Seguridad

iSeries
Consejos y herramientas para la seguridad del iSeries

Versin 5
SC10-3122-05
iSeries
Consejos y herramientas para la seguridad del iSeries

Versin 5
SC10-3122-05
Nota Antes de utilizar esta informacin y el producto al que da soporte, asegrese de leer la informacin de los artculos sobre Seguridad bsica que encontrar en lnea en el Information Center. La direccin de URL de Internet es http://www.ibm.com/eserver/iseries/infocenter.
Sexta Edicin (Mayo 2001)
| Esta edicin sustituye a SC41-5300-04. Esta edicin slo se aplica a las versiones de OS/400 que sean iguales o | posteriores a V4R1.
Copyright International Business Machines Corporation 1996, 2001. Reservados todos los derechos.
Contenido
Figuras . . . . . . . . . . . . . . vii Tablas . . . . . . . . . . . . . . . ix Acerca de Consejos y herramientas para la seguridad del iSeries 400 (SC41-5300) . . . . . . . . . . . . . xi
|
A quin est dirigido este manual . . Cmo utilizar esta publicacin . . . Requisitos e informacin relacionada . Operations Navigator. . . . . . Cmo enviar sus comentarios . . . . . . . . . . . . . . . . . . . . . . . . xi . xii . xii . xiii . xiii Cambio de contraseas conocidas pblicamente . . Establecimiento de los valores de inicio de sesin . Cambio de los mensajes de error de inicio de sesin Planificacin de la disponibilidad de los perfiles de usuario . . . . . . . . . . . . . . . . Eliminacin de perfiles de usuario inactivos . . . Inhabilitacin automtica de perfiles de usuario Eliminacin automtica de perfiles de usuario . . Cmo evitar las contraseas por omisin . . . . Supervisin de la actividad de inicio de sesin y de contrasea . . . . . . . . . . . . . . . Consejos para el almacenamiento de la informacin de contraseas . . . . . . . . . . . . . 31 34 35 36 37 37 38 38 39 40
Resumen de los cambios. . . . . . . xv
Parte 1. Lea esto primero . . . . . . 1

Captulo 1. Mejoras en la seguridad de iSeries 400 . . . . . . . . . . . . . 3
| Mejoras de seguridad para la V5R1 . . . . . . . 3
Mejoras Mejoras Mejoras Mejoras Mejoras de de de de de seguridad seguridad seguridad seguridad seguridad para para para para para la la la la la V4R5 . V4R4 . V4R3 . V4R2 . V4R1 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4 5 6 7 9
Captulo 5. Cmo realizar la puesta a punto del sistema para utilizar las Herramientas de seguridad . . . . . . 41
Iniciacin a las Herramientas de seguridad . . . Seguridad en las Herramientas de seguridad . Cmo evitar conflictos de archivos . . . . Cmo salvar las Herramientas de seguridad . Mandatos y mens de los mandatos de seguridad Opciones del men Herramientas de seguridad Cmo utilizar el men Proceso por lotes de la seguridad . . . . . . . . . . . . . Mandatos para personalizar la seguridad . . Valores establecidos por el mandato Configurar seguridad del sistema . . . . . . . . . Acciones del mandato Revocar autorizacin de uso pblico . . . . . . . . . . . . . . . . 41 41 41 42 42 42
. 45 . 52 . 53 . 55
Parte 2. Consejos para la seguridad bsica del sistema iSeries 400 . . . 11

Captulo 2. Elementos bsicos de la seguridad de iSeries . . . . . . . . . 13
Niveles de seguridad . . . . . . . . . Valores globales . . . . . . . . . . . Perfiles de usuario . . . . . . . . . . Perfiles de grupo . . . . . . . . . . Seguridad por recursos . . . . . . . . Acceso limitado a las funciones del programa . Auditora de la seguridad . . . . . . . Informe de atributos de seguridad del sistema ejemplo. . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13 14 15 15 15 16 18
Parte 3. Consejos para la seguridad avanzada del sistema . . . . . . . 57

Captulo 6. Utilizacin de la autorizacin sobre objetos para proteger la informacin . . . . . . . 59
El sistema aplica siempre la autorizacin sobre objetos?. . . . . . . . . . . . . . . . El legado de la seguridad de mens . . . . . . Limitaciones del control de acceso a mens. . . Consejos para mejorar el control de acceso a mens con la seguridad de objetos . . . . . Preparacin de un entorno de transicinEjemplo Utilizacin de la seguridad de bibliotecas para complementar la seguridad de mens . . . . Consejos para preparar la propiedad de objetos . . Consejos para la autorizacin sobre objetos para mandatos del sistema y programas . . . . . . Consejos para la auditora de funciones de seguridad . . . . . . . . . . . . . . . Auditora de la seguridad . . . . . . . . Anlisis de perfiles de usuario . . . . . . . 59 60 60 61 61 63 64 64 64 64 65
. 19
Captulo 3. Asistente de seguridad y Asesor de seguridad iSeries 400 . . . 21

Asistente de seguridad iSeries 400 . Asesor de seguridad iSeries 400 . . . . . . . . . . . . 21 . 23
Captulo 4. Consejos para controlar el inicio de sesin interactivo . . . . . . 25

| |
Definicin de las normas para las contraseas . . . 25 Niveles de contrasea . . . . . . . . . . . 26 Planificacin de cambios de nivel de contrasea 27
Copyright IBM Corp. 1996, 2001
iii
Consejos para analizar las autorizaciones sobre objetos . . . . . . . . . . . . . . Bsqueda de objetos alterados . . . . . . Anlisis de programas que adoptan autorizaciones . . . . . . . . . . . Bsqueda de objetos alterados . . . . . . Consejos para gestionar el diario de auditora y los receptores de diario . . . . . . . .
. 67 . 67 . 68 . 68 . 69
Captulo 7. Consejos para gestionar y supervisar la autorizacin . . . . . . 73

Supervisin de la autorizacin de uso pblico sobre objetos . . . . . . . . . . . . . . . . Gestin de la autorizacin para objetos nuevos . . Supervisin de las listas de autorizaciones . . . . Consejos para utilizar Listas de autorizaciones. . Herramienta de poltica de auditoras . . . . Herramienta de poltica de seguridad . . . . Supervisin de la autorizacin privada sobre los objetos . . . . . . . . . . . . . . . . Supervisin del acceso a las colas de salida y a las colas de trabajos . . . . . . . . . . . . . Supervisin de autorizaciones especiales. . . . . Supervisin de entornos de usuario . . . . . . Gestin de herramientas de servicio . . . . . . Service Tools Server (STS) . . . . . . . . Utilizacin de perfiles de usuario de herramientas de servicio . . . . . . . . . Utilizacin de perfiles de dispositivo de herramientas de servicio . . . . . . . . . Utilizacin de datos de seguridad de servicio . . Inicio de sesin en las Herramientas de servicio del sistema (SST) . . . . . . . . . . . 73 74 74 75 77 79 80 81 82 83 84 85 87 91 94 98
Limitacin de la utilizacin de la autorizacin adoptada . . . . . . . . . . . . . Evitar que programas nuevos utilicen autorizacin adoptada . . . . . . . Supervisin de la utilizacin de programas desencadenantes . . . . . . . . . . Comprobacin de programas ocultos . . . Evaluacin de programas de salida registrados Comprobacin de programas planificados . . Restriccin de las posibilidades de salvar y restaurar . . . . . . . . . . . . . Comprobacin de los objetos de usuario en bibliotecas protegidas. . . . . . . . .
. . . . . . . .
. 110 . 111 . . . . 113 114 116 117
. 117 . 118
Captulo 11. Consejos para evitar y detectar intentos de pirateo . . . . . 121

Consejos de seguridad fsica . . . . . . . Consejos para supervisar la actividad del perfil de usuario . . . . . . . . . . . . . . Consejos para la firma de objetos. . . . . . Consejos para supervisar descripciones de subsistema . . . . . . . . . . . . . Consejos para las entradas de trabajo de arranque automtico . . . . . . . . . . . . . Consejos para nombres y tipos de estaciones de trabajo. . . . . . . . . . . . . . . Consejos para entradas de cola de trabajos . . Consejos para entradas de direccionamiento . . Consejos para entradas de comunicaciones y nombres de ubicacin remota . . . . . . . Consejos para entradas de trabajo de prearranque Consejos para trabajos y descripciones de trabajo Consejos para los Nombres de programas de transacciones con arquitectura . . . . . . . Peticiones de TPN con arquitectura . . . . Mtodos para supervisar eventos de seguridad . . 121 . 121 . 122 . 123 . 124 . 124 . 125 . 125 . 125 126 126 . 127 . 128 . 129
| | | | | | | | |
Captulo 8. Utilizacin de seguridad en particiones lgicas (LPAR) . . . . . . 99

Gestin de la seguridad para las particiones lgicas 100
Captulo 9. Consejos para la utilizacin de la Consola de operaciones de AS/400 . . . . . . . 103

| | | | | | | | | | | |
Visin general de la seguridad de la Consola de operaciones . . . . . . . . . . . . . Autenticacin del dispositivo de consola . . Autenticacin de usuario . . . . . . . Privacidad de datos . . . . . . . . . Integridad de datos . . . . . . . . . Consejos para la utilizacin de la Consola de operaciones con conectividad LAN . . . . . Consejos para la proteccin de la Consola de operaciones con conectividad LAN . . . . . Utilizacin del asistente de configuracin de la Consola de operaciones . . . . . . . . . . . . . . 104 104 104 104 105
Parte 4. Consejos para las aplicaciones y las comunicaciones de red . . . . . . 131

Captulo 12. Utilizacin del Sistema de Archivos Integrado (IFS) para proteger los archivos . . . . . . . . 133
El mtodo de seguridad del Sistema de Archivos Integrado (IFS) . . . . . . . . . . . . . Consejos de seguridad para los sistemas de archivos raz (/), QOpenSys y los definidos por el usuario . . . . . . . . . . . . . . . Cmo funciona la autorizacin para los sistemas de archivos raz (/), QOpenSys y los definidos por el usuario . . . . . . . . . . . . Mandato Imprimir objetos con autorizacin privada (PRTPVTAUT) . . . . . . . . . . Mandato Imprimir objetos con autorizaciones de uso pblico (PRTPUBAUT) . . . . . . . . . Restriccin del acceso al sistema de archivos QSYS.LIB . . . . . . . . . . . . . . . Seguridad de los directorios . . . . . . . . 133
. 105 . 105 . 106
135
135 138 139 140 141
Captulo 10. Deteccin de programas sospechosos . . . . . . . . . . . 107

Proteccin contra los virus informticos . . Supervisin de la utilizacin de autorizacin adoptada . . . . . . . . . . . . . . . . 107 . 109
iv
iSeries 400 Consejos y herramientas para la seguridad del iSeries V5R1
Seguridad para nuevos objetos . . . . . . . Utilizacin del mandato Crear directorio de iSeries 400 . . . . . . . . . . . . . Creacin de un directorio con una API . . . . Creacin de un archivo continuo con las API open() o creat() . . . . . . . . . . . . Creacin de un objeto utilizando una interfaz de PC . . . . . . . . . . . . . . . . Consejos de seguridad para los sistemas de archivos QLANSrv y QNetWare . . . . . . . Consejos de seguridad para el sistema de archivos QFileSvr.400 . . . . . . . . . . . . . . Consejos de seguridad para el sistema de archivos de red . . . . . . . . . . . . . . . .
141 142 142 142 142 143 143 144
Captulo 13. Consejos para la seguridad de las comunicaciones APPC . . . . . . . . . . . . . . . 147

