Bundesamt für Sicherheit in der Informationstechnik

G 5.120 Manipulation der Linux/zSeries Systemsteuerung

Es sind drei unterschiedliche Betriebsarten von Linux unter zSeries möglich:

  • Linux Native auf zSeries Hardware
  • Linux in einer zSeries LPAR
  • Linux unter dem Träger-System z/VM

Weitere Informationen zu den Betriebsarten von Linux unter zSeries finden sich in der Maßnahme M 3.41 Einführung in Linux und z/VM für zSeries-Systeme .

In allen drei Betriebsarten von Linux unter zSeries bestehen die in Baustein B 3.102 Server unter Unix beschriebenen Gefährdungen.

Mainframe-spezifische Gefährdungen beim Einsatz von Linux

Über die in Baustein B 3.102 Server unter Unix beschriebenen Gefährdungen hinaus können beim Einsatz von Linux auf zSeries-Mainframes unter anderem die folgenden Sicherheitsprobleme bestehen:

Linux in einer zSeries LPAR

Mainframe-spezifische Gefährdungen ergeben sich aus den möglichen Einwirkungen auf die zSeries Hardware:

  • Durch den Zugang zu HCD-Funktionen (Hardware Configuration Definition) können Mitarbeiter Hardware-Ressourcen, wie z. B. Festplatten, unbefugt zur Linux-Partition zuordnen. Damit hat das Linux-Betriebssystem Zugriff auf die Hardware-Ressourcen.
  • Der Zugang zur HMC (Hardware Management Console) erlaubt Manipulationen wie Starten, Stoppen und Zuordnung von Ressourcen zu einer LPAR. Analog ist dies in G 5.116 Manipulation der z/OS-Systemsteuerung für das z/OS-Betriebssystem beschrieben. Ähnlich sicherheitskritisch ist der Zugriff auf SEs (Service Elements). Das Service Element ist eine Komponente der zSeries-Hardware, die die gleichen Funktionalitäten wie eine HMC bietet.

Linux unter dem Träger-System z/VM

In diesem Szenario wird Linux auf einer emulierten Hardware einer virtuellen Maschine betrieben. Die emulierte Hardware der virtuellen Maschine wird von z/VM auf der realen zSeries-Hardware realisiert. Der physische Zugriff auf die realen Ressourcen erfolgt nur über z/VM.

Die Mainframe-spezifischen Gefährdungen ergeben sich einerseits aus den möglichen Einwirkungen auf die emulierte Hardware, andererseits aus den möglichen Einwirkungen auf z/VM.

  • Der Zugang zu HCD-Funktionen und zur HMC kann - wie in der Betriebsart Linux in einer zSeries LPAR - missbraucht werden.
  • Mitarbeiter, die kritische z/VM-Kommandos absetzen dürfen, können u. U. die Betriebsstabilität des z/VM und damit die darauf laufenden Linux-Betriebssysteme erheblich gefährden.
  • Mitarbeiter, die unbefugt Zugriff auf das DIRMAINT Utility erhalten, können darüber z. B. neue virtuelle Systeme generieren oder Minidisks eines Linux einem anderen zuordnen. Wird z/VM RACF nicht benutzt, können über DIRMAINT auch Benutzerkennungen administriert werden.
  • Ist im z/VM-Betriebssystem die Sicherheitskomponente z/VM RACF (Resource Access Control Facility) eingesetzt, so bestehen unter z/VM vergleichbare Gefährdungen, wie in G 3.72 Fehlerhafte Konfiguration des z/OS-Sicherheitssystems RACF für das z/OS-Betriebssystem beschrieben. Mitarbeiter, die hohe RACF/VM-Autorisierungen besitzen (z. B. SPECIAL), können über RACF/VM andere z/VM-Kennungen und -Berechtigungen manipulieren.
  • Falls die Authentisierung unter Linux über eine LDAP -Anbindung mit PAM-Modul (Pluggable Authentication Module) durch ein z/OS-RACF erfolgt, können Linux-Kennungen und -Berechtigungen auch von Mitarbeitern mit hoher z/OS-RACF-Autorisierung beeinflusst werden.

Beispiel:

  • Ein Mitarbeiter hatte aus historischen Gründen noch die Berechtigung, unter z/VM die Funktion DIRMAINT zu verwenden. Dies nutzte er aus, um für sich ein privates Linux zu generieren und zu benutzen. Dies führte zum Verbrauch von Ressourcen, die dadurch den ordnungsgemäßen Prozessen auf der zSeries-Maschine nicht mehr zur Verfügung standen.

Stand: Stand 2005

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK