AppArmor Nedir? Linux Sunucularda Profil Yönetimi ve Güvenlik Rehberi

Son Güncelleme: Ağustos 2026

AppArmor, Linux sunucularda uygulamaların erişebileceği dosya, ağ, işlem ve sistem kaynaklarını sınırlandıran önemli bir zorunlu erişim denetimi mekanizmasıdır. Özellikle Ubuntu tabanlı VPS, VDS, bulut sunucu ve kiralık sunucu ortamlarında servis izolasyonu sağlamak, olası güvenlik açıklarının etkisini azaltmak ve uygulama bazlı güvenlik politikaları oluşturmak için kullanılır.

Bu rehberde AppArmor nedir, nasıl çalışır, profil modları ne anlama gelir, temel komutlarla nasıl yönetilir ve web sunucusu, veritabanı veya özel uygulama servisleri için nasıl güvenli şekilde uygulanır adım adım inceleyeceğiz.

İçindekiler

• AppArmor Nedir?
• AppArmor Nasıl Çalışır?
• AppArmor ve SELinux Arasındaki Farklar
• AppArmor Profil Modları
• Temel AppArmor Komutları
• AppArmor Profil Oluşturma Mantığı
• Web Sunucularında AppArmor Kullanımı
• Log Analizi ve Sorun Giderme
• En İyi Uygulamalar
• Sıkça Sorulan Sorular
• Sonuç

AppArmor Nedir?

AppArmor, Linux çekirdeği üzerinde çalışan ve uygulamaları belirli güvenlik profilleriyle sınırlandıran bir güvenlik katmanıdır. Klasik Linux izin modeli; kullanıcı, grup ve dosya izinlerine dayanır. Ancak bir servis ele geçirildiğinde, o servisin çalıştığı kullanıcının erişebildiği kaynaklar saldırgan tarafından da kullanılabilir. AppArmor bu riski azaltmak için uygulamanın hangi dosyalara okuyabileceğini, hangi dizinlere yazabileceğini, hangi ağ yetkilerini kullanabileceğini ve hangi sistem işlemlerine erişebileceğini ayrı bir politika ile belirler.

Bu yaklaşım MAC yani Mandatory Access Control olarak adlandırılır. Türkçe karşılığıyla zorunlu erişim denetimi, uygulamaların sadece işletim sistemi kullanıcısına göre değil, önceden tanımlanmış güvenlik kurallarına göre de kontrol edilmesini sağlar. Böylece örneğin bir web uygulaması zafiyet nedeniyle ele geçirilse bile, AppArmor profili sayesinde uygulamanın /etc/shadow, /root veya yedek dizinleri gibi kritik alanlara erişmesi engellenebilir.

AppArmor özellikle Ubuntu, Debian tabanlı sistemler ve bazı diğer Linux dağıtımlarında yaygın olarak kullanılır. VPS veya VDS altyapısında tek sunucuda birden fazla servis çalıştıran sistem yöneticileri için etkili bir ek savunma katmanıdır. Corelux üzerinde Sanal Sunucu, Türkiye VDS Sunucu veya Kiralık Sunucu kullanan kullanıcılar, AppArmor ile servis bazlı güvenlik politikaları oluşturarak saldırı yüzeyini azaltabilir.

AppArmor Nasıl Çalışır?

AppArmor, çalıştırılabilir dosya yollarına bağlı profiller kullanır. Yani bir servis veya uygulama belirli bir binary (ikili çalıştırılabilir dosya) üzerinden çalışıyorsa, AppArmor o binary için tanımlanmış profili uygular. Örneğin /usr/sbin/nginx için bir profil oluşturulduğunda, Nginx servisi yalnızca bu profilde izin verilen kaynaklara erişebilir.

Profil dosyaları genellikle /etc/apparmor.d/ dizininde bulunur. Bu dosyalarda dosya erişimleri, ağ kullanımı, Linux capability (çekirdek yetenekleri), sinyal gönderme, program çalıştırma ve bazı özel izinler tanımlanır. AppArmor profili, uygulamanın normal çalışması için gereken izinleri açıkça belirtir; bunun dışında kalan erişimler ise profil moduna göre ya loglanır ya da engellenir.

AppArmor’un Temel Bileşenleri

• Profil: Bir uygulama veya servis için tanımlanan erişim kuralları bütünüdür.
• Parser: Profil dosyalarını okuyup çekirdeğe yükleyen bileşendir.
• Kernel Modülü: Erişim kararlarını Linux çekirdeği seviyesinde uygular.
• Log Mekanizması: İzin verilen, reddedilen veya öğrenme modunda kaydedilen olayları sistem loglarına yazar.
• Yönetim Araçları: aa-status, aa-enforce, aa-complain, aa-genprof gibi komutlardan oluşur.

AppArmor’un en önemli avantajlarından biri, yol tabanlı çalışması nedeniyle anlaşılmasının ve yönetilmesinin görece kolay olmasıdır. Örneğin bir servisin /var/www/example.com/public dizinini okumasına izin verip /home/backup dizinine erişimini engellemek oldukça anlaşılır bir profil kuralıyla yapılabilir.

AppArmor ve SELinux Arasındaki Farklar

Linux güvenliği denildiğinde AppArmor ile birlikte sıkça karşılaşılan diğer teknoloji SELinux yani Security-Enhanced Linux’tur. İkisi de zorunlu erişim denetimi sağlar; ancak yönetim mantığı, politika yapısı ve kullanım kolaylığı açısından farklıdır.

Hangisinin daha iyi olduğu sorusunun yanıtı, kullanılan dağıtıma ve yönetim ihtiyacına göre değişir. Ubuntu tabanlı bir Türkiye VPS Sunucu üzerinde hızlı, okunabilir ve servis odaklı kısıtlamalar yapmak isteyen kullanıcılar için AppArmor oldukça pratiktir. Daha karmaşık etiket temelli güvenlik politikaları gereken kurumsal ortamlarda ise SELinux tercih edilebilir.

AppArmor Profil Modları

AppArmor profilleri temelde iki ana modda çalışır: enforce ve complain. Bu modları doğru anlamak, servis kesintisi yaşamadan güvenlik politikası oluşturmak için kritik öneme sahiptir.

Enforce Modu

Enforce modu, profil kurallarını aktif olarak uygular. Uygulama profilde izin verilmeyen bir dosyaya erişmeye, farklı bir program çalıştırmaya veya yasaklı bir capability kullanmaya çalışırsa işlem engellenir. Üretim ortamında hedeflenen güvenlik seviyesi genellikle enforce modudur.

Complain Modu

Complain modu, öğrenme ve test süreci için kullanılır. Bu modda AppArmor erişimleri engellemez; fakat profil dışı davranışları loglara kaydeder. Böylece bir servisin normal çalışma sırasında hangi dosyalara eriştiği, hangi izinlere ihtiyaç duyduğu ve hangi kuralların eksik olduğu anlaşılır.

Disable Durumu

Bir profil tamamen devre dışı bırakıldığında AppArmor ilgili uygulamaya hiçbir kısıtlama uygulamaz. Bu yöntem kalıcı çözüm olarak önerilmez; yalnızca test, acil sorun giderme veya geçici bakım sürecinde kullanılmalıdır.

Temel AppArmor Komutları

AppArmor yönetimi için kullanılan araçlar çoğu Ubuntu sisteminde hazır gelir veya paket yöneticisiyle kolayca kurulabilir. Aşağıdaki komutlar sistem yöneticilerinin günlük AppArmor yönetiminde en çok kullandığı işlemleri kapsar.

AppArmor Durumunu Kontrol Etme

sudo aa-status

Bu komut yüklü profil sayısını, enforce modundaki profilleri, complain modundaki profilleri ve çalışan işlemlerle eşleşen politikaları gösterir.

Servis Durumunu Görüntüleme

sudo systemctl status apparmor

AppArmor servisinin aktif olup olmadığını kontrol etmek için kullanılır. Servis çalışmıyorsa profiller yüklenmemiş olabilir.

Profili Enforce Moduna Alma

sudo aa-enforce /etc/apparmor.d/usr.sbin.nginx

Bu komut, örnek olarak Nginx profili için kuralların aktif şekilde uygulanmasını sağlar. Profil adının sisteminizdeki gerçek dosya adıyla eşleşmesi gerekir.

Profili Complain Moduna Alma

sudo aa-complain /etc/apparmor.d/usr.sbin.nginx

Yeni profil geliştirirken veya mevcut profilin uygulamayı bozup bozmadığını test ederken complain modu tercih edilir.

