RACF管理の落とし穴 ー色々な話題ー PART II
今回はz/OSのRACFの管理にまつわる小ネタ集のPART IIです。永久有効設定のユーザID、UACC設定、OPERATIONS属性の危険度、特権から派生する問題、USSからのRACF設定変更、ワーニングモード、RACFデータベースの保護についてのお話です。
「メインフレーム」一覧
RACF管理の落とし穴 ー色々な話題ー PART I
今回はz/OSのRACFの管理にまつわる小ネタ集をお届けします。リソースアクセス時の許可または拒否決定の流れ、RACFプロファイル削除の適切な手順、ID 削除ユーティリティIRRRID00、RACFコマンド使用時の留意点など。PART IIも予定しています。
コンソールからスタート起動するタスクにPROTECTED属性を設定していますか？
通常コンソールからスタートコマンドで開始するタスクは高権限を持つ場合が多く、PROTECTED属性を付加すべきです。PROTECTED属性は、ADDUSER または ALTUSERコマンドでNOPASSWORD、NOPHRASE および NOOIDCARD(省略時)を設定した場合、自動的にこの属性となります。
Vanguard Security ＆ Compliance (VSC) 2021 参加手記より (Part II)
Vanguard Security ＆ Compliance (VSC) 2021は、民間企業と政府機関の両方からグローバルなサイバーセキュリティリーダーを集めて、IBMSystemz®を保護および防御するための最も完全な知識ベースのトレーニングを提供します。今回はブロードからの参加者の手記を通して情報共有いたします。
Vanguard Security ＆ Compliance (VSC) 2021 参加手記より (Part I)
Vanguard Security ＆ Compliance (VSC) 2021は、民間企業と政府機関の両方からグローバルなサイバーセキュリティリーダーを集めて、IBMSystemz®を保護および防御するための最も完全な知識ベースのトレーニングを提供します。今回はブロードからの参加者の手記を通して情報共有いたします。
ActiveAlerts監視機能のご紹介
「ActiveAlerts」監視機能でSIEM製品、Eメール、システムコンソールへのメッセージ通知およびSNMPへの連携などが可能です。アクセス違反、特権の権限付与、連続パスワード違反および特定ユーザのログオン追跡など多数あり、z/OSで稼動するRACF/ACF2/TSSを対象に、約20種類から選択して適用できます。
QuickGenレポートのご紹介
QuickGenレポートはAdministrator、Advisor、AnalyzerおよびOffline製品で利用できるレポート作成機能です。標準レポートのデータを自由に加工してレポート作成できるだけでなく、CSVやEメールによる出力も可能です。タグ言語(QGTL)が拡張されレポート機能が便利なツールに成長しました。
どんなに素晴らしい防御システムも “人間”という脆弱性を忘れると砂上の楼閣になる
特権管理の必要性は理解しつ、その重要性はよくわからないという声も聞かれます。今回は不充分な特権管理で起こりえる問題やシステムへの影響を考察します。ホストがインターネットがないため安全と思われがちでしたが、z/OSシステムもリモート作業が増加しておりオープン系同様に脆弱なネットワーク環境となっています。
RACF不要定義を一掃：残したままだとセキュリティホールに！
RACF不要定義とは、必要のないプロファイルや設定情報をさし、あっても役に立たない定義を言います。長い間の運用管理によって消し忘れたプロファイルと考えられ、放置しておくとセキュリティホールにもなり得るため、悪用される恐れがあるばかりか、資源の無駄遣いにもなり、早めに対処しておく必要があります。
RACFパスワードルールの設定
ユーザーIDは利用者が誰なのかを知らせるため、パスワードは本人であることを証明するために使われますが、パスワードはRACFデータベース内の値と比較してログオンが許可されます。尚、RACFデータベースには、ユーザーIDを入力したパスワードを使用し、一方向関数アルゴリズムで暗号化した値が保存されます。