ファイアウォールは、通常、外部から侵入してくる不正な「パケット」を防ぐために使用されます。しかし、最近では、私たちは主にルーターの背後にいて、その危険の多くはルーターによって軽減されています。私たちが直面する危険は、主に内部から来ています。いわゆるトロイの木馬です。
Windows の世界には多くのアプリケーション ファイアウォールがあり、OSX には「Little Snitch」という便利なユーティリティがあります。これは、アプリケーションがスコープ外のデータを要求しないようにすることで、アプリケーションの動作を保証するものです。ジェイルブレイクされた私の iPhone にも、アプリケーションがスコープ外の Web サイトにアクセスするのを防ぐアプリがあります。scorecard.com やさまざまな Apple サーバーなどの Web サイトに「プッシュ」されるデータの量には驚かされます。私はこれらを無効にしてもアプリケーションは引き続き動作するため、無効にする必要がないことはわかっています。
Linux の世界では、このようなことはほとんどないようです。Perliptablesの他のスクリプトをうまく使って、非常に不器用な方法で結果を得ることができます。
このような質問があったときに頻繁に参照されるこの投稿を例に挙げましょう。
各プログラムのインターネットアクセスを制御するにはどうすればよいですか?
それは質問に答えていません。
ポートを完全に遮断するファイアウォールについての話がありますが、これはほとんどの人が望んでいることではありません。ほとんどの人が望んでいるのは、ローカル アプリであるはずのアプリケーション X が、Web とチャットする必要がないときに Web とチャットしないことです。または、Yahoo の天気予報にアクセスするプログラムは、天気予報にアクセスするという仕事とは関係のない 5 つのサイトにアクセスします。または、iPhone の銀行アプリの 1 つが銀行の外部の WebTrends Web サイトにアクセスします。もちろん、これは Ubuntu とは関係ありませんが、アプリの不適切な動作の例です。
この投稿で言及されているもう 1 つのアプリは Leopard Flower ですが、これは 1 年間更新されておらず、Ubuntu の次のリリースでもこれを実行し続けるのは好ましくありません。
この分野に関連する他のすべての投稿では、アプリケーションへのアクセスを完全に遮断するアプリの推奨が続けられていますが、アプリ X が Web Y にアクセスしたい場合、アクセスを許可または拒否するという単純な「Little Snitch」のアイデアは提供されていません。複雑な iptable ルールはなく、ポートが完全に遮断されることはありません。
十分に調べたのでしょうか、それとも Ubuntu には「アプリケーション ファイアウォール」が存在しないのでしょうか?
答え1
アプリアーマー
AppArmor は、名前ベースのアクセス制御の Linux セキュリティ モジュール実装です。AppArmor は、個々のプログラムを、リストされたファイルのセットと posix 1003.1e ドラフト機能に制限します。
下記リンクより。
答え2
SE Linux は Linux 用のアプリケーション レベル ファイアウォールの一例ですが、非常に徹底的であるため実装が非常に困難です。
答え3
apparmor のどこがそんなに悪いのか分かりません。もちろん、マニュアルページを少し読む必要があります。しかし、それ以外は使いやすいと思います。
私は以前、まだ Windows (職場) を使用していたときに、パーソナル (つまりアプリ) ファイアウォールを使用したことがあります。GUI がないことを除けば、apparmor に欠点があるとは思いません。ただし、その代わりに、追加のセキュリティ機能が提供されます。Windows のパーソナル ファイアウォールでは、リソースを消費するだけのプログラムによる DoS 攻撃を防ぐことはできませんが、apparmor ではそれが可能です。
さらに、優れた診断および管理ツールも備えています。aa-unconfined およびその他すべての aa-* コマンドを調べてください (最初に apparmor-utils をインストールする必要があります)。
デフォルトの Ubuntu システムをインストールすると、最小限の構成でも、かなりよく保護されていることがわかります。これは、setuid メカニズムと、Linux での権限を必要とするいくつかの低レベルの操作に大きく関係しています。ほとんどのアプリは、ネットワークに直接アクセスすることはありません。
それとは別に、Tomoyo を調べてください。まだ apparmor や SELinux ほど成熟していませんが、試してみる価値はあると思います。
答え4
私のアプリをご覧になってみてはいかがでしょうか翻訳元:。
これはアプリケーション ファイアウォールであり、アプリケーションごとにネットワーク アクセスを制限します。お気軽にコメントやフィードバックをお送りください。