Profili Yeniden Yükleme

sudo apparmor_parser -r /etc/apparmor.d/usr.sbin.nginx

Profil dosyasında değişiklik yaptıktan sonra kural setini çekirdeğe yeniden yüklemek için kullanılır. Bu işlem yapılmazsa dosyadaki değişiklikler aktif hale gelmeyebilir.

AppArmor Servisini Yeniden Başlatma

sudo systemctl restart apparmor

Tüm profilleri tekrar yüklemek ve servis durumunu tazelemek için kullanılabilir. Üretim ortamlarında yeniden başlatma öncesi servis bağımlılıklarını ve kritik uygulamaları kontrol etmek önemlidir.

AppArmor Profil Oluşturma Mantığı

AppArmor profili oluştururken amaç, uygulamanın ihtiyaç duyduğu minimum izinleri vermektir. Bu prensip least privilege yani en az ayrıcalık ilkesi olarak bilinir. Bir uygulamaya tüm dosya sistemine erişim vermek yerine yalnızca okuması gereken dizinlere okuma, yazması gereken dizinlere yazma izni verilmelidir.

Basit Profil Yapısı

Aşağıda örnek amaçlı sade bir AppArmor profil iskeleti yer almaktadır. Gerçek sistemlerde uygulamanın ihtiyaçlarına göre dikkatle düzenlenmelidir.

#include <tunables/global>

/usr/local/bin/ornek-uygulama {
  #include <abstractions/base>

  /usr/local/bin/ornek-uygulama r,
  /var/www/ornek/** r,
  /var/log/ornek-uygulama.log rw,
  /tmp/ornek-uygulama/** rw,

  deny /etc/shadow r,
}

Bu örnekte uygulamanın kendi çalıştırılabilir dosyasını okumasına, web dizini altındaki dosyaları okumasına, log dosyasına yazmasına ve belirli geçici dizinde işlem yapmasına izin verilir. /etc/shadow dosyasına erişim ise açıkça reddedilir.

İzin Harfleri Ne Anlama Gelir?

• r: Okuma izni anlamına gelir.
• w: Yazma izni anlamına gelir.
• m: Belleğe eşleme yani memory map işlemleri için kullanılır.
• ix: Alt programı mevcut profil içinde çalıştırmayı ifade eder.
• px: Alt programı kendi profiline geçerek çalıştırmayı ifade eder.
• deny: Belirli erişimi açıkça reddetmek için kullanılır.

Profil Geliştirme Süreci

1. Servisi analiz edin: Uygulamanın hangi dosyalara, dizinlere, portlara ve sistem araçlarına ihtiyaç duyduğunu belirleyin.
2. Complain modunda başlayın: İlk aşamada erişimleri engellemeden log toplayın.
3. Logları inceleyin: Eksik izinleri tespit ederek profili kademeli olarak güncelleyin.
4. Test ortamında deneyin: Canlı sistemden önce staging veya test sunucusunda davranışı gözlemleyin.
5. Enforce moduna geçin: Profil olgunlaştığında üretim ortamında aktif koruma sağlayın.

Web Sunucularında AppArmor Kullanımı

Web sunucuları, internete açık servisler olduğu için AppArmor kullanımından en çok fayda sağlayan bileşenler arasındadır. Nginx, Apache, PHP-FPM, özel Node.js servisleri veya API uygulamaları belirli dizinlere erişmek zorundadır; fakat bu erişim sınırlandırılmazsa bir zafiyet tüm sunucuyu etkileyebilir.

Nginx ve Apache İçin Temel Yaklaşım

Web sunucusu profili hazırlarken öncelikle sanal host dizinleri, log dosyaları, önbellek dizinleri, sertifika dosyaları ve geçici dosya alanları belirlenmelidir. Örneğin bir Nginx servisi web kök dizinini okumalı, log dizinine yazmalı ve SSL sertifikalarını okuyabilmelidir; ancak kullanıcıların yedek klasörlerine, veritabanı dump dosyalarına veya sistem yapılandırmalarına erişmemelidir.

• Web kök dizini: /var/www/siteadi/public gibi yalnızca gerekli dizinlere okuma izni verilmelidir.
• Log dizinleri: /var/log/nginx/ veya uygulama log dizinlerine yazma izni tanımlanmalıdır.
• SSL dosyaları: Sertifika ve anahtar dosyalarına erişim dikkatle sınırlandırılmalıdır.
• Yükleme dizinleri: Kullanıcı yüklemeleri için ayrılan alanlara yazma izni verilmeli, çalıştırma izni verilmemelidir.
• Geçici dosyalar: /tmp erişimi mümkün olduğunca uygulamaya özel alt dizinlerle sınırlandırılmalıdır.

