko ale zakážu jenom to co potřebuju
0:11:26tom reálném světě se většinou používá takové takový ten mix
0:11:31že vlastně ten systém jako takový
0:11:33nezapomeneme na omezím celý protože by museli profily pro všecky aplikace pro všecky procesy byly
0:11:38se pouštějí
0:11:40ale udělám to tím ty na ty martin na ten na bázi to přeskoku olin
0:11:45aleš potom zakazují tímhle městem tak tam jako ten black jistotou slouží jakýsi povolení pro
0:11:52ty aplikace to znamená a malý aplikace profil tohle může udělat
0:11:57takže taková ta kombinace
0:12:01toho že vlastně nemáme profil tak tam osobně stará máme profil
0:12:06tak jenom tohle může dělat
0:12:11určení modul a jak
0:12:13s nápadem nepozná tam ten profil zařadit
0:12:19tak to lze to udělat například ta do hlavičky
0:12:23jsem si byl kladný tam vidíte
0:12:25a flagy natož disconnect i tak online
0:12:30ten jistého armor
0:12:31patří to do módu tomhle jen do toho learning módu
0:12:37nebyla zajímalo co je ten matroš disconnect tak to je
0:12:42se ptám může vlastně přímé práce napojené cesty
0:12:48bez lomítka relativní sestry
0:12:50a toff
0:12:51tam se tech trefa vůz krát víc portem pro takový pro ilustraci případně pokuď jo
0:12:56to co zakázat tak se dá ten profil simlink node do
0:13:02lépe zapadl mi jezděj byl
0:13:04čímž vlastně zas
0:13:05jíst instruuje při startu ležel na ignorovat
0:13:12a jako můžem začít používat
0:13:16například na opensuse je součástí se na instalace to znamená dyž si dáte neco můj
0:13:22systém tak máte mají default zapnutý a zase se nemusíte nic
0:13:25silnic no starat je čapek profilu aspoň ty takové ty základní které se většinou používají
0:13:31jako jed nebylo user si že i mailovy klient tak tam jsou zapnuté
0:13:36a
0:13:37si že i java myslíš tam a takový nějaký takže potřeby jste chráněni
0:13:42push po té instalaci
0:13:45ubuntu má to samé a debian ní je potřeba se nepletu u pravici
0:13:52commandlinu krokem nepři bootu vratama
0:13:56parametr
0:13:57se kvality apparmor aby se na četl
0:14:02a nebo to potom lze manuálně doinstalovat
0:14:06pokud co budeš dispozici
0:14:09nemaj se ho zeptá můžu
0:14:11of
0:14:12tady jenom k těm ty názvu souboru ty které můžete vidět tak ten je armádu
0:14:16apparmor se stará ten modul cam na rovinu
0:14:20profily to jasné vypili these to sou ty než ze sme jsou tedy té používáte
0:14:25k ovládání
0:14:27pár stroje podstatě taková ta včelička která se stará to by to profily byly vyjádřena
0:14:32členy
0:14:33a slouží k manipulaci odstraňování přidávání
0:14:37rozhodování z nuly znovunačtení
0:14:40a ještě práci s keší
0:14:43jas dva apparmor to je specifické na open suse to je takový řekl pokus o
0:14:48grafické rozhraní které vám pomůže
0:14:50přeji že potřebujete pomoct s těmi profily a apparmor do s
0:14:56dokumenty dokumentace
0:15:01tak
0:15:02důležité věci je když teda
0:15:04mel bys
0:15:05chci near jestli to funguje tak jak zjistím že to běží pokud máte to štěstí
0:15:10nebo smůlu a váš systém používá systemd jí tak systému kontrol status vám řekne
0:15:17stav této služby
0:15:19zasedne distribuce může být název služby trochu jiný
0:15:23bych odkázal na dokumentaci té distribuce
0:15:26a _e status ten by měli všude stejní tedy vlastně líbí šestá
0:15:32stavy sally profilu že bude čas doufám že bude tak vám to potom ukážu vy
0:15:35ty výpisy
0:15:37a ještě poslední je možnost té přestřelce s
0:15:41a ze si pošli nejde to flagů zeptal kazet které vlastně ukazuje jestli stav toho
0:15:49to ti to toho se koliby modulu
0:15:51případě se selinux vám to ukáže ten štítek připojoval mu to ukáže jaký profi načtený
0:15:56potom ještě důležitá věc protože apparmor se ví _e každá distribuce push jakékoli verzi může
0:16:03mít jinou verzi apparmor u anebo dyž už té doby se třeba chtěli pracovat s
0:16:08profily pro jo distribuci taky dobrý si zjistit jestli ten profil pochází ze stejné nezapadlo
0:16:13nebo sám taky může tak stál
0:16:14že se lanko načíst protože tam nějaká
0:16:17nějaká funkce ne není možné _m že není možné použít
0:16:24jak může ovládat
0:16:26jo
0:16:27se změnil a status
0:16:29potom zde sou příkazy na vlastně na tu no to zařazování profilů
