Il controllo di accesso obbligatorio decide che cosa un programma possa fare, a prescindere dai permessi dell’utente che lo esegue. Su Ubuntu e Debian questo significa AppArmor, installato e attivo sulla maggior parte dei server e, su moltissimi di essi, di fatto senza confinare quasi nulla.
Questa pagina mostra ogni profilo caricato con la sua modalità, i processi che girano confinati e quelli che girano senza alcun profilo. La modalità è la prima cosa da controllare. Un profilo in modalità complain registra ciò che avrebbe bloccato e non blocca nulla: utile mentre si mette a punto un profilo nuovo, privo di valore come protezione se è rimasto così ed è stato dimenticato. Solo enforce vincola davvero un processo.
L’elenco dei processi non confinati è la metà più interessante. Tutto ciò che è raggiungibile dalla rete dovrebbe stare sotto un profilo: il server web, il database, il demone di posta e qualunque server applicativo abbiate scritto voi. Compaiono anche i denial recenti, perché un servizio che comincia improvvisamente a comportarsi male dopo una modifica al profilo di solito si spiega proprio lì.