Bundesamt für Sicherheit in der Informationstechnik

G 2.99 Unzureichende oder fehlerhafte Konfiguration der zSeries-Systemumgebung

Das Ressourcenangebot der zSeries-Architektur gestattet den Betrieb mehrerer Produktions- und Testsysteme auf einem physischen Rechner. Daraus resultiert ein hohes Gefahrenpotential, weil eine fehlerhafte Abgrenzung der zSeries-Systemumgebungen unter Umständen den ungewollten Zugriff auf fremde Ressourcen ermöglicht.

Shared DASD (Direct Access Storage Device)

  • Im LPAR -Betrieb ist es möglich, die Platten eines z/OS-Betriebssystems so zu konfigurieren, dass sie durch alle z/OS-Systeme des Rechners verwendet werden können (durch Konfiguration entsprechender Subchannel-Adressen über den Host Configuration DefinitionProzess). Damit verbunden ist die Gefahr, dass die Datentrennung zwischen den LPARs nicht mehr gewährleistet ist.
  • Es ist möglich, Platten einer LPAR1 an einer anderen LPAR2 Online zu setzen. Die Daten der neuen Platte stehen dann an der LPAR2 zur Verfügung und können entsprechend den RACF -Definitionen dieser LPAR2 bearbeitet werden. Sind die RACF-Definitionen der LPAR2 schwächer als die der LPAR1, können die Daten unter Umständen unbefugt manipuliert oder gelesen werden.

Unsachgemäße Trennung Test-Produktion

Sicherheitsprobleme können auch durch eine unsachgemäße Trennung von Test- und Produktionsumgebungen entstehen. Werden Test und Produktion auf unterschiedlichen LPARs (noch besser unterschiedlichen zSeries Systemen) betrieben, ist die Abgrenzung leichter zu realisieren. Der Betrieb von Test und Produktion auf der gleichen LPAR ist prinzipiell möglich (hier sollte auf jeden Fall die Gefährdung G 3.70 Unzureichender Dateischutz des z/OS-Systems beachtet werden), jedoch ist die Trennung hierbei ungleich schwieriger. Werden die Umgebungen nicht richtig voneinander abgegrenzt, so ist es möglich, dass Testdaten in die Produktion gelangen bzw. Produktionsdaten zum Testen verwendet werden. Beides beinhaltet ein hohes Gefahrenpotential.

Beispiel:

  • Ein Outsourcing-Dienstleister betrieb in seinem Rechenzentrum die Anwendungen von zwei konkurrierenden Unternehmen aus dem Bereich der Automobilindustrie auf dem gleichen z/OS-System. Aufgrund einer unsicheren Konfiguration war es dem Kunden B möglich, Platten des Kunden A online zu nehmen. Kunde B nutzte dies aus, um sich durch Ausspähen der Daten Wettbewerbsvorteile gegenüber dem Kunden A zu verschaffen.

Stand: Stand 2005

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK