B 3.107 S/390- und zSeries-Mainframe

Beschreibung
Die IBM S/390- und zSeries-Systeme gehören zu den Server-Systemen, die allgemein als Mainframes ("Großrechner") bezeichnet werden. Mainframes haben sich von klassischen Einzelsystemen mit Stapelverarbeitung hin zu modernen Client-/Server-Systemen entwickelt. Sie bilden heute das obere Ende der Palette der angebotenen Server-Systeme.
In diesem Baustein werden nur Mainframes des Typs IBM zSeries bzw. IBM S/390 betrachtet. zSeries-Systeme mit dem Betriebssystem z/OS stellen eine logische Weiterentwicklung der OS/390-Architektur dar. Mit zSeries kommt z. B. die zusätzliche 64 Bit-Unterstützung hinzu. Beide Systemtypen existieren nebeneinander, wobei OS/390 als ein "auslaufendes" Betriebssystem betrachtet werden kann, da IBM den Service im Herbst 2004 eingestellt hat. Aus Gründen der Übersichtlichkeit wird in diesem Zusammenhang nur der Begriff "zSeries" für die Hardware und "z/OS" für das Betriebssystem verwendet.
Historie
Die im Jahr 1964 eingeführte S/360-Architektur stellt die Basis für alle folgenden Weiterentwicklungen dar und findet sich noch heute in ihren wesentlichen Teilen auf den aktuellen zSeries-Systemen wieder. Der Namenswechsel, von "S/360" über "S/370" und "S/390" bis zur heutigen "zSeries", reflektiert die fortwährende Entwicklung der zugrundeliegenden Architektur. Aufgrund ihrer Abwärtskompatibilität unterstützt die Architektur neben neueren 64-Bit-Applikationen auch Programme im älteren 24- oder 31-Bit-Modus.
Trotz steigender Leistungsfähigkeit haben sich die physischen Abmessungen von Mainframe-Systemen stark verringert. Mainframe-Systeme haben heute ähnliche Abmessungen wie andere Systeme, die typischerweise in Rechenzentren betrieben werden.
Überblick
Für zSeries-Systeme stehen Mechanismen zur Verfügung, mit denen eine hohe Verfügbarkeit und Skalierbarkeit erreicht werden kann. Die hohe Verfügbarkeit wird dabei durch redundante Auslegung der Komponenten erzielt. Zur Steigerung der Leistung und Verfügbarkeit können derzeit in einem zSeries-System bis zu 16 Prozessoren parallel betrieben und bis zu 32 zSeries-Systeme zu einem Cluster zusammengestellt werden. Dies wird als Parallel-Sysplex-Cluster bezeichnet.
Für die zSeries-Hardware sind verschiedene Betriebssysteme verfügbar (z. B. z/OS, VSE, z/VM oder TPF). Die Auswahl erfolgt in der Regel anhand der Parameter Rechnergröße und Einsatzzweck. Am häufigsten kommt jedoch das z/OS-Betriebssystem zum Einsatz. Um den Rahmen dieses Bausteins nicht zu sprengen, beschränken sich die Empfehlungen in diesem Baustein im Wesentlichen auf das Betriebssystem z/OS.
Durch die Erweiterung des früher auch als "MVS" bezeichneten z/OS-Betriebssystems um das Subsystem Unix System Services ist es möglich, parallel zu den klassischen Mainframe-Anwendungen auch Unix-basierte Anwendungen zu betreiben. Daneben ist für die zSeries-Hardware auch ein Linux-Betriebssystem verfügbar.
Einsatzbereiche für heutige z/OS-Systeme sind:
- klassische Stapelverarbeitung für große "Batch-Ketten",
- Stapelverarbeitung einschließlich der transaktionsorientierten Verarbeitung (z. B. IMS oder CICS ),
- Datenbank-Server (z. B. DB2, IMS DB oder Oracle) oder
- Webserver und deren Anwendungen
Die in diesem Baustein beschriebenen Software-Komponenten beziehen sich hauptsächlich auf Produkte des Herstellers IBM. Es gibt darüber hinaus viele Produkte von Drittherstellern, die häufig in Großrechner-Umgebungen zum Einsatz kommen. Auf diese Produkte kann nur in Ausnahmefällen eingegangen werden, da sonst der Rahmen des Bausteins gesprengt würde.
Das z/OS-Betriebssystem besteht aus dem eigentlichen Betriebssystem (Kernel) mit Schnittstellen zu den Benutzerprozessen. Verschiedene Subsysteme steuern und unterstützen die Kommunikation. Die wichtigsten Subsysteme sind
- das Job Entry Subsystem (JES) für den Hintergrundbetrieb (Stapelverarbeitung oder Batch genannt),
- die Time Sharing Option (TSO) für den Vordergrundbetrieb (interaktiv) und
- die Unix System Services (Posix-kompatibles Unix-Subsystem).
Weitere Subsysteme sind z. B.
- der Transaktionsmanager IMS und die zugehörige Datenbank für die transaktionsorientierte Datenverarbeitung,
- der Transaktionsmanager CICS für die transaktionsorientierte Datenverarbeitung,
- die Datenbank DB2 für relationale Datenbanken und
- der Communications Server (SNA, TCP/IP) für Netzanbindungen.
Die Sicherheitsschnittstelle System Authorization Facility (SAF) ermöglicht es, das System und die Dateien vor unbefugten Zugriffen zu schützen. Die eigentlichen Sicherheitsfunktionen werden dabei von der Sicherheitssoftware RACF bereitgestellt. Als alternative Produkte sind an dieser Stelle auch Top Secret und ACF2 zu nennen.
Die folgende Abbildung stellt die Zusammenhänge des Betriebssystemaufbaus stark vereinfacht dar:
Eine Übersicht über die zSeries- und z/OS-Architektur und Erklärungen zu der Terminologie finden sich in den folgenden Maßnahmen:
- M 3.39 Einführung in die zSeries-Plattform
- M 3.40 Einführung in das z/OS-Betriebssystem
- M 3.41 Einführung in Linux und z/VM für zSeries-Systeme
Gefährdungslage
Generell hängt die Gefährdungslage vom Einsatzszenario ab. Ein z/OS-System mit SNA-Anschluss an einem isolierten behörden- oder firmeninternen Netz ist z. B. in der Regel weniger gefährdet als ein z/OS-System, das an das Internet angeschlossen ist und dort Web-Services anbietet. Darüber hinaus spielt es eine Rolle, ob auf Daten nur lesend zugegriffen werden soll (z. B. bei einem Auskunftssystem) oder ob die Daten bearbeitet werden können. Gerade durch den Einsatz von Web-Servern oder Web-Applikationen mit Internet-Anbindung hat sich die Gefährdungslage der früher als "sehr sicher" geltenden Mainframe-Systeme stark erhöht.
Aufgrund der öffentlichen Netzanbindung von Mainframe-Systemen ergeben sich wesentlich stärkere Gefährdungen durch unsachgemäße oder fehlerhafte Konfiguration der Systeme oder durch fehlende oder unvollständig etablierte Prozesse, als es früher der Fall war.
Dies gilt sowohl für externe Anbindungen und darüber mögliche Angriffe, als auch für den internen Bereich. Mainframe-Systeme sind heute ähnlichen Gefährdungen ausgesetzt wie Unix- oder Windows-Systeme.
Organisatorische Mängel
- | G 2.4 | Unzureichende Kontrolle der Sicherheitsmaßnahmen |
- | G 2.27 | Fehlende oder unzureichende Dokumentation |
- | G 2.54 | Vertraulichkeitsverlust durch Restinformationen |
- | G 2.99 | Unzureichende oder fehlerhafte Konfiguration der zSeries-Systemumgebung |
Menschliche Fehlhandlungen
- | G 3.2 | Fahrlässige Zerstörung von Gerät oder Daten |
- | G 3.3 | Nichtbeachtung von Sicherheitsmaßnahmen |
- | G 3.9 | Fehlerhafte Administration von IT-Systemen |
- | G 3.38 | Konfigurations- und Bedienungsfehler |
- | G 3.66 | Fehlerhafte Zeichensatzkonvertierung beim Einsatz von z/OS |
- | G 3.67 | Unzureichende oder fehlerhafte Konfiguration des z/OS-Betriebssystems |
- | G 3.68 | Unzureichende oder fehlerhafte Konfiguration des z/OS-Webservers |
- | G 3.69 | Fehlerhafte Konfiguration der Unix System Services unter z/OS |
- | G 3.70 | Unzureichender Dateischutz des z/OS-Systems |
- | G 3.71 | Fehlerhafte Systemzeit bei z/OS-Systemen |
- | G 3.72 | Fehlerhafte Konfiguration des z/OS-Sicherheitssystems RACF |
- | G 3.73 | Fehlbedienung der z/OS-Systemfunktionen |
- | G 3.74 | Unzureichender Schutz der z/OS-Systemeinstellungen vor dynamischen Änderungen |
- | G 3.75 | Mangelhafte Kontrolle der Batch-Jobs bei z/OS |
Technisches Versagen
- | G 4.10 | Komplexität der Zugangsmöglichkeiten zu vernetzten IT-Systemen |
- | G 4.22 | Software-Schwachstellen oder -Fehler |
- | G 4.50 | Überlastung des z/OS-Betriebssystems |
Vorsätzliche Handlungen
- | G 5.2 | Manipulation an Informationen oder Software |
- | G 5.10 | Missbrauch von Fernwartungszugängen |
- | G 5.18 | Systematisches Ausprobieren von Passwörtern |
- | G 5.19 | Missbrauch von Benutzerrechten |
- | G 5.21 | Trojanische Pferde |
- | G 5.28 | Verhinderung von Diensten |
- | G 5.57 | Netzanalyse-Tools |
- | G 5.116 | Manipulation der z/OS-Systemsteuerung |
- | G 5.117 | Verschleiern von Manipulationen unter z/OS |
- | G 5.118 | Unbefugtes Erlangen höherer Rechte im RACF |
- | G 5.119 | Benutzung fremder Kennungen unter z/OS-Systemen |
- | G 5.120 | Manipulation der Linux/zSeries Systemsteuerung |
- | G 5.121 | Angriffe über TCP/IP auf z/OS-Systeme |
- | G 5.122 | Missbrauch von RACF-Attributen unter z/OS |
Maßnahmenempfehlungen
Um den betrachteten IT-Verbund abzusichern, müssen zusätzlich zu diesem Baustein noch weitere Bausteine umgesetzt werden, gemäß den Ergebnissen der Modellierung nach IT-Grundschutz.
Für den erfolgreichen Aufbau eines z/OS-Mainframe-Systems sind eine Reihe von Maßnahmen umzusetzen, beginnend mit der strategischen Entscheidung, über Konzeption und Installation bis zum Betrieb. Nicht vergessen werden darf dabei die ordnungsgemäße Aussonderung eines Systems, wenn das Ende der Betriebsphase erreicht wird.
Parallel zur Betriebsphase muss die Notfallvorsorge sicherstellen, dass der Betrieb auch im Notfall aufrecht erhalten werden kann. IT-Sicherheitsmanagement und Revision stellen sicher, dass das Regelwerk auch eingehalten wird.
Die Schritte, die dabei zu durchlaufen sind, sowie die Maßnahmen, die in den jeweiligen Phasen beachtet werden sollten, sind im Folgenden aufgeführt:
Strategie
Vor Beginn einer jeden Planung findet eine Phase der strategischen Orientierung statt, die weitgehend auf den Anforderungen der Anwendungseigner basiert. Hier ist zu prüfen, ob die z/OS-Plattform für die Lösung der jeweiligen Aufgabenstellung geeignet ist.
Darüber hinaus kommt es auf die generelle Ausrichtung der IT-Landschaft des Rechenzentrums an. Gibt es noch keine z/OS-Plattform im Betrieb, muss der Aufbau des notwendigen Wissens des Betriebspersonals entsprechend vorbereitet werden. Als Hilfestellung für die strategische Planung dienen die Maßnahmen
- M 3.39 Einführung in die zSeries-Plattform,
- M 3.40 Einführung in das z/OS-Betriebssystem und
- M 3.41 Einführung in Linux und z/VM für zSeries-Systeme.
Sie geben einen Überblick über die einzelnen Funktionen von Hard- und Software und unterstützen damit das Verständnis für die z/OS-Plattform.
Konzeption
Sollte die strategische Entscheidung für den Einsatz eines z/OS-Mainframe-Systems gefallen sein, muss sich eine detaillierte Planung für den Einsatz dieses Systems anschließen. Die folgenden Maßnahmen sind dabei zu berücksichtigen:
- Vor der Anschaffung und Inbetriebnahme von zSeries-Systemen müssen verschiedene planerische Tätigkeiten durchgeführt werden (siehe M 2.286 Planung und Einsatz von zSeries-Systemen).
- Bei höheren Ansprüchen an die Verfügbarkeit oder die Skalierbarkeit empfiehlt sich der Einsatz eines Parallel-Sysplex-Clusters (siehe M 4.221 Parallel-Sysplex unter z/OS).
- Es müssen Sicherheitsrichtlinien für das z/OS-System und besonders auch für das Sicherheitssystem RACF (Resource Access Control Facility) geplant und festgelegt werden (siehe M 2.288 Erstellung von Sicherheitsrichtlinien für z/OS-Systeme).
- Es müssen Standards für die z/OS-Systemdefinitionen festgelegt werden (siehe M 2.285 Festlegung von Standards für z/OS-Systemdefinitionen).
- Es sollte ein Rollenkonzept für die Systemverwaltung von z/OS-Systemen eingeführt werden (siehe M 2.295 Systemverwaltung von z/OS-Systemen).
Umsetzung
Nachdem die organisatorischen und planerischen Vorarbeiten durchgeführt worden sind, kann die Installation der zSeries-Hardware und des z/OS-Betriebssystems erfolgen. Dabei sind die folgenden Maßnahmen zu beachten:
- Es ist eine sichere Grundkonfiguration der Autorisierungsmechanismen des z/OS-Betriebssystems erforderlich (siehe M 4.209 Sichere Grundkonfiguration von z/OS-Systemen).
- Wesentlich für die Absicherung der z/OS-Umgebung ist die entsprechende Konfiguration des Sicherheitssystems (siehe M 4.211 Einsatz des z/OS-Sicherheitssystems RACF).
- Für die Umsetzung der z/OS-Steuerung einschließlich der Fernsteuerungskonsole RSF (Remote Support Facility) sind die Empfehlungen in Maßnahme M 4.207 Einsatz und Sicherung systemnaher z/OS-Terminals zu beachten.
Betrieb
Nach der Erstinstallation und einer Testbetriebsphase wird der Regelbetrieb aufgenommen. Unter Sicherheitsgesichtspunkten sind dabei folgende Aspekte zu beachten:
- Die Bereitstellung der Funktionalitäten des z/OS-Betriebssystems setzt einen sicheren Betrieb des z/OS-Betriebssystems voraus (siehe M 4.210 Sicherer Betrieb des z/OS-Betriebssystems).
- Es müssen die Dienstprogramme abgesichert werden, die zur Unterstützung von betrieblichen Funktionen des z/OS-Betriebssystems dienen und eine hohe Autorisierung benötigen (siehe M 4.215 Absicherung sicherheitskritischer z/OS-Dienstprogramme).
- Die erforderlichen Wartungsaktivitäten eines z/OS-Systems sind in der Maßnahme M 2.293 Wartung von zSeries-Systemen beschrieben.
- z/OS-Systeme oder Parallel-Sysplex-Cluster müssen im laufenden Betrieb überwacht werden (siehe M 2.292 Überwachung von z/OS-Systemen).
Aussonderung
Empfehlungen zur Deinstallation von z/OS-Systemen, etwa nach Abschluss des Regelbetriebs, finden sich in der Maßnahme M 2.297 Deinstallation von z/OS-Systemen.
Notfallvorsorge
Empfehlungen zur Notfallvorsorge finden sich in der Maßnahme M 6.93 Notfallvorsorge für z/OS-Systeme.
IT-Sicherheitsmanagement und Revision
Das IT-Sicherheitsmanagement sollte den kompletten Lebenszyklus eines z/OS-Systems begleiten. Die folgenden Punkte sollten besonders beachtet werden:
- Bei der Vergabe und der Revision von Autorisierungen ist zu prüfen, ob die entsprechenden Mitarbeiter diese für ihre Tätigkeit benötigen. Dies gilt besonders für hohe Autorisierungen (siehe Maßnahme M 2.289 Einsatz restriktiver z/OS-Kennungen).
- Beim Betrieb eines z/OS-Systems ist regelmäßig zu kontrollieren, ob die Sicherheitsvorgaben eingehalten werden (siehe Maßnahme M 2.291 Sicherheits-Berichtswesen und -Audits unter z/OS).
Nachfolgend wird das Maßnahmenbündel für den Baustein "S/390- und zSeries-Mainframe" vorgestellt.
Planung und Konzeption
- | M 2.285 | (Z) | Festlegung von Standards für z/OS-Systemdefinitionen |
- | M 2.286 | (Z) | Planung und Einsatz von zSeries-Systemen |
- | M 2.287 | (Z) | Batch-Job-Planung für z/OS-Systeme |
- | M 2.288 | (B) | Erstellung von Sicherheitsrichtlinien für z/OS-Systeme |
- | M 2.295 | (A) | Systemverwaltung von z/OS-Systemen |
- | M 2.296 | (Z) | Grundsätzliche Überlegungen zu z/OS-Transaktionsmonitoren |
- | M 3.39 | (A) | Einführung in die zSeries-Plattform |
- | M 3.40 | (A) | Einführung in das z/OS-Betriebssystem |
- | M 3.41 | (A) | Einführung in Linux und z/VM für zSeries-Systeme |
- | M 4.221 | (C) | Parallel-Sysplex unter z/OS |
Umsetzung
- | M 2.289 | (A) | Einsatz restriktiver z/OS-Kennungen |
- | M 2.290 | (Z) | Einsatz von RACF-Exits |
- | M 3.42 | (A) | Schulung des z/OS-Bedienungspersonals |
- | M 4.207 | (A) | Einsatz und Sicherung systemnaher z/OS-Terminals |
- | M 4.208 | (B) | Absichern des Start-Vorgangs von z/OS-Systemen |
- | M 4.209 | (A) | Sichere Grundkonfiguration von z/OS-Systemen |
- | M 4.211 | (A) | Einsatz des z/OS-Sicherheitssystems RACF |
- | M 4.212 | (Z) | Absicherung von Linux für zSeries |
- | M 4.213 | (A) | Absichern des Login-Vorgangs unter z/OS |
- | M 4.216 | (C) | Festlegung der Systemgrenzen von z/OS |
- | M 4.217 | (C) | Workload Management für z/OS-Systeme |
- | M 4.219 | (C) | Lizenzschlüssel-Management für z/OS-Software |
- | M 4.220 | (B) | Absicherung von Unix System Services bei z/OS-Systemen |
- | M 5.113 | (Z) | Einsatz des VTAM Session Management Exit unter z/OS |
- | M 5.114 | (B) | Absicherung der z/OS-Tracefunktionen |
Betrieb
- | M 2.291 | (C) | Sicherheits-Berichtswesen und -Audits unter z/OS |
- | M 2.292 | (B) | Überwachung von z/OS-Systemen |
- | M 2.293 | (C) | Wartung von zSeries-Systemen |
- | M 2.294 | (Z) | Synchronisierung von z/OS-Passwörtern und RACF-Kommandos |
- | M 4.210 | (B) | Sicherer Betrieb des z/OS-Betriebssystems |
- | M 4.214 | (B) | Datenträgerverwaltung unter z/OS-Systemen |
- | M 4.215 | (B) | Absicherung sicherheitskritischer z/OS-Dienstprogramme |
- | M 4.218 | (Z) | Hinweise zur Zeichensatzkonvertierung bei z/OS-Systemen |
Aussonderung
- | M 2.297 | (B) | Deinstallation von z/OS-Systemen |
Notfallvorsorge
- | M 6.93 | (A) | Notfallvorsorge für z/OS-Systeme |