Teilkonzept für Sicherheit:

Was ist Resource Access Control Facility (RACF)?

| Autor / Redakteur: Otto Geißler / Ulrike Ostler

Neun Zehntel aller globalen z/OS-Anwenderunternehmen nutzen RACF für Benutzeridentifikation, Zugriffsrechte-Verwaltung und Logging.
Neun Zehntel aller globalen z/OS-Anwenderunternehmen nutzen RACF für Benutzeridentifikation, Zugriffsrechte-Verwaltung und Logging. (Bild: © djama - stock.adob.com)

RACF (Ressource Access Control Facility) wird mit der SAF-Schnittstelle (System Authorization Facility) in IBM-Mainframes implementiert und unterstützt als Teilkonzept die Authentifizierung, Autorisierung und das Auditing. Nachteile: Es ist schwer zu verwalten und verfügt über keine Echtzeit-Überwachung.

Die Sicherheitslösung Ressource Access Control Facility (RACF) von IBM erfasst und beschreibt nahezu alle sicherheitsrelevanten Ereignisse. Gleichzeitig erlaubt RACF nur denjenigen Usern einen Zugriff auf das IT-System, der dazu auch autorisiert ist, die angefragte Ressource zu nutzen. Das heißt, beispielsweise einen Drucker, eine Datei oder den Arbeitsspeicher zum Ausführen eines Programms.

Der Aufbau von RACF

Mit einem User eines IT-Systems sind alle Personen gemeint, die sich mit einer RACF-User-ID in einem Online-System wie TSO, CICS oder IMS an einem Terminal eingeloggt haben. User können aber ebenfalls Server-Prozesse (Started Tasks) sein, denen die RACF-Administration eine User-ID zugeordnet hat.

RACF speichert in einem User-Profil neben dem Namen des Users auch statistische sowie weitere Informationen. Dazu gehören das Änderungsdatum des Passwortes, die letzte Benutzung der User-ID, das verschlüsselte Passwort, die Passwort-Historie, die Gruppenzugehörigkeit sowie die Benutzer-Attribute über gesperrte ID oder administrative beziehungsweise besondere Berechtigungen.

In einer RACF-Datenbank sind Profile angelegt. Diese enthalten die Benutzerschlüssel (User-ID), die zu schützenden Ressourcen (Resources) und Gruppen (Groups). Darüber hinaus sind verschiedene Profilarten zu unterscheiden. Als Einzelprofil wird ein Profil zum Schutz einer einzelnen Ressource wie zum Beispiel ein Transaktions- oder Chiffrierschlüssel bezeichnet. Ein Profil zum Schutz mehrerer Ressourcen heißt generisches Profil. Mittels RACF-Kommandos pflegt der RACF-Administrator die RACF-Datenbank.

Ablauf einer Authentifizierung

Wenn ein User auf eine Ressource zugreifen möchte, gibt die Systemressourcen-Verwaltung eine RACF-Anforderung aus und prüft, ob dem User dafür eine Berechtigung zugewiesen wurde. Ist dies der Fall, so übergibt RACF dann diese Information an die Systemressourcen-Verwaltung. Auf Basis dieser Information erteilt oder verweigert die Systemressourcen-Verwaltung die Berechtigung zu dem angeforderten Zugriff.

Die Authentifizierung des Users erfolgt bei RACF nach diesen Prüfkriterien:

  • Der User ist für RACF definiert.
  • Der User verfügt über ein gültiges Kennwort oder eine gültige Alternative (Passticket).
  • Die User-ID (UID) und Gruppen-ID (GID) sind unter dem installierten Betriebssystem gültig.
  • Wurde die angelegte User-ID dem Status „Widerrufen“ zugeordnet, so wird ein RACF-definierter Benutzer daran gehindert, auf das System bzw. bestimmte Gruppen zuzugreifen.
  • Der User darf das System an einem definierten Tag bzw. zu einer definierten Zeit nutzen.
  • Der User darf auf das Terminal zugreifen.

Schwächen und kritische Bewertung

Fast jeden Tag protokolliert RACF, ob Sicherheitsregeln wie zum Beispiel das regelmäßige Ändern von Passwörtern befolgt wurde oder ob sich unerlaubte Login-Versuche oder auch Änderungen in der RACF-Datenbank ereignet haben. Wie zeitnah diese sicherheitsrelevanten Ereignisse erkennbar sind, hängt vom Volumen der RACF-Reports als auch von der Geschwindigkeit des auswertenden IT-Mitarbeiters ab. So stehen die RACF-Reports erst nach einer Batch-Bearbeitung und dem Ausdruck einer Liste bereit.

Solche Listen müssen von IT-Mitarbeiten unter relativ hohem Fehlerrisiko händisch ausgewertet werden. Erst dann kann in Erfahrung gebracht werden, was sich am vorhergehenden oder gar vorletzten Tag hinsichtlich Sicherheitsverstöße ereignet hat. In einer großen Organisation können sich diese Ereignisse auf mehrere Millionen belaufen. Eine angemessene Reaktion ist daher mit RACF nicht möglich. IT-Mitarbeiter können diese Listen gezwungenermaßen nur stichprobenartig bearbeiten. Gibt es keine weiteren zuverlässigen Schutzmaßnahmen, haben Hacker ein sehr leichtes Spiel.

Als Zentralrechner für E-Business- und Internet-Anwendungen eine größere Bedeutung erfuhren und damit die IT-Systeme für Tausende von Kunden geöffnet wurden, stieg die Bedeutung intelligenter Echtzeit-Erkennungsmethoden sicherheitsrelevanter Ereignisse. Ein Mainframe-Sicherheits-Check bei internationalen Konzernen ergab, dass die Zeit bis zu einem erfolgreichen Hacker-Angriff in ein Host-System zwischen zehn Minuten und zwei Tagen dauern kann.

In dieser knappen Zeitspanne bietet sich kaum eine Gelegenheit, durch händische Auswertungen von RACF-Reports Sicherheitsübergriffe zeitnah zu identifizieren. Hacker-Angriffe – von außen oder innen - werden auf diese Weise meist nur durch Zufall rechtzeitig erkannt. Damit ein Mainframe zum Beispiel auch für E-Commerce- und E-Business-Anwendungen sicher bleibt, müssen weitere beziehungsweise aktuelle Security-Systeme implementiert werden.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 45469913 / Definitionen)