PHP-FPM ve Uygulama Güvenliği

PHP-FPM kullanan web uygulamalarında yalnızca web sunucusunu kısıtlamak yeterli olmayabilir. PHP işlemleri ayrı kullanıcılarla çalıştırılıyorsa, her havuzun erişebileceği dizinleri AppArmor, dosya izinleri ve PHP yapılandırması birlikte sınırlandırmalıdır. WordPress, Laravel veya özel PHP uygulamalarında storage, cache ve uploads gibi yazılabilir dizinler net biçimde ayrılmalıdır.

Corelux Linux Hosting veya yönetilebilir sunucu senaryolarında bu yaklaşım, uygulama güvenliğini artırmak için dosya izinleri, güvenlik başlıkları, WAF, yedekleme ve izleme sistemleriyle birlikte düşünülmelidir.

Örnek Web Uygulaması Kısıtlama Senaryosu

Bir Laravel API uygulamasının yalnızca kendi proje dizinine, log klasörüne ve geçici dosya alanına erişmesi istenebilir. Bu senaryoda amaç, uygulamanın /home altındaki diğer kullanıcı dizinlerine veya sistem dosyalarına erişmesini engellemektir.

/usr/bin/php8.3 {
  #include <abstractions/base>

  /usr/bin/php8.3 r,
  /var/www/api.example.com/** r,
  /var/www/api.example.com/storage/** rw,
  /var/www/api.example.com/bootstrap/cache/** rw,
  /var/log/php-fpm/** rw,
  /tmp/php-api/** rw,

  deny /root/** rw,
  deny /home/*/backup/** r,
}

Bu örnek doğrudan kopyalanıp kullanılacak nihai bir profil değildir; uygulama sürümü, PHP yolu, log dizinleri ve servis mimarisine göre uyarlanmalıdır. Profil üretime alınmadan önce mutlaka complain modunda test edilmelidir.

Log Analizi ve Sorun Giderme

AppArmor yapılandırmasında en sık karşılaşılan sorun, bir uygulamanın ihtiyaç duyduğu erişimin profilde tanımlanmaması nedeniyle servisin beklenmedik şekilde hata vermesidir. Bu durum özellikle enforce moduna erken geçildiğinde yaşanır. Sorun gidermede ilk adım sistem loglarını incelemektir.

Kernel Loglarını İnceleme

sudo dmesg | grep -i apparmor

Bu komut, çekirdek logları içinde AppArmor tarafından kaydedilen olayları filtreler. Reddedilen erişimlerde genellikle profil adı, işlem adı, hedef dosya yolu ve istenen izin türü görünür.

Journalctl ile Log Kontrolü

sudo journalctl -k | grep -i apparmor

journalctl, systemd kullanan sistemlerde çekirdek ve servis loglarını incelemek için tercih edilir. Özellikle yakın zamanda oluşan AppArmor red kayıtlarını görmek için kullanışlıdır.

Audit Loglarını İnceleme

sudo grep -i apparmor /var/log/audit/audit.log

Sistemde audit servisi aktifse AppArmor olayları /var/log/audit/audit.log dosyasına da yazılabilir. Bu loglar profil iyileştirme sürecinde ayrıntılı bilgi sağlar.

Yaygın Hata Nedenleri

• Eksik dosya izni: Uygulamanın okuması veya yazması gereken dizin profilde tanımlı değildir.
• Yanlış binary yolu: Profil, uygulamanın gerçekten çalıştığı dosya yoluyla eşleşmiyordur.
• Geçici dosya erişimi: Uygulama /tmp veya özel cache dizinlerine erişemiyordur.
• Alt program çalıştırma: Uygulama sendmail, convert, git veya benzeri yardımcı programları çalıştırmaya çalışıyordur.
• SSL veya yapılandırma dosyası erişimi: Sertifika, anahtar veya config dosyaları için gerekli okuma izni verilmemiştir.

Profil hatası ile gerçek uygulama hatasını ayırmak önemlidir. Bir servis enforce modunda çalışmıyor fakat complain modunda sorunsuz çalışıyorsa, AppArmor logları mutlaka incelenmelidir.

