Mainframe y RACF: Seguridad en la Era de los Dinosaurios

En los años 50, la informática se abrió paso en las empresas. Las capacidades de procesamiento que aportaban los ordenadores mainframe no tenían parangón. Hoy nos adentraremos en los sistemas de seguridad de estos ordenadores, centrándonos especialmente en RACF. Antecedentes históricos Resource Access Control Facility (RACF) surgió en MVS, el sistema operativo proporcionado por IBM con sus ordenadores centrales a partir de mediados de la década de 1970. RACF se encarga de garantizar la seguridad y el control de las operaciones realizadas en el sistema. Se basa en tres principios

En los años 50, la informática comenzó a adentrarse en las empresas, y los ordenadores mainframe revolucionaron el procesamiento de datos como nunca antes. En esta artículo exploraremos los sistemas de seguridad de estos ordenadores, con un enfoque especial en RACF. Para entender su contexto histórico, el Resource Access Control Facility (RACF) surgió en el sistema operativo MVS de IBM a mediados de la década de 1970, cuando los ordenadores centrales comenzaron a tomar protagonismo. Hoy en día, RACF desempeña un papel crucial en garantizar la seguridad y el control de las operaciones realizadas en el sistema, basándose en tres principios fundamentales:

• Identificación y verificación de usuarios.
• Autorización de acceso a los recursos.
• Registro e informes de las actividades de acceso. A pesar de su antigüedad, este sistema ha evolucionado a la par que el hardware y los sistemas operativos de IBM. Incluso hoy, tras casi 50 años de servicio, sigue garantizando la seguridad de los sistemas z/OS, que son los descendientes de 64 bits de MVS.

¿Cómo funciona?

El sistema RACF proporciona las herramientas necesarias para gestionar el acceso de los usuarios a los recursos críticos. Almacena información sobre usuarios, recursos y permisos de acceso en estructuras especiales llamadas «perfiles» dentro de su base de datos. Se recurre a estos perfiles cuando decide a qué usuarios se les debe permitir el acceso a los recursos protegidos del sistema. RACF, para ayudar a proteger los recursos críticos, permite:

• la identificación y autenticación de los usuarios;
• la autorización del acceso de los usuarios a los recursos protegidos;
• el registro y la notificación de los intentos de acceso no autorizado a los recursos protegidos; y
• el control de los medios de acceso a los recursos.

Exportación y auditoría

El principio es tratar cada dato como un registro, y los atributos varían en función del tipo de registro. Estos registros se agrupan en tres categorías principales:

• Grupos
• Usuarios
• Recursos

Los tipos de registro más conocidos son, por ejemplo, «0100 – Datos básicos de grupo» o «0200 – Datos básicos de usuario». En una extracción RACF, todos los registros se encuentran en un único archivo, y los primeros cuatro caracteres identifican el tipo de registro. Cada tipo está claramente definido, y cada atributo se ubica en un rango de caracteres específico. Por ejemplo, en el tipo 0200:

• Caracteres 6 a 13: Nombre de usuario
• Caracteres 50 a 53: Estado de la cuenta (Revocada)

¿Y qué papel desempeña Gobernanza de las Identidades y los Accesos (IGA) en todo esto?

A pesar de la antigüedad de los ordenadores centrales de IBM, estos siguen siendo fundamentales en los sistemas informáticos de bancos y compañías de seguros. Por lo tanto, la revisión de las cuentas RACF es un aspecto crucial de la gobernanza de identidades y accesos. Kleverware tiene la capacidad de auditar y analizar estos «dinosaurios», detectando anomalías y facilitando la recertificación de los datos. El primer paso en este proceso implica presentar los registros RACF en un formato más legible, eliminando la necesidad de que los revisores tengan que examinar extensos documentos para determinar si el atributo SPECIAL está asignado a una cuenta. Como se explicó en la sección anterior, las extracciones RACF se formatean en función del tipo de REGISTRO. Una vez que se identifica el tipo, los datos pueden convertirse en un formato más accesible, como Excel o CSV para los usuarios más aventureros. Solo se conservan los registros relevantes para las revisiones de cuentas. Según nuestra experiencia, estos son los atributos que Kleverware audita de manera sistemática para sus clientes:

Tipo de registro 0100: «Datos básicos del grupo». Este tipo define la información básica asociada a un grupo. Un registro corresponde a un grupo.

Tipo de registro 0101: «Subgrupos de grupo». Este tipo define las relaciones entre diferentes grupos. Un registro corresponde a una relación entre dos grupos.

Tipo de registro 0200: «Datos básicos del usuario». Este tipo define la información básica asociada a un usuario. Un registro corresponde a un usuario.

Tipo de registro 0203: «Subgrupos de grupo». Este tipo define las relaciones entre usuarios y grupos. Un registro corresponde a una relación entre un usuario y un grupo.

Además de esta información, Kleverware IAG incorpora los datos requeridos para la revisión del cliente. Para lograrlo, también es posible extraer otros tipos de registros, como el registro 0205 «User Connect,» que proporciona información relacionada con TSO, por ejemplo. Una vez que se extrae y se procesa la información necesaria, se puede presentar a los revisores a través de la aplicación y se puede integrar con el resto del sistema informático diseñado para verificar la legitimidad de los usuarios, grupos y accesos asociados a RACF.