| 加固项 | AppArmor 策略执行 |
|---|---|
| 适用平台 | Linux（Ubuntu/Debian/SUSE） |
| 风险等级 | 中 |
| 基线 | aa-status 显示关键 profile 处于 enforce mode |
核查与单 profile 操作
核查与单 profile 操作
sudo aa-status | head -20
aa-enforce /etc/apparmor.d/usr.sbin.nginx # 切 enforce
aa-complain /etc/apparmor.d/usr.sbin.nginx # 排障时切 complain
apparmor_parser -r /etc/apparmor.d/usr.sbin.nginx # 重载单 profilecomplain 模式只记录不阻断，是排障过渡态；生产机要定期核查是否遗留 complain profile 长期不放。