von Wayne O. Evans

iSeries (AS/400) Sicherheitsüberprüfungen querbeet durch unterschiedlichste Industriesparten haben immer wieder die gleichen Sicherheitsgefahren ergeben. Im Folgenden werde ich die zehn häufigsten Gefahren beschreiben und Vorschläge unterbreiten, wie Sie Ihre Verwundbarkeit durch entsprechende Angriffe möglichst gering halten.

Bedrohung Nr. 1: Keine effektive Sicherheitsstrategie

Viele Unternehmen verfügen über keine schriftlich ausgearbeitete Sicherheitsstrategie und auch jene, die eine haben, haben sie oft nur pro forma. Zu häufig kommt es noch vor, dass der Sicherheitsbeauftragte vom Management keine weiteren Vorgaben erhält, als „das System zu sichern“. Das Management würde nie einem Programmierer einfach den Auftrag erteilen, „ein Programm zu schreiben“, ohne ihm zugleich detaillierte Angaben über den gewünschten In- und Output des Programms zu liefern. Genauso wie ein Programmierer exakte Angaben zum Programm benötigt, benötigt der Sicherheitsbeauftragte eine ausformulierte Sicherheitsstrategie, um den Erwartungen des Managements gerecht zu werden. Um effektive Sicherheit der Computersysteme zu gewährleisten, müssen Anwender und Betriebssystem im Interesse des Datenschutzes zusammenwirken. Eine umfassende Sicherheitsstrategie berücksichtigt Mensch und Maschine und sollte insbesondere die folgenden drei Aspekte beinhalten: Eine High Level Sicherheitspolitik legt die Führungsprinzipien für das Unternehmen fest. Diese Betriebs-Prinzipien bilden die Basis für detailliertere Richtlinien und Standards. Benutzerrichtlinien definieren den menschlichen Bereich des Themas Sicherheit, indem sie die Anwender über akzeptables und erwartetes Verhalten informieren. Diese Richtlinien sollten mehr sein als nur eine Sammlung von Ge- und Verboten, sie sollten dem Anwender einen detaillierten Leitfaden für den Umgang mit dem Computer an die Hand geben. Anwender sind viel eher bereit, sich an Sicherheitsstandards zu halten, wenn sie den Sinn ihrer Existenz einsehen. System-Standards definieren den maschinellen Bereich einer Sicherheitsstrategie. Sie legen im Einzelnen fest, wie sicherheitsrelevante Systemparameter gesetzt werden sollen, für Systemwerte, Benutzerprofile, Zugriffsrechte, alle an das interne Netz angeschlossene Geräte einschließlich Router und Drucker etc. Ein Leitfaden zur Sicherheit muss nicht von Grund auf neu geschaffen werden; Sie können natürlich Inhalte von anderen Bereichen übernehmen. Um die Erstellung von Sicherheitsrichtlinien zu erleichtern, habe ich vier Dokumente, die als Beispiel dienen können, auf meiner Website zur Verfügung gestellt (www.WOEvans.com). Der Download ist kostenlos, ich würde mich aber freuen, wenn Sie für die Information eine kleine Spende an einen Empfänger Ihrer Wahl machen würden.

