Bundesamt für Sicherheit in der Informationstechnik

B 3.107 S/390- und zSeries-Mainframe

Logo  S/390- und zSeries-Mainframe

Beschreibung

Die IBM S/390- und zSeries-Systeme gehören zu den Server-Systemen, die allgemein als Mainframes ("Großrechner") bezeichnet werden. Mainframes haben sich von klassischen Einzelsystemen mit Stapelverarbeitung hin zu modernen Client-/Server-Systemen entwickelt. Sie bilden heute das obere Ende der Palette der angebotenen Server-Systeme.

In diesem Baustein werden nur Mainframes des Typs IBM zSeries bzw. IBM S/390 betrachtet. zSeries-Systeme mit dem Betriebssystem z/OS stellen eine logische Weiterentwicklung der OS/390-Architektur dar. Mit zSeries kommt z. B. die zusätzliche 64 Bit-Unterstützung hinzu. Beide Systemtypen existieren nebeneinander, wobei OS/390 als ein "auslaufendes" Betriebssystem betrachtet werden kann, da IBM den Service im Herbst 2004 eingestellt hat. Aus Gründen der Übersichtlichkeit wird in diesem Zusammenhang nur der Begriff "zSeries" für die Hardware und "z/OS" für das Betriebssystem verwendet.

Historie

Die im Jahr 1964 eingeführte S/360-Architektur stellt die Basis für alle folgenden Weiterentwicklungen dar und findet sich noch heute in ihren wesentlichen Teilen auf den aktuellen zSeries-Systemen wieder. Der Namenswechsel, von "S/360" über "S/370" und "S/390" bis zur heutigen "zSeries", reflektiert die fortwährende Entwicklung der zugrundeliegenden Architektur. Aufgrund ihrer Abwärtskompatibilität unterstützt die Architektur neben neueren 64-Bit-Applikationen auch Programme im älteren 24- oder 31-Bit-Modus.

Trotz steigender Leistungsfähigkeit haben sich die physischen Abmessungen von Mainframe-Systemen stark verringert. Mainframe-Systeme haben heute ähnliche Abmessungen wie andere Systeme, die typischerweise in Rechenzentren betrieben werden.

Überblick

Für zSeries-Systeme stehen Mechanismen zur Verfügung, mit denen eine hohe Verfügbarkeit und Skalierbarkeit erreicht werden kann. Die hohe Verfügbarkeit wird dabei durch redundante Auslegung der Komponenten erzielt. Zur Steigerung der Leistung und Verfügbarkeit können derzeit in einem zSeries-System bis zu 16 Prozessoren parallel betrieben und bis zu 32 zSeries-Systeme zu einem Cluster zusammengestellt werden. Dies wird als Parallel-Sysplex-Cluster bezeichnet.

Für die zSeries-Hardware sind verschiedene Betriebssysteme verfügbar (z. B. z/OS, VSE, z/VM oder TPF). Die Auswahl erfolgt in der Regel anhand der Parameter Rechnergröße und Einsatzzweck. Am häufigsten kommt jedoch das z/OS-Betriebssystem zum Einsatz. Um den Rahmen dieses Bausteins nicht zu sprengen, beschränken sich die Empfehlungen in diesem Baustein im Wesentlichen auf das Betriebssystem z/OS.

Durch die Erweiterung des früher auch als "MVS" bezeichneten z/OS-Betriebssystems um das Subsystem Unix System Services ist es möglich, parallel zu den klassischen Mainframe-Anwendungen auch Unix-basierte Anwendungen zu betreiben. Daneben ist für die zSeries-Hardware auch ein Linux-Betriebssystem verfügbar.

Einsatzbereiche für heutige z/OS-Systeme sind:

  • klassische Stapelverarbeitung für große "Batch-Ketten",
  • Stapelverarbeitung einschließlich der transaktionsorientierten Verarbeitung (z. B. IMS oder CICS ),
  • Datenbank-Server (z. B. DB2, IMS DB oder Oracle) oder
  • Webserver und deren Anwendungen

Die in diesem Baustein beschriebenen Software-Komponenten beziehen sich hauptsächlich auf Produkte des Herstellers IBM. Es gibt darüber hinaus viele Produkte von Drittherstellern, die häufig in Großrechner-Umgebungen zum Einsatz kommen. Auf diese Produkte kann nur in Ausnahmefällen eingegangen werden, da sonst der Rahmen des Bausteins gesprengt würde.