0:16:34takže to _e com playing anchors a disable
0:16:40potom ten apparmor pár se tedy vláda ty profily a
0:16:43no občas vám to může ho dyž potřebujete třeba ji načíst jeden profil a nechcete
0:16:48potom _e zaplacený apparmor když vemete nebo hledání té
0:16:52další je auto d p takový dobrý nástroj který pomáhá právě s tím že když
0:16:58mám nějakou aplikaci nebo řady skript
0:17:01a chci brně vytvořit profil tak vlastně pustím vás stejnou teda kanály vytvoří jakousi kostru
0:17:09toho co ten skript
0:17:10tak tam chtěl šahat a vlastně to že ten profil pro mě nebo za mě
0:17:15dukla s tím se že bude čas až antum ukážu jak se to dělá na
0:17:19to vypadá
0:17:21potom chtělo proof to je
0:17:23auto ta která prochází lo
0:17:25aha
0:17:28typicky i ten dva roky
0:17:31audi
0:17:34a
0:17:35aby to
0:17:37a prochází ten loktech zakázaných
0:17:41volání
0:17:42a nabízí vám jestli chcete odplatu za to prov už a nejde že ne jakou
0:17:46školu
0:17:47to je taky dobré akorát je tam problém ten že prochází celej rok takže se
0:17:51může stát že tam je denisa padesát metr padesát aplikace ano ne ano ne ano
0:17:55ne
0:18:01potom eště možné to no a pánové přes konfigurační soubory které jsou federace apparmor
0:18:07apparmor tečka d tam sou ty profily tady budu radši soubory vy můžete změnit spoustu
0:18:13věcí ale si mysim že typicky to není potřeba měnit jako nějaké dechový sestry kam
0:18:17chceš _e pro profily nebo tam se
0:18:19tam se dívali na logy
0:18:23nebo jestli je potřeba nebo jestli cena by aby byla použita cache nebo ne
0:18:27takeš slouží vlastně
0:18:30tomu ke kešu nadšení profilu
0:18:35když se to by se skočila do toho adamse apparmor de a takže na tu
0:18:40změnu tak si to přáli
0:18:41ne nemusí promítne do tý do tý keše je ten profil ještě furt země stavu
0:18:46ale chci pracovat jenom s tím profilem
0:18:48pro testovací účely tak si můžu pustit
0:18:51nebo můžu plotem s obočím o tom
0:18:53apparmor ja tebe potom jsou že dyž potřebuju aby se zároveň ušil dne na den
0:18:58ne načítat do dvora
0:19:01globální teda šikovně že to je zkratku kterou jste očekávali že u něčeho co vám
0:19:07a metra cesta neska deset _e
0:19:08špatný nebo dobrý volání
0:19:11ten blok operaci mu jsem zmínil se nacházíme maroka logice audi to
0:19:17o
0:19:18je ten výchozí logování jediná kdo prací
0:19:23to se týká právě třeba z toho _e for sou ale ú komplexními
0:19:30tam se
0:19:32zapisují operace
0:19:35evald ale které byly zcela zakázané
0:19:38to je právě proto potom pro můžu si to pohlazení
0:19:43jak sem tady zmínil některé typy kardinalita load status potom jsou ještě štěně
0:19:49které
0:19:51může být třeba i
0:19:55fedora audit je zima ubytovat třeba co nebo kdy by se dotkl
0:20:01_e program ta aplikace nějaké adresáře tak jenom brokeru
0:20:05pro informaci
0:20:06potom jsou lobují operace víš vytvářím adresář vytváří soubory pracuje s profily
0:20:13tech tam je víc ale měl _m pro představu sem se mi to stačí
0:20:17kdo by chtěl jsem že tuto podívat na dokumentaci
0:20:20abstrakce a ženské profily
0:20:23to je na ste věcí jsem se teda měl tak jsem přidal
0:20:27to je taková trošku víc zajímavější věc
0:20:31a to
0:20:32to zejména pro to že vám vlastně když sem podívat na ten profil jako takový
0:20:37tak ten profily většinou nebo ty profily by měly být byly vypsány pro jednu aplikaci
0:20:44projede účel
0:20:45jo je to nedocházelo řekněme je tam klienti nezbytný
0:20:49práva který ze jsou potřeba
0:20:51takže
0:20:52mám aplikaci jedna nám profil jedna aplikaci dvě profil dvě
0:20:55případě že třeba aplikace jedna ty aplikace dvě
0:20:59používají stejnou stejné věci jako třeba tady mám
0:21:03uvedeným bejt skoncoval s name services
0:21:07co š přístup řídit je konzolí na artuše to
0:21:11těch konzol nebo jdete dají
0:21:14a nemuseli se fu hledání nebo služby které poskytují nejde zrušen
0:21:23přepadnem
0:21:24_e
0:21:26zas abych každou pro filtry to vypisoval tak si vytvořen jakýsi abstrakt
0:21:31tam řeknu
0:21:33tady to je ten tam stran definuje přítoky ty konzoli mu ten konzoli které jsem
