Webcast zum Thema System i Security

Präsentation zum Thema: "Webcast zum Thema System i Security"—  Präsentation transkript:

1 Webcast zum Thema System i Security 25.04.2007
Wolfgang Greulich (Dipl. Ing. (FH), IBM Certified Technical Specialist System i, System p, Total Storage, Citrix CCA)) WS Datenservice Hauptstr. 20 73326 Deggingen Tel Fax

2 Webcast zum Thema System i Security
Agenda : 10:00    Soundcheck 10:15    Computersicherheit – einige wenige Basics 10:25    System i Security - Basics und Neuerungen in V5R4 10:45    Wie können Sicherheitslücken zuverlässig geschlossen werden (am Beispiel von Bsafe) 11:15     Ende

3 Sie ist unterteilt in 11 Security Domains
System i Security : ISO 17799 Die wohl weltweit bedeutenste ISO für Sicherheits-Standard ist die ISO In dieser ISO ist wie in einem Handbuch für Security geregelt, wie und mit welchen Hilfsmitteln ein Unternehmen einen sinnvollen Sicherheitsstatus erreicht. Sie ist unterteilt in 11 Security Domains

4 System i Security : Basel II
Basel II ist ein komplexes Regelwerk für die Kreditvergabe von Banken. Kreditinstitute müssen umso mehr Geld vorhalten, je riskanter das Projekt ist, das sie finanzieren wollen „….Es geht um die Eigenkapitalquote, aber auch um die Unternehmensstrategie, die Marktposition, den technischen Stand der Unternehmens-IT oder Maßnahmen zur IT-Sicherheit….“ In den USA findet bereits ein regelmäßiges Auditing für Security statt: Externe Experten vergeben ein Zertifikat, mit dem das Unternehmen der Bank bestätigen kann, dass alle Unternehmensdaten sicher sind. Ähnliches könnte mit Basel II auch in Europa üblich werden. „…. das auch zu günstigeren Krediten im Basel II-Verfahren führen….“

5 System i Security : Sarbanes Oxley Akt von 2002
Als Folge einer Serie von massiven Missbräuchen (ENRON Krise, Worldcom Skandal…) im Börsenbereich wurde in den USA der Sarbanes-Oxley Akt definiert und verabschiedet. 36 Sektionen Punkte definieren eindeutig die Vorgehensweise eines Unternehmens zur Erzeugung einer besseren Kontrolle. Einige Punkte stehen im direkten Zusammenhang zur Unternehmens-IT. Für einen  iSeries IT Manager lässt sich sehr einfach zusammenfassen, dass Daten umfassend gegen ungesetzliche Veränderungen oder Löschungen geschützt werden müssen und dass Datenänderungen protokolliert und jederzeit für Audis vorhanden sein müssen. Seitens IT Management muss alles getan werden, um Daten gegen ungesetzliche Veränderung und vor Missbrauch zu schützen Änderungen an den Daten müssen geloggt und für Security Audits zur Verfügung gestellt werden

6 Computersicherheit Wenn wir von Computersicherheit reden, so beinhaltet dies viele unterschiedliche Definitionen, generell ist damit die Implementierung von Maßnahmen zur Abwehr von vielfältigen Gefahren gemeint Zur Implementierung von Sicherheit bedarf es einer Reihe von Maßnahmen, dazu müssen existente Risiken analysiert werden, die notwendigen Maßnahmen definiert, eingeführt und umgesetzt werden, kurz : ein Sicherheitsprogramm muss implementiert werden Hiervon ist niemand ausgeschlossen, nicht das Management, nicht der User, „es geht jeden was an“, die Rollen müssen definiert werden, die Zuständigkeiten klar geregelt sein  Am wichtigsten ist die Definition, wie welches System und welche Daten geschützt werden müssen