Das z/OS-Betriebssystem besteht aus dem eigentlichen Betriebssystem (Kernel) mit Schnittstellen zu den Benutzerprozessen. Verschiedene Subsysteme steuern und unterstützen die Kommunikation. Die wichtigsten Subsysteme sind

  • das Job Entry Subsystem (JES) für den Hintergrundbetrieb (Stapelverarbeitung oder Batch genannt),
  • die Time Sharing Option (TSO) für den Vordergrundbetrieb (interaktiv) und
  • die Unix System Services (Posix-kompatibles Unix-Subsystem).

Weitere Subsysteme sind z. B.

  • der Transaktionsmanager IMS und die zugehörige Datenbank für die transaktionsorientierte Datenverarbeitung,
  • der Transaktionsmanager CICS für die transaktionsorientierte Datenverarbeitung,
  • die Datenbank DB2 für relationale Datenbanken und
  • der Communications Server (SNA, TCP/IP) für Netzanbindungen.

Die Sicherheitsschnittstelle System Authorization Facility (SAF) ermöglicht es, das System und die Dateien vor unbefugten Zugriffen zu schützen. Die eigentlichen Sicherheitsfunktionen werden dabei von der Sicherheitssoftware RACF bereitgestellt. Als alternative Produkte sind an dieser Stelle auch Top Secret und ACF2 zu nennen.

Die folgende Abbildung stellt die Zusammenhänge des Betriebssystemaufbaus stark vereinfacht dar:

Eine Übersicht über die zSeries- und z/OS-Architektur und Erklärungen zu der Terminologie finden sich in den folgenden Maßnahmen:

Gefährdungslage

Generell hängt die Gefährdungslage vom Einsatzszenario ab. Ein z/OS-System mit SNA-Anschluss an einem isolierten behörden- oder firmeninternen Netz ist z. B. in der Regel weniger gefährdet als ein z/OS-System, das an das Internet angeschlossen ist und dort Web-Services anbietet. Darüber hinaus spielt es eine Rolle, ob auf Daten nur lesend zugegriffen werden soll (z. B. bei einem Auskunftssystem) oder ob die Daten bearbeitet werden können. Gerade durch den Einsatz von Web-Servern oder Web-Applikationen mit Internet-Anbindung hat sich die Gefährdungslage der früher als "sehr sicher" geltenden Mainframe-Systeme stark erhöht.

Aufgrund der öffentlichen Netzanbindung von Mainframe-Systemen ergeben sich wesentlich stärkere Gefährdungen durch unsachgemäße oder fehlerhafte Konfiguration der Systeme oder durch fehlende oder unvollständig etablierte Prozesse, als es früher der Fall war.

Dies gilt sowohl für externe Anbindungen und darüber mögliche Angriffe, als auch für den internen Bereich. Mainframe-Systeme sind heute ähnlichen Gefährdungen ausgesetzt wie Unix- oder Windows-Systeme.

Organisatorische Mängel

G 2.4 Unzureichende Kontrolle der Sicherheitsmaßnahmen
G 2.27 Fehlende oder unzureichende Dokumentation
G 2.54 Vertraulichkeitsverlust durch Restinformationen
G 2.99 Unzureichende oder fehlerhafte Konfiguration der zSeries-Systemumgebung