0:21:37systém dostupné a dokaž do profilu potom jenom o vložím tady tu ten _e ten
0:21:43_e profil
0:21:44takže se ten rozsahu sou jakoby nic moc neděla sam nic moc se zakazuje s
0:21:49ale definuje to co potom nepovolené proto pro tu pro tu aplikaci která to využívala
0:21:56takže to je taková ta
0:21:58možnost jaksi trochu úlet ulehčit práci a hlavně potom ty třeba zprávu kódu nějakým způsobem
0:22:06s šesti prostě aby nemusel o potřebě že profil a jenom nenudil
0:22:10tak napadá si profil a profilech
0:22:12tak dám jedno alence aby dopadne všecko
0:22:16toto právě slouží k tomu
0:22:18takže vím seskupení
0:22:21toho se zkus seskupeni
0:22:23právě to že nemůžete rád několik tech
0:22:27několik
0:22:28to nazval
0:22:31nikoli
0:22:34věcí který ty aplikace mají dělat dyž si dám třeba pro xka že prostě musím
0:22:39přístup tam a tam tak lze seskupit
0:22:42a potom zlatem jenom ten jeden tady ten profil
0:22:50německé profily
0:22:52a
0:22:53takzvané lokální profily
0:22:58to je
0:22:59není úplně ženský profil ale jedná se o to dyž
0:23:05mám třeba tu možnost nebo chci vědět jakou je nějakou malou změnu
0:23:09ale nechci zasahovat přímo do toho řekněme souboru konkurz v našem souboru to profilu který
0:23:18přišel byste učím balíčku protože tam se může stát že tam nějaká změna tak aby
0:23:22vlastně přepsalo a nebo
0:23:25jak používá nějakou starou verzi nebo kde ke změně přejmenování nějaký adresáři přes přesunutí tím
0:23:30pádem ten profil přestane fungovat takže abych měl či řekněme čistý systémový nebo sem ten
0:23:37systémový profil provoz to balíčku tak při daném jako lokální změnu mimo
0:23:42to se většinou o zase záleží na tom je to na diskuzi nastavený na stará
0:23:48ale
0:23:49dělá se do a etc apparmor nerovnou call
0:23:53tam jsou jste ty soubory většinou utekly distribuční ta sonda open suse sem se koukal
0:23:58takovou všech sou
0:23:59na includován _e tento
0:24:03local adresář který obsahuje stejné stejnojmenný název toho profilu
0:24:09a _e
0:24:10podstatě jsou na includován ewing veškeré věci které se v něm vyskytnou a přepíšou to
0:24:15co tam je
0:24:16mají default o jeden všude distribuci
0:24:22ta takže ten lokální profil umožňuje definovat rozdílná práva
0:24:29například když máme tu to yum i uvedená to furt nudíš aplikace foukne jaké jsou
0:24:36potomka nebo nějaký byliny proces
0:24:39a
0:24:40chci aby se nej aplikovali jiný profil protože například
0:24:44já nevim volám nějakou součástí teda
0:24:47a přece jen přes lidí když tam aplikace jako taková nepotřebuje sníh tak si dodat
0:24:52definuje do toho holubi pro file si definuju
0:24:57přesně to co to co to má dělat jo případě toho že
0:25:03použiješ nebo u for pudeš tento proces tak použit vodseru profilu a je to vlastně
0:25:09dál v jednom všecko v jednom profilu potom by se ten profil vygeneruje tak je
0:25:13v jednom profilu ale je to definované pro více bych řekněme aplikacím procesů
0:25:22ano také ze s to použít pro to
0:25:26na
0:25:27aplikace dvoupruhy uvěznění procesů které mají rozdílné parametry
0:25:33ty parametry například litr že když vezmeme pět
0:25:38tak letem jako takový umožňuje nemohla dat no pracovat nastartovala na ale i s komplexem
0:25:45kontejnerama
0:25:46a
0:25:47jak takže alexe nebo klemu mají lidi ne
0:25:52jiné požadavky
0:25:53nebo na nebo i jiný
0:25:57mění profil který ten bych měla se to co může komu a to co může
0:26:00lehce
0:26:01a nezakryje to vlastně
0:26:04tím že pustím litry který má vlastní profil a potom a tužku s tím ve
0:26:10to a přes klemu nebo podepsali chce tak on se prostě vyberete _m prochodili nadále
0:26:14a tím pádem se zase nedochází to může by dostal ten profil věnní s nic
0:26:18právě by měl mít
0:26:20threadu v jednom profilu by byla slyšet češi neměli povolení všecko
0:26:24s tímto přístupem řeknu ty má tvojí tohle ty máš kulový tam to a oukej
0:26:29to bezpečnější
0:26:32co přimyšlen tak jedině jednoduché to vypadá na tom slajdu
0:26:37potom ještě existují takzvaný šablony a jak už jsem nesnídal ten liberec tak právě liberec
0:26:44používala
0:26:46tyto šablony
0:26:48pro generování
0:26:50aktuálních profilů pro tebe virtuální mašíny nebo ty kontejnery
0:26:57jedná se o to že
0:26:59vlastně apparmor definuje jakejsi základní profil
0:27:04a
0:27:05je ten nástupu do práce aplikace protože a pan jako takový negeneruje ty profily ale
0:27:10může nikdo mu základním profilu aby se ta aplikace za ten základní profil aplikoval na
0:27:16sobě
0:27:17potom aplikovat třeba změny které a když soud řádku dračím souboru byl toho virtualizovány křečka
0:27:24kontejneru a vytvořila si a parma profil a jakmile vytvoří tak potom vlastně jsem přepne
0:27:31do toho moru do toho nového _m nového profilu
0:27:34a tím pádem vlastně každé každý kontejner může mi trochu ví profil
0:27:47jak sem možná už zmínil ty základní o ten profil pro lituje je to je
0:27:53rozdílný dneš ten té jsi potom používá pro ty pro tebe to a jeho nebo
0:27:58ty kontejnery
0:28:00cože důležitá informace právě proto že lituje teď jako takový má jiné požadavky nežli k
0:28:06vemu než velice
0:28:09a jak jsem říkala pro neumožňuje vlastně potom v rámci toho procesu se slečnou ta
0:28:14jinej profil a říct tak teďka běží vtom o tom i ne profilu
0:28:22apparmor a kontejnery
0:28:25ta taky jako celkem zajímavá věc
0:28:29samozřejmě ne vy se měli lehce mohou běžet slapem armáda profilem
0:28:36nesázel _e režimu
0:28:40sem se koukal tak celou dockeru je to
0:28:43docker default
0:28:45a eric se škol na se default
0:28:48něco
0:28:52by to podobný princip že vlastně ten kontejner když nebo když se stane ten kontejner
0:28:59vytvoří se ten nově ve se ten profil s toho základního profilu tak ty kontent
0:29:04ty profily sou rezavou unifikované ve smyslu umí déčka
0:29:11si víte že byl tlak nedělitelná unie škol
0:29:14kterým se prezentuje a vy je unikátní což znamená že ten profil někdo může být
0:29:22nebo jsou starší verzi dockeru
0:29:24a i u úhel bych se ježka je to
0:29:27etc apparmor d lomeno vypije mx c
0:29:33a případně u dockeru to je zase apparmor de lomeno docker
0:29:38takže vytvoří prostě profil
0:29:40ten docker default pomlčka a umí den třeba
0:29:44takže prostě je jasné že tento den odhadl na ležíte v tom kontejneru
0:29:49který se zavři na vrchol si rázný o tom ručně
0:29:53ale zase tam je problém toho že jsem říkal že sou generované za běhu tak
0:29:58vlastně ta aplikace která bude pude to je to a
0:30:03netrap nebo tak nějak
0:30:05se to menuje u dockeru to musíte dělat docker přímo sám
0:30:10tak on si to zkontroluje jestli to odpovídá tomu k čemu by mělo tak to
0:30:15nechá jak na to nokia tak upraví tak většinu tom by to mělo povídal
0:30:20případě že nejistého vytvoří případě že jedinej tebou pravý
0:30:24to znamená že tam je zas potom potřeboval brát v potaz to co je tom
0:30:27na tom základním a leje může to upravovat ale s potom hrozí to že
0:30:35to přepíše poutech amen
0:30:37defaultní nastavení je možné mu tam ještě teda parametrem použít jiný profil tím pádem se
0:30:42uvede do přeskočí a půl jestli puštěný dělali bordel
0:30:47to je při bez to že byste chtěli nějak mimo o test pět set otec
0:30:50a testovat na nové nastavení
0:30:57je to
0:30:57eště nebude se tak na takzvaný prof pro farem space jestli někdo byl prostě stres
0:31:03kontejnerama tak víte co nejspe jsi tak to ještě
0:31:07toto je vlastně možné pustit prostě ten na apparmor profil ještě je vinen spisu
0:31:13co šel
0:31:15úkon denně u kontejnerů je celkem dobře na věc a nebo se dají použít například
0:31:20u
0:31:21who the tom postu
0:31:24které běží vyvine vy ne nejsme nejspe jsou
0:31:28co apparmor nedělala
0:31:31ne větší za vás celá
0:31:33a nejedná se o stoprocentní ochranu
0:31:36proti všem útokům
0:31:38s čehož
0:31:40plyne to že není vše spásný a obsahuje babi
0:31:44ale stále stali to je to další vrstva která vám pomůže nějakým způsobem ochránit svůj
0:31:52systém před nechtěným toky
0:31:56není možné používat a pan a jestli se zároveň nebo jinou alternativu
0:32:02zatím teda
0:32:04a konverze není ani možná mezi profily ponoru a politika ne selinux
0:32:11další věc je že tam není žádný slepý
0:32:16graficky rozhraní trestají byste mohli vytvářet ty profily jas celou teda tak pokouší ale
0:32:24kdo zná já s takový