Terminologa de APPC . . . . . . . . . . Elementos bsicos de las comunicaciones APPC Conceptos bsicos de una sesin APPC. . . . . Consejos para restringir las sesiones APPC . . Cmo un usuario de APPC obtiene acceso al sistema destino . . . . . . . . . . . . . Mtodos que utiliza el sistema para enviar informacin sobre un usuario . . . . . . . Opciones para repartir la responsabilidad de la seguridad en una red. . . . . . . . . . Cmo asigna el sistema de destino un perfil de usuario para el trabajo . . . . . . . . . . Opciones para el paso a travs de estacin de pantalla . . . . . . . . . . . . . . . Consejos para evitar asignaciones inesperadas de dispositivos . . . . . . . . . . . . . . Consejos para el control de los trabajos por lotes y los mandatos remotos . . . . . . . . . . Consejos de seguridad para la evaluacin de la configuracin APPC . . . . . . . . . . . Parmetros relativos a la seguridad para los dispositivos APPC. . . . . . . . . . . Parmetros relativos a la seguridad para los controladores APPC . . . . . . . . . . Parmetros relativos a la seguridad para las descripciones de lnea . . . . . . . . . Consideraciones sobre seguridad de APPC APPN y HPR . . . . . . . . . . . . . . . . Seguridad a nivel de sesin para APPN y HPR Proteccin del sistema en un entorno APPN y HPR . . . . . . . . . . . . . . . 147 148 148 149 150 150 151 152 153 155 155 156 156 159 160 160 161 162
Captulo 14. Consejos para la seguridad de las comunicaciones TCP/IP . . . . . . . . . . . . . . 167

Consejos para evitar procesos TCP/IP . . . . Componentes de seguridad de TCP/IP . . . . Caractersticas de Seguridad de paquetes para asegurar el trfico de TCP/IP . . . . . . Servidor proxy HTTP. . . . . . . . . Consejos generales para la seguridad del entorno TCP/IP . . . . . . . . . . . . . . . 167 . 167 . 168 . 169 . 170
Control de los servidores TCP/IP que se inician automticamente . . . . . . . . . . . Consejos para controlar la utilizacin de SLIP . . Control de conexiones de marcacin SLIP . . . Control de las sesiones de marcacin . . . . Consideraciones de seguridad para el protocolo PPP (punto a punto) . . . . . . . . . . . Consejos de seguridad para Telnet . . . . . . Consejos para evitar el acceso de Telnet . . . Consejos para controlar el acceso de Telnet . . Consejos de seguridad para el protocolo de transferencia de archivos . . . . . . . . . Consejos para evitar el acceso de FTP . . . . Consejos para controlar el acceso de FTP . . . Consejos para la seguridad del servidor de Protocolo Bootstrap . . . . . . . . . . . Consejos para evitar el acceso BOOTP . . . . Consejos para la seguridad del servidor BOOTP Consejos para la seguridad del servidor Protocolo de Configuracin Dinmica de Sistema Principal (DHCP) . . . . . . . . . . . . . . . Consejos para evitar el acceso con DHCP . . . Consejos para la seguridad del servidor DHCP Consejos para la seguridad del servidor de Protocolo trivial de transferencia de archivos . . . Consejos para evitar el acceso TFTP . . . . . Consejos para la seguridad del servidor TFTP Consejos para la seguridad del Servidor de EXECution remoto . . . . . . . . . . . Consejos para evitar el acceso REXEC . . . . Consejos para la seguridad del Servidor REXEC Consejos de seguridad para el Daemon de ruta . . Consejos para la seguridad del servidor Sistema de nombres de dominio (DNS) . . . . . . . . Consejos para evitar el acceso con DNS . . . Consejos para la seguridad del servidor DNS Consejos de seguridad para el protocolo simple de transferencia de correo . . . . . . . . . . Consejos para evitar el acceso de SMTP . . . Consejos para controlar el acceso de SMTP . . Consejos de seguridad para POP (Protocolo de Oficina Postal) . . . . . . . . . . . . . Consejos para evitar el acceso de POP . . . . Consejos para controlar el acceso de POP . . . Consejos de seguridad para servicios Web desde el iSeries 400 . . . . . . . . . . . . . . Consejos para evitar el acceso . . . . . . . Consejos para controlar el acceso . . . . . . Consejos de seguridad para utilizar SSL con IBM HTTP Server para iSeries 400 . . . . . Seguridad de LDAP (Lightweight Directory Access Protocol) . . . . . . . . . . . . . . . Conceptos bsicos sobre LDAP . . . . . . Caractersticas de seguridad de LDAP . . . . Consejos de seguridad para el Workstation Gateway Server . . . . . . . . . . . . Consejos para evitar el acceso de WSG . . . . Consejos para controlar el acceso de WSG . . . Consejos de seguridad para el Daemon de impresora de lneas . . . . . . . . . . . Consejos para evitar el acceso de LPD . . . .
Contenido
170 172 173 175 176 178 178 179 183 183 184 186 186 187
187 187 188 189 189 190 191 191 191 192 193 193 193 194 194 195 198 198 199 200 201 201 206 207 208 212 212 213 213 215 215
| |
Consejos para controlar el acceso de LPD . . . Consejos de seguridad para el Protocolo simple de gestin de red . . . . . . . . . . . . . Consejos para evitar el acceso SNMP . . . . Consejos para controlar el acceso de SNMP . . Consejos de seguridad para el servidor INETD . . Consejos para limitar la posibilidad de vagar por la red con TCP/IP . . . . . . . . . . . . Consejos para la seguridad del programa bajo licencia Soporte de servidor de archivos TCP/IP para OS/400. . . . . . . . . . . . . . Utilizacin de VPN para asegurar las aplicaciones TCP/IP . . . . . . . . . . . . . . .
215 216 216 217 217 218
Aplicaciones Java . . . . Applets Java. . . . . . Servlets Java. . . . . . Autenticacin y autorizacin
. . . de
. . . . . . Java
. . . .
. . . .
. . . .
. . . .
. . . .
235 236 236 237
Captulo 18. Consideraciones de seguridad para los navegadores . . . 239

Riesgo: Daos en el PC local . . . . Riesgo: Acceso a los directorios de iSeries de unidades correlacionadas . . . . Riesgo: Confianza en applets firmados . . a . . . . . 239 travs . . . 239 . . . 240
219 220
Captulo 15. Consejos para la seguridad del PC . . . . . . . . . . 221

Consejos para evitar los virus en el PC . . . . . Consejos para la seguridad del acceso a datos desde PC . . . . . . . . . . . . . . . Autorizacin sobre objetos con acceso desde PC Administracin de aplicaciones de Client Access Utilizacin de SSL con Client Access Express Seguridad y Operations Navigator . . . . . Consejos para el acceso de ODBC (conectividad de base de datos abierta) . . . . . . . . . . Consideraciones de seguridad sobre las contraseas de sesin de PC . . . . . . . . . . . . Consejos para proteger el iSeries de mandatos y procedimientos remotos . . . . . . . . . . Consejos para proteger a los PC de mandatos y procedimientos remotos . . . . . . . . . . Consejos para los servidores de pasarela . . . . Consejos para las comunicaciones LAN inalmbricas. . . . . . . . . . . . . . 221 221 222 223 224 225 226 227 229 229 230 231
Captulo 19. Consejos para la seguridad de Domino para iSeries . . 241
Parte 5. Consejos y herramientas para la seguridad de Internet en iSeries 400 . . . . . . . . . . . . 243 Parte 6. Apndices . . . . . . . . 245
Apndice. IBM SecureWay: iSeries 400 e Internet . . . . . . . . . . . 247
Seguridad C2 . . . . . . . . . . . . . 247
Avisos . . . . . . . . . . . . . . 249
Marcas registradas. . . . . . . . . . . . 251
Dnde obtener ms informacin y ayuda. . . . . . . . . . . . . . . 253

Acerca de IBM SecureWay . Ofertas de servicio . . . Publicaciones relacionadas . . . . . . . . . . . . . . . . . . . . . . . 253 . 253 . 255
Captulo 16. Consejos para el uso de los programas de salida de seguridad. 233 Captulo 17. Consideraciones sobre seguridad para Java . . . . . . . . 235
ndice. . . . . . . . . . . . . . . 257
vi
Figuras
1. 2. 3. 4. 5. 6. 7. 8. 9. 10. 11. 12. 13. Administracin de aplicaciones . . . . . . Informe de atributos de seguridad del sistema - Ejemplo . . . . . . . . . . . . . Pantalla de planificacin de activacin de perfilEjemplo . . . . . . . . . . . Informe de usuariosEjemplo de informacin de contraseas . . . . . . . . . . . Men de entrada de pedidos de ejemplo Ejemplo de informe de objetos con autorizacin de uso pblico . . . . . . . Informe de autorizaciones privadas para listas de autorizaciones . . . . . . . . . . Informe Visualizar objetos de lista de autorizaciones. . . . . . . . . . . . Informe de autorizaciones privadasEjemplo Informe Autorizacin sobre colasEjemplo Informe de usuariosEjemplo 1 . . . . . . Informe de usuariosEjemplo 2 . . . . . . Imprimir perfil de usuario-Ejemplo de entorno de usuario . . . . . . . . . . . . . Trabajar con entorno DST . . . . . . . . Pantalla Seleccionar tipo de consola . . . . Pantalla Configurar adaptador de herramientas de servicio . . . . . . . . . . . . . Pantalla Aadir entrada de tabla de servicios (ADDSRVTBLE) completada . . . . . . . Trabajar con perfiles de usuario de herramientas de servicio . . . . . . . . Trabajar con perfiles de dispositivo de herramientas de servicio . . . . . . . . Trabajar con datos de seguridad de herramientas de servicio . . . . . . . . Restablecer la contrasea por omisin del sistema operativo . . . . . . . . . . Confirmar restablecer la contrasea por omisin del sistema . . . . . . . . . . 17 19 36 39 60 74 75 29. 75 81 81 82 83 84 84 85 86 87 88 38. 92 95 95 95 39. 40. 41. 42.
| 23. | | 24. | 25. |

26. 27. 28.
30. 31. 32. 33. 34. 35. 36. 37.
| | | | | | | | | | | | | | | |
14. 15. 16. 17. 18. 19. 20. 21. 22.
Cambiar seguridad de instalacin del sistema operativo . . . . . . . . . . . . . 96 Inicio de sesin de SST. . . . . . . . . 98 Las contraseas protegen la informacin del perfil de dispositivo de servicio . . . . . 106 Informe de objetos adoptados por perfil de usuario-Informe completo . . . . . . . 110 Informe de objetos adoptados por perfil de usuario-Informe de modificacin . . . . . 110 Informe de Imprimir programas desencadenantes-Ejemplo de informe completo . . . . . . . . . . . . . 114 Informe de Imprimir programas desencadenantes-Ejemplo de informe de modificacin . . . . . . . . . . . . 114 Trabajar con informacin de registro - ejemplo 116 Informe de Imprimir objetos de usuario-Ejemplo. . . . . . . . . . . 119 Pantalla Visualizar descripcin de subsistema 124 Informe Descripciones de trabajo con autorizacin excesiva-Ejemplo . . . . . . 127 Parmetros de descripcin de dispositivo APPC . . . . . . . . . . . . . . 148 Descripciones de dispositivo APPC-Informe de ejemplo . . . . . . . . . . . . 156 Informe de lista de configuraciones-Ejemplo 157 Descripciones de controlador APPC-Ejemplo de informe . . . . . . . . . . . . 159 Descripciones de lnea de APPC-Ejemplo de informe . . . . . . . . . . . . . 160 Dos redes APPN conectadas . . . . . . 162 Dos redes APPN conectadas . . . . . . 164 Una estructura de directorio LDAP bsica 210 iSeries con servidor de pasarelaEjemplo 230
vii
viii
Tablas
1. 2. 3. 4. 5. 6. 7. 8. 9. 10. 11. 12. Valores del sistema para las contraseas 25 Contraseas para perfiles proporcionados por IBM . . . . . . . . . . . . . . . 33 Contraseas para Herramientas de Servicio Dedicado . . . . . . . . . . . . . 34 Valores del sistema de inicio de sesin . . . 34 Mensajes de error de inicio de sesin . . . . 35 Mandatos de las herramientas para perfiles de usuario . . . . . . . . . . . . . . 43 Mandatos de herramientas para la auditora de seguridad . . . . . . . . . . . . . 45 Mandatos de los informes de seguridad 48 Mandatos para personalizar el sistema . . . 52 Valores establecidos por el mandato CFGSYSSEC . . . . . . . . . . . . 53 Mandatos cuya autorizacin de uso pblico se establece con el mandato RVKPUBAUT . . . 55 Programas cuya autorizacin de uso pblico se establece con el mandato RVKPUBAUT . . . 56 Resultados de cifrado . . . . . . . . . 103 Ejemplo de Utilizar autorizacin adoptada (USEADPAUT) . . . . . . . . . . . 111 15. 16. 17. 18. 19. 20. 21. 22. 23. 24. 25. Programas de salida proporcionados por el sistema. . . . . . . . . . . . . . Puntos de salida para la actividad del perfil de usuario . . . . . . . . . . . . Programas y usuarios para peticiones de TPN Valores de seguridad en la arquitectura APPC Funcionamiento conjunto del valor de seguridad de APPC y del valor SECURELOC . Valores posibles para el parmetro de usuario por omisin . . . . . . . . . . . . Ejemplo de peticiones de inicio de sesin mediante paso a travs . . . . . . . . Cmo determinan los mandatos de TCP/IP cules son los servidores a iniciar . . . . . Valores de inicio automtico para servidores TCP/IP . . . . . . . . . . . . . Funcionamiento de QRMTSIGN con TELNET Fuentes de los programas de salida de ejemplo . . . . . . . . . . . . . 115 122 128 150 151 152 153 171 171 181 233
| 13.
14.
ix
Acerca de Consejos y herramientas para la seguridad del iSeries 400 (SC41-5300)

El papel que juegan los sistemas informticos en las empresas est cambiando rpidamente. Los directores de IT, los proveedores de software, los administradores de seguridad y los auditores deben reconsiderar muchos puntos que antes haban dado por supuestos. La seguridad de iSeries se debe incluir en la lista. Los sistemas proporcionan un gran nmero de nuevas funciones que son muy distintas de las aplicaciones de contabilidad tradicionales. Los usuarios entran en los sistemas con mtodos nuevos: redes LAN, de lneas conmutadas (de marcacin), inalmbricas; en resumen, redes de todo tipo. A menudo, los usuarios no ven jams una pantalla de conexin. Numerosas organizaciones se estn convirtiendo en compaas distribuidas, ya sea con redes propietarias o con Internet. De pronto parece que los sistemas tienen un conjunto de puertas y ventanas completamente nuevo. Los gestores de sistemas y los administradores de seguridad tienen motivos para estar muy preocupados por la proteccin de la informacin en este entorno en cambio constante. Este libro proporciona consejos prcticos para la utilizacin de las funciones de seguridad de los sistemas iSeries y para establecer procedimientos operativos que tengan en cuenta la seguridad. Las recomendaciones de esta publicacin son aplicables a una instalacin con riesgos y requisitos de seguridad medios. En este libro no proporciona una descripcin completa de las funciones de seguridad del iSeries disponibles. Si desea consultar las opciones adicionales o necesita una informacin bsica ms completa, consulte las publicaciones descritas en Publicaciones relacionadas dentro del tema Dnde obtener ms informacin y ayuda en la pgina 253. | | | | | | En este libro tambin se describe cmo configurar y utilizar las herramientas de seguridad que forman parte de OS/400. Captulo 5. Cmo realizar la puesta a punto del sistema para utilizar las Herramientas de seguridad en la pgina 41 y Mandatos y mens de los mandatos de seguridad en la pgina 42 proporcionan informacin de consulta sobre las herramientas de seguridad. En toda la publicacin se proporcionan ejemplos de la utilizacin de las mismas.
A quin est dirigido este manual

El responsable de la seguridad de un sistema es el responsable de seguridad o el administrador de seguridad. Esta funcin implica las tareas siguientes: v Puesta a punto y gestin de los perfiles de usuario v Definicin de valores para todo el sistema que afectan a la seguridad v Administracin de autorizacin sobre objetos v Aplicacin y supervisin de las estrategias de seguridad Si es el responsable de la administracin de la seguridad de uno o varios sistemas iSeries, este libro est dirigido a usted. En las instrucciones se da por supuesto lo siguiente:
xi
v Est familiarizado con los procedimientos de operacin bsicos de iSeries, como el inicio de sesin y la utilizacin de mandatos. v Est familiarizado con los elementos bsicos de la seguridad del iSeries: niveles de seguridad, valores del sistema para seguridad, perfiles de usuario y seguridad de objetos. | | | | | Nota: En el Captulo 2. Elementos bsicos de la seguridad de iSeries en la pgina 13 se facilita el resumen de estos elementos. Si estos elementos bsicos son nuevos para usted, lea el tema Seguridad bsica y planificacin en el iSeries Information Center. Vea Requisitos e informacin relacionada para obtener ms detalles. v Ha activado la seguridad en el sistema definiendo el valor del sistema de nivel de seguridad (QSECURITY) en 30, como mnimo. IBM ampla continuamente las funciones de seguridad del iSeries. Para beneficiarse de estas mejoras, es necesario evaluar regularmente el paquete de arreglos acumulativos que est disponible en cada momento para el release del que disponga. Compruebe si contiene arreglos que conciernan a la seguridad. Adems, en el Captulo 1. Mejoras en la seguridad de iSeries 400 en la pgina 3 se describen las mejoras ms importantes para la seguridad del iSeries que ha realizado IBM en los releases ms recientes del sistema operativo.
| | | | | | |
Cmo utilizar esta publicacin

Si no prepar el sistema para utilizar las herramientas de seguridad o si instal el Kit de utilidades de seguridad OS/400 de un release anterior, haga lo siguiente: 1. Empiece por el Captulo 3. Asistente de seguridad y Asesor de seguridad iSeries 400 en la pgina 21. En l se describe cmo utilizar estas caractersticas para seleccionar las herramientas de seguridad recomendadas y cmo aprender a utilizarlas. 2. Para una mayor informacin bsica sobre seguridad puede ver el tema Security Basic, en lnea en el Information Center.
Seleccione lo que necesite Este libro contiene muchos consejos para proteger el iSeries. Es posible que su sistema slo necesite proteccin en ciertas reas. Utilice este manual para obtener informacin sobre los riesgos posibles y sus soluciones. Despus centre su atencin en las reas que sean ms importantes para su sistema.
| | | | | | | | | | |
Requisitos e informacin relacionada

Utilice el iSeries Information Center como punto de partida para consultas informacin tcnica sobre el iSeries y el AS/400e. El iSeries Information Center es su recurso principal para buscar informacin sobre iSeries 400, ya que incluye informacin que no encontrar en ningn otro lugar. Puede acceder al Information Center de dos maneras: v Desde el siguiente sitio Web:
http://www.ibm.com/eserver/iseries/infocenter
v Desde los CD-ROM que se envan con el pedido del Operating System/400: iSeries Information Center, SK3T-7769-00 (SK3T-4091-00). Este paquete tambin incluye las versiones PDF de los manuales del iSeries Information Center, iSeries
xii
| | | | | | | | | | | | | | | | | | | |
Information Center: Manuales suplementarios, SK3T-7770-00 (SK3T-4092-00), que sustituye al CD-ROM de biblioteca en soporte software. El Information Center contiene asesores y temas de importancia como, por ejemplo, mandatos CL, interfaces de programas de aplicacin de sistemas (API), particiones lgicas, clusters, Java, TCP/IP, servidores Web y redes seguras. Tambin incluye enlaces con los Libros rojos de IBM relacionados y enlaces de Internet con otros sitios Web IBM como, por ejemplo, Technical Studio y la pgina de presentacin de IBM. Con cada nuevo pedido de hardware, recibir la siguiente informacin en CD-ROM: v iSeries 400 Instalacin y biblioteca de servicio, SK3T-7771-00 (SK3T-4096-00). Este CD-ROM contiene manuales PDF necesarios para la instalacin y el mantenimiento del sistema de un servidor IBM ~ iSeries 400. v iSeries 400 CD-ROM de instalacin y operaciones, SK3T-7768-00 (SK3T-4098-00). Este CD-ROM contiene IBM iSeries Client Access Express para Windows y el asistente EZ-Setup. Client Access Express ofrece un potente conjunto de posibilidades para cliente y servidor para conectar PCs a servidores iSeries. El asistente EZ-Setup automatiza muchas de las tareas de puesta a punto del iSeries.
Operations Navigator
| | | | | | | | | | Operations Navigator de IBM iSeries es una potente interfaz grfica para la gestin de los servidores iSeries y AS/400e. La funcionalidad del Operations Navigator incluye la navegacin del sistema, configuracin, posibilidades de planificacin y ayuda en lnea para guiarle en las tareas. El Operations Navigator hace que la operacin y la administracin del servidor resulte ms fcil y productiva y es la nica interfaz de usuario para las nuevas funciones avanzadas del sistema operativo OS/400. Tambin incluye Management Central para la gestin de mltiples servidores desde un servidor central. Para obtener ms informacin sobre Operations Navigator, consulte el Information Center.
Cmo enviar sus comentarios

Sus opiniones nos resultan de gran ayuda para poder proporcionarle la informacin ms til y precisa para sus necesidades. Si tiene comentarios sobre esta publicacin o cualquier otra documentacin de iSeries, puede envirnoslos utilizando el formulario de comentarios del lector. v Si prefiere enviar los comentarios por correo electrnico, utilice una de estas direcciones: Comentarios sobre publicaciones: PUBAS400@VNET.IBM.COM Comentarios sobre iSeries Information Center: RCHINFOC@us.ibm.com v O bien, si prefiere enviar los comentarios por correo, puede utilizar el formulario de comentarios del lector que lleva impresa la direccin postal en el reverso. Si enva el formulario de comentarios del lector desde un pas que no sea Estados Unidos, puede entregar el formulario a la sucursal local de IBM o al representante de IBM para su envo con franqueo pagado.
Acerca de Consejos y herramientas para la seguridad del iSeries 400 (SC41-5300)
xiii
v Si prefiere enviar los comentarios por FAX, utilice cualquiera de los nmeros siguientes: Desde Espaa: (93) 321 61 34 Desde otros pases: 34 93 321 61 34 Asegrese de incluir lo siguiente: v El nombre del libro. v El nmero de publicacin del libro. v El nmero de pgina o el tema al que hacen referencia sus comentarios.
xiv
Resumen de los cambios

| | | | | | | | | Esta es la sexta edicin de Tips and Tools for Securing Your iSeries. Esta edicin da soporte a las versiones V4R1, V4R2, V4R3, V4R4, V4R5 y V5R1 de OS/400. Para ver qu se ofrece en cada uno de estos releases del OS/400 en lo que se refiere a nuevas funciones de seguridad, consulte el Captulo 1. Mejoras en la seguridad de iSeries 400 en la pgina 3, que proporciona una descripcin de la nueva informacin sobre seguridad para cada versin. Tambin se han realizado otras modificaciones tcnicas y tipogrficas de menor importancia. Una lnea vertical (|), a la izquierda del texto, indica que se ha efectuado una modificacin o que se ha aadido informacin.
xv
xvi
Parte 1. Lea esto primero

Por el picor que hay en mis dedos s que la infamia se aproxima. A quienquiera que sea, abridle los cerrojos. William Shakespeare: Macbeth
RV3M1202-0
Captulo 1. Mejoras en la seguridad de iSeries 400

| | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | La siguiente informacin le ofrece una breve visin general de los cambios y las adiciones realizados en las caractersticas de seguridad para iSeries. Se destacan las mejoras en la seguridad para los releases V4R1, V4R2, V4R3, V4R4, V4R5 y V5R1. Encontrar consejos ms detallados en cada tema individual. Nota: El iSeries Information Center (IC) es su recurso principal para buscar informacin sobre iSeries 400. La mayora de nuevas funciones como, por ejemplo, la gestin de particiones lgicas, la gestin de certificados digitales, etc. estn documentados ampliamente en IC solamente. El IC tambin proporciona enlaces con otros recursos de informacin sobre iSeries 400, tales como Technical Studio y la biblioteca en lnea. Para obtener ms informacin sobre cmo acceder al Information Center, consulte el apartado Requisitos e informacin relacionada en la pgina xii.
Mejoras de seguridad para la V5R1

v Niveles de contrasea: La V5R1 ofrece cifrado de seguridad por contrasea mejorado. Se da soporte a mltiples niveles de seguridad por contrasea utilizando algoritmos criptogrficos avanzados para proteger las contraseas de usuario. Vea Niveles de contrasea en la pgina 26 para obtener ms detalles. v Herramientas de servicio del sistema: Un procedimiento de inicio de sesin modificado protege el acceso a las herramientas de servicio del sistema. Vea Inicio de sesin en las Herramientas de servicio del sistema (SST) en la pgina 98 para obtener informacin sobre el nuevo procedimiento. v Servicio de Autenticacin de Red: El Servicio de Autenticacin de Red (NAS) es una herramienta que verifica la identidad de un usuario de una red. NAS autentica el usuario y, seguidamente, pasa la identidad autenticada a otros servicios de la red. Para obtener informacin sobre NAS, incluida la terminologa, los conceptos, el material de consulta, el proceso mediante el que se produce la autenticacin y las instrucciones de tareas para configurar y gestionar NAS, consulte el Information Center (vea Requisitos e informacin relacionada en la pgina xii para conocer detalles). v Calidad de servicio (QoS):QoS es una nueva funcin que le permite solicitar prioridad de red y ancho de banda para una aplicacin TCP/IP. La prioridad de paquetes es de gran importancia si enva aplicaciones que necesiten resultados previsibles y fiables como, por ejemplo, multimedia. Para obtener informacin sobre QoS, incluyendo los conceptos, el material de consulta y las instrucciones de tareas para configurar y gestionar QoS, consulte el Information Center (vea Requisitos e informacin relacionada en la pgina xii para conocer detalles). v Firmas digitales: La mayora de programas del sistema operativo van firmadas digitalmente. El valor del sistema QVFYOBJRST puede utilizarse para evitar que se almacenen en su sistema programas no firmados o programas con una firma errnea. Tambin se ha aadido soporte que le permitir firmar sus programas, los archivo de salvar y los archivos continuos. La integridad del sistema operativo de la V5R1 y la integridad de las opciones y los programas bajo licencia del OS/400 estn protegidos mediante firma digital. Consulte Consejos para la firma de objetos en la pgina 122 para obtener ms detalles.
| | | | | | | | | | | | | | | | |
v Consola de operaciones con conectividad LAN: La V5R1 permite llevar a cabo actividades de consola por la LAN (red de rea local). La autenticacin mejorada proporciona seguridad durante este procedimiento. Vea el Captulo 9. Consejos para la utilizacin de la Consola de operaciones de AS/400 en la pgina 103 para obtener ms detalles. v Perfiles de usuario de la Herramienta de seguridad: Se controla el acceso a las herramientas de servicio mediante un conjunto ampliado de perfiles de usuario. Utilice las herramientas de seguridad para mejorar la seguridad de la LAN. Vea Gestin de herramientas de servicio en la pgina 84 para obtener ms detalles. v Servidor HTTP para iSeries 400: Ahora se conoce al Internet Connection Server (ICS) como el Servidor HTTP IBM para iSeries 400. Ya no existe un producto Servidor HTTP seguro por separado. En su lugar, para habilitar SSL en el iSeries 400, debe instalar uno de los siguientes productos criptogrficos: 5722AC2 5722AC3 Una vez haya instalado uno de estos productos, SSL estar habilitado para todos los productos que utilicen SSL, incluido el Servidor HTTP.

v Websphere: IBM WebSphere Application Server es un entorno de aplicaciones de Java para crear, desplegar y gestionar aplicaciones Web para Internet e intranet. Este completo conjunto de productos se ampla para ajustarse a sus necesidades para el servidor de aplicaciones Web, abarcando todos los niveles, desde el sencillo al avanzado y al de empresa. Existen algunas consideraciones sobre seguridad que deber tener en cuenta. Dichas consideraciones se tratan en las pginas de informacin sobre el WebSphere Application Server, donde tambin puede revisar ejemplos prcticos relacionados con la seguridad para comprender mejor las posibles opciones. El URL es http://www.software.ibm.com/webservers/appserv/library.html. v LDAP: Los Servicios de Directorio iSeries incluyen las siguientes mejoras y nuevas caractersticas: El cliente LADP Windows 95 y Windows NT que se entrega con los Servicios de Directorio iSeries incluye ahora la Herramienta de gestin de directorios IBM SecureWay, que proporciona una interfaz grfica de usuario para trabajar con el directorio LDAP. Ahora se especifican nombres de servidor en el formato ms corriente de URL, en lugar de utilizar nombres DNS. Esto incluye la manera en que se especifican los servidores en los referentes de LDAP, as como las referencias a servidores externos en los archivos LDIF. Los archivos LDIF tienen un formato mejorado. Ahora se utiliza la autenticacin de cliente para aadir ms seguridad a las conexiones SSL con el servidor de directorio LDAP. Ahora se utiliza la autenticacin de cliente para aadir ms seguridad a las conexiones SSL con el servidor de directorio LDAP. Ahora puede utilizar listas de control de accesos (ACL) para otorgar autorizacin sobre objetos de directorio a los usuarios que se enlacen al servidor de directorio LDAP con conexiones no annimas. Los Servicios de Directorio iSeries ahora dan soporte a UTC Time y a Generalized Time. UTC Time utiliza dos dgitos para almacenar el ao y no est considerado como seguro para el ao 2000, pero se incluye por razones histricas. Generalized Time utiliza cuatro dgitos para el ao y est considerado como seguro para el ao 2000.
Se ha mejorado el soporte de alias. Los alias ya no tienen que ser nodos hoja y pueden combinarse con otras clases de objetos. Mejoras de la V4R4: Los Servicios de Directorio iSeries incluyen las siguientes mejoras y nuevas caractersticas para la V4R4: Puede ver una lista de los trabajos en ejecucin en el servidor. Puede publicar informacin del sistema de iSeries 400 en el servidor de directorios. Cuando publique informacin de usuario de iSeries 400 en el servidor de directorios, los Servicios de Directorio de iSeries exportarn automticamente las entradas desde el directorio de distribucin del sistema al directorio LDAP Ahora los objetos de directorios pueden tener mltiples propietarios y pueden ser tambin sus propios propietarios. El plan del servidor de directorios incluye ahora el soporte para atributos enteros y booleanos. Puede utilizar un carcter * para un valor de atributo solicitado. Utilizando el carcter *, puede recuperar todos los atributos no operativos. Esto hace que el recuperar los atributos operativos y los no operativos en una bsqueda resulte mucho ms fcil. Para hacerlo, tendra que listar en la bsqueda los atributos operativos de los que desee informacin, ms el carcter *. Puede utilizar alias con el servidor de directorios. Se ha aadido un nuevo TPN sin arquitectura al sistema iSeries 400. Para obtener ms informacin, consulte el apartado Consejos para los Nombres de programas de transacciones con arquitectura en la pgina 127.

v Red privada virtual (VPN): La VPN nativa en OS/400 le permite proteger de forma selectiva sus aplicaciones de Protocolo de Control de Transmisin/Protocolo Internet (TCP/IP). v Soporte adicional de Capa de Sockets Segura (SSL): A partir de la V4R4 puede utilizar SSL para cifrar las comunicaciones entre clientes Telnet y su servidor iSeries 400. Tambin a partir de la V4R4, todas las funciones de Client Access Express excepto MAPI pueden comunicarse por SSL. Client Access Express permite las comunicaciones SSL con el servidor iSeries 400 a tres niveles de cifrado (40 bits, 56 bits y 128 bits). v Los programas de estado del sistema y los objetos que adoptan estn permitidos al cargar archivos PTF: Se ha aadido un nuevo valor, *ALWPTF , al valor del sistema QALWOBJRST. Cuando especifique este valor, los programas de estado del sistema y los objetos que adopten autorizacin tendrn permitida la entrada en el sistema al cargar archivos PTF. v Las mejoras de los cortafuegos incluyen el soporte de mltiples dominios y mltiples sistemas de correo Una novedad de la V4R4, IBM Firewall para iSeries 400, le permite configurar mltiples dominios de correo tanto en el lado protegido del cortafuegos como en el no protegido. Los mltiples dominios de correo crean divisiones dentro de la red protegida de forma que pueda direccionarse el correo al dominio apropiado. Los mltiples dominios de correo permiten a las empresas direccionar el correo utilizando un nico rel para conectarse a uno o varios servidores de correo. Las empresas que necesiten alias de dominio tambin se beneficiarn de esta mejora.
Por ejemplo, la empresa xyz.com tambin puede tener un dominio registrado como, por ejemplo, xyz.com.uk; con el pas como sufijo final del dominio.

Acceso limitado a las funciones del programa: A partir de la V4R3, puede limitar el nmero de usuarios que podrn acceder a las funciones de un programa. La funcin de un programa puede ser una aplicacin, partes de una aplicacin, o distintas funciones dentro de un programa. Este soporte no sustituye a la seguridad por recursos, sino que es otro mtodo para ayudarle a controlar el acceso a su sistema. Administacin de aplicaciones de Operations Navigator: Puede utilizar el soporte de Administracin de aplicaciones del OpsNav para gestionar el acceso de los usuarios a las funciones del programa. Asesor de seguridad iSeries 400e: El Asesor de seguridad es una herramienta, basada en el navegador, que proporciona recomendaciones para la mayora de los valores principales del sistema que se utilizan. Si es un nuevo usuario de iSeries 400 o su entorno ha cambiado, tambin puede utilizar el Asesor de seguridad iSeries 400e para generar una lista de recomendaciones que pueda utilizar para planificar y crear polticas de seguridad. Asistente de seguridad iSeries 400: El Asistente de seguridad le ayuda a configurar la seguridad en el iSeries 400 formulando una serie de preguntas sobre su empresa. Tras procesar el asistente las respuestas a las preguntas, se visualizar un panel con informacin sobre la implementacin de la seguridad. Puede utilizar el Asistente de seguridad iSeries 400 para configurar: v Valores del sistema y atributos de red relacionados con la seguridad v Generacin de informes relacionados con la seguridad para supervisar el sistema v Valores por omisin de los mandatos para crear perfiles de usuario Mandato Imprimir valores internos de perfil (PRTPRFINT): Puede utilizar el mandato Imprimir valores internos de perfil para imprimir un informe que contenga informacin sobre el nmero de entradas contenidas en un perfil de usuario. Mandato Imprimir autorizacin privada (PRTPVTAUT) e Imprimir autorizacin de uso pblico (PRTPUBAUT) : Ahora puede utilizar los mandatos PRTPVTAUT y PRTPUBAUT para gestionar autorizaciones para los objetos del sistema de archivos integrado. Mandato Restaurar perfil de usuario (RSTUSRPRF): La autorizacin especial *ALLOBJ ya no se elimina de los perfiles de usuario en algunos casos. Se elimina cuando se restaura un perfil de usuario a un sistema con un nivel de seguridad 30 o superior en una de estas situaciones: v El perfil se salv en un sistema distinto y el usuario que ejecuta RSTUSRPRFF no tiene las autorizaciones especiales *ALLOBJ y *SECADM. v El perfil se salv en el mismo sistema con el nivel de seguridad 10 20. La autorizacin especial *ALLOBJ no se elimina nunca de estos perfiles de usuario suministrados por IBM: v QSYS (sistema) v QSECOFR (responsable de seguridad) v QLPAUTO (instalacin automtica de programa bajo licencia) v QLPINSTALL (instalacin de programa bajo licencia)
Filtrado de paquetes de Protocolo Internet (IP): Proporciona la capacidad de bloquear el trfico de IP de forma selectiva, basndose en la informacin de las cabeceras de los paquetes IP y las especficas del protocolo. Consulte el Information Center para conocer detalles, bajo el tema Redes (Networking). Servidor proxy HTTP : El servidor proxy HTTP viene con el Servidor HTTP IBM para iSeries 400. El servidor proxy recibe las peticiones HTTP de los navegadores Web, y las vuelve a enviar a los servidores Web. Consulte el Information Center para conocer ms detalles. NAT (conversin de direcciones de red): La Conversin de direcciones de red (NAT) modifica las direcciones IP origen o destino de los paquetes que fluyen por el sistema. Con NAT, podr utilizar el sistema iSeries 400 como pasarela entre dos redes que posean esquemas de direccionamiento conflictivos o incompatibles. Tambin podr utilizar NAT para ocultar las direcciones IP reales de una red, sustituyndolas dinmicamente por otras direcciones distintas. Consulte el Information Center para conocer ms detalles. VPN en el IBM Firewall para iSeries 400: IBM Firewall para iSeries 400 proporciona teconologas de red privada virtual (VPN). Con las VPN se pueden crear conexiones cifradas entre el cortafuegos y muchos otros productos cortafuegos de IBM. En la V4R3 se introdujo la Conversin de direcciones de red (NAT) para el cortafuegos como nueva caracterstica. Servidor HTTP para iSeries 400: Ahora se conoce al Internet Connetion Server (ICS) como el Servidor HTTP IBM para iSeries 400. Ya no existe un producto Servidor HTTP Seguro por separado. En su lugar, para habilitar SSL en el iSeries 400, debe instalar uno de los siguientes productos criptogrficos: v 5769AC1 v 5769AC2 v 5769AC3 Una vez haya instalado uno de estos productos, SSL estar habilitado para todos los productos que utilicen SSL, incluido HTTP Server.

Autorizaciones a nivel de columna para archivos de base de datos : A partir de la V4R2 puede especificar autorizaciones para campos especficos en un archivo DB2/400. DB2/400 soporta las autorizaciones a nivel de campo siguientes: Autorizacin de actualizacin: Puede especificar qu usuarios pueden modificar el valor de un campo. Autorizacin de referencias: Puede controlar qu usuarios pueden especificar un campo como clave padre en una restriccin referencial. Puede disponer de la posibilidad de otorgar y revocar la autorizacin a nivel de campo a travs de las sentencias de SQL. Puede utilizar el mandato Visualizar autorizacin de objeto (DSPOBJAUT) para ver las autorizaciones a nivel de campo de un archivo. Para obtener ms informacin sobre las autorizaciones a nivel de campo, consulte la publicacin DB2 UDB for iSeries 400 SQL Reference. Puntos de salida TELNET: A partir de la V4R2, hay dos puntos de salida disponibles para TELNET: inicio de sesin y fin de sesin. Estos puntos de salida proporcionan la
posibilidad de controlar y supervisar el acceso mediante TELNET al sistema. Estos son algunos ejemplos de las posibles acciones que puede llevar a cabo en su programa de salida TELNET escrito por el usuario: v Aceptar o denegar una peticin de sesin v Asignar a la peticin una descripcin especfica de dispositivo de iSeries v Asignar un perfil de usuario especfico para la sesin v Anotar cronolgicamente las conexiones y desconexiones del sistema a travs del servidor TELNET El apartado Consejos de seguridad para Telnet de esta publicacin y los artculos sobre Configuracin de TCP/IP y consulta del Information Center proporcionan ms informacin sobre los nuevos puntos de salida de TELNET. Protocolo punto a punto (PPP): A partir de la V4R2, TCP/IP incluye soporte para PPP. PPP proporciona un mejor rendimiento y unas posibilidades de seguridad mejoradas respecto a SLIP. Con PPP, la autenticacin de los usuarios est estructurada y no depende de los scripts creados por usuario. El cifrado de los nombres de los usuarios y de las contraseas est disponible siempre que ambas partes de la conexin lo soporten. PPP tambin soporta la validacin de direcciones IP. Con esto se asegura que un usuario tenga una direccin dentro de un rango especificado como proteccin frente a la suplantacin de IP (IP spoofing). PPP tambin proporciona la capacidad de configurar el perfil de conexin para restablecer peridicamente el reto de protegerse contra la suplantacin de sesiones. El apartado Consideraciones de seguridad para el Protocolo punto a punto de esta publicacin y los artculos sobre Configuracin de TCP/IP y consulta del Information Center proporcionan ms informacin. Puesta de contraseas en antememoria para clientes Windows 95 : El clientes Windows 95 para Client Access proporciona la posibilidad de guardar contraseas en la antememoria de contraseas de Windows 95 (con un recuadro de seleccin Guardar contrasea en el inicio de sesin). Tambin proporciona la posibilidad de borrar contraseas de la antememoria (con un botn Borrar contraseas ). Ello elimina todas las contraseas de Client Access de la antememoria de contraseas Windows 95. Cuando desinstala Client Access, el proceso tambin borra todas las contraseas de Client Access de la antememoria de contraseas de Windows 95. Gestor de certificados digitales : El Gestor de certificados digitales (DCM) registra los certificados de usuario que cree. Tambin puede utilizar el DCM para registrar los certificados de usuario que emitan otras Autoridades certificadoras. DCM asocia automticamente el certificado registrado al perfil de usuario iSeries 400 del propietario. Para utilizar certificados digitales debe tener instalados los Programas de Utilidad de Conectividad TCP/IP para iSeries (5769-TC1) y el Servidor HTTP IBM para iSeries (5769-DG1) en su iSeries. Tambin debe instalar un programa bajo licencia suministrador de acceso criptogrfico (5769-AC1, 5769-AC2 o 5769-AC3) para crear claves de certificado. Estos productos criptogrficos determinan la longitud de clave mxima permitida para los algoritmos criptogrficos. El estndar de la industria para los certificados digitales es el formato X.509. Los certificados que cree en el Gestor de certificados digitales son compatibles con las versiones 2 y 3 de X.509. Operations Navigator : Proporciona configuraciones de seguridad de usuario y grupo para para facilitar la gestin de seguridad digital a los usuarios de iSeries 400.

Internet Connection Server En la V4R1, el servidor HTTP TCP/IP se convierte en el Internet Connection Server (ICS). El ICS proporciona tanto funciones mejoradas (a travs del servidor HTTP) como compatibilidad a travs de mltiples plataformas de IBM. Tambin proporciona nuevas posibilidades de seguridad: v Nuevas directivas le permiten solicitar la autenticacin (contrasea e ID de usuario) antes de aceptar las peticiones para algunos o todos los recursos del ICS (URL y programas CGI). Puede utilizar perfiles de usuario normales del iSeries o un nuevo objeto de validacin de iSeries para proporcionar la autenticacin. v Con las nuevas directivas, tambin puede intercambiar a un perfil de usuario iSeries diferente antes de acceder a los recursos del ICS (en lugar de utilizar los perfiles de usuario por omisin que se proporcionan con el servidor).Esta posibilidad le permite, por ejemplo, beneficiarse de la seguridad de los recursos de iSeries cuando atiende a varios sitios Web en el mismo sistema. El tema Web serving with your IBM HTTP Serverque encontrar en el Information Center proporciona ms informacin sobre las consideraciones de seguridad para este nuevo servidor. Internet Connection Secure Server: Con la V4R1, el nuevo Internet Connection Secure Server (ICSS) proporciona la posibilidad de establecer una conexin segura entre el iSeries y un navegador habilitado para SSL. El ICSS utiliza el protocolo SSL (capa de sockets segura) para autenticar servidores y cifrar los datos transmitidos. (Los navegadores Web ms utilizados tienen SSL habilitado). El ICSS proporciona la base para el comercio electrnico seguro utilizando un servidor iSeries El tema Web serving with your IBM HTTP Serverque encontrar en el Information Center proporciona ms informacin sobre las consideraciones de seguridad para este nuevo servidor. Firewall para iSeries 400: El IBM Firewall para iSeries 400 (5769FW1) es un producto software que habilita al Integrated Netfinity Server para iSeries 400 en el iSeries para que realice las funciones de un cortafuegos. El cortafuegos separa la red interna (protegida) de una red externa (no protegida) (generalmente Internet). Puede ejecutar el IBM Firewall para iSeries 400 en su sistema iSeries de produccin (para proteger tanto su sistema de produccin como otros sistemas conectados). Para obtener la mxima proteccin de seguridad, por lo general deber utilizar un sistema iSeries dedicado y separado como servidor Internet. Tambin puede elegir ejecutar el cortafuegos en un sistema iSeries multiuso que ejecute las aplicaciones de produccin y que proporcione servicios de Internet. No obstante, el xito de esta implementacin depende en gran medida tanto del diseo de la aplicacin como de la meticulosidad de sus normas de configuracin. El IBM Firewall para iSeries 400 proporciona las siguientes posibilidades: v El filtro de paquetes ofrece soporte para TCP, UDP e ICMP. El filtro dinmico de paquetes ofrece soporte para RealAudio (Redes progresivas). v Un servidor de nombres de dominio. v Servidores proxy para aplicaciones comunes, tales como HTTP, TELNET y FTP. v Un servidor socks independiente de la aplicacin. v Un servidor de correo. v Supervisin y registro extensivos.
v Administracin a travs de un navegador Web. Para el administrador del sistema, el IBM Firewall para iSeries 400 proporciona la ventaja de utilizar tecnologa y un entorno ya conocido. Proporciona un mtodo econmico para proteger la red interna al conectar con otras redes externas no protegidas. Technical Studio proporciona informacin completa sobre cmo configurar el cortafuegos y cmo utilizar sus posibilidades. El sitio Web del Firewall para iSeries 400 proporciona informacin actual, consejos, y respuestas a las preguntas ms frecuentes. Visite el sitio Web en el URL siguiente:
http://www.as400.ibm.com/firewall
Net.Commerce para iSeries: El Internet Connection Server y el Internet Connection Secure Server proporciona las bases para el comercio electrnico en el iSeries. Dos programas bajo licencia facilitan las herramientas para desarrollar un centro comercial de funciones completas en su sitio Web. v IBM Net.Commerce para iSeries (5798-NC2) proporciona herramientas para disear y administrar su sitio Web. Puede crear y mantener catlogos de productos y utilizar una metfora de cesta de la compra para los visitantes de su sitio Web. Para obtener la informacin ms actualizada acerca de las ofertas de correo electrnico de IBM, visite el sitio Web siguiente:
http://www.internet.ibm.com/commercepoint/net.commerce/
Puntos de salida TCP/IP: A partir de la V4R1, ms aplicaciones TCP/IP utilizan los puntos de salida que anteriormente slo estaban disponibles para el servidor FTP. Ahora puede utilizar programas de salida para controlar la actividad de los servidores REXEC y TFTP. Para obtener ms informacin sobre los Programas de salida del Protocolo de Configuracin Dinmica de Sistema Principal, consulte ese tema en el Information Center. El artculo TCP/IP User Exits de esta publicacin proporciona ms informacin sobre cmo utilizar los puntos de salida FTP.
10
Parte 2. Consejos para la seguridad bsica del sistema iSeries 400

La curiosidad es una de las caractersticas permanentes y ciertas de una mente inquieta. Samuel Johnson: The Rambler Cuando nos paramos a pensar, solemos perder nuestra oportunidad. Publilius Syrus: Mxima 185
RV3M1203-0
11
12
Captulo 2. Elementos bsicos de la seguridad de iSeries

Este tema proporciona una breve revisin de los elementos bsicos que trabajan conjuntamente para proporcionar seguridad en iSeries. En otras secciones de esta publicacin se va ms all de lo bsico para proporcionarle consejos para utilizar esos elementos de seguridad de forma que satisfagan las necesidades de su organizacin.
Niveles de seguridad
Puede elegir la seguridad que desea que tenga el sistema estableciendo el valor del sistema de nivel de seguridad (QSECURITY). El sistema ofrece cinco niveles de seguridad: Nivel 10: El sistema no tiene seguridad de ningn tipo. No se precisan contraseas. Si el perfil de usuario especificado no existe en el sistema cuando se inicia una sesin, el sistema crea uno nuevo. ATENCIN: A partir de la V4R3 y en futuros releases, no podr establecer el valor del sistema QSECURITY en 10. Si su sistema tiene actualmente un nivel de seguridad 10, seguir teniendo el nivel 10 cuando instale la Versin 4 Release 3. Si cambia el nivel de seguridad por otro valor, no podr regresar al nivel 10. Dado que el nivel 10 no proporciona proteccin de seguridad, IBM no recomienda el nivel de seguridad 10. IBM no proporcionar soporte para los problemas que se produzcan con un nivel de seguridad 10, a menos que dicho problema tambin pueda aparecer con un nivel de seguridad ms alto. Nivel 20: El sistema precisa un ID de usuario y una contrasea para el inicio de la sesin. Este nivel tambin recibe el nombre de seguridad de inicio de sesin.Por omisin, todos los usuarios tienen acceso a todos los objetos, ya que poseen la autorizacin especial *ALLOBJ. Nivel 30: El sistema precisa un ID de usuario y una contrasea para el inicio de la sesin. Los usuarios deben tener autorizacin para la utilizacin de los objetos, ya que no tienen ninguna autorizacin por omisin. Esto tambin se conoce como seguridad de recursos. Nivel 40: El sistema precisa un ID de usuario y una contrasea para el inicio de la sesin. Adems de la seguridad de recursos, el sistema proporciona funciones de proteccin de integridad. Estas funciones estn dirigidas a proteger el sistema y los objetos del mismo contra una mala utilizacin por parte de los usuarios experimentados. En la mayora de las instalaciones, el nivel 40 es el nivel de seguridad recomendable. Cuando se recibe un sistema iSeries nuevo con el release V3R7 o posterior, el nivel de seguridad est establecido en 40.
13
Nivel 50: El sistema precisa un ID de usuario y una contrasea para el inicio de la sesin. El sistema impone tanto la seguridad por recursos como la proteccin de integridad del nivel 40, pero aade proteccin de integridad mejorada, como lo siguiente: v Validacin de parmetros para las interfaces con el sistema operativo. v Restriccin del manejo de mensajes entre los programas de estado del sistema y los programas de estado de los usuarios. El nivel de seguridad 50 est pensado para los sistemas iSeries con altos requisitos de seguridad. Nota: El nivel 50 es el nivel necesario para la certificacin de C2 (y para la certificacin de FIPS-140). Para obtener ms informacin, revise la publicacin SecurityEnabling for C2. El captulo 2 de la publicacin iSeries Security Reference proporciona ms informacin sobre los niveles de seguridad y describe cmo ir de un nivel de seguridad a otro.
Valores globales
Su sistema tiene valores globales que afectan a la manera en que su trabajo entra en el sistema y cmo aparece el sistema ante los dems usuarios del sistema. Estos valores incluyen lo siguiente: Valores del sistema: Los valores del sistema se utilizan para controlar la seguridad en el sistema. Estos valores se dividen en cuatro grupos: v Valores del sistema de seguridad general v Otros valores del sistema relacionados con la seguridad v Valores del sistema que controlan contraseas v Valores del sistema que controlan auditoras Varios temas de esta publicacin tratan de las implicaciones de seguridad de ciertos valores del sistema. El captulo 3 de la publicacin iSeries Security Reference describe todos los valores del sistema importantes para la seguridad. Atributos de red: Los atributos de red controlan el modo en que el sistema participa (o decide no participar) en una red con otros sistemas. Puede obtener ms informacin acerca de los atributos de red leyendo la publicacin . Descripciones de subsistema y otros elementos de gestin de trabajo: Los elementos de gestin de trabajo determinan la manera en que el trabajo entra en el sistema y el entorno en el que el trabajo se lleva a cabo. Varios temas de esta publicacin tratan de las implicaciones de seguridad de ciertos valores de la gestin de trabajo. El manual proporciona informacin completa. Configuracin de comunicaciones: La configuracin de las comunicaciones tambin afecta a la manera en que el trabajo entra en el sistema. Varios temas de esta publicacin proporcionan sugerencias para proteger el sistema cuando forma parte de una red.
14
Perfiles de usuario
Cada usuario del sistema debe tener un perfil de usuario. En el nivel de seguridad 10 (que no se soporta a partir de la V4R3), el sistema crea automticamente un perfil la primera vez que un usuario inicia una sesin. En los niveles de seguridad superiores, es necesario crear perfiles de usuario para que los usuarios puedan conectarse. | | | | | | | | Los perfiles de usuario tambin pueden utilizarse para controlar el acceso a herramientas de servicio tales como DASD y vuelcos del almacenamiento principal. Vea Gestin de herramientas de servicio en la pgina 84 para obtener ms informacin. El perfil de usuario es una herramienta potente y flexible. Controla las acciones que el usuario puede llevar a cabo y personaliza la manera en que el usuario ve el sistema. La publicacin iSeries Security Reference describe todos los parmetros del perfil de usuario.
Perfiles de grupo
Un perfil de grupo es un tipo especial de perfil de usuario. Puede utilizarlo para definir la autorizacin de un grupo de usuarios, en lugar de dar autorizacin a cada usuario de uno en uno. Tambin puede utilizar un perfil de grupo como patrn al crear perfiles de usuario individuales utilizando la funcin copiar perfil, o bien, si utiliza Operations Navigator, puede utilizar el men Polticas de seguridad para editar las autorizaciones de usuario. El captulo 5 y el captulo 7 del manual iSeries Security Reference proporcionan informacin acerca de la planificacin y la utilizacin de perfiles de grupo.
Seguridad por recursos

La seguridad por recursos en el sistema le permite indicar quin puede utilizar los objetos y de qu manera. La posibilidad de acceder a un objeto recibe el nombre de autorizacin. Al establecer la autorizacin sobre objetos, puede resultar necesario ir con cuidado para otorgar a los usuarios suficiente autorizacin para realizar su trabajo, pero sin otorgarles autorizacin para examinar y modificar el sistema. La autorizacin sobre objetos otorga permisos al usuario para un objeto especfico y puede especificar lo que se permite al usuario hacer con el objeto. Un recurso de objeto puede limitarse mediante autorizaciones de usuario especficas detalladas, por ejemplo aadir registro o modificar registros. Pueden utilizarse recursos del sistema para otorgar al usuario acceso subconjuntos de autorizaciones especficas definidas por el sistema: *ALL, *CHANGE, *USE y *EXCLUDE. Los archivos, programas, bibliotecas y directorios son los objetos del sistema ms corrientes que requieren proteccin de seguridad por recursos, pero puede especificar autorizacin para cualquier objeto individual del sistema. En el Captulo 6. Utilizacin de la autorizacin sobre objetos para proteger la informacin, se trata la importancia de trabajar con la autorizacin sobre objetos en el sistema. El captulo 5 del manual iSeries Security Reference describe las opciones para la puesta a punto de la seguridad de los recursos.
15
Acceso limitado a las funciones del programa

El acceso limitado a las funciones del programa le permite proporcionar seguridad para el programa cuando no se tiene un objeto iSeries 400 a proteger para el programa. Antes de aadirse el soporte para el acceso limitado a las funciones del programa a la V4R3, poda conseguir el mismo resultado creando una lista de autorizaciones u otro objeto y comparando la autorizacin con el objeto para controlar el acceso a la funcin del programa. Ahora puede utilizar el acceso limitado a las funciones del programa para tener un control ms fcil del acceso a una aplicacin, a partes de una aplicacin o a las funciones de un programa. Existen dos mtodos que puede utilizar para gestionar el acceso de los usuarios a funciones de aplicaciones mediante el Operations Navigator. El primero utiliza el soporte de Administracin de las aplicaciones: 1. Pulse con el botn de la derecha en el iSeries que est ejecutando la aplicacin. 2. Pulse Administracin de las aplicaciones. Se abrir una ventana que contiene listas de las funciones registradas para el Operations Navigator, aplicaciones de sistema principal y aplicaciones de cliente (vea la Figura 1 en la pgina 17). 3. Desde la ventana Administracin de las aplicaciones, cambie el valor de uso por omisin y el indicador de permitir *ALLOBJ como lo desee. El valor por omisin para las autorizaciones de aplicaciones es *ALLOBJ. Si desea personalizar el acceso a los programas de aplicacin, puede especificar qu programas tienen autorizacin. Puede hacerlo pulsando en las opciones de autorizacin que aparezcan en la pantalla. Se implementar entonces la nueva configuracin. Nota: Cuando una funcin tiene una lista de usuarios a los que se ha otorgado o denegado el acceso a la funcin, la columna Uso personalizado contiene una X. 4. Resalte una funcin para habilitar el botn Personalizar. 5. Pulse el botn Personalizar para visualizar el recuadro de dilogo Personalizar uso. 6. En del recuadro de dilogo Personalizar uso, modifique la lista de usuarios y grupos a los que se ha permitido o denegado el acceso a la funcin.
16
Figura 1. Administracin de aplicaciones
El segundo mtodo para gestionar el acceso de los usuarios implica el soporte para Usuarios y Grupos del Operations Navigator: 1. Acceda a la ventana Propiedades para un usuario o grupo. 2. Pulse el botn Posibilidades. 3. Elija la pestaa Aplicaciones. Se visualizar una lista de las funciones registradas y el acceso (o uso) que el usuario o grupo tiene para cada funcin. La columna Uso derivado de muestra de dnde proviene el acceso. 4. En la ventana Posibilidades, modifique los valores del usuario para las funciones listadas. Desde este ventana tambin puede hacer lo siguiente: v Cambiar los valores para todas las funciones de un grupo jerrquico, modificando el valor de la funcin padre. v Gestionar el acceso a las funciones utilizando perfiles de grupo. Vea Seguridad y Operations Navigator en la pgina 225 para obtener ms informacin sobre los temas de seguridad del Operations Navigator. Si se dedica a escribir aplicaciones, puede utilizar las API del acceso limitado a las funciones del programa para efectuar lo siguiente: v Registrar una funcin v Recuperar informacin acerca de la funcin v Definir quin puede utilizar la funcin y quin no v Comprobar si al usuario se le permite utilizar la funcin
17
Nota: Este soporte no sustituye la seguridad por recursos. El acceso limitado a las funciones del programa no evita que un usuario acceda a un recurso (como un archivo o programa) desde otra interfaz. Para utilizar este soporte dentro de una aplicacin, el suministrador de la aplicacin deber registrar las funciones cuando se instale la aplicacin. La funcin registrada se corresponde con un bloque de cdigo dentro de la aplicacin, que contiene funciones especficas. Cuando el usuario ejecuta la aplicacin, la aplicacin llama a la API antes de llamar al bloque de cdigo. La API llama a la API de comprobacin de uso para saber si al usuario se le permite utilizar la funcin. Si se le permite el uso de la funcin registrada, se ejecuta el bloque de cdigo. Si no se le permite el uso de la funcin, se niega al usuario la ejecucin del bloque de cdigo. Nota: Las API implican el registro de un ID de funcin de 20 caracteres en la base de datos de registro (WRKREGINF). Aunque no hay puntos de salida relacionados con los ID de funcin utilizados por las API de acceso limitado a las funciones, es necesario tener puntos de salida. Para poder registrar algo en el registro, debe proporcionar un nombre con formato de punto de salida. Para hacerlo, la API crear nuevo ID de FUNCION crea un nombre ficticio y lo utiliza para todos los ID de FUNCION que se registren. Dado que se trata de un nombre con formato ficticio, no se llama a ningn programa de punto de salida. El administrador del sistema especifica quin tiene acceso permitido a una funcin. El administrador puede utilizar la API para gestionar el acceso a las funciones del programa, o bien utilizar la GUI de la Administracin de aplicaciones del Operations Navigator. La publicacin iSeries 400 System API Reference proporciona informacin sobre las API de acceso limitado a las funciones del programa. Para obtener informacin adicional sobre el control del acceso a funciones, vea Seguridad y Operations Navigator en la pgina 225.
Auditora de la seguridad
Los motivos para realizar una auditora de la seguridad del sistema pueden ser diversos: v Para evaluar si el plan de seguridad es completo. v Para asegurarse de que los controles de seguridad planificados estn en funcionamiento. Este tipo de auditora suele realizarla el responsable de seguridad como parte de la administracin diaria de la seguridad. Tambin se lleva a cabo, a veces ms detalladamente, como parte de una revisin peridica de la seguridad por parte de auditores internos o externos. v Para asegurarse de que la seguridad del sistema sigue el ritmo de los cambios que se realizan en el entorno del sistema. Estos son algunos ejemplos de los cambios que afectan a la seguridad: Objetos nuevos creados por usuarios del sistema Usuarios nuevos admitidos en el sistema Cambio de la propiedad de objetos (autorizacin no ajustada) Cambio de responsibilidades (grupo de usuarios modificado) Autorizacin temporal (no revocada a tiempo) Instalacin de nuevos productos
18
v Para prepararse para un evento futuro como, por ejemplo, instalar una nueva aplicacin, ir a un nivel de seguridad superior o configurar una red de comunicaciones. Las tcnicas descritas aqu son apropiadas para todas esas situaciones. Los elementos para los que realice la auditora y la frecuencia con que lo haga dependern del tamao y de las necesidades de seguridad de su organizacin. La auditora de seguridad implica el uso de mandatos en el sistema iSeries y el acceso a informacin de anotaciones y diarios en el sistema. Puede interesarle crear un perfil especial para que lo utilice quien tenga que realizar una auditora de seguridad de su sistema. El perfil del auditor necesitar la autorizacin especial *AUDIT para poder modificar las caractersticas de auditora de su sistema. Algunas de las tareas de auditora sugeridas en este captulo requieren un perfil de usuario con la autorizacin especial *ALLOBJ y *SECADM. Asegrese de establecer la contrasea para el perfil de auditor como *NONE al finalizar el periodo de auditora. Para obtener ms detalles sobre la auditora de seguridad vea el captulo 9 de la publicacin Seguridad, Manual de consulta.
Informe de atributos de seguridad del sistema ejemplo

La Figura 2 muestra un ejemplo de la salida del mandato Imprimir atributos de seguridad del sistema (PRTSYSSECA). El informe muestra la configuracin de los valores del sistema y los atributos de red relativos a seguridad que se recomiendan para los sistemas con necesidades de seguridad normales. Tambin muestra los valores actuales del sistema. Nota: La columna Valor actual del informe muestra el valor actual del sistema. Comprelo con el valor recomendado para ver dnde puede haber riesgos de seguridad.
Atributos de seguridad del sistema Nombre de valor del sistema QALWOBJRST QALWUSRDMN QATNPGM QAUDENDACN QAUDFRCLVL QAUDCTL QAUDLVL Valor actual *NONE *ALL QEZMAIN QSYS *NOTIFY *SYS *AUDLVL *SECURITY Valor recomendado *NONE QTEMP *NONE *NOTIFY *SYS *AUDLVL *OBJAUD *AUTFAIL *CREATE *DELETE *SECURITY *SAVRST *NOQTEMP
Figura 2. Informe de atributos de seguridad del sistema - Ejemplo (Pieza 1 de 4)
19
QAUTOCFG QAUTOVRT QCMNRCYLMT QCRTAUT QCRTOBJAUD QDEVRCYACN QDSCJOBITV QDSPSGNINF QINACTITV QINACTMSGQ QLMTDEVSSN QLMTSECOFR QMAXSGNACN QMAXSIGN
0 9999 0 0 *CHANGE *NONE *DSCMSG 120 1 60 *ENDJOB 0 0 2 3
0 0 0 0 Control a nivel de biblioteca. Control a nivel de biblioteca. *DSCMSG 120 1 60 *ENDJOB 1 1 3 3

QPWDEXPITV QPWDLMTAJC QPWDLMTCHR QPWDLMTREP QPWDMAXLEN QPWDMINLEN QPWDPOSDIF QPWDRQDDGT QPWDRQDDIF QPWDVLDPGM QRETSVRSEC QRMTIPL QRMTSIGN QSECURITY QSRVDMP 60 1 *NONE 1 8 6 1 1 0 *NONE 0 0 *FRCSIGNON 50 *DMPUSRJOB 60 1 AEIOU@$# 2 8 6 1 1 1 *NONE 0 0 *FRCSIGNON 50 *NONE

Atributos de seguridad del sistema Nombre de atributo de red Valor actual DDMACC *OBJAUT JOBACN *FILE PCSACC *OBJAUT Valor recomendado *REJECT *REJECT *REJECT
20
Captulo 3. Asistente de seguridad y Asesor de seguridad iSeries 400

Las herramientas Asistente de seguridad y Asesor de seguridad iSeries 400 pueden ayudarle a decidir qu valores de seguridad debe poner en vigor en su sistema iSeries. Utilizando el Asistente de seguridad iSeries en Operations Navigator generar informes que mostrarn sus necesidades de seguridad segn las respuestas seleccionadas, lo que puede utilizar para configurar la seguridad del sistema. El Asesor de seguridad es la versin en lnea del Asistente de seguridad. Est ubicado en el Technical Studio y le permite seleccionar opciones basndose en sus necesidades de seguridad, generando un informe que sugiere las caractersticas necesarias para asegurar su sitio.
Asistente de seguridad iSeries 400

| | | | | La decisin sobre qu valores de seguridad del sistema iSeries debera utilizar para su empresa puede ser muy compleja. Si no est familiarizado con el iSeries ni con la implementacin de la seguridad en los servidores iSeries, o bien el entorno en el que ejecuta el iSeries ha cambiado recientemente, el Asistente de seguridad iSeries 400 puede ayudarle a tomar decisiones. Qu es un Asistente? v Un asistente es una herramienta diseada para que la utilice un usuario inexperto para instalar o configurar algn elemento en un sistema. v El asistente solicita informacin al usuario formulando preguntas. La respuesta a cada pregunta determina qu pregunta se formula a continuacin. v Cuando el asistente ha realizado todas las preguntas, se presenta al usuario un dilogo de finalizacin. El usuario pulsar entonces el botn Finalizar para instalar y configurar el elemento. Finalidades del Asistente de seguridad La finalidad del Asistente de seguridad iSeries 400 es configurar lo siguiente, basndose en las respuestas de un usuario. v Valores del sistema y atributos de red relacionados con la seguridad v Informes para supervisin del sistema relacionados con la seguridad. v El asistente genera un Informe de informacin para el administrador y un Informe de informacin para el usuario: El Informe de informacin para el administrador contiene los valores de seguridad recomendados y los procedimientos que debern seguirse antes de poner en vigor dichas recomendaciones. El Informe de informacin para el usuario contiene informacin que puede utilizarse para la poltica de seguridad de la empresa. Por ejemplo, en este informe se incluyen las normas para componer contraseas. v El asistente proporciona valores recomendados para los diversos elementos del sistema relacionados con la seguridad. Objetivos del Asistente de seguridad v Los objetivos del Asistente de seguridad son:
| | |
21
| | | | | | | | | |
Determinar cules deben ser los valores de la seguridad del sistema, basndose en las respuestas de los usuarios a las preguntas del asistente y, a continuacin, implementar dichos valores cuando sea conveniente. El asistente genera informes de informacin detallada que incluyen lo siguiente. - Informe que explica las recomendaciones del Asistente. - Informe que detalla los procedimientos que debern seguirse antes de la implementacin. - Informe que lista informacin importante que debe distribuirse a los usuarios del sistema. v Estos elementos ponen en vigor en el sistema la poltica de seguridad bsica. v El asistente recomienda informes de diario de auditora que deber planificar para que se ejecuten peridicamente. Una vez planificados, estos informes ayudan a lo siguiente: Asegurar que se siguen las polticas de seguridad. Asegurar que las polticas de seguridad slo se modifican con su aprobacin. Planificar informes para supervisar los eventos del sistema relacionados con la seguridad. v El asistente le pertmite guardar las recomendaciones o aplicarlas todas o parte de ellas al sistema. Nota: El Asistente de seguridad puede utilizarse ms de una vez en el mismo sistema para permitir a los usuarios que tengan una instalacin ms antigua revisar su seguridad actual. El Asistente de seguridad puede utilizarse en los sistemas de la V3R7 (cuando apareci el Operations Navigator) y posteriores. Para acceder al Asistente de seguridad, haga lo siguiente: 1. Efecte una doble pulsacin en el icono Operations Navigator para abrir el Operations Navigator.
| | | | |
| | | | | | | | | | | | | | | | | | | |
Nota: Para poder utilizar el Operations Navigator de iSeries deber tener instalado Client Access en su PC Windows 95/NT y tener una conexin iSeries con dicho PC. El usuario del Asistente debe estar conectado a un iSeries. El usuario debe tener un ID de usuario que tenga las autorizaciones especiales *ALLOBJ, *SECADM, *AUDIT y *IOSYSCFG. Para obtener ayuda sobre la conexin del PC Windows 95/NT al sistema iSeries, consulte el tema Client Access Express en el Information Center (vea Requisitos e informacin relacionada en la pgina xii para obtener detalles). 2. Expanda la carpeta Seguridad y seleccione Configurar la seguridad del servidor para iniciar el Asistente de seguridad. v Cuando un usuario inicia la opcin Seguridad del Operations Navigator, se enva una peticin al iSeries para comprobar la autorizacin especial del usuario. v Si el usuario no tuviera todas las autorizaciones especiales necesarias (*ALLOBJ, *AUDIT, *IOSYSCFG, *SECADM), no podr ver la opcin Configurar y no podr acceder al Asistente de seguridad. 3. Suponiendo que el usuario tenga la autorizacin necesaria: v Se recuperan las respuestas anteriores del asistente. v Se recuperan los valores de seguridad actuales. El Asistente de seguridad le presentar una de tres pantallas de bienvenida. La pantalla que vea depender de cul de estas condiciones se cumpla:
22
v No se ha ejecutado nunca el asistente para el iSeries destino. v El asistente se ha ejecutado antes y los cambios en la seguridad se han diferido. v El asistente se ha ejecutado antes y los cambios en la seguridad entraron en vigor. Si no est utilizando el Operations Navigator, igualmente puede obtener ayuda para planificar las necesidades de seguridad. El Asesor de seguridad es una versin en lnea del Asistente de seguridad, con una diferencia. El asesor no configurar el sistema automticamente. Sin embargo, generar un informe sobre las opciones de seguridad recomendadas basndose en sus respuestas. Para acceder al Asesor de seguridad lleve su navegador de Internet al siguiente URL:
http://www.as400.ibm.com/tstudio/secure1/index_av.htm
El Asesor de seguridad forma parte de iSeries 400 Technical Studio.
Asesor de seguridad iSeries 400

El Asesor de seguridad es una versin en lnea del Asistente de seguridad. Formula las mismas preguntas que el Asistente de seguridad y, segn sus respuestas, genera las mismas recomendaciones. Las diferencias principales entre ambas herramientas son: v El Asesor de seguridad no hace lo siguiente Generar informes. Comparar los valores actuales con los valores recomendados. Establecer cualquier valor del sistema automticamente. v No puede aplicar recomendaciones desde el Asesor de seguridad. El Asesor de seguridad genera un programa CL en el que puede cortar y pegar y editar para su propio uso, con el fin de automatizar la configuracin de la seguridad. Tambin puede enlazar directamente con la documentacin de iSeries 400 desde el Asesor de seguridad. Esta documentacin proporciona informacin acerca del valor del sistema o informe que le ayudar a determinar si dicho valor es el apropiado para su entorno. Para acceder al Asesor de seguridad lleve su navegador de Internet al siguiente URL:
http://www.as400.ibm.com/tstudio/secure1/index_av.htm
El Asesor de seguridad forma parte de iSeries Technical Studio. Este sitio Web da respuesta a muchas de las preguntas sobre seguridad y ofrece informacin puntual sobre talleres, clases y otros recursos. El URL para la direccin de Technical Studio es:
http://www.as400.ibm.com/techstudio
El URL para la seccin de Seguridad iSeries de Technical Studio es:

http://www.AS400.ibm.com/tstudio/secure1/secdex.htm
Captulo 3. Asistente de seguridad y Asesor de seguridad iSeries 400
23
24
Captulo 4. Consejos para controlar el inicio de sesin interactivo

Cuando se plantee restringir la entrada al sistema, comience con lo ms obvio: la pantalla Inicio de sesin. A continuacin se enumeran las opciones que puede utilizar para dificultar a extraos la entrada y posible conexin a su sistema utilizando la pantalla Inicio de sesin. v Definicin de normas para las contraseas. v Modificacin de las contraseas conocidas. v Definicin de normas para el inicio de sesin.
Definicin de las normas para las contraseas

Para proteger la entrada al sistema, efecte lo siguiente: v Adopte una poltica que establezca que las contraseas no deben ser obvias y que no se deben compartir. v Establezca valores del sistema para facilitar su aplicacin. En la Tabla 1 se muestran los valores del sistema recomendados. La combinacin de valores en la Tabla 1 es muy restrictiva y est pensada para reducir de forma significativa la posibilidad de que haya contraseas fcilmente deducibles. Sin embargo, los usuarios pueden encontrar difcil y frustrante el seleccionar una contrasea que cumpla estas restricciones. Considere la posibilidad de proporcionar a los usuarios lo siguiente: 1. Una lista de los criterios para las contraseas. 2. Ejemplos de contraseas vlidas y no vlidas. 3. Sugerencias para escoger una contrasea adecuada. Puede ejecutar el mandato Configurar seguridad del sistema (CFGSYSSEC) para fijar estos valores. Puede utilizar el mandato Imprimir atributos de seguridad del sistema (PRTSYSSECA) para imprimir la definicin actual de estos valores del sistema. Puede leer ms acerca de estos valores del sistema en el Captulo 3 de la publicacin iSeries Security Reference. El apartado Valores establecidos por el mandato Configurar seguridad del sistema en la pgina 53 proporciona ms informacin sobre el mandato CFGSYSSEC.
Tabla 1. Valores del sistema para las contraseas Nombre de valor del sistema Descripcin
QPWDEXPITV Frecuencia con la que los usuarios del sistema deben cambiar las contraseas. Puede especificar un valor distinto para cada usuario en el perfil de usuario. Indica si el sistema impedir que haya caracteres adyacentes iguales. Caracteres que no pueden utilizarse en las contraseas. Indica si el sistema impedir que aparezca el mismo carcter ms de una vez en la contrasea. Indica si las contraseas de perfil de usuario estn limitadas a 10 caracteres o a un mximo de 128.
Valor recomendado 60 (das)
QPWDLMTAJC QPWDLMTCHR QPWDLMTREP
1 (s)
2
| |
QPWDLVL
AEIOU#$@ 2 (no se permiten de forma consecutiva) 03
25
Tabla 1. Valores del sistema para las contraseas (continuacin) Nombre de valor del sistema Descripcin
QPWDMAXLEN QPWDMINLEN QPWDPOSDIF Nmero mximo de caracteres de una contrasea. El nmero mnimo de caracteres de que debe constar una contrasea. Indica si todos los caracteres de una contrasea deben ser distintos del carcter que ocupaba la misma posicin en la contrasea anterior. Indica si la contrasea debe tener un carcter numrico como mnimo. Tiempo que debe esperar un usuario para poder volver a utilizar la misma contrasea.2 Indica a qu programa de salida se llama para validar una contrasea recin asignada.
Valor recomendado 8 6 1 (s)
QPWDRQDDGT QPWDRQDDIF QPWDVLDPGM Notas:
1 (s) 5 o menos (intervalos de caducidad)1 *NONE
1. El valor del sistema QPWDEXPITV especifica la frecuencia con la que debe cambiarse la contrasea (por ejemplo, cada 60 das). Recibe el nombre de intervalo de caducidad. El valor del sistema QPWDRQDDIF especifica los intervalos de caducidad que deben pasar para que se pueda volver a utilizar la contrasea. En el Captulo 3 de la publicacin iSeries Security Reference se proporciona ms informacin acerca del funcionamiento conjunto de estos valores del sistema.
| | | |
2. QPWDLMTCHR no se impone en los niveles de contrasea 2 3. Vea Niveles de contrasea para conocer ms detalles. 3. Consulte Planificacin de cambios de nivel de contrasea en la pgina 27 para determinar el nivel de contrasea adecuado a sus necesidades.
| | | | | | | | | | | | | | | | | | | | | |
Niveles de contrasea
La V5R1 ofrece una mayor seguridad en las contraseas mediante el valor del sistema QPWDLVL. En los releases anteriores, los usuarios estaban limitados a contraseas de un mximo de 10 caracteres y con un rango de caracteres limitado. Ahora los usuarios pueden seleccionar una contrasea (o frase de paso) con un mximo de 128 caracteres, dependiendo del nivel de contrasea en el que est establecido el sistema. Los niveles de contrasea soportados por la V5R1 son: v Nivel 0: Los sistemas de la V5R1 se envan con este nivel. En el nivel 0, las contraseas no tienen ms de 10 caracteres de longitud y contienen solamente los caraceteres A-Z, 09, #, @, $, y _ . Las contraseas del nivel 0 son menos seguras que las de los niveles de contrasea superiores. v Nivel 1: Las mismas normas que en el nivel de contrasea 0, pero no se guardan las contraseas para iSeries NetServer. v Nivel 2: Las contraseas de este nivel son seguras y este nivel puede utilizarse para pruebas. Las contraseas se salvan para un usuario en el nivel 0 1 si son de 10 caracteres o menos y el juego de caracteres de nivel 0 1. Las contraseas (o frases de paso) de este nivel tienen las siguientes caractersticas: un mximo de 128 caracteres de longitud. se componen de cualquier carcter disponible en el teclado. no pueden constar completamente de blancos; los blancos se eliminan del final de la contrasea. son sensibles a maysculas y minsculas.
26
| | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | |
v Nivel 3: Las contraseas de este nivel son las ms seguras y utilizan los algoritmos de cifrado ms avanzados disponibles. Las contraseas de este nivel tienen las mismas caractersticas que en el nivel 2. Las contraseas para iSeries NetServer no se guardan en este nivel. Los niveles de contrasea 2 y 3 solamente debern utilizarse si todos los sistemas de una red utilizan la V5R1 y el nivel de contrasea 2 3. Si un solo sistema de la red no est utilizando la V5R1, los niveles de contrasea 2 y 3 no estarn disponibles para todos los usuarios. De forma similar, todos los usuarios deben conectarse utilizando el mismo nivel de contrasea. Los niveles de contrasea son globales; los usuarios no pueden elegir el nivel en el que les gustara proteger su contrasea.
Planificacin