Bedrohung Nr.2: Risiken beim Zugriff auf den PC

Wenn iSeries (AS/400)-Anwender ihre traditionellen Green Screen-Terminals gegen PCs vertauschen und Client Access installieren, um die Anwender mit ihren Servern zu verbinden, ergeben sich dadurch oft unvorhergesehene Sicherheitsrisiken. Auf ihrem PC können Anwender mit dem System in einer Weise interagieren, wie es von einem Terminal mit festgelegtem Funktionsumfang aus unmöglich ist. PC-Anwender können zum Beispiel ein Icon nutzen, um sich mittels Prompting von Bibliotheks-, Datei- und Member-Namen durch File Transfer-Operationen führen zu lassen. Versierte PC-Anwender könnten sich sogar die Verwendung der RMTCMD (Remote Command)-Funktion, als Teil von Client Access, zu Eigen machen. RMTCMD erlaubt es, CL-Befehle abzusetzen, und auf diese Weise die LMTCPB-Restriktionen im iSeries-Benutzerprofil zu umgehen, das die Verwendung eines Befehls von der Befehlszeile aus verhindert. Erfahrene PC-Anwender lernen schnell, mit FTP Dateien zu übertragen (GET und PUT). In einer FTP-Session können aber auch Befehle an OS/400 abgesetzt werden. Die beste Möglichkeit, PC-Operationen (wie File Transfers, Remote-Befehle etc.) zu überwachen, ist die Verwendung von Exit-Programmen. OS/400 bietet diese Möglichkeit, aber Sie müssen das Exit-Programm selbst schreiben und installieren, und es gehört schon eine gehörige Portion Zeit und Anstrengung dazu, um die entsprechende IBM Dokumentation zum Thema zu verstehen. Vielleicht denken Sie auch eher daran, ein entsprechendes Programm einer Fremdfirma zu installieren, als Ihre kostbare Zeit in die Einarbeitung in das Thema Exit-Programme zu investieren.

Bedrohung Nr. 3: Triviale Passwörter

Bei der Einrichtung eines neuen iSeries Benutzerprofils legt das CRTUSRPRF-Kommando (Create User Profile) standardmäßig den Namen des Benutzerprofils auch als Passwort fest. Allzuhäufig versäumt es der Sicherheitsbeauftragte, das Passwort für ungültig zu erklären, so dass die Anwender beim ersten Zugriff aufgefordert werden, ihre Passwörter zu ändern. Selbst wenn ein Passwort für ungültig erklärt wurde, versäumen es manche Anwender, die ein Passwort erbitten, dieses sofort zu bestätigen, so dass Passwort und Benutzerprofil wieder identisch bleiben. So ist es nicht verwunderlich, dass Hacker oft erfolgreich sind, wenn sie den Namen des Benutzerprofils als Passwort eingeben. Nicht nur einmal ist es mir in Banken und anderen Finanzorganisationen gelungen, erfolgreich in das System zu gelangen, indem ich leicht zu knackende Passwörter für Benutzerprofile verwendet habe, die von IBM ausgeliefert wurden, oder auch für Benutzerprofile, die bei der Installation erzeugt wurden wie z.B. TEST, PCUSER, FTP oder USER1. Oft sind Applikations-Programme von Fremdfirmen installiert mit wohlbekannten Profilen (z.B. JDEINSTAL, ALDONCMS, S2KOBJOWN) und passenden Passwörtern. Um Ihnen die Suche nach Benutzerprofilen mit passendem Passwort zu erleichtern, bietet OS/400 das Kommando ANZDFTPWD (Analyze Default Passwords) an. Auch um die Anwender davor zu schützen, leicht zu knackende Passwörter zu wählen, kann der OS/400 Sicherheitsverantwortliche mit dem Kommando CHGSYSVAL (Change System Value) Systemwerte festlegen. Ich schlage Ihnen folgende Passwort-Regelungen für alle Systeme vor: – Mindestlänge des Passwortes: 6 Zeichen (länger ist besser) – Das Passwort sollte mindestens eine Ziffer enthalten – Die Anwender sollten ihre Passwörter alle 60 Tage ändern – Dasselbe Passwort darf frühestens wieder verwendet werden, nachdem zwischendurch mindestens 10 verschiedene andere Passwörter Anwendung fanden. – Das gleiche Zeichen sollte im Passwort nicht mehrfach hintereinander verwendet werden.

Bedrohung Nr. 4: Unbeschränkte Möglichkeit zur Befehlseingabe

Die Endanwender sollten Applikationen ausführen, indem sie die gewünschten Optionen aus einem Menü auswählen. Sie benötigen prinzipiell keinen Zugang zur Befehlszeile. Da Anwender oft die Berechtigung besitzen, auf Betriebsdaten zuzugreifen, muss die Systemverwaltung den Zugang zur Befehlszeile einschränken, um unnötige Sicherheitsrisiken auszuschalten. Die Benutzerprofile von Anwendern, die keine Daten verarbeiten, sollten den Wert LMTCPB *YES besitzen. Der von IBM vorgegebene Standardwert für das Start-Menü ist MAIN. Die Möglichkeiten, die dieses Menü bietet, sind weitreichend und umfassen auch Optionen, die dem Anwender ermöglichen, Betriebsdateien zu löschen. Das MAIN-Menü ist sehr hilfreich für Intensivnutzer (Power User), sollte aber nicht allen Anwendern standardmäßig zur Verfügung gestellt werden.

Bedrohung Nr. 5: Exzessiver Gebrauch spezieller Rechte in Benutzerprofilen

Benutzerprofile haben oft Felder für spezielle Befugnisse, in die während der Installation und der Programmierung Werte eingetragen werden können. Diese Rechte können den Anwendern weitreichende Zugiffsmöglichkeiten auf das System sichern. Einmal vergeben, kann es schwierig werden, diese speziellen Rechte zu widerrufen, ohne die Funktionalität zu beeinträchtigen. Zu diesen speziellen Rechten gehören folgende Angaben: – *ALLOBJ ermöglicht Anwendern, auf alle Objekte im System zuzugreifen – *SPLCTL ermöglicht Anwendern, auf alle ausgespulten (ausgedruckten) Dateien zuzugreifen. Die Angabe ist ähnlich *ALLOBJ, aber OS/400 sieht ausgespulte Dateien nicht als Objekte. – *SERVICE erlaubt Anwendern, Systemservice-Tools auszuführen, die dazu dienen können, Sicherheitsrestriktionen zu umgehen oder beliebige Daten im System auszugeben oder zu ändern. Um Schwierigkeiten zu vermeiden, sollten Sie mit der Erteilung weitreichender spezieller Rechte sehr überlegt und restriktiv umgehen. Um sich einen genauen Überblick zu verschaffen, können Sie sich über den Befehl DSPUSRPRF (Display User Profile) anzeigen lassen, welche Anwender spezielle, weiterreichende Rechte besitzen. Ein damit zusammenhängendes Problem betrifft Fremdprodukte, die entweder Benutzerprofile mit weitreichenden Rechten erzeugen oder Objekte installieren, die die Brechtigung QSECFOR übernehmen. Es ist unbedingt ratsam, sich für die Festlegung der Sicherheits-Implikationen der Benutzerprofile solcher Fremdsoftware-Pakete, die installiert werden sollen, Zeit zu nehmen. Überlegen Sie insbesondere dann zweimal, wenn ein Fremdsoftware-Paket mit der Berechtigung QSECFOR ausgestattet werden soll.

Bedrohung Nr. 6: Uneingeschränkter Zugriff auf OpsNav

Der Operations Navigator (OpsNav) stellt zur Verwaltung der OS/400-Funktionen eine graphische Oberfläche zur Verfügung (alternativ zur Befehlszeile). Ohne Beschränkung durch die Systemverwaltung, erlaubt diese mächtige Benutzerschnittstelle dem Anwender, Betriebsdaten zu ändern oder zu löschen. Leider sind sich viele der Sicherheitsrisken, die der Einsatz von OpsNav mit sich bringt, nicht bewusst, und versäumen es deshalb, seine Funktionsmöglichkeiten einzuschränken. Sicherheitsbeauftragte tendieren dazu, sich auf die Unwissenheit der Anwender zu verlassen. Aber sobald die Anwender Zugang zu OpsNav haben, verhindert das bloße Ausschalten bestimmter Support-Formen auf den PCs der Anwender nicht prinzipiell, dass Anwender mit PC-Know-how diese Restriktionen zu umgehen wüssten. Ein Anwender, der sich auskennt, kann eine Client Access-CD benutzen, um seiner PC-Installation fehlende Programme hinzuzufügen. Die traditionellen Steuerungsmechanismen von OS/400 zur Einschränkung von Benutzerprofilen und Exit-Programmen büßen ihre Effektivität ein, wenn es nicht gelingt, nicht-autorisierten Zugriff durch OpsNav zu unterbinden. Glücklicherweise bietet die Tabelle ’OpsNav Application Administration’ (Abbildung 1) dem Sicherheitsbeauftragten die Möglichkeit, die vorhandenen Optionen der Standard- und *ALLOBJ-Anwender zu überprüfen. Für jeden Anwender, auch für die *ALLOBJ-Anwender, können die Zugriffsrechte individuell eingestellt werden. Abbildung 2 zeigt die Applikations-Verwaltungstabelle zur Steuerung von Client Access. Über unabhängige Steuerungsmechanismen – die jedoch die Exit-Programm-Funktion nicht ersetzen – werden Datei-Upload, Datei-Download, Remote-Befehle und Funktionen realisiert. Exit-Programme sind deshalb flexibler, da sie einen Transfer ausgewählter Dateien oder Dateien in bestimmten Bibliotheken zulassen.

Bedrohung Nr. 7: Sicherheitslevel unter 40

Die empfohlene Einstellung für den QSECURITY-Systemwert ist 40. Auf einer niedrigeren Stufe kann es schwierig werden, Anwender daran zu hindern, Batch Jobs laufen zu lassen. Die Erhöhung Ihres Sicherheits-Levels auf 40 sollte hohe Priorität genießen, aber zunächst muss über ein Audit überprüft werden, ob in Ihrem System Applikationen vorhanden sind, die einem höheren Sicherheitsstandard nicht standhalten würden. Um festzustellen, ob Sie entsprechend gefährdete Anwendungsprogramme haben, führen Sie einen Audit mit *PGMFAIL im Audit-Journal durch. Wurden keine gefährdeten Applikationsprogramme gefunden, können Sie den Security Level hochsetzen. Eine Erhöhung auf über 50 allerdings ist nicht empfehlenswert.

Bedrohung Nr. 8: Inaktive Accounts

Wenn Angestellte die Firma verlassen, sollten Sie ihren Systemzugang (Account) sofort löschen. Frühere Anwender können eine größere Bedrohung darstellen als ein externer Hacker, da diese Anwender oft Insider-Wissen über kritische Systemdateien haben. Sie können im Menü für OS/400 Security Tools eine der Optionen 2, 3 oder 4 auswählen (Abbildung 3), um die letzten Anmeldedaten für Benutzerprofile zu erfragen. Über Option 4 können Sie den Zeitraum festlegen, nachdem ein Benutzerprofil ruht, wenn in diesem Zeitraum kein Zugriff erfolgt ist. Ruhende Profile sollten deaktiviert und gelöscht werden. Berücksichtigen Sie, dass bei Benutzerprofilen, die sich nicht anmelden (z.B. Profile, die nur Verwendung finden für FTP, Senden von Network Mail oder Exklusivzugriff für ODBC) auch kein Anmeldedatum aktualisiert wird. Für solche Fälle können Sie über Option 2 Benutzerprofile spezifizieren, die im Rahmen der Überprüfung auf Inaktivität gelöscht werden sollen. Option 4 führt den aktuellen Job aus, um inaktive Profile zu finden. Sie können diesen Vorgang automatisieren, so dass bei einer täglichen Überprüfung neue ruhende Benutzerprofile sofort entdeckt und entfernt werden können.