7 Sicherheitskontrollen
Sicherheitskontrollen sind notwendig, um das Benutzen einer Ressource zu erlauben oder zu verbieten : Es gibt unterschiedlichen Arten von Kontrollen : Physische Kontrollen (Personal, Kameras, Schlösser, Überwachungssysteme, unterbrechungsfreie Stromversorgungen…) Technische Kontrollen (Objektberechtigungen, Datenberechtigungen, Verschlüsselungsmechanismen…) Administrative Kontrollen (Sicherheitsrichtlinien, Sicherheitsanleitungen, Sicherheitstrainings…)

8 Optimal ist die schichtweise Entwicklung eines Sicherheitsprogrammes :
Üblicherweise definiert man 5 Schichten : Schutz der Anwendung : z.Bsp. HTTP mit SSL, System EXIT Programme Schutz des Systems : integriert im System i vorhanden (alle User werden auf Systemebene identifiziert und authentifiziert) Schutz des Netzwerkes : sollte Teil des Netzwerkdesignes sein, Firewalls, VPN´s, Gateways… Schutz der physikalischen Objekte : z.Bsp. Schutz der Hardware vor zufälligen oder absichtlichen Beschädigungen, Schutz des gesamten Unternehmens : beinhaltet alle unternehmensweiten Maßnahmen zur Schaffung einer Sicherheit, vom Training bis zum Notfallplan

9 Ziele des Sicherheitsprogramm
Vertraulichkeit : nur authorisierte Personen haben Zugriff auf Daten, (Datenverschlüsselung im Netzwerk, Zugriff auf das Netzwerk) Integrität der Daten : Daten sind nur authorisiert, auf vorgegebenen Wegen veränderbar Verfügbarkeit der Daten : wird meistens als wichtigstes Ziel behandelt Authentifizierung : der User ist auch, wer er vorgibt zu sein, SSO Strategien Autorisierung : gibt einem User die Berechtigung auf Objekte Auditing / Logging : Monitoring des Systems, Entdecken der Diskrepanzen

10 System i Security hat von jeher den Ruf eines sicheren Systems
i5/OS bietet bereits nach der Installation einen Basislevel Security die objektorientierte Architektur bietet nur systemvorgegebene Wege, das Objekt zu verwenden, dies bietet einen hohen Systemintegritäts- und Sicherheitslevel durch integrierte Securityfunktionen wie digitale Zertifikate, Security Audit Journale, Exitprogramme, Kerberos Funktionalität, DB2 Universal Database Verschlüsselung, Anwendungsadministration, Virenscanner werden die Ziele des Securityprogrammes erreicht

11 System i Security : allgemeine Einstellungen
Systemwerte „Sicherheit“ : in Gruppen unterteilt - Allgemeine Systemwerte - Systemwerte zum Handling von Passwörtern - Systemwerte zum Handling von Protokollierungen  wrksysval (*sec) zeigt alle securitybezogenen Systemwerte Netzwerkattribute : definiert wie das System am Netzwerk teilnimmt, CHGNETA oder DSPNETA - DDMACC : definiert den Zugriff von Remotesystemen auf Dateien PCSACC : definiert den Zugriff von Client Workstations etc. wichtige Systemsicherheitswerte können im SST gesperrt werden viele Dinge können per Work Management gehandhabt werden (wie kommen Jobs in das System) - Drucken der aktuellen Systemsicherheitswerte mit PRTSYSSECA

12 System i Security : Generelle Einstellungen
Das System bietet 5 verschiedene Levels : Level 10 : ohne jegliche Security, auch kein Passwortschutz (seit V4R3 nicht mehr möglich) Level 20 : User benötigt Passwort zum Login, alle Benutzer haben *allobj Berechtigung Level 30 : wie Level 20, per Default haben die Benutzer keine Berechtigung, muss also explizit gegeben werden (Resource Security) Level 40 : zusätzlich zur Resource Security schlägt die Ausführung von Programmen fehl, wenn der Benutzer über nicht unterstützte Schnittstellen auf Objekte zugreift Level 50 : der Zugriff über definierte Schnittstellen lässt sich zusätzlich parametrisieren  Per Default kommen die Systeme mit Level 40, wichtig : Wechsel auf 30 oder höher sollten vorbereitet werden, denn da beginnt der Objektschutz

13 System i Security : Resource Security
Resource Security definiert, welcher Benutzer wie welche Objekte verwenden darf. Das Ziel ist, jedem Benutzer genügend Berechtigungen zu geben, um ihre Arbeiten zu erfüllen. Jedoch sollte kein Browsen des Systems und es sollten auch keine Änderungen am System möglich sein. Objektberechtigungen definieren, was ein User mit einem Objekt darf Berechtigungen für Dateien, Programme, Bibliotheken, Ordner und Directories sind die gebräuchlichsten Berechtigungen. Generell können Berechtigungen aber auf jedes indivudelle Objekt gesetzt werden

14 System i Security : Zugriff auf OS/400 Programmfunktionen
wird verwendet, wenn es keine dedizierten Objekte zum Setzen von Berechtigungen gibt. diese Berechtigungen können über den iSeries Navigator gesetzt werden, entweder über die Berechtigung auf eine Applikation oder über die Benutzerkonfiguration. (Reiter Applikationen)

15 System i Security : Sicherheits Audits
Es gibt verschiedene Gründe Sicherheitsaudits durchzuführen : interne und externe Prüfung und Kontrolle des Sicherheitsplanes Kontrolle des Sicherheitsplanes auf Vollständigkeit Vorbereitung auf kommende Ereignisse z.Bsp. Installation einer neuen Anwendung, Wechsel der Systemsicherheitsstufe oder Änderungen am Netzwerk Zur Benutzung der zugehörigen Befehle benötigt das Benutzerprofil die *audit Berechtigung. Ausgewertet wird das QAUDJRN Journal mit DSPJRN, Auswertung können in Files geschrieben werden, und dann mit einem Query Tool ausgewertet werden

16 System i Security : Kontrolle des interaktiven SignOn
- Definition von Passwort Leveln (Level 0 bis Level 3) - Änderung von bekannten Default Passwörtern (ANZDFTPWD) - Kontrolle der Passwörter sowohl im DST als auch auf Betriebssystemebene, es sollte kein Login mit einem Default Passwort möglich sein CFGSYSSEC (setzt alle diese Kennwörter auf *none, QUSER muß enabled sein für iSeries Access for Windows) Definition der SignOn Values (QAUTOCFG, QAUTOVRT) SignOn Error Meldungen angepasst für Hacker Verfügbarkeit von Benutzerprofilen (CHGACTSCDE) Inaktive Benutzer automatisch disablen (ANZPRFACT) Passwortinformationen speichern (Sysval QRETSVRSEC) Authentifizierungsmechanismen (User Id und Passwort, User Zertifikate, Kerberos, Exit Programme, Validierungslisten, LDAP, RADIUS, PAP, CHAP…)

17 System i Security : Security Tools
das Security Tool Programm und die Kommandos sind in der QSYS, generell mit *exclude Berechtigung, erstellte Objekte werden in der QUSRSYS erstellt, dort auch mit *exclude Berechtigung Bestandteil vom OS/400, Objekte mit qsec* zur Verwendung der Tools wird *allobj (bzw. für bestimmte Funktionen *secadm, *audit oder *iosyscfg) Berechtigung benötigt, der Printout geht an die Standard Queues, dies sollte also geändert werden  *secofr Profil verwenden Menü SECTOOLS (für interactive Jobs) Menü SECBATCH (für Batch Jobs, immediataley und für den Job Sceduler) Command Configure System Security Command (QSYS/QSECCFGS); ändert knapp 30 sicherheitsrelevante Systemwerte; ebenso werden von diversen IBM-supplied Benutzerprofilen die Kennwörter auf *none gesetzt Security Wizard – wird aus dem iSeries Navigator heraus gestartet, nachdem alle Fragen beantwortet sind, gibt der Wizard Empfehlungen aus und auch die Möglichkeiten, das System zu ändern

18 System i Security : Berechtigung *public widerrufen
Command QSYS/RVKPUBAUT setzt die Berechtigung für eine bestimmte Anzahl von Befehlen (sowie den zugehörigen API`s) von *public auf *exclude muß für QSYS und jede nationale Bibliothek separat durchgeführt werden

19 System i Security : Menüberechtigungen
historisch ist die iSeries ein Folgeprodukt der S/36 und S/38 Systeme sehr oft waren (und sind) die Welten auf einem System gleichzeitig aktiv Berechtigungen werden sehr oft über Menüs gehandhabt das Benutzerprofil unterstützt hierbei mit den Optionen INITIAL MENU, INITIAL PROGRAM sowie dem Parameter LIMIT CAPABILITIES (hat nur Auswirkung auf die Befehlszeile, nicht auf remote abgesetzte Kommandos, z.Bsp per FTP) auf Grund des starken Wechsels in der Clientperipherie ist dieser Schutz jedoch schon lange nicht mehr ausreichend (Zugriff über Netzwerk, Filetransfer, ODBC, SQL, etc.) - Problem : stark limitierte Menüs erzeugt unzufriedene Anwender, wenig abgesicherte Menüs erzeugt „Löcher“

20 System i Security : Bibliotheken
um ein Objekt in einer Bibliothek zu verwenden, benötigt der Benutzer die Berechtigung auf das Objekt und auf die Bibliothek abhängig von der Situation reicht sehr oft die Berechtigung auf die Bibliothek zum Schutz der Objekte unter Umständen ein sehr einfaches Mittel, um Objekte zu schützen

21 System i Security : Objektberechtigung auf Systembefehle und Programme
der Objektschutz muss für alle QSYSxxxx Sprachbibliotheken abgebildet werden S/36 und S/38 Bibliotheken müssen besonders beachtet werden

22 System i Security : Schutz vor Hackern
Physikalische Sicherheit – Control Panel Monitoring von Änderungen an Benutzerprofilen Signierung von Objekten – Digitale Signaturen, dient zur Identifizierung von Software und Objekten; relevant ist beim Zurückspeichern der Systemwert QVFYOBJRST; im „schärfsten“ Fall ist nur das Zurückspeichern von Software möglich, deren Ursprung dem System bekannt ist OS/400 mit allen Optionen und licpgm`s ist von einer vetrauenswürdigen Instanz digital signiert Monitoring von Subsystembeschreibungen, insbesondere von Autostart Job Entries, Job Queue Entries, Routing Entries etc. - Schutz des Systems durch installierte Firewalls, z.Bsp. in LPAR`s Linux native (z.Bsp. Stonegate Firewall Solution for System i)

23 System i Security : IFS und Workstation Zugriff
aus Sicht des Security Administrators ist es wichtig zu verstehen, welche File Systeme verwendet werden (QOPT, QFileSrv.400, QLANSrv etc.) Für jedes Filesystem gelten spezifische Charakteristika in Bezug auf Berechtigungen, welche im Detail angewandt und beachtet werden müssen PC`s mit Software, welche das IFS benutzen, sind kritisch. Eine ausgedachte Objektberechtigung ist hier sehr wichtig. Es kommt oft auf die Sichtweise an, z.Bsp. *use aus Sicht der iSeries heißt, der Benutzer darf VIEW und PRINT des Files. Aus Sicht des PC`s ist VIEW dasselbe wie READING; dies genügt zum Erstellen einer Kopie, also eigentlich nicht das Erwünschte Für viele remote Zugriffe sind die Konfigurationsmöglichkeiten nicht ausreichend. Meistens kann die Funktion nur komplett abgeschaltet werden. (z.Bsp. Netzwerkattribute) - Generell ist es davon abhängig, welche Serveranwendung mit welcher Clientanwendung kommuniziert

24 System i Security : APPC Kommunikation
wird über Objektberechtigungen gehandhabt, z.Bsp. *exclude auf APPC Device Descriptions, die für die Verbindung zu anderen Systemen verwendet werden

25 System i Security : TCP/IP Kommunikation
TCP/IP Server Jobs laufen im Subsystem QSYSWRK Wichtig ist das Monitoring von TCP-IP Aktivitäten auf dem System Kein Starten von unnötigen bzw. nicht verwendeten Diensten (Autostart Values via Green Screen oder iSeries Navigator Kontrolliertes Starten von TCP/IP Schnittstellen Kontrolliertes Starten von Point-to-Point Profilen Port Restriktionen EXIT Programme, FTP Exit Programme IP Packet Filtering : via iSeries Navigator Implementierung von NAT

26 System i Security : Exit Programme
viele iSeries Server Funktionen bieten einen Ausstiegspunkt aus dem System. Dies bietet die Möglichkeit, benutzerspezifische Programme bei jedem Aufruf von diesen Funktionen abzuarbeiten WRKREGINF - Beispiele sind Passwort Validierung, DDM, Remote Sign On, ODBC, TCP/IP Server, Änderungen an den Benutzerprofilen, diverse iSeries Access for Windows Funktionen etc.

27 System i Security : die wichtigsten Änderungen mit V5R4
Lt. IBM Hauptaugenmerk auf 3 Bereiche : Schutz der iSeries Objekte durch Hardware Improvements , Zugriff auf Objekte durch manipulierte Programme soll in der Zukunft unmöglich gemacht werden (HSP Hardware Storage Protection) Intrusion Detection (unterstützt Support für die wichtigsten Attacken, benutzt hierbei den i5/OS QoS Server zum Laden der definierten Policies (ifspolicy.conf  Template File im i5/OS vorhanden)) Verschlüsselung, Key-Management

28 System i Security : die wichtigsten Änderungen mit V5R4 (1)
5722-AC3 Cryptographic Access Provider sowie die dazugehörigen API´s wurden ins Basis-Betriebssystem verlagert (notwendig für SSL,VPN, DCM), das Produkt zur Clientverschlüsselung wurde in den Basiscode iSeries Access for Windows verlagert  besseres Management der Verschlüsselungsmechanismen Speichern der Verschlüsselungskeys : 8 Master Keys können erzeugt und im LIC gespeichert werden, diese Keys können nicht durch User (auch nicht durch den QSECOFR) direkt modifiziert werden, verschlüsselt mittels 256-bit AES (Advanced Encryption Standard)  Priorisierung der Verschlüsselung Systemwert QAUDLVL : beinhaltet nun zusätzlich den Wert *NOTAVL, d.h. Audit Attribute können durch den Enduser nicht angezeigt werden; betroffen davon sind z.Bsp. Befehle wie WRKLNK, DSPOBJD, RTVOBJD; Änderungen von Audit Systemwerten werden nicht mehr im History Log QHST geloggt,

29 System i Security : die wichtigsten Änderungen mit V5R4 (2)
VPN : NAT erlaubt das Verstecken von internen IP Adressen hinter registrierten offiziellen IP-Adressen, konventionelles NAT funktioniert nicht mit IPSEC Paketen, da die Source IP Adresse verändert wird, mit V5R4 wurde „NAT friendly IPSEC (NAT Traversal Support)“ implementiert, es werden jetzt also VPN Tunnels von NAT Clients unterstützt. SSO Single SignON : der benötigte Kerberos Server ist nun Bestandteil von 5722-NAE (Network Authentication Enablement), (war in V5R3 Bestandteil von 5722-AC3, in V5R2 nicht) EIM vereinfachte Konfiguration mit der Möglichkeit, Gruppen für bestimmte Ziele zu definieren Auswertung von Journalen stark vereinfacht durch den Befehl CPYAUDJRNE, (früher nur aufwendig möglich mit dem Befehl DSPJRN unter Zuhilfenahme eines Output Templates) WRKOBJPVT listet alle privaten Berechtigungen eines bestimmten Benutzerprofiles anstatt wie bisher alle Berechtigungen eines bestimmten Objektes aufzulisten,

