PART 16-B AS/400 AUDITING ASPECTS

Transcriptie

1 PART 16-B AS/400 AUDITING ASPECTS Jacques Herman vrije Universiteit amsterdam 31 March 2003 File 16-B AS400 auditing aspects 2003 Programma-overzicht PROGRAMMA-OVERZICHT Inleiding Beveiligingsmodel Fysieke beveiliging System values Toegangsbeveiliging Datacommunicatie Diversen 2 Page 1 1

2 Inleiding Bijzondere karakteristieken van de AS/400 Object georiënteerd Integratie van besturingssysteemcomponenten Goede beveiligingsmogelijkheden Gebruikersgemak gecombineerd met grote complexiteit 3 Inleiding... Omgevingen waar de AS/400 wordt aangetroffen grote organisaties (gespecialiseerde staf) kleine organisaties (systeembeheerder) als afdelingscomputer (deeltijd systeembeheer) 4 Page 2 2

3 Inleiding... Integrated File System (IFS) QSYS.LIB (AS/400 library structuur) QDLS (DOS, Windows, OS/2 structuur) QLANSrv QOpenSys (Unix POSIX structuur - RWX privileges) 5 Inleiding... Understand the computer environment Organisatie Omvang Complexiteit Kennisniveau Management attitude Als u zelfs maar met één bevinding komt zoek ik meteen een andere IT auditor! 6 Page 3 3

4 Inleiding... Understand the computer environment Applicatie Standaard pakketten Maatwerk door derden Maatwerk eigen ontwikkeling Nee, we doen nog niet aan E-Commerce 7 Inleiding... Understand the computer environment Infrastructuur Model, OS/400 version File systems Network environment Aaah, dus dat is uw AS/400 8 Page 4 4

5 Programma-overzicht Programma-overzicht Inleiding Beveiligingsmodel Fysieke beveiliging System values Toegangsbeveiliging Datacommunicatie Diversen 9 Beveiligingsmodel 1 Beveiligingsbeleid Automatiseringsbeleid Beveiligingsplan AO // IC IC Opzet beveiliging Implementatie Onderhoud en entoezicht 10 Page 5 5

6 Beveiligingsmodel... Soorten gebruikers Eindgebruikers Systeemontwikkeling Systeembeheer Objecten Systeemobjecten ontwikkeltools beheerstools systeem devices Applicaties programma's (source en object) bestanden (vaste / variable gegevens) Matrix gebruikers versus objecten 11 Audit (2) Systeembeheer Naamgevingsconventie gebruikers- en groepsprofielen bibliotheken autorisatielijsten Scheiding ontwikkeling / test / productie Back-up procedure Documentatie ten aanzien van de inrichting 12 Page 6 6

7 Beveiligingsmodel... Implementatie Beveiligingsniveau (QSECLVL) Systeemwaarden (QCRTAUT) Omgevingen (ontwikkel / test / productie) Gebruikersgroepen (op basis van AO / IC) Bibliotheken (gelijkwaardige objecten) Speciale bevoegdheden (zeer beperkt) Specifieke bevoegdheden (groepsprofielen) Autorisatielijsten (voor utilities) Adopted authority (bijzondere functies) 13 Programma-overzicht Programma-overzicht Inleiding Beveiligingsmodel Fysieke beveiliging System values Toegangsbeveiliging Datacommunicatie Diversen 14 Page 7 7

8 Fysieke beveiliging Aspecten Klimaatbeheersing Inbraak-, brand- en waterpreventie Fysieke toegangsbeveiliging Key-lock Back-up 15 Fysieke beveiliging... Computer equipment is protected against environmental hazards Fysieke locatie Inbraak -, brand - en waterdetectie Bekendheid van personeel met instructies bij de diverse (alarm) meldingen En toch moet die procedure hier ergens liggen 16 Page 8 8

9 Fysieke beveiliging... Key-lock Secure Auto Normal manual IPL the system Manual manual IPL and power off the system dedicated Service Tools different IPL (including from tape) change IPL options 17 Fysieke beveiliging... Dedicated Service Tools Default wachtwoord Functies Security QSECOFR Alle functies (inclusief wijzigen van DST en QSECOFR wachtwoorden) Full Alle functies behalve wijzigen van wachtwoorden Basic Basis DST functies 18 Page 9 9

10 Fysieke beveiliging... Computer equipment is protected against unauthorized access Fysieke toegangbeveiliging (badge readers) Bezoekers log Key-lock positie (niet op manual) Sleutelprocedure DST wachtwoordbeheer 19 Fysieke beveiliging... Back-up SAVSTG (disk dump of all permanent data) SAV ROOT QSYS.LIB QDLS QLANSrv QOpenSYS QSYS.LIB SAVSYS (system libraries) SAVSECDATA (user profiles, security objects) SAVLDO (documents and folders) SAVLIB ({library naam}, *NONSYS, *ALLUSR of *IBM) SAVOBJ (specifieke objecten uit bibliotheken) SAVCHGOBJ (gewijzigde objecten) 20 Page 10 10

11 Fysieke beveiliging... Backup and recovery procedures meet the availability requirements Back-up principes frequentie aantal generaties registratie en identificatie Fysieke locatie dagelijks back-up disaster location (Interne) controles volledigheid leesbaarheid periodieke inventaris U vraagt zich dus af hoe wij 30 Gb op één floppy kunnen backuppen 21 Programma-overzicht Programma-overzicht Inleiding Beveiligingsmodel Fysieke beveiliging System values Toegangsbeveiliging Datacommunicatie Diversen 22 Page 11 11

12 Systeemwaarden 1 Ongeveer 100 systeemwaarden (8 typen) *ALC *DATTIM *EDT *LIBL *MSG *SEC *STG *SYSCTL etc. Geheugentoewijzing Datum en tijd Opmaak Lijst van bibliotheken Berichten en logboek Beveiliging Geheugen Systeembesturing 23 Systeemwaarden... Veel waarden zijn slechts defaults, bijvoorbeeld CRTUSRPRF (qdspsgninf, qpwdexpitv, qlmtdevssn) CRTJOBD (qusrlibl, qdevrcyacn, qtsepool) CRTDEVDSP (qkbdtype, qprtdev) 24 Page 12 12

13 Systeemwaarden... The selected system values enable effective security Security level QSECURITY dient tenminste 30 te zijn Logging qaudlvl, qaudctl, qaudendacn, qcrtobjaud Password control qpwdminlen, qpwdrqddif, qpwdexpitv, etc. Session control qmaxsign, qdspsgninf, qlmtdevssn, qinactitv QCRTAUT *EXCLUDE of *USE 25 Programma-overzicht Programma-overzicht Inleiding Beveiligingsmodel Fysieke beveiliging System values Toegangsbeveiliging Datacommunicatie Diversen 26 Page 13 13

14 Toegangsbeveiliging Aspecten van toegangsbeveliging User profile Menu security Object security Special authorities Adopted authority Groepsprofielen versus autorisatielijsten 27 Toegangsbeveiliging... User profile Password initieel wachtwoord expiratie interval (gebruik van *SYSVAL) Gebruikersomgeving initieel programma initieel menu print/job/message queues Group profile Speciale rechten user class, special authorities wachtwoord FAKTUUR deze maand Is het Deze maand is het wachtwoord Faktuur 28 Page 14 14

15 Toegangsbeveiliging... Individual accountability is ensured Gebruik van individuele gebruikersprofielen geen functiegerelateerde profielen (b.v. Sales01) group profiles: password *NONE vervuiling (oude wachtwoorden, vreemde namen, etc.) controle met PZ-gegevens over uitdienstreding gebruikersprofielen die lange tijd niet gebruikt zijn Wachwoorden wachtwoord gerelateerde systemwaarden Iidividuele afwijkingen van systeemwaarden IBM supplied profiles wijziging van de default passwords en/of... disable gebruikersprofielen 29 Toegangsbeveiliging... Special privileges are granted on a need-to-have basis Business case voor toegekende priviliges *ALLOBJ and *SECADM overige special authorities Toezicht op gebruikt CHGUSRAUD USRPRF({user profile}) AUDLVL(*CMD) 30 Page 15 15

16 Toegangsbeveiliging... Access authorities are based on a user s function rather than on the individual person Structuur en naamgevingsconventies van gebruikersgroepen Beoordeel deelname aan conflicterende gebruikersgroepen Special privileges bij voorkeur via een groepsprofiel toekennen 31 Toegangsbeveiliging... Menu security User profile (LMTCPB = *YES) IBM tailored menu s *MAIN of *USER (gerelateerd aan de user class) Voordelen Beveiliging goed op maatwerk te maken Goed te combineren met andere mogelijkheden Nadelen te uitgebreide menu s doorbreken de beveiliging andere command-entry mogelijkheden moeilijker te beoordelen 32 Page 16 16

17 Toegangsbeveiliging... Access to resources is granted through pre-established access paths LMTCPB = *YES voor alle eindgebruikers Beoordeel initiële menu s Beoordeel de gebruikers waarvoor geen menubeveiliging geldt 33 Toegangsbeveiliging... Object security (specific authorities) Object rights (object als geheel) opr, mgt, exist, alter, exist, ref Data rights (inhoud van het object) read, add, update, delete, execute Public authority Default public authority (assigned to newly created objects) QCRTAUT LIBCRTAUT 34 Page 17 17

18 Toegangsbeveiliging... Special authorities versus specific authorities Special authorities zijn onafhankelijk van objecten (b.v. *SAVSYS) worden toegekend aan (groepen) gebruikers gaan boven specifieke bevoegdheden (behalve indien specifiek voor een user *EXCLUDE is gespecificeerd) *SECADM (kan maximaal zijn eigen bevoegdheden overdragen) Specific authorities zijn gekoppeld aan objecten worden toegekend aan (groepen) gebruikers onderscheid tussen object authorities and data authorities 35 Toegangsbeveiliging... Unauthorized access to resources is prevented Beoordeel opzet en structuur van bibliotheken Groeperen van objecten in bibliotheken Naamgevingsconventie van bibliotheken Beoordeel de beveiliging van bibliotheken Rechten van bij voorkeur aan groepen gebruikers toekennen *Public authority (*exclude of *read ) QCRTAUT en LIBCRTAUT Afschermen van zeer kritische objecten binnen de bibliotheek Beveiliging van kritische commando s, speciale terminals, datacommunicatie lijnen, etc. 36 Page 18 18

19 Toegangsbeveiliging... Adopted authority Principe Alle objecten (dus ook alle programma s) hebben een eigenaar Tijdens de uitvoering van het programma worden de rechten van de eigenaar tijdelijk overgenomen indien tijdens compilatie CRTCLPGM of met CHGPGM USRPRF(*OWNER) is opgegeven Indien het programma een ander programma oproept, blijven de overgenomen rechten gelden Indien geen gekwalificeerde namen gebruikt worden voor programma calls ({library name} / {program name}) kan een ongeautoriseerd programma de rechten erven (wijzigingen in de programma search LIBL) 37 Toegangsbeveiliging... The use of adapted authority programs does not undermine the access control structure Rechten van de owner van het programma Functie van het programma Wie mogen het programma gebruiken (object authority) Gebruik van gekwalificeerde programmanamen (i.v.m. LIBL) Documentatie Formele goedkeuringsprocedure 38 Page 19 19

20 Toegangsbeveiliging... Groepsprofielen versus autorisatielijsten Groepsprofielen Voor groepen gebruikers met vergelijkbare bevoegdheden special authorities specific authorities Bij voorkeur het groepsprofiel owner van objecten laten zijn Autorisatielijsten Voor groepen objecten met vergelijkbare toegangsrechten (voor zover de groepering in bibliotheken onvoldoende is geweest) Autorisatielijsten blijven bestaan ook als de objecten zijn gewist 39 Toegangsbeveiliging... Access to powerful system tools is properly restricted Afscherming van hulpmiddelen voor programmeurs zoals DFU, PDM, SDA, SEU, COBOL, RPG, SQL, etc. Zijn alle betrokken programma s afgeschermd d.m.v. autorisatielijsten? Wie mogen deze hulpmiddelen gebruiken? Is er sprake van logging of een andere vorm van toezicht? Ik ben toch wel benieuwd naar die SQL roll-back functie 40 Page 20 20

21 Programma-overzicht Programma-overzicht Inleiding Beveiligingsmodel Fysieke beveiliging System values Toegangsbeveiliging Datacommunicatie Diversen 41 Datacommunicatie DATACOMMUNICATIE Distributed Data Management (DDM) Vanuit een source systeem bestanden op een target systeem gebruiken Submit remote command: batch file met commando s aanbieden Display Station Pass Through (DSPT) Terminal op een ander systeem (S/36, S/38 of AS/400) SNA Distributed Services (SNADS) Asynchrone datadistributie, zoals mail en Submit Network Command 42 Page 21 21

22 Datacommunicatie... Datacommunicatie Client Access/400 (PC - AS/400 communicatie) Terminal emulatie Virtual printer Remote Command File Transfer Shared Folders TCP/IP Telnet FTP HTTP SMTP SLIP 43 Datacommunicatie... Datacommunication functions should not create unexpected holes in security Disable alle niet gebruikte protocollen *REJECT voor diverse protocollen (CHGNETA) Autostart(*NO) voor diverse TCP/IP protocollen Verwijder/disable/beperk default profiles Disable the autoconfiguration (qautovrt=*no) Beperkt het aantal gebruikers met *IOSYSCFG Beveilig de commando s van de diverse communicatie protocollen STRTCPSRV, STRTCPFTP, STRTCPTELN, STRTCPPTP FTP, TELNET, LPR, SNDTCPSPLF Gebruik huurlijnen of dial-back modems 44 Page 22 22

23 Datacommunicatie... Users / jobs / commands are properly authenticated Display Station Pass Through (DSPT) CHGSYSVAL QRMTSIG Only for trusted nodes *reject *frcsignon *sameprf *verify geen DSPT use normal sign-on use same profile and no sign-on same profile or sign-on 45 Datacommunicatie... Users / jobs / commands are properly authenticated Only Only for for trusted trusted nodes nodes DDM (submit remote command) gebruiker logt niet aan op de target SECURELOC(*YES): zelfde user profile (indien AVI) SECURELOC(*NO): gebruik default user profile CHGNETA(geldt voor het netwerk) DDMAC(*REJECT) DDMAC(*object) DDMAC(programma) reject alle DDM sessie Restrict default default acces use object security acces privil. privil. user exit programma + objaut For For additional filtering 46 Page 23 23

24 Datacommunicatie... Users / jobs / commands are properly authenticated SNADS (Submit Network Command) Review Review jobs jobs before before submit submit gebruik een default profile op het target system CHGNETA (geldt voor het hele netwerk) Restrikt default default *JOBACN (*reject) geen SNADS acces acces privil privil *JOBACN (*file) input file (job) is queued *JOBACN (*search) tabel met de toegestande jobs If If all all nodes nodes are are trusted trusted 47 Datacommunicatie... Users / jobs / commands are properly authenticated TCP/IP Understand that password confidentiality may be compromised (bepaalde systeemwaarden gelden niet meer) QMAXSIGN: terminals access is not blocked after invalid password count treshold is reached (virtual IP addresses) QINACTITV: no session time-out Anonymous FTP user (default profile) Prevent remote access for *ALLOBJ and *SERVICE users SYSVAL QLMTSECOFR (0) Anonymous FTP Add exit programs for server logon and operations (ADDEXITPGM) ANONYMOUS user should have PASSWORD(*NONE) Restrict access of ANONYMOUS user 48 Page 24 24

25 Datacommunicatie... Menu Security is not circumvented DDM (submit remote comand) gebruiker logt niet aan op de target SECURELOC(*YES): zelfde user profile (indien AVI) SECURELOC(*NO): gebruik default user profile CHGNETA (geldt voor het hele netwerk) DDMAC(*REJECT)reject alle DDM sessie DDMAC(*OBJECT) use object security DDMAC(programma) user exit programma + objaut Filter Filter on on commands 49 Datacommunicatie... Menu Security is not circumvented SNADS (Submit Network Command) gebruikt een default profile op het target systeem CHGNETA (geldt voor het hele netwerk) *JOBACN(*reject) geen SNADS *JOBACN(*file) input file (job) is queued Review Review jobs jobs before before submit submit If If all all nodes nodes are are trusted trusted *JOBACN(*search) tabel met de toegestane jobs 50 Page 25 25

26 Datacommunicatie... Menu Security is not circumvented Client Access/400 Functies Remote Command File Transfer CHGNETA PSCACC(*reject) PSCACC(*objaut) PSCACC(programma) no file transfer users object rights apply user exit programma + objaut Screening of of funct/comnds. We hebben het redelijk onder controle, vinden we zelf 51 Datacommunicatie... Menu Security is not circumvented TCP / IP Functies FTP (file transfer) FTP RCMD (remote command) File Transfer Protocol Exits QIBM_QTMF_CLIENT_REQ Client Request Validation QIBM_QTMF_SERVER_REQ Server Request Validation QIBM_QTMF_SVR_LOGON Server Logon 52 Page 26 26

27 Programma-overzicht Programma-overzicht Inleiding Beveiligingsmodel Fysieke beveiliging System values Toegangsbeveiliging Datacommunicatie Diversen 53 Diversen Security Tools SECTOOLS Work with profiles Work with auditing Reports General system security Ja, als je echt scherp gaat kijken. Hij doet het inderdaad iets minder als de rest. 54 Page 27 27

28 Diversen... AS/400 WEB Sites http: // publib.boulder.ibm.com/pubs/html/as400/online/v4r4eng.htm OS/400 System Management - OS/400 Security - Reference SC http: // publib.boulder.ibm.com/html/as400/infocenter.html http: // 55 Page 28 28