操作员控制台安全管理.docx

z/OS操作系统的安全设施客户数据是宝贵的资源，稍有不慎就可能落入竞争对手手中，因此任何安全策略必须是仅提供给用户必须的访问级别而拒绝对非经授权的用户访问。这就是系统审计者倾向于要求给用户或用户组授予专门的访问权限而不是采用统一的访问限制的原因之一。传统主机安全的关注点在于阻止未授权的人登入系统并且让用户明确知道只访问他们需要访问的数据。然而，随着主机成为Internet服务器，就必须采取更多的安全措施来加以保护。如前面所述，这里有来自外部的威胁，如黑客、病毒和木马等，这些可以借助安全服务器工具进行处理。然而，企业数据所面临的主要威胁还是来企业内部。企业内部员工有比外部人员更多机会获取到企业数据。一个周全的安全策略总是安全防范的第一步。好在z/OS提供了大量的集成特性来最小化其他程序对系统有意或无意的破坏。很多企业安装运行了z/OS的多个副本，但通常禁止普通的TSO/ISPF用户访问生产系统。只要配置得当，z/OS的安全控制能够保护生产环境并且能阻止TSO/ISPF用户（有意或无意）对重要生产系统的不良影响。大型主机安全角色过去，系统程序员通过配置管理确定主机整体的安全策略和流程。而今，企业为了寻求更高级别的安全性，通常会委任一名专门的安全经理，系统程序员除了向安全经理建议新的产品外一般不会直接负责系统安全。职责分开是必要的，因为可以防止任何个人对系统实施不受限制的访问。系统管理员分配用户ID和初始密码，并确保用户密码是不能猜测和随机的，并要求经常更改。由于用户ID及其密码至关重要，系统管理员还要特别保护包含用户ID和密码的文件。IBM安全服务器一种使用z/OS内嵌的和其它程序产品一起提供的工具来保证安全性的系统装置，叫做IBM安全服务器，但是一般把它称为RACF。z/OS安全服务包括：控制系统中用户的访问（使用用户名和密码）和对授权用户在系统的数据文件和程序上的行为进行控制 。下面是z/OS安全服务器功能部件列表，合起来称为安全服务器： （1）DCE安全服务器。运行在z/OS上、提供具有完整功能的OSF DCE 1.1级别的安全服务器。 （2）LDAP服务器。基于C/S模式、允许客户访问LDAP服务器。LDAP目录提供了一种在中央位置维护目录信息的简单方法，包括存储、更新、修复和交换。 （3）z/OS防火墙技术。是z/OS中使用的IPV4网络安全防火墙程序。在本质上，z/OS防火墙既有传统的防火墙的功能，也支持VPN（虚拟专用网络）。 内置防火墙意味着如果需要的话主机可以直接与互联网连接，而不需要硬件介入；并且可以提供所需级别的安全性来保护公司的重要资源。使用VPN技术，可以通过互联网建立由客户端到主机的安全加密隧道。 （4）z/OS的网络认证服务。不需要使用如DCE这样的中间件就可以提供基于Kerberos安全认证服务。 （5）企业身份匹配（EIM）。提供了一种用低成本的解决方案轻松管理企业中多用户注册和多用户标识的新方法。 （6）PKI服务。允许为内部或外部用户建立公钥基础设施并作为证书授权机构根据公司的政策来发布和管理数字证书。 （7）资源访问控制系统（RACF）。它是z/OS安全服务的最重要的组成部分，在z/OS中用来保护重要的资源。 在这里主要介绍安全服务器的主要组件RACF，说明它如何来执行z/OS安全的策略。资源访问控制工具（RACF）计算机环境下的“访问”意味着对计算机资源的操作能力（如使用、修改或查看资源），访问控制即是允许或限制这种能力的方式。基于计算机的访问控制称为逻辑访问控制，这些保护机制限制用户只能访问合适的信息来保护资源。 逻辑访问控制通常嵌入操作系统，或是作为应用程序逻辑或大的实用程序逻辑的一部分，如数据库管理系统。也可以作为附加安全工具包安装到操作系统上，这种安全包可以被各种系统使用，如各种PC机或主机等。另外，也可以在控制计算机和网络通信的专用部件中引入逻辑访问控制。 资源访问控制工具（RACF）是一个附加软件产品，用来向主机系统提供基本的安全。也有其它可用的安全软件包，例如ACF2或Top Secret，都是与计算机相关的。 RACF通过允许授权用户访问相应的资源来保护系统。RACF在数据库中有一个专门的装置叫做预置文件(profile)，其中保存了用户、资源和访问授权等信息，当需要决定允许哪些用户访问哪些受保护的系统资源时，可以查阅这些profiles。 RACF提供了以下一些功能，如图所示： （1）识别和鉴别用户 （2）允许用户访问受保护的资源 （3）对未授权用户试图访问受保护资源的情况进行日志和报告 （4）控制访问资源的方式 （5）允许应用软件使用RACF RACF功能的示意图RACF用于控制访问和保护资源。为了使得访问控制机制可以有效地工作，它必须首先识别试图访问系统的用户，然后验