0:32:27úprava profilu probíhá expo vzteklá důležitá věc že vlastně
0:32:32a když to pro aktivní ochrana ale to prvotní puštění proti generování profilu nebo úpravy
0:32:38se vlastně pro ani až potom co to ze stěn
0:32:41což se za třeba případě to learning módu
0:32:45a znamená to jít aplikace to provede a pro já se to dozvím že se
0:32:48pokusil už udělal něco co
0:32:50asi neměl
0:32:51kdežto když to někdo _e false módu také provede ale
0:32:56tím vlastně zabráním tomu se provedlo ale furt je to vlastně náš potom že obr
0:33:00autem protože ten takže by jste pustil aplikaci a ten profil se ještě vlastně předtím
0:33:05než by aplikace řekne chci měla tohle a pak ho si řekla a ty cíga
0:33:09tohle na to hlasy nemůžeš teda zakážu
0:33:12_e je to prostě potom je náš následně analyzováním logů
0:33:17a zpočátku může být obtížnější vytváření profilů a
0:33:23potom je i
0:33:26ne lyžovat
0:33:28to záleží jestli na každém z vás jak jste třeba z ručního jako máte výdrž
0:33:35je tam hodně věcí takový základní to je potřeba znát ale potom když ještě se
0:33:41podívá na a co a profilu třeba vydání zdroj informací jak ty bere ostatní a
0:33:46funguje to tak
0:33:49to potom nejde starosta ti tak těžké
0:33:51ačkoliv teda south atrakce to pak _e
0:33:54celkem zábava
0:34:06protože řezat neprošli a selinux no tak můžem slepice zapnutý porazit lidstvo to není nutné
0:34:13tak na základě analýzy ty žádný výkon byl s ti nový moduly ktorý by mohli
0:34:19to co cizí pokrýt toho abys cibuli chráněný listy frontě
0:34:24na toto jo takže na základě
0:34:27ste vtom to není módy tým potom se stýkáš to probíhá tím a loga máš
0:34:31potom že to není tak že by za běhu ten a formou si to dál
0:34:35chce sibling najednou vyprosil termín polsku pokrýt tady to řeči source zakázal o čem bys
0:34:42musel nějakou před elit
0:34:43čili intervence z nějaký ten tu nějak odtud lýtku slíbil
0:34:48s toho členem stýho prý slušnýho je to je ten long pro který vlastně projekt
0:34:55dev _e projekty ten audit o a ty operace nedám jsou zakázané tak tam najde
0:35:01řekne
0:35:02je to naplánujete je to co uživatel nebo to co ty chceš tyto volit nebo
0:35:06nechceš tak a tam vykládal chci volit ne nechci volit a dva přidat do profilu
0:35:10auto desky a případně se draply manuálně a uvedeno do profi _e toho tom jeho
0:35:16samý dá rozdíly
0:35:18o to toho spuštění posledního to tam bylo tak ani já ty rozdíly všech profilu
0:35:23není možný aspoň jsem nenašel jako vymkly může tuhle linii nebo ta ten profil ale
0:35:28vím že to projde no a já tady o tom že ukážu že by pohřbený
0:35:32část tak ukážu jak ve filmu že to bylo
0:35:39neaplikuje se už neběží ty procesy to je důležitá informace podstatě jak mnou fámy do
0:35:44běží no tak
0:35:45proste na máte smůlu
0:35:47sto z restartovat
0:35:49co je možné je s toho když _e svázaný tak ho
0:35:54o svázat odpoutal
0:35:55to je možné za běhu
0:35:57ale není možné mu pod nos potom na zpátky říct mu
0:36:01ale náš tady profil
0:36:04teď jsme nemuselo jich několik
0:36:06to je znovunačtení toho to procesu
0:36:09takže to není možné údivu ještě procesu při přidat ale je potřebovali restartovat
0:36:16v jednom koukal dvakrát
0:36:18a
0:36:20to jsem já jsem nepodařilo smazat
0:36:23huby
0:36:25no a teď že nikdo může máme čas tak se můžem
0:36:29podívat na bonusy
0:36:32tady co vidíte
0:36:34tak je profil titulek je tak jak vypadá tak takový profil a nulu
0:36:42je tady jakási konvence jak byste měli psát nebo je dvě věty měli název toho
0:36:47profilu ale je to koryto konvence a dyžtak nedodá podle sebe tak
0:36:52tak já jsem to nestane akorát potom levnější fabrikou jinýho aby zjistil holky
0:36:58když tady nám tahaj float tak pokud se bude jmenovat jak nedovedl na přírodní uzel
0:37:03benchmark hosts
0:37:05tak je jasné je to fí uzel vyflákl když to velká jako s tak to
0:37:08může vypadat po
0:37:10někde
0:37:11kdo ví
0:37:15a vtom na tom profilu jsem zmiňoval tu hlavičku novou značku komponent rastrové
0:37:24pusto von play módu
0:37:26závislosti na verzi apparmor u těch novějších přesto stáhl jsou jít ale eště furt to
0:37:32platí jo