30 System i Security : die wichtigsten Änderungen mit V5R4 (3)
TCP/IP Stack based IDS – Intrusion Detection System, unterstützt das Monitoren von zahlreichen Intrusion Ereignissen, erkennt Port Scans, erkennt deformierte und zerstückelte TCP/IP Pakete und erkennt DoS (Denial of Service) Attacken  interne Attacken, die die Firewall nicht schützt, wird erstmalig via Green Screen konfiguriert und werden in das System Audit Journal geloggt, in den TCP/IP Attributen muss QoS aktiviert werden, Auditing muss aktiviert sein, QAUDLVL muss um den neuen Parameter *ATNEVT erweitert werden, das IDS Policy File im IFS muss konfiguriert und aktiviert sein, der QoS Server muss aktivíert sein  es ist kein GUI Interface für die Konfiguration von IBM announct Systemwert QSCANFS : mit V5R3 wurde die Möglichkeit implementiert, einen Third Party Virenscanner in das i5/OS zu implementieren, dies geschah über zwei neue Exit Points, jetzt kann mittels Systemwert der Virenscan abgeschaltet werden  *none oder *rootopnud (scannt *type2 Files im ROOT Directory, der zweite Systemwert QSCANFSCTL definiert die Art des Scannens)

31 System i Security : Fazit
so komplex wie eine System i, so komplex ist auch das Thema System i Security so vielfältig wie die Gefahren, so vielfältig sind die Antworten darauf viele Punkte sind mit OS/400 Bordmitteln zu erledigen, aber nicht gerade schnell und einfach die Anforderungen ändern sich laufend - Wir können User nicht auf bestimmte Serverfunktionen und Objekte limitieren - Operationen und Funktionen, die auf der Befehlszeile unterbunden sind, können remote via Netzwerk trotzdem ausgeführt werden - das Systemprotokoll „unterschlägt“ diese Netzwerk Operationen - für nicht authorisierte Netzwerkzugriffe gibt es ab V5R4 ein IDS, Intrusion Detection System

32 System i Security : Empfehlungen
beobachten Sie regelmäßig das System Security Audit DSPSECAUD Dokumentieren Sie Objekte mit übernommenen Berechtigungen Bibliotheken und Directorys haben meistens PUBLIC *CHANGE RVKPUBAUT setzt die CMD auf PUBLIC *exclude Benutzen Sie die Möglichkeiten, Benutzerprofile einzuschränken (LMTCPB) CRTLIB sollte per Default auf PUBLIC *exclude gesetzt werden QALWOBJRST, QFRCCNVRST, QVFYOBJRST konfigurieren, um das Zurückspeichern von manipulierten Objekten zu verhindern CHKOBJITG verwenden System Cleanup QSYSMSG verwenden TCP/IP Server Systemwerte Passwortkontrolle Netzwerkattribute LPAR Security DST, Operations Console, PTF´s Middleware Applikationen

33 System i Security : Präsentation Bsafe
die Antwort auf viele Fragen zum Thema iSeries Security : Bsafe Enterprise Security for iSeries Windows (Windows und Linux) 1. Intrusion Prevention System (IPS) 2. Intrusion Detection System (IDS) 3. Hochentwickelte Netzwerkprotokollierung und Ereignis Management 4. Grafische Netzwerk Analyse 5. Integritätsüberwachung der Daten 6. Integriertes Sicherheitsmanagement 7. Komplett Windows basierende Management GUI

34 System i Security : Teststellung Bsafe
Link zur Anforderung einer Teststellung : Link zum Produkt : Vielen Dank, daß Sie sich heute Zeit genommen haben Fragen ??