AppArmor è un modulo di sicurezza Linux che applica il controllo obbligatorio degli accessi con profili di policy. Invece di fidarsi di ogni programma una volta che è in esecuzione, AppArmor può limitare quali file può leggere o scrivere, quali capacità può usare e a quali risorse di sistema può accedere.
Questo è importante perché molti attacchi hanno successo solo dopo che il codice è già in esecuzione su un host. AppArmor limita i danni che un servizio compromesso, uno script o un componente ausiliario possono causare ed è ampiamente usato in distribuzioni rafforzate e in sistemi simili ai container come Snap. In pratica, i difensori scrivono o distribuiscono profili in modalità di applicazione, quindi monitorano i dinieghi per individuare comportamenti inattesi. Gli aggressori possono tentare di abusare di un profilo configurato in modo errato, sfruttare una falla prima che il confinamento venga applicato oppure concatenare una fuga dal sandbox con un altro bug per raggiungere privilegi più elevati.