0:37:33co popper až na půdu toho nebude
0:37:38jak tedy víte třeba že má přístup do
0:37:42je les
0:37:45ty
0:37:48značky _e eště třeba herečku pro čtení říct
0:37:54potom
0:37:57w the right jako zápis
0:38:01po to na
0:38:02to _e potřeba je že umožňuje mapovat spořitelna data
0:38:08do paměti
0:38:12potom tam ještě je
0:38:14jí nic
0:38:16potom jsou
0:38:17bejt celá ulice to sou to sou flagy terén příznaky které se vážou ke spuštění
0:38:24a _e rozpuštění
0:38:25a
0:38:28jestli se tam mají předávat systémové proměnné takové věci
0:38:37tady ještě ten jste použití abstrakce
0:38:41okamži obětní beránek ping tak _e který můžete je vidět že je možné definovat rovnice
0:38:47umístění jo že ten pin může být fí lze by a nemůžu jednom kdyby
0:38:52ale název toho profiluje většinou jeden a toho to je
0:38:57nějaké ušel where did je to může bejt nebo
0:39:00že to moc a přes a mezi ne distribuce tak aby se zachovala na tebe
0:39:03tady stojí no distribucí tak je tam uvedený je ta cesta třeba by ten pin
0:39:10se tomu že ne ty tři ty tři a stačí profily u sem říkal pro
0:39:17síť pro konzole a pro nej resolutions už poppingu bysme očekávali
0:39:23a
0:39:24co tam etapě ty papa byly ty které může můžete ten top proces použít
0:39:32a si myslím že možná ze i dostaneme potom k ukázce
0:39:37až bude čas
0:39:38jak třeba bych lokáních změn je co zakázat pingu aby
0:39:44mohl by mnou
0:39:46novější verzi je parabolic a možná je to dovolit tady uzel jo že celá řeknu
0:39:51tento uživatel nebo neníli nebo ne nepouštěli ten proces tento uživatel tak
0:39:58může tohle nebo nemůže tohle
0:40:02a tam dole ty předbíhat je ty ten úkol bimbej tak tam není vidět že
0:40:06teda ty úpravy můžu dělat vtom ok a potom ty lokální změny to lokální profilu
0:40:15další je práce
0:40:17soud nohou láska práce spořitelny
0:40:21takové ty základní jak to přepnout komponentu _e fosu a nebo o zakázat profil a
0:40:26tím pádem publikaci prostě
0:40:28pustit
0:40:30takže
0:40:31a
0:40:34takže ku si můžete mi někdy běží
0:40:48tak tady vidíme že ty aktuální
0:40:52horní
0:40:57jestli to bude vědět
0:41:02je to citelný takhle povinen řádku
0:41:07to vzalo se předpokládá že jo
0:41:09tak to je tady vidět ten call blíže běží nesporné že mu
0:41:15a my ho teda dáme
0:41:16přes a
0:41:19a kontrola ji
0:41:23cestu k tomu profilů
0:41:42vzorek
0:42:05neštěstí
0:42:08jsem říkal na tebe se to na ten navíc proces
0:42:12ale když dám
0:42:19tak učiním že věžích komprimovanou
0:42:23další debil ten enforces takže když už tak je nově s jakýmsi způsobem svázaný tak
0:42:29tak by mělo fungovat
0:42:31přímo je to nula
0:42:39a příště může lehce
0:42:43a nebo na taky
0:42:44že teda ne
0:42:46a
0:42:52tady neřekne
0:42:54i nesvá za ně
0:43:00nedostane vytvoření profilu
0:43:02a
0:43:03dejme tomu že má nějaký irský program myši
0:43:07který podstatě líbí že jaké informace pokusí se
0:43:11úředníci práva a
0:43:14je vypsat děti si
0:43:17a potom teda na ten na tomto na tomto skrytu pustím autorem ptejte ten trend
0:43:23o že ten profil za mě
0:43:25a to neskončilo den profily stane všecko co tam mělo být pokud vím pokud nevim
0:43:29tak
0:43:30počkám chtít rok on do komplikujou a počkám to co bude chtít eště paměti přístup
0:43:36a zkontroluju blok je s teda není tvrzenýho případě že není tak to můžu ten
0:43:41profilu
0:43:42a ta potřebu do letos modul ušil
0:43:47von jsou a ne
0:43:49což o tady u fandů máme mám tady
0:44:00já nevím tady
0:44:22takže se do štětce tom jestli teď si vem systému
0:44:25u show a scanovat
0:44:27napřed a řekneme profilu
0:44:30případě že by tam byly nějaké věci
0:44:33jsem říkal jestli je možné že vtom u té diskrétní telefon že jo
0:44:40tady
0:44:41důležitá je aktuálně důležitá informace bylo nepovinné nepustí
0:44:45ale jenom se kouknete tam je a pokusí se udělanou co je to moc udělat
0:44:50tak tady někde že byl pro fair play s pro ten můj soubor
0:44:56a
0:44:58tady potom ještě jednou když
0:45:01sme finish operaci
0:45:04a teďka vy si dáme
0:45:06a
0:45:09ne
0:45:11tak už tam ne
0:45:18to je temný
0:45:22tak
0:45:23toto teda mnoho drivery geny generovaný už tam hodil nějaký do
0:45:27to globální proměnné
0:45:30přidal tam vlastně bereš protože to je tom souboru je uvedeno hlavičce
0:45:34tady bylo vidět jedeš
0:45:37tak ho tam nepustila
0:45:38při přístup pro čtení pro ten soubor kterej který jsem pouštěl
0:45:43jsem za už má žena přístupem souboru
0:45:48to znamená že teďka když to
0:45:50pustí jiné
0:45:53tady můžeme
0:45:55kontrola tento
0:45:58což možná bude lepší udělat to
0:46:18tak tedy vidíme
0:46:22že máte když _e jedná ale z důvodu toho že se
0:46:26nesla za ten profil z toho
0:46:30se to před
0:46:34l to je ten posun
0:46:36jo je tady
0:46:38takže
0:46:40dat
0:47:09tak on tam přímo do toho ní
0:47:12ta která chatu leze koukám že předtím to
0:47:15jenom vytvořil ale nedal toho
0:47:19do info sumu
0:47:23to je takže protože systém před tím že přednášek
0:47:31pošťanda není
0:47:35to znamená že když pustím teďka ten
0:47:40tak vinou vypíše to co
0:47:41to co by měl
0:47:45tady pletete členem detail
0:47:48nebo let nebo něco jaks takže tam není to něco
0:47:52ty se boj a tady do toho auditorovu dativnosti rušením že
0:47:56tady byly nějaké operace
0:48:02zeném to můžete _m
0:48:05roff jako takový by měl mít aspoň
0:48:13jo tady třeba vidim
0:48:17zakázány
0:48:20tak a zemí
0:48:22vezmeš
0:48:26takže
0:48:27to je taky je vidět
0:48:30že mu zakázal něco
0:48:32což nutně potřebuje ne nepotřebuje do městečka jí takže to má zakázané
0:48:39a když hotelech ste tady už měli předtím když ho dám do ten fór s
0:48:43tak
0:48:47je to prostě za
0:48:49mi to nepovolí
0:48:52ale že nám do kompletní
0:49:04tak tedy bysme měli potom vidět i jo
0:49:08tady třeba ne
0:49:11je vidět že to bylo povolené ale že chtěli jít
0:49:14respektive tady hned
0:49:18že chtěl
0:49:20chtít hrát tedy je
0:49:23vlastně
0:49:25ú
0:49:26a vesel
0:49:29rtcd tam hned mě štyři takže vlastně
0:49:31pustil hned
0:49:32a to povolené
0:49:34když mu když irán tam pozvolna cepstrum viděli že to chce za každou je všecko
0:49:49že jsem vás muset prokazovat že to mám eště víc ukázek rauš nám vychází část
0:49:54tak je to vytvoření teďka na otázku byste posluchače
0:49:58se dejte vědět _e tom tento skryt který na lavičce
0:50:02definováno ústně by beneš
0:50:06a když ten fór s tak se měli to tam zakázal
0:50:10pokuď ale opustím přes bereš a cestou domů souboru a mashe té samé cestě jako
0:50:17jakožto beneš
0:50:18tak se vykoná jakoby se nechumelilo
0:50:22to že někdo proč
0:50:33je tam parametrem toto je toto mám tričko
0:50:37izrael konstanta to bude sedět
0:50:41_e to takže že vlastně tom prvním případě že pustina přímo tak pouště ten proces
0:50:46ale když dáme šla cestou je teda se parametr kterej pusť f potom ten déšť
0:50:50a ten profil není psané jakoby prvé škoda kvůli tomu co by profil probereš ktery
0:50:57takže také možné
0:51:00napsat pro bash profil tady bude alias celej puštěný že se světu
0:51:14tvrdáky další jako ukázky
0:51:30záleží nám verzi může je tresty takže verzi ušije i představený nějaký logické brand inzeráty
0:51:38říct i mizérie je ze není a
0:51:41nebo ona třeba je nebo není
0:51:45a ten ještě pět lokální změny té jak jsem říkal třeba mám ten balíček a
0:51:50tím se vyzkoušet
0:51:53nezanesených rezervy
0:51:54máte má profil a
0:51:57tak dem
0:51:59se podíváme
0:52:14kdyby tak tady vidíme že má povolené podstatě síť nějaký věci což nás je to
0:52:19moc nezajímá
0:52:20a to je ten inkoust _e já zajímavý
0:52:23ten teda říká že by k by měl fungovat znamená že dyž já tady damping
0:52:29co a tak vím že funguje
0:52:32když to o ještě se dá můžem podívat
0:52:36na status že
0:52:38máme ten pin
0:52:41a vidím že po cestě
0:52:43daleko smůlu
0:52:45to je vaření hypotéz některý mají propylaje ale ne neběží něm protože je sukně předtím
0:52:51pět dvanáct nezajímá ten ping a
0:52:55teďka dyž teda dám
0:52:57tu změnu
0:53:01se tedy pučím jednu věc že toho
0:53:07a já mu tady jo frekvence máme a motají řeknu já nechci abys používal síť
0:53:13a potom musím
0:53:18přes apparmor pár se mu tam
0:53:21říct error jako
0:53:22všeci chci načíst _e profil ten
0:53:25trošku je ještě příkaz a
0:53:28i nefunguje
0:53:30jo takže to se takže jsem schopen si vybrat i pro upravit s tím aniž