Bedrohung Nr. 9: Inkonsistente Eigentums- und Berechtigungseintragungen

Die meisten Unternehmen schaffen es bisher nicht, die Eigentums- und Zugriffsrechte auf Objekte korrekt festzulegen. Das System erzwingt den Zugriff auf Objekte, aber dieser Schutz wird oft konterkariert durch allzu exzessive Vergabe der Berechtigung *PUBLIC oder durch Gruppenprofil-Eigentumsrechte an Objekten. Eine der schwierigeren Aufgaben für den Sicherheitsbeauftragen im Unternehmen ist die Einschränkung des Eigentums an Objekten. Auch wenn bei Ihnen eine zurückhaltende Politik hinsichtlich Eigentumsrechten an Objekten betrieben wird, bedenken Sie eines: Eigentümer Ihrer Programme und Datendateien sind die Programmierer, die Ihre Applikationen erzeugen. So könnte es passieren, dass Ihre Betriebs-Applikationen plötzlich nicht mehr funktionieren, nachdem Sie Benutzerprofile von Programmierern, die das Unternehmen verlassen haben, gelöscht haben. Grundsätzlich sollten Individuen nicht Eigentümer von Objekten sein. Objekte sollten Besitzgegenstände von Benutzerprofilen sein, deren einziger Zweck darin besteht, Betriebsdaten zu besitzen. Diese Profile sollten nicht als Gruppenprofile verwendet werden. Zugegebenermaßen ist es jedoch eine schwierige Aufgabe, die Eigentümer- und Zugriffsrechte für eine große Anzahl von Betriebs-Objekten individuell händisch zu vergeben. Ich schlage in diesem Zusammenhang eine Sicherheitsstrategie vor, die unter dem Begriff ’Application-only Access’ firmiert, bei der die Anwender nur dann Zugriff auf die Daten haben, wenn sie geprüfte Applikationen ablaufen lassen. ’Application-only Access’ verwendet OS/400 Objekt-Berechtigung, um den Zugriff auf die Betriebsdaten-Dateien zu beschränken. Ich plädiere auch dafür, eine Fremd-Applikation zur Unterstützung der Rechte-Verwaltung hinzuzuziehen. Bei diesem Ansatz definiert der Sicherheitsbeauftragte ein Security Template für einen Objekttyp, der Angaben über den Objekt-Eigentümer und zugriffsberechtigte Anwender enthält. Dann kann die Objektverwaltungs-Applikation für alle Objekte in einer Bibliothek Eigentumsrechte und Benutzerberechtigungen auffinden und vergleichen.

Bedrohung Nr. 10: Berechtigung zum Zugriff auf Bibliotheken auf Bibliotheksliste

Viele Unternehmen passen IBM-Befehle und -Objekte ihren Strukturen an und bringen ihre Änderungen in einer Bibliothek unter, die sich vor der IBM QSYS-Bibliothek auf der Bibliotheksliste befindet. Die Zugriffsrechte auf diese Bibliothek und alle Bibliotheken im Systemteil der Bibliotheksliste müssen korrekt vergeben sein. *PUBLIC sollte die Berechtigung *USE auf die Bibliothek haben. *USE erlaubt den Zugriff auf die Objekte in der Bibliothek, gibt jedoch nicht die Möglichkeit, neue Objekte in der Bibliothek hinzuzufügen. Sind Anwender mit dem Wert *CHANGE ausgestattet, kann ein unberechtigter Eindringling ein Objekt in der Bibliothek ablegen und es später dazu benutzen, unberechtigten Zugriff zu erwirken. Zum Beispiel könnte ein Eindringling einen SIGNOFF-Befehl einschmuggeln, der versucht herauszubekommen, ob der Anwender, der den SIGNOFF-Befehl verwendet, weiterreichende Zugriffsrechte besitzt. Ist dem so, könnte der durch den Eindringling abgesetzte Befehl einige unerlaubte Aktivitäten entfalten bis zur tatsächlichen Abmeldung durch den Anwender. (Diese Hacker-Strategie wird üblicherweise als Trojanisches Pferd bezeichnet.)

Beziehen Sie Ihre Leute in Ihre Sicherheitspolitik mit ein!

Es ist von großer Wichtigkeit, dass die Sicherheitsrichtlinien klar und übersichtlich definiert sind. Angemessene Pflege und Implementierung von Informationssicherheit ist eine fundamental wichtige Aufgabe. Die beste Möglichkeit, effektivere Informationssicherheit in ihrem gesamten Unternehmen zu gewährleisten, ist zum einen die Einbeziehung der Anwender, zum anderen eine adäquate Systemsteuerung.