El control de acceso obligatorio decide qué puede hacer un programa con independencia de los permisos del usuario que lo ejecuta. En Ubuntu y Debian eso significa AppArmor, que está instalado y en marcha en la mayoría de servidores y que, en muchísimos de ellos, no confina prácticamente nada.
Esta página muestra cada perfil cargado con su modo, los procesos que corren confinados y los que corren sin perfil alguno. El modo es lo primero que hay que mirar. Un perfil en modo complain registra lo que habría bloqueado y no bloquea nada: útil mientras se ajusta un perfil nuevo, inútil como protección si se quedó así y se olvidó. Solo enforce restringe de verdad a un proceso.
La lista de procesos sin confinar es la mitad más interesante. Todo lo accesible desde la red debería estar bajo un perfil: el servidor web, la base de datos, el demonio de correo y cualquier servidor de aplicaciones que haya escrito usted mismo. También se muestran las denegaciones recientes, ya que un servicio que empieza a fallar tras un cambio de perfil suele explicarse ahí solo.