強制アクセス制御は、そのプログラムを走らせている利用者の権限とは関わりなく、プログラムに何が許されるかを決めます。Ubuntu と Debian ではそれが AppArmor です。たいていのサーバーに入っていて動いており、そのうちのきわめて多くで実質何も制限していません。
このページは読み込まれた各プロファイルをそのモードとともに示し、束縛されて動いているプロセスと、プロファイルをまったく持たずに動いているプロセスも並べます。まず確かめるべきはモードです。complain モードのプロファイルは、遮断したであろうものを記録するだけで、何も遮断しません。新しいプロファイルを調整している間は役に立ちますが、そのまま置き忘れられたなら防御としては無価値です。プロセスを本当に縛るのは enforce だけです。
束縛のないプロセスの一覧のほうが面白い半分です。ネットワークから届くものはすべてプロファイルの下に置かれるべきです。ウェブサーバー、データベース、メールのデーモン、そしてあなた自身が書いたアプリケーションサーバーです。最近の拒否も併せて示されます。プロファイルを変えたあとに急にぐずり出したサービスは、たいていそこで自ら弁明しているからです。