Menschliche Fehlhandlungen

G 3.2 Fahrlässige Zerstörung von Gerät oder Daten
G 3.3 Nichtbeachtung von Sicherheitsmaßnahmen
G 3.9 Fehlerhafte Administration von IT-Systemen
G 3.38 Konfigurations- und Bedienungsfehler
G 3.66 Fehlerhafte Zeichensatzkonvertierung beim Einsatz von z/OS
G 3.67 Unzureichende oder fehlerhafte Konfiguration des z/OS-Betriebssystems
G 3.68 Unzureichende oder fehlerhafte Konfiguration des z/OS-Webservers
G 3.69 Fehlerhafte Konfiguration der Unix System Services unter z/OS
G 3.70 Unzureichender Dateischutz des z/OS-Systems
G 3.71 Fehlerhafte Systemzeit bei z/OS-Systemen
G 3.72 Fehlerhafte Konfiguration des z/OS-Sicherheitssystems RACF
G 3.73 Fehlbedienung der z/OS-Systemfunktionen
G 3.74 Unzureichender Schutz der z/OS-Systemeinstellungen vor dynamischen Änderungen
G 3.75 Mangelhafte Kontrolle der Batch-Jobs bei z/OS

Technisches Versagen

G 4.10 Komplexität der Zugangsmöglichkeiten zu vernetzten IT-Systemen
G 4.22 Software-Schwachstellen oder -Fehler
G 4.50 Überlastung des z/OS-Betriebssystems

Vorsätzliche Handlungen

G 5.2 Manipulation an Informationen oder Software
G 5.10 Missbrauch von Fernwartungszugängen
G 5.18 Systematisches Ausprobieren von Passwörtern
G 5.19 Missbrauch von Benutzerrechten
G 5.21 Trojanische Pferde
G 5.28 Verhinderung von Diensten
G 5.57 Netzanalysetools
G 5.116 Manipulation der z/OS-Systemsteuerung
G 5.117 Verschleiern von Manipulationen unter z/OS
G 5.118 Unbefugtes Erlangen höherer Rechte im RACF
G 5.119 Benutzung fremder Kennungen unter z/OS-Systemen
G 5.120 Manipulation der Linux/zSeries Systemsteuerung
G 5.121 Angriffe über TCP/IP auf z/OS-Systeme
G 5.122 Missbrauch von RACF-Attributen unter z/OS

Maßnahmenempfehlungen

Um den betrachteten Informationsverbund abzusichern, müssen zusätzlich zu diesem Baustein noch weitere Bausteine umgesetzt werden, gemäß den Ergebnissen der Modellierung nach IT-Grundschutz.

Für den erfolgreichen Aufbau eines z/OS-Mainframe-Systems sind eine Reihe von Maßnahmen umzusetzen, beginnend mit der strategischen Entscheidung, über Konzeption und Installation bis zum Betrieb. Nicht vergessen werden darf dabei die ordnungsgemäße Aussonderung eines Systems, wenn das Ende der Betriebsphase erreicht wird.

Parallel zur Betriebsphase muss die Notfallvorsorge sicherstellen, dass der Betrieb auch im Notfall aufrecht erhalten werden kann. Sicherheitsmanagement und Revision stellen sicher, dass das Regelwerk auch eingehalten wird.

Die Schritte, die dabei zu durchlaufen sind, sowie die Maßnahmen, die in den jeweiligen Phasen beachtet werden sollten, sind im Folgenden aufgeführt:

Strategie

Vor Beginn einer jeden Planung findet eine Phase der strategischen Orientierung statt, die weitgehend auf den Anforderungen der Anwendungseigner basiert. Hier ist zu prüfen, ob die z/OS-Plattform für die Lösung der jeweiligen Aufgabenstellung geeignet ist.

Darüber hinaus kommt es auf die generelle Ausrichtung der IT-Landschaft des Rechenzentrums an. Gibt es noch keine z/OS-Plattform im Betrieb, muss der Aufbau des notwendigen Wissens des Betriebspersonals entsprechend vorbereitet werden. Als Hilfestellung für die strategische Planung dienen die Maßnahmen

Sie geben einen Überblick über die einzelnen Funktionen von Hard- und Software und unterstützen damit das Verständnis für die z/OS-Plattform.

Konzeption

Sollte die strategische Entscheidung für den Einsatz eines z/OS-Mainframe-Systems gefallen sein, muss sich eine detaillierte Planung für den Einsatz dieses Systems anschließen. Die folgenden Maßnahmen sind dabei zu berücksichtigen:

Umsetzung

Nachdem die organisatorischen und planerischen Vorarbeiten durchgeführt worden sind, kann die Installation der zSeries-Hardware und des z/OS-Betriebssystems erfolgen. Dabei sind die folgenden Maßnahmen zu beachten:

Betrieb

Nach der Erstinstallation und einer Testbetriebsphase wird der Regelbetrieb aufgenommen. Unter Sicherheitsgesichtspunkten sind dabei folgende Aspekte zu beachten:

Aussonderung

Empfehlungen zur Deinstallation von z/OS-Systemen, etwa nach Abschluss des Regelbetriebs, finden sich in der Maßnahme M 2.297 Deinstallation von z/OS-Systemen .

Notfallvorsorge

Empfehlungen zur Notfallvorsorge finden sich in der Maßnahme M 6.93 Notfallvorsorge für z/OS-Systeme .

Sicherheitsmanagement und Revision

Das Sicherheitsmanagement sollte den kompletten Lebenszyklus eines z/OS-Systems begleiten. Die folgenden Punkte sollten besonders beachtet werden:

Nachfolgend wird das Maßnahmenbündel für den Baustein "S/390- und zSeries-Mainframe" vorgestellt.

Planung und Konzeption

M 2.285 (Z) Festlegung von Standards für z/OS-Systemdefinitionen
M 2.286 (Z) Planung und Einsatz von zSeries-Systemen
M 2.287 (Z) Batch-Job-Planung für z/OS-Systeme
M 2.288 (B) Erstellung von Sicherheitsrichtlinien für z/OS-Systeme
M 2.295 (A) Systemverwaltung von z/OS-Systemen
M 2.296 (Z) Grundsätzliche Überlegungen zu z/OS-Transaktionsmonitoren
M 3.39 (W) Einführung in die zSeries-Plattform
M 3.40 (W) Einführung in das z/OS-Betriebssystem
M 3.41 (W) Einführung in Linux und z/VM für zSeries-Systeme
M 4.221 (C) Parallel-Sysplex unter z/OS

Umsetzung

M 2.289 (A) Einsatz restriktiver z/OS-Kennungen
M 2.290 (Z) Einsatz von RACF-Exits
M 3.42 (A) Schulung des z/OS-Bedienungspersonals
M 4.207 (A) Einsatz und Sicherung systemnaher z/OS-Terminals
M 4.208 (B) Absichern des Start-Vorgangs von z/OS-Systemen
M 4.209 (A) Sichere Grundkonfiguration von z/OS-Systemen
M 4.211 (A) Einsatz des z/OS-Sicherheitssystems RACF
M 4.212 (Z) Absicherung von Linux für zSeries
M 4.213 (A) Absichern des Login-Vorgangs unter z/OS
M 4.216 (C) Festlegung der Systemgrenzen von z/OS
M 4.217 (C) Workload Management für z/OS-Systeme
M 4.219 (C) Lizenzschlüssel-Management für z/OS-Software
M 4.220 (B) Absicherung von Unix System Services bei z/OS-Systemen
M 5.113 (Z) Einsatz des VTAM Session Management Exit unter z/OS
M 5.114 (B) Absicherung der z/OS-Tracefunktionen

Betrieb

M 2.291 (C) Sicherheits-Berichtswesen und -Audits unter z/OS
M 2.292 (B) Überwachung von z/OS-Systemen
M 2.293 (C) Wartung von zSeries-Systemen
M 2.294 (Z) Synchronisierung von z/OS-Passwörtern und RACF-Kommandos
M 4.210 (B) Sicherer Betrieb des z/OS-Betriebssystems
M 4.214 (B) Datenträgerverwaltung unter z/OS-Systemen
M 4.215 (B) Absicherung sicherheitskritischer z/OS-Dienstprogramme
M 4.218 (Z) Hinweise zur Zeichensatzkonvertierung bei z/OS-Systemen

Aussonderung

M 2.297 (B) Deinstallation von z/OS-Systemen

Notfallvorsorge

M 6.93 (A) Notfallvorsorge für z/OS-Systeme

Stand: 11. EL Stand 2009

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK