Sistemas Mainframe
Capítulo 9 : Seguridad en z/OS
Capítulo 9 Seguridad
Objetivos
 En este capítulo veremos como:
– Explicar los conceptos de seguridad e integridad
– Explicar RACF y su interfaz con el sistema operativo
– Autorizar un programa
– Discutir los conceptos de integridad
– Explicar la importancia del control de cambios
– Explicar el concepto de la evaluación de riesgos
2
Capítulo 9 Seguridad
Términos clave
3
 Librerías autorizadas
 hacker
 authorized program facility
(APF)
 page protection bit
 encripción
 Resource Access Control
Facility (RACF)
 SAF
 política de seguridad
 SVC
 separación de funciones
 PASSWORD
 Integridad del sistema
 firewall
 user ID
Capítulo 9 Seguridad
Introducción
 Un dato o programa es el recurso más valioso de la
instalación, y debe ser protegido
 Hace tiempo, un dato estuvo seguro porque nadie conocía
como acceder a él
 Cada vez más gente se convirtió en experta en computación
y capaz de usar herramientas simples, y los datos no
protegidos se volvieron accesibles
 La seguridad de los datos es ahora más importante que
antes, incluída la prevención ante destrucción inadvertida
4
Capítulo 9 Seguridad
Porqué seguridad?
 Cualquier sistema de seguridad debe permitir a
usuarios autorizados el acceso a lo que necesiten,
y prevenir el acceso no autorizado
 Muchos datos críticos de las compañías están
ahora en computadoras, y son fáciles de ‘robar’ si
no están protegidos
 El Servidor de Seguridad del z/OS provee una
estructura de funciones para proteger los datos
5
Capítulo 9 Seguridad
RACF (Resource Access Control Facility)
 RACF (parte del Servidor de Seguridad) y otros paquetes
disponibles, son productos que proveen la estructura básica
de seguridad en un mainframe z/OS
 Identifica y autentica usuarios
 Autoriza usarios para acceder a recursos protegidos
 Registra y reporta intentos de accesos no autorizados
 Controla el modo de acceso a los recursos
6
Capítulo 9 Seguridad
RACF: Visión General de Funciones
A d m in istra ció n
d e S e gu rid a d
R
RA
AC
CFF
RAC F
d a ta b a s e
Iid e n tifica ció n y a u to riza ció n
d e U su a rio s
R e p o rte s d e a u d ito ría e in te grid a d ,
a le rta s d e vio la cio n e s
C o n tro l d e
a u to riza ció n
d e re cu rso s
y co n tro l d e l
siste m a
7
Capítulo 9 Seguridad
Identificación y verificación de usuarios
 RACF usa un ‘userid’ y una ‘password’ de sistema
encriptada para realizar la identificación y
verificación de los usuarios
 El ‘userid’ identifica la persona para el sistema
 La ‘password’ verifica la identidad del usuario
 La ‘password’ no debería ser trivial, y se pueden
usar exits para forzar políticas centralizadas para
su formato
8
Capítulo 9 Seguridad
Niveles de Protección
 RACF trabaja en una estructura jerárquica
– ALLOC
permite creación y destrucción de un data set
– CONTROL permite repro de un data set VSAM
– WRITE
permite actualización de datos
– READ
permite lectura de datos
– NONE
ningún acceso
 Un permiso mayor, implica todos los que están
por debajo de él
9
Capítulo 9 Seguridad
Protegiendo un dataset
 Se crea un perfil (profile) de data set y se
almacena en la database de RACF
 Este le dará acceso a nivel de usuario o grupo
 También se puede definir un acceso universal
 El perfil puede ser específico o genérico, con o sin
caractéres especiales (wild cards)
10
Capítulo 9 Seguridad
Display típico de un perfil de RACF
INFORMATION FOR DATASET SYS1.*.** (G)
LEVEL OWNER
-----------00
SYS1
UNIVERSAL ACCESS WARNING ERASE
------------------------------ ----------READ
NO
NO
AUDITING
-------FAILURES(READ)
NOTIFY
-------NO USER TO BE NOTIFIED
YOUR ACCESS CREATION GROUP DATASET TYPE
-------------------- -------------------------- ---------------------ALTER
SYS1
NON-VSAM
11
Capítulo 9 Seguridad
Lista de acceso de RACF para SYS1.*.**
ID
-------SYS1
KARRAS
WANDRER
SCHUBER
KURTKR
KURTKR2
KURTKR3
CICSRS1
CICSRS2
HEISIG
JUSTO
GERALD
12
ACCESS
------ALTER
ALTER
ALTER
ALTER
UPDATE
UPDATE
NONE
ALTER
ALTER
UPDATE
UPDATE
READ
Capítulo 9 Seguridad
Protegiendo recursos generales o comunes
 Se pueden proteger muchos recursos del sistema
– Volumenes de discos (DASD)
– Cintas y cartuchos
– Transacciones CICS o IMS
– Datasets de Spool del JES
– Comandos del sistema
– Recursos de una aplicación
– y mucho más
 RACF es flexible, y se puede agregar mucho más
13
Capítulo 9 Seguridad
Sistema operativo y RACF
S is te m a
O p e ra tivo
RACF
D a ta b a s e s
1
A d m in is tra d o r
de
re c u rs o s
2
3
RACF
4
SAF
7
6
5
o d a to
en
m e m o ria
.
14
Capítulo 9 Seguridad
Conceptos de RACF: chequeo de perfil (profile)
.
A D M IN IS T R A D O R D E R E C U R S O S
P R O D U C T O D E S E G U R ID A D
RACROUTE
E xits O p cio n a le s
E xit
C h e ck
E xit R C
SAF CALLABLE
S E R V IC E
S
.
S
.
AA
FF
R A C F ca ll
RACF
C h e ck
RACF RC
d a ta b a se s
Si / No
.
15
Capítulo 9 Seguridad
System Authorization Facility
 SAF es parte del z/OS
 Usa RACF si está presente
 También puede usar rutinas exits (opcionales)
 SAF es un servicio del sistema y es un punto focal
para todos los productos que proveen control de
recursos
 SAF se invoca en un punto de control dentro del
código del administrador de recursos
16
Capítulo 9 Seguridad
Estructura del RACF
 Userid (usuario)
 Group (grupo)
– Cada userid pertenece como mínimo a un group
– Las estructuras de ‘group’ se usan para acceso a los recursos
 Resource (recurso)
 Resource classes
 Class descriptor table – usado para personalizar
(customize)
17
Capítulo 9 Seguridad
Visión general de la estructura de RACF
A D M IN IS T R A C IO N de R A C F
RLA
C ES S E S
R E SR
OE
US
RO
C EU C
C L AS S E S
PC
IOMN O
ES
SO
YS
TE
P TD
IOENLS
S IS TE M A
DATASET AND GENERAL
P E R F ILE S D A T A S E T Y
RCEU
SR
OS
UO
RS
CE
PN
RE
ORFA
ILE
RE
GE
LESS
GRRFILE
O U PS
PE
PG
RR
OO
FU
ILE
PS
USER
P E R FILE S
P RUOSFEILE
R S
18
Capítulo 9 Seguridad
Funciones del RACF
A d m in istra ció n
d e S e gu rid a d
R
RA
AC
CFF
R AC F
d a ta b a s e
Iid e n tifica ció n y a u to riza ció n
d e U su a rio s
R e p o rte s d e a u d ito ría e in te grid a d ,
a le rta s d e vio la cio n e s
C o n tro l d e
a u to riza ció n
d e re cu rso s
y co n tro l d e l
siste m a
19
Capítulo 9 Seguridad
Identificación del Usuario
 RACF lo identifica en su logon
 Son necesarios Userid y Password
 Cada userid de RACF tiene una única password
 La password está encriptada para que nadie la
conoza, ni el administrador
 Se revoca un Userid luego de una cantidad
determinada de intentos de logon, cuando se
ingresaron password inválidas
20
Capítulo 9 Seguridad
Chequeo del perfil de RACF
R ecurso
P rotegido?
SI
U ser y
G ro u p
vá lid o ?
SI
A cce so
a u to riza d o ?
SI
p e rm itid o
No
No
No
d e n e g a d o (*)
denegado
denegado
(*) si e stá e n e fe cto
la o p ció n P ro te ct A ll
21
Capítulo 9 Seguridad
Registro (log) y Reporte:
 RACF mantiene información estadística
 RACF graba un registro de seguridad cuando
detecta:
– Intentos no autorizados para entrar al sistema
– Acceso a recursos
• Esto depende de las definiciones del recurso
• Por ejemplo: AUDIT(ALL(UPDATE) registrará todas las
actualizaciones al recurso
– Ejecución de comandos
22
Capítulo 9 Seguridad
Administración de Seguridad
 Interpreta la política de seguridad como:
– Determinar cuáles funciones de RACF usar
– Identificar el nivel de protección de RACF
– Identificar cuáles datos proteger
– Identificar la estructura administrativa y de usuarios
23
Capítulo 9 Seguridad
RACF compartir datos en sysplex y RRSF
 Si varios sistemas comparten la database de
RACF habrá problemas de contención
 RACF propagará los comandos a través del
sysplex
 RACF puede usar un ‘coupling facility’ en un
‘parallel sysplex’ para mejorar la performance
 Se puede usar RRSF para tener databases de
RACF distribuidas y en línea
24
Capítulo 9 Seguridad
Programas autorizados
 Tareas autorizadas ejecutando programas
autorizados se les permite acceder a funciones
sensitivas del sistema
 Para evitar problemas de integridad, programas
no autorizados sólo podrán usar funciones
standard
25
Capítulo 9 Seguridad
Authorized Program Facility (APF)
L ib re ría s a u to riza d a s
S Y S 1 .L IN K L IB
S Y S 1 .L P A L IB
S Y S 1 .S V C L IB
APF
+
L ista d e lib re ría s d e fin id a s
p o r la in sta la ció n
26
Capítulo 9 Seguridad
Librerías Autorizadas
 Una tarea (task) es ‘autorizada' cuando el progama
en ejecución tiene las siguientes características:
– Ejecuta en estado supervisor
– Ejecuta en su PSW con clave (key) 0 a 7
– Todos los programas previos en la misma tarea fueron
programas APF
– El módulo fué cargado desde una librería APF
27
Capítulo 9 Seguridad
Problem Programs (Programas Problema)
 A los programas normales se los conocen como
‘programas problema’, y ejecutan en estado
problema (en oposición al estado supervisor)
 Ejecutan con clave 8 (problema) en su PSW
 Pueden o no estar en una librería APF
28
Capítulo 9 Seguridad
Librerías APF
 Las librerías autorizadas se definen en la lista APF
en SYS1.PARMLIB
 SYS1.LINKLIB, SYS1.SVCLIB y SYS1.LPALIB son
automáticamente autorizadas
 Las librerías de instalación se definen en PROGxx
 Por default, todas las librerías en LINKLIST son
autorizadas, pero muchas instalaciones definen
LNKAUTH=APFTAB
29
Capítulo 9 Seguridad
Autorizando un programa
 El primero, y sólo el primero de los módulos de
carga del programa, debe ser linkeditado con el
código de autorización AC=1
 Ese y todos los módulos subsiguientes deben ser
cargados desde una librería autorizada
 Las librerías APF se deben proteger de manera
que sólo los usuarios autorizados puedan
almacenar programas en ellas
30
Capítulo 9 Seguridad
Librerías autorizadas
L Ib re ría s a u to riza d a s:
S Y S 1 .L IN K L IB
L o s p ro g ra m a s d e l siste m a
u su a lm e n te :
S Y S 1 .L P A L IB
re sid e n e n lib re ría s A P F
S Y S 1 .S V C L IB
e je cu ta n e n e sta d o su p e rviso r
L ista d e lib re ría s
d e fin id a s p o r la
in sta la ció n
u sa n cla ve d e m e m o ria 0 a 7
p ro g ra m a s
a u to riz a d o s
APF
L ib re ría s n o
a u to riza d a s
p ro g ra m a s n o
a u to riza d o s
L o s p ro g ra m a s a p lica tivo s u su a lm e n te :
re sid e n e n lib re ría s n o a u to riza d a s
e je cu ta n e n e sta d o p ro b le m a
u sa n cla ve d e m e m o ria 8
31
Capítulo 9 Seguridad
Librerías autorizadas
 La lista APF se crea durante el IPL, usando las
librerías incluídas en el miembro PROGxx de
parmlib
 Si se especifica una lista dinámica, se puede
actualizar mediante un comando de operador
32
Capítulo 9 Seguridad
Un ejemplo de lista APF
BROWSE SYS1.PARMLIB(PROGTT) - 01.01
Line 00000000 Col 001 080
Command ===>
Scroll ===> PAGE
*************************** Top of Data ********************************
APF FORMAT(DYNAMIC)
APF ADD
DSNAME(SYS1.VTAMLIB)
VOLUME(******)
APF ADD
DSNAME(SYS1.SICELINK)
VOLUME(******)
APF ADD
DSNAME(SYS1.LOCAL.VTAMLIB)
VOLUME(TOTCAT)
APF ADD
DSNAME(ISP.SISPLOAD)
VOLUME(*MCAT*)
*************************** Bottom of Data *****************************
33
Capítulo 9 Seguridad
APF dinámica
 Actualizar un miembro PROGxx y activarlo con el
comando de operador SET PROG=xx
 Use el comando
SETPROG APF
 El comando DISPLAY PROG,APF mostrará la lista
actual
34
Capítulo 9 Seguridad
D PROG,APF
D PROG,APF
CSV450I 12.46.27 PROG,APF DISPLAY 027
FORMAT=DYNAMIC
ENTRY VOLUME DSNAME
1
Z04RE1 SYS1.LINKLIB
2
Z04RE1 SYS1.SVCLIB
3
Z04RE1 ANF.SANFLOAD
4
Z04RE2 AOP.SAOPLOAD
5
Z04RE1 AOP.SAOPLOAD
6
Z04RE1 ARTURO.BFSLMOD
7
Z04RE1 ASMA.V1R2M0.SASMMOD1
8
TOTDBZ ASN.V7R1M0.SASNALNK
9
TOTDBZ ASN.V7R1M0.SASNLLNK
10
TOTDBZ ASN.V8R1M0.SASNLOAD
11
TOTPT1 ASNA.V5R1M0.SASNALNK
12
TOTPT1 ASNL.V5R1M0.SASNLLNK
……
35
Capítulo 9 Seguridad
Operator Console Security
 A las consolas se les pueden asignar niveles de autorización
en el miembro CONSOLxx de parmlib
 Los comandos están agrupados en:
– INFO
comandos informativos
– SYS
comandos de control del sistema
– IO
comandos de I/O
– CONS
comandos de control de consola
– MASTER
comandos de consola maestra
 Cada consola puede tener uno o más niveles de
autorización
36
Capítulo 9 Seguridad
Consolas
 Al menos una consola debe tener autoridad
MASTER
 En un sysplex las consolas son compartidas
 Se puede requerir logon para las consolas usando
RACF
 Todas las consolas extendidas (MCS) podrían
necesitar un logon
37
Capítulo 9 Seguridad
Roles de Seguridad
 El system programmer configura el RACF
 Los administradores del sistema implementan las
políticas de seguridad
 Los administradores de seguridad definen las
políticas de seguridad
 Es necesaria la separación de las tareas para
prevenir el acceso no controlado
38
Capítulo 9 Seguridad
Resumen
 z/OS Security Server
 RACF
 SAF
 Programas Autorizados
 Lista APF
 Consola de seguridad
39
Capítulo 9 Seguridad
Nodo D
Nodo E
S iste m a D 2
S istem a D 1
S istem a E
RACF
d a ta b a s e
RACF
d a ta b a s e
Nodo C
Nodo B
Nodo A
S iste m a C
S iste m a B
S istem a A
RACF
d a ta b a s e
40
RACF
d a ta b a s e
RACF
d a ta b a s e
Descargar

Chapter 18