Mainframe & RACF: Sicherheit in der Zeit der Dinosaurier

In den 1950er Jahren hielt die Datenverarbeitung Einzug in die Unternehmen. Die Verarbeitungsmöglichkeiten von Großrechnern waren unübertroffen. Heute werden wir uns mit den Sicherheitssystemen dieser Computer befassen und uns dabei besonders auf RACF konzentrieren. Zum besseren Verständnis und als historischer Hintergrund: Resource Access Control Facility (RACF) entstand auf MVS, dem Betriebssystem, das die Firma IBM ab Mitte der 1970er Jahre mit seinen Großrechnern auslieferte. RACF ist für die Gewährleistung der Sicherheit und der Kontrolle über die im System durchgeführten Operationen zuständig. Es basiert auf drei Grundsätzen:

• Benutzeridentifizierung und -überprüfung
• Autorisierung für den Ressourcenzugriff
• Protokollierung und Berichterstattung über Zugriffsaktivitäten Trotz seines Alters hat sich dieses System mit der Hardware und den Betriebssystemen von IBM weiterentwickelt. Auch heute noch, nach fast 50 Jahren, gewährleistet es die Sicherheit von z/OS-Systemen, den 64-Bit-Nachfolgern von MVS.

Wie funktioniert es?

Das RACF-System bietet die notwendigen Werkzeuge für die Verwaltung eines Benutzerzugangs zu wichtigen Ressourcen. RACF speichert Informationen über Benutzer, Ressourcen und Zugriffsberechtigungen in speziellen Strukturen, den so genannten „Profilen“, in seiner Datenbank. Es bezieht sich auf diese Profile, wenn es entscheidet, welchen Benutzern der Zugriff auf geschützte Systemressourcen gestattet werden soll und welchen nicht. RACF ermöglicht es, kritische Ressourcen zu schützen:

• Identifizierung und Authentifizierung von Benutzern
• Autorisierung von Benutzern für den Zugriff auf geschützte Ressourcen
• Protokollierung und Berichterstattung über unberechtigte Zugriffsversuche auf geschützte Ressourcen
• Kontrolle über die Mittel des Ressourcenzugriffs

Exportieren und Prüfen

Das Prinzip besteht darin, jede Dateneinheit als Datensatz zu behandeln, wobei sich die Attribute je nach Art des Datensatzes ändern. Es gibt drei Kategorien, die diese Datensatztypen gruppieren:

• Gruppen
• Benutzer
• Ressourcen

Bekannte Datensatztypen sind z. B. „0100 – Gruppengrunddaten“ oder „0200 – Benutzergrunddaten“. In einer RACF-Extraktion finden Sie alle Datensätze in einer einzigen Datei, wobei die ersten vier Zeichen den Datensatztyp bezeichnen. Jeder Typ ist auch genau definiert. Jedes Attribut ist innerhalb eines Zeichenbereichs definiert. Zum Beispiel mit Typ 0200:

• Zeichen 6 bis 13: Benutzeranmeldung
• Zeichen 50 bis 53: Kontostatus (widerrufen)

Und was hat die Identitäts- und Zugangsverwaltung (IAG) mit all dem zu tun?

Trotz des Alters der IBM-Großrechner sind sie immer noch weit verbreitet, insbesondere in den IT-Systemen von Banken und Versicherungen. Die Überprüfung von RACF-Konten ist daher ein wichtiger Aspekt der Identitäts- und Zugriffsverwaltung dieser Unternehmen. Kleverware ist in der Lage, diese „Dinosaurier“ zu prüfen und zu analysieren, Anomalien zu identifizieren und eine Neuzertifizierung der Daten zu ermöglichen. Der erste Schritt in diesem Prozess besteht darin, RACF-Datensätze in einem besser lesbaren Format darzustellen, ohne dass die Prüfer 20 Seiten Dokumentation durchblättern müssen, um festzustellen, ob einem Konto das Attribut SPECIAL zugewiesen ist. Wie wir im vorherigen Abschnitt gesehen haben, werden RACF-Extraktionen auf der Grundlage des RECORD-Typs formatiert. Sobald der Typ identifiziert ist, können die Daten in eine besser lesbare Form umgewandelt werden, zum Beispiel in Excel oder CSV. Es werden nur Datensätze aufbewahrt, die für Kontoüberprüfungen relevant sind. Auf der Grundlage von Erfahrungswerten ist hier die Liste der Attribute, die Kleverware systematisch für seine Kunden prüft:

• Datensatztyp 0100: „Gruppen-Basisdaten“ Dieser Typ definiert grundlegende Informationen, die mit einer Gruppe verbunden sind. Ein Datensatz entspricht einer Gruppe.
• Datensatztyp 0101: „Gruppenuntergruppen“ Dieser Typ definiert die Beziehungen zwischen verschiedenen Gruppen. Ein Datensatz entspricht einer Beziehung zwischen zwei Gruppen.

• Datensatztyp 0200: „Benutzer-Basisdaten“ Dieser Typ definiert grundlegende Informationen zu einem Benutzer. Ein Datensatz entspricht einem Benutzer.

• Datensatztyp 0203: „Gruppenuntergruppen“ Dieser Typ definiert Beziehungen zwischen Benutzern und Gruppen. Ein Datensatz entspricht einer Beziehung zwischen einem Benutzer und einer Gruppe.

Zusätzlich zu diesen Informationen integriert Kleverware IAG die notwendigen Daten für die Überprüfung durch den Kunden. Zu diesem Zweck können auch andere Arten von Datensätzen extrahiert werden, wie zum Beispiel der Datensatz 0205 „User Connect“ für Informationen in Bezug auf TSO. Sobald die erforderlichen Informationen extrahiert und umgewandelt sind, können sie den Prüfern über die Anwendung präsentiert und in das übrige IT-System integriert werden, das modelliert wurde, um die Legitimität von Benutzern, Gruppen und Zugängen in Verbindung mit RACF festzustellen.