En İyi Uygulamalar

AppArmor etkili bir güvenlik aracıdır; ancak yanlış yapılandırıldığında servis kesintilerine veya sahte güvenlik hissine neden olabilir. Bu nedenle planlı ve kademeli uygulanmalıdır.

• Complain modu ile başlayın: Yeni profilleri doğrudan enforce moduna almak yerine önce davranış analizi yapın.
• Minimum izin verin: Uygulamaya tüm dosya sistemine erişim vermekten kaçının; yalnızca gerekli dizinleri tanımlayın.
• Yazılabilir dizinleri ayırın: Upload, cache, session ve log dizinlerini net biçimde sınırlayın.
• Yedek almadan değişiklik yapmayın: Profil dosyalarını düzenlemeden önce yedekleyin.
• Test ortamı kullanın: Büyük değişiklikleri canlı sunucu yerine test sunucusunda deneyin.
• Logları düzenli izleyin: Reddedilen erişimler güvenlik ihlali işareti olabileceği gibi eksik profil kuralı da olabilir.
• Servis bazlı düşünün: Nginx, PHP-FPM, veritabanı, yedekleme ajanı ve özel uygulamalar için ayrı profiller planlayın.
• Diğer güvenlik katmanlarıyla birlikte kullanın: AppArmor; firewall, güncelleme yönetimi, güçlü parola politikası, SSH anahtarı, yedekleme ve izleme sistemlerinin yerine geçmez.

AppArmor Hangi Sunucularda Daha Faydalıdır?

AppArmor, internete açık servislerin bulunduğu hemen her Linux sunucuda fayda sağlar. Özellikle e-ticaret siteleri, API servisleri, müşteri panelli hosting ortamları, otomasyon araçları, dosya yükleme alanı olan uygulamalar ve birden fazla uygulamanın aynı işletim sisteminde çalıştığı sunucularda ek koruma katmanı oluşturur.

Yüksek erişilebilirlik, güvenlik ve performans gerektiren projelerde Corelux Türkiye Kiralık Sunucu, Bulut Sunucu veya Yedekleme Hizmeti seçenekleriyle AppArmor gibi işletim sistemi güvenlik katmanlarını daha sağlam bir altyapı stratejisi içinde değerlendirebilirsiniz.

Güvenlik Katmanlarıyla Birlikte Kullanım

AppArmor tek başına tüm güvenlik risklerini ortadan kaldırmaz. Bir saldırgan web uygulamasındaki zafiyeti kullanarak dosya yazabiliyorsa, AppArmor bunun etkisini azaltabilir; ancak zafiyetin kaynağını kapatmaz. Bu nedenle uygulama güncellemeleri, güvenli kod geliştirme, güvenlik duvarı kuralları, SSL yapılandırması, yedekleme, log izleme ve düzenli denetim süreçleri birlikte yürütülmelidir.

Sıkça Sorulan Sorular

Sonuç

AppArmor, Linux sunucularda uygulama bazlı güvenlik politikaları uygulamak için güçlü, anlaşılır ve pratik bir çözümdür. Dosya izinleri ve kullanıcı yetkilerinin ötesine geçerek, servislerin yalnızca ihtiyaç duydukları kaynaklara erişmesini sağlar. Bu sayede web uygulaması zafiyetleri, hatalı yapılandırmalar veya ele geçirilmiş servislerin etkisi sınırlandırılabilir.

Başarılı bir AppArmor stratejisi için profilleri önce complain modunda test etmek, logları düzenli analiz etmek, minimum izin prensibini uygulamak ve güvenlik politikalarını yedekleme, firewall, güncelleme yönetimi ve izleme süreçleriyle birlikte ele almak gerekir. Özellikle Ubuntu tabanlı VPS, VDS, bulut sunucu ve kiralık sunucu ortamlarında AppArmor, modern Linux güvenlik mimarisinin önemli parçalarından biridir.

Güvenli, performanslı ve ölçeklenebilir bir altyapı için Corelux Sanal Sunucu, Kiralık Sunucu, Bulut Sunucu ve SSL Sertifikası hizmetlerini değerlendirerek AppArmor gibi güvenlik katmanlarını sağlam bir sunucu altyapısı üzerinde uygulayabilirsiniz.