0:53:34bych se dotkl toho základního filtry
0:53:37nepřišel distribuci
0:53:41tom práce s za pak parserem
0:53:45ze se možné i některé operace půjdou uživatelé že se je celá schopen restarty profile
0:53:50byly a ta komprese jsou k dispozici ale nemůže operovat tomuto potom potřebuje zděšená oprávněně
0:53:57von je třeba uvedeny
0:54:00manipulace s profilem jako kryjou triumf a nebo vložit
0:54:07a jo to je všecko padesát tři takže se náké takže tě zdroje
0:54:13je možné najít hodně věcí
0:54:17minimálně co je doporučoval tak je
0:54:21stránka
0:54:25věky apparmor ne
0:54:28která podstatě
0:54:31odpoví na přes vaše otázky ta první jsou sekonu pleteš _e tam je té takový
0:54:37auto udělaj tak je tam jsou tři kroky a je to hezky rozdělené takže také
0:54:42dobrý zdroj nebo na ubuntu
0:54:45mají taky
0:54:46podstatě
0:54:48de
0:54:51můžete najít nějaké informace
0:54:53tak jestli jsou nějaké otázky vondra
0:54:57tyto slajdy není to zajímavé jak jsou na githubu
0:55:04možná voni to zajímat o tam i ve verzi
0:55:08já bych s tou lodí se vrátil k těm kontejnerům tam to nebylo úplně jasný
0:55:13standardně se udělá a někde sto milisekund a dnes ten můj dobrý prouz _e jo
0:55:19a já když si chci upravíte tak běžného to naklonovat do toho koukala se s
0:55:24streamů víte nebo jakým způsobem je doporučené
0:55:28si ten prosadil který by je vygenerovaný automaticky
0:55:32se změnit
0:55:35umožňuje nebo je to možné jak jsem říkal že on tenhle pokud že to řekněme
0:55:39nějaký systémový řešení že to je prostě vodejde já tam prostě jim no jestli chci
0:55:44pro každý kontajnery protože téma dvacet kontejnerů na to každé a já jsem si rezignaci
0:55:49na ni tam parametr který potom pracuje s tím že já mu dám ten profil
0:55:52už hotovej
0:55:54to tady děje takže parameterize konfiguračního souboru například aničce já mu řeknu že jaký je
0:56:00ten jeho profánní jo tady to je tady ten a asi bude dělat
0:56:05ne na tu tomu slouží
0:56:07což není film
0:56:09jo tendence klid else možné
0:56:13mu říct jak je pro jakej profil prof armáda tady ten defaultní takže já může
0:56:17dát pentéry chci autě ujetej už opravenej tak jako už a velice tak předpokládat že
0:56:22tam bude tak já zase tolik jste se u elišce sem teď nějak eště komu
0:56:28možnost otázky
0:56:29on tam tomto tam vytváří do toho to vytváří do
0:56:34do toho adresáře a nezapadlo flipped abych se a na jakém také možné mu potom
0:56:42říct že má pracovat ale tam se jsem ve jistej nějakým je to jakoby
0:56:47flexibilní ale předpokládejme na stejným principu jako tady docker jmenuje se zdá řekněte verzí se
0:56:53mi to přepsalo ten konfigurák a to nechce to jsi mluvil takže jsem říkal že
0:56:58záleží na verzi a toho to vlastně děláte tedy scény dělá to apparmor takže tam
0:57:02ještě to záleží na veliteli teďka děti
0:57:16spíte máme ten a po čase vysoustružit je serou politik může pořídil okno písíčko podobné
0:57:22špatně slyším sem tam jsme se je toho přepočet trošku jo a taky se moment
0:57:28prosím
0:57:29a proc za patch a chcel by se mu načítací že se roku řídit že
0:57:34může z družice členem okno hvězdička
0:57:37a ví způsobem
0:57:38no a patch
0:57:39na protože jsem se mnou byl nějakej balík turbína jistou nějakou webovou aplikaci ne asi
0:57:45mám kočku vedle tedy půl nepřítelem si mysim že je dokončený používat a počkej modul
0:57:51kterej se na
0:57:54a parma mysl _e
0:57:56a tam potom to definovat vás ediktech utek konfigura konfiguracích pěkného s tou
0:58:01případně ty aplikace
0:58:04ale také je možný dodělat i přes ten lokál ale bude to asi víc _e
0:58:09dnešní a můžete je doporučili použity modul tady je to s pokud žena dostupné to
0:58:14že není jsou starší verzí a pláče
0:58:18tam se jsem zajisté jak to udělat
0:58:21to asi by se to muselo nějak pouštět
0:58:24jakoby zvlášť třeba ne měděno cesta pač _e ale při ho několikrát slavii myslím space
0:58:29u a tím pádem ty profily se dají aplikovat na ten na ten _e space
0:58:33řekne
0:58:39já bohužel musím končit ještě diskuzi protože máme další přednášku takže bych se na konečnou
0:58:44přinášejícími