Von QSECURITY 20 nach QSECURITY 40 – Teil 3

Doch, es gibt sie noch, Systeme mit Systemwert QSECURITY = 20. Seit Jahren wird von IBM Sicherheitsstufe 40 empfohlen und neue Systeme auch mit diesem Wert ausgeliefert. Nur werden bei Systemübernahmen oftmals auch Einstellungen wie diese auf den Alt-Stand zurückgesetzt. Das Risiko ist nicht zu unterschätzen. Wie Sie von Sicherheitsstufe 20 über 30 auf 40 wechseln ist Bestandteil dieser Artikelserie.

Erstellen des Auditjournals und Starten der Auditierung

Um die Auditierung einschalten zu können, benötigen Sie die Sonderberechtigung *AUDIT in Ihrem Benutzerprofil. Um diese Sonderberechtigung zu bekommen können Sie Ihr Benutzerprofil am Besten unter Verwendung des QSECOFR-Profils ändern.

Es könnte sein, dass die Auditierung auf Ihrem System bereits von jemand anders aktiviert wurde. Deshalb rate ich Ihnen, erst mal nachzuschauen ob Audit bereits aktiv ist. Schauen Sie ob Auditjournal und Journalempfänger existieren. Dann erstellen Sie falls noch nicht vorhanden die Journalreceiver in einer Bibliothek Ihrer Wahl indem Sie den Befehl Journalreceiver erstellen (CRTJRNRCV) arbeiten In diesem Beispiel wird eine Bibliothek namens AUDITLIB für Journalempfänger verwendet.

1. Prüfen Sie, welche Journale und Journalempfänger auf Ihrem System vorhanden sind:

WRKOBJ OBJ (* ALL / * ALL) OBJTYPE (* JRN)

WRKOBJ OBJ (* ALL / * ALL) OBJTYPE (* JRNRCV)

Wenn Sie in Ihrem Unternehmen Datenbankjournalisierung verwenden, werden Sie vielleicht überrascht sein, wie viele Journale und Journalempfänger es auf Ihrem System gibt. Wenn Sie noch überhaupt nicht Journalisieren, lassen Sie sich nicht von den vielen Standard Datenbankjournalen abschrecken die das System für sich selbst braucht.

Das Auditjournal gibt es nur einmal im System mit dem Namen QAUDJRN. Kein anderer Name funktioniert dafür. Darüber hinaus muss das QAUDJRN Journal in  der Bibliothek QSYS stehen. Da ein Journal eine zentrale Filter- und Kontrollfunktion für die Aufzeichnung von Journaleinträgen ist, kann und soll QAUDJRN in der Bibliothek QSYS belassen werden.

2. Wenn Sie die Liste der Journale und Journalempfänger zu umfangreich zum durchsuchen finden, können den WRKJRN Befehl verwenden, um den Status des Auditjournals zu sehen wenn es existiert. Zum Beispiel können Sie damit sehen, wie viele Empfänger dafür erstellt wurden

WRKJRN QAUDJRN

In den meisten Fällen, wenn jemand in Ihrer Firma bereits das Audit Journal implementiert hat, können Sie entweder:

•   Die Audit-Journalisierung durch Setzen des Systemwerts QAUDCTL auf *NONE ausschalten

•   Die gefundenen Journalreceiver löschen

•   Mit Punkt 3. unten fortfahren.

oder

• Die Systemwerte QAUDLVL und QAUDLVL2 prüfen und sicherstellen dass die Werte *PGMFAIL und *AUTFAIL angegeben wurden.

• Wenn diese Optionen nicht enthalten sind, fügen Sie sie hinzu

• Wenn diese Werte existieren und die Einstellungen in Ordnung sind, fahren Sie mit Schritt 6 fort.

3. Erstellen Sie eine Bibliothek für die Audit-Journalisierung.

CRTLIB LIB (AUDITLIB) TEXT ('Bibliothek für Audit Journal Receiver) AUT (* EXCLUDE)

4. Erstellen Sie die Journalempfänger für die Auditierung. Dieser wird später an das Journal angehängt

CRTJRNRCV JRNRCV (AUDITLIB/AUDRCV0001) TEXT ('Journal Receiver für Audit Journalisierung") AUT (* EXCLUDE)

Da in diesem Szenario eine neue Bibliothek erstellt wird, stellen Sie sicher, dass die AUDITLIB Bibliothek und ihre Journalempfänger in Ihre Backup-Routinen mit aufgenommen werden, so dass Ihre Audit-Daten regelmäßig gesichert werden. Wenn Sie Ihre Backup-Routinen aus irgendwelchen Gründen nicht ändern können, stellen Sie die Audit-Journalempfänger in eine Bibliothek die standardmäßig mit gesichert wird – z.B. QGPL (obwohl das nicht empfehlenswert ist). Stellen Sie die Journalempfänger nicht in die Bibliothek QSYS.

Wählen Sie einen Journalempfängernamen, mit dem eine Namenskonvention für zukünftige Journalempfänger, wie AUDRCV0001 erstellt werden kann. Sie können die *GEN Option verwenden, wenn Sie Journalempfänger Ändern und die Namenskonvention fortsetzen. Diese Art der Namensgebung ermöglicht es Ihnen, das System verwalten zu lassen, wenn Sie Ihre Journalempfänger voll sind.

Geben Sie einen Schwellwert für die Größe des Empfängers im Treshold-Parameter ein. Die Größe, die Sie wählen, sollte auf die Anzahl der Transaktionen auf Ihrem System und die Anzahl der Aktionen, die Sie auswählen angepasst sein. Wenn Sie die automatische Journalreceiververwaltung wie empfohlen verwenden, muss die Journalreceiverschwelle mindestens 100.000 KB sein. Die Standardgröße wie wir oben gewählt haben (durch Weglassen eines speziellen Wertes) ist dieser Schwellwert standardmäßig 1.500.000 KB. Geben Sie im Parameter AUT *EXCLUDE für die Einschränkung des Zugriffs auf die Informationen im Journal ein.

5. Erstellen Sie das QSYS / QAUDJRN Journal mit dem Create Journal (CRTJRN)-Befehl.

CRTJRN JRN (QSYS / QAUDJRN) JRNRCV (JRNLIB/AUDRCV0001) MNGRCV (* SYSTEM) DLTRCV (* NO) AUT (* EXCLUDE) TEXT ('Audit- Journal ")

Obwohl die Audit-Journalisierung eine Systemfunktion ist, wird das QAUDJRN Journal nicht von IBM zur Verfügung gestellt. Sie müssen es selbst erstellen. Die Regeln für die die Erstellung des Auditjournals sind wie folgt:

·         Der Name QSYS / QAUDJRN muss verwendet werden.

·         Geben Sie den Namen des Journalempfängers den Sie vorher erstellt haben an.

·         Geben Sie *EXCLUDE im  AUT-Parameter an, um den Zugang auf die Informationen im Journal einzuschränken. Sie müssen die Berechtigung haben, um Objekte in die Bibliothek QSYS hinzufügen, um das Journal zu erstellen.

·         Verwenden Sie den Parameter MNGRCV, damit das System die Journalempfänger ändern und Neue hinzufügen kann, wenn die angehängten Empfänger die Schwellwertgröße überschreiten. Wenn Sie diese Option wählen, müssen Sie den CHGJRN Befehl nicht verwenden, um Empfänger zu lösen und zu erstellen und neue Empfänger manuell anzuhängen.

·         Lassen Sie das System keine abgehängten Receiver löschen. Geben Sie DLTRCV (*NO) an, was auch die Standardeinstellung ist. Die QAUDJRN Empfänger sind Ihre Security Audit Protokolle. Stellen Sie sicher, dass sie entsprechend gesichert sind, bevor Sie diese löschen.

Einstellen der zusätzlichen Optionen für Auditjournal.

6. Stellen Sie die Audit-Ebene im (QAUDLVL) Systemwert ein. Zunächst werden Sie den Systemwert QAUDLVL2 nicht brauchen, der ist nur erforderlich wenn der Systemwert QAUDLVL keinen Platz für weitere Einträge hat. Zum Verwalten der Prüfungen in den Systemwerte QAUDLVL und QAUDLVL2 verwenden Sie den Befehl WRKSYSVAL.

Beginnen Sie, indem Sie Folgendes eingeben:

WRKSYSVAL QAUD*

Drücken Sie die Eingabetaste Sie sehen nun die verfügbaren Systemwerte im Audit-Bereich:

0008 – Audit-Systemwerte

Merken Sie sich die Existenz des Systemwertes QAUDLVL2. Dieser kann später eine Rolle spielen, nachdem Sie bereits zu Sicherheitsstufe 40 migriert und viele anderen Security Auditierungs-Funktionen aktiviert haben. Nun rufen Sie mit Auswahl 2 den Systemwert QAUDLVL zum Ändern auf. Stellen Sie sicher, dass das Auditjournal auf Ihrem System nicht bereits aktiv ist (sollte in Schritt 1 und 2 passiert sein) und ergänzen die Auditierungsparameter

*AUTFAIL

*PGMFAIL

Sobald Sie durch Analyse des Auditjournals festgestellt haben, dass Ihr System auf Sicherheitsstufe 40 umgestellt werden kann – oder auch nicht – können Sie im QAUDLVL-Systemwert weitere nützliche Optionen aktivieren. Während Sie mit dem Systemwert arbeiten, verwenden Sie die F1 Hilfetaste und lassen sich die Optionen und deren Erklärungen anzeigen. Wenn sie mal Experte auf dem Gebiet sind, und mehr Funktionen aktivieren als im QAUDLVL Systemwert Platz haben, können Sie die Liste im Systemwert QAUDLVL2 fortsetzen.

7. Schalten Sie die Auditierung an. Sobald Sie die QAUDLVL Werte festgelegt haben, ist es an der die Auditierung einzuschalten. Dies erfolgt über den Systemwert QAUDCTL. Sie starten das Auditjournal indem Sie den QAUDCTL Systemwert auf einen anderen Wert als *NONE einstellen, nämlich.

* AUDLVL und

* NOQTEMP

Stellen Sie sicher, dass die zwei Optionen eingegeben wurden. Das ist alles was nötig ist, um den Test für die Sicherheit der Sicherheitsstufe 40 oder 50 durchzuführen.

Bitte beachten Sie, dass das QSYS/QAUDJRN Journal existieren muss, bevor Sie den Systemwert QAUTCTL auf einen anderen Wert als *NONE einstellen. Wenn die Auditierung startet, versucht das System einen Datensatz in das Auditjournal zu schreiben. Wenn das nicht erfolgreich ist, erhalten Sie eine Fehlermeldung und die Auditierung startet nicht. Ebenso müssen Journal und Journalreceiver passend eingestellt sein.

Sobald Sie die Journalisierung eingeschaltet haben, lassen Sie das System eine Weile laufen – zumindest so lange, bis die üblichen Geschäftsvorfälle einmal passiert sind.

Andere Befehle und Optionen bei der Auditierung

Wenn Sie bereit sind ein umfangreiches Audit mitzumachen, können Sie die folgenden Befehle verwenden um weitere hilfreiche Aufzeichnungen für Aktivitäten zu starten:

CHGUSRAUD

Dieser Befehl startet die Auditierung für individuelle Anwender

CHGOBJAUD

CHGDLOAUD

Diese beiden Befehle schalten die Objektauditierung für bestimmte Objekte ein. Der CHGUSRAUD Befehl kann wiederum verwendet werden, um bestimmte Objekte bei bestimmten Anwendern zu auditieren.

Stellen Sie sicher, dass der Systemwert QAUDENDACN auf *NOTIFY anstelle *PWRDWNSYS eingestellt ist. *PWRDWNSYS schaltet Ihr System ab wenn die Auditierung keine Journaldaten wegschreiben kann, *NOTIFY sendet in diesem Fall eine Nachricht an den QSYSOPR (Systemoperator). *NOTIFY ist die Standardoption für diesen Systemwert.

Mit dem Systemwert QAUDFRCLVL können Sie steuern, wie oft Audit-Journaleinträge aus dem Speicher auf die Platte weggeschrieben werden. mit der Standardeinstellung *SYS wird das vom System gesteuert und die Journaleinträge werden nur dann auf die Platte geschrieben, wenn das System feststellt, dass dies abhängig von der internen Systemverarbeitung erforderlich ist. Diese Angabe liefert zwar die besten Protokollierungsergebnisse kann aber auch zum höchsten Datenverlust bei einem abnormalen Ende des Systems führen.

Sie können auch einen Wert von 1 bis 100 angeben Der Wert gibt die Anzahl der ins Sicherheitsprotokolljournal geschriebenen Journaleinträge an, bevor die Protokollierungsdaten auf die Platte geschrieben werden. Je kleiner diese Anzahl angegeben wird, umso höher sind die Auswirkungen auf die Systemleistung, aber die Wahrscheinlichkeit der Erfassung des letzten Fehler auf der Festplatte im Falle eines Crashs steigt.

Prüfung des Journals

Sobald Sie die Journalisierung eingeschaltet haben, können die Inhalte anschauen.

Die beste Möglichkeit die Audit-Daten zu analysieren bestehen darin ein für diese Zwecke spezialisiertes Programm zu erwerben. Diese Programme lesen die Audit-Journale aus und übertragen sie in je Audittyp in Klarschrift lesbare Protokolleinträge. Das ist wesentlich einfacher und effektiver, als für jeden Audittyp ein Programm zu schreiben, dass die unterschiedlichen Audittypen aus den Journalen ausliest und für jeden Audityp mit Rücksicht auf die interne Struktur des jeweiligen Typs die Daten aufbereitet.

Die Verwendung des Befehls DSPAUDJRNE zur Anzeige der Auditjournaleinträge ist eine rudimentäre Möglichkeit die Daten anzuzeigen. Die Berichte aus diesem Befehl geben Auskunft über die Eintragstypen und die Benutzerprofile welche die Ereignisse ausgelöst haben. Sie können die Berichte auf bestimmte Zeiträume einschränken und einzelne Journalempfänger durchsuchen. Eine Ausgabe auf den Bildschirm ist ebenso möglich wie die Ausgabe in eine Spooldatei. Für den Befehl DSPAUDJRNE müssen Sie über die Sonderberechtigungen *ALLOBJ und *AUDIT verfügen.

Um einen Bericht über alle Berechtigungsfehler für alle Benutzerprofile zu erzeugen, verwenden Sie den Befehl

DSPAUDJRNE ENTTYP (AF) USRPRF (* ALL) OUTPUT (*)

Natürlich können Sie den Ausgabe-Parameter auf *PRINT ändern, um einen Bericht zu erzeugen. Dabei können im besten Fall einige Zeilen, im schlechtesten Fall viele Seiten ausgegeben werden:

0009 – DSPAUDJRNE-Ausgabe am Bildschirm

Beachten Sie die AF-Einträge und das A neben dem Eintrag. Der Typ "A" ist harmlos. Die wichtigeren AF-Einträge sind die mit B, C, D, J, R und S. Diese wurden bereits weiter vorne beschrieben. Wenn Sie den Audit-Wert *NOQTEMP verwenden, werden die Vorgänge in QTEMP nicht auditiert. Diese QTEMP-Bibliotheken sind ja die temporären Bibliotheken je User und brauchen hier auch nicht berücksichtigt werden

Denken Sie daran, Ihr Ziel ist es keine der o. g. fehlerhaften Einträge mehr zu finden. Sobald Sie dies erreicht haben und die zugrunde liegenden Probleme gelöst haben, können Sie über den Befehl

WRKSYSVAL QSECURITY

Den Wert der Sicherheitsstufe 40 einstellen. Sollten trotzdem nach der Umstellung Probleme auftreten, können Sie jederzeit wieder zurück zur Sicherheitsstufe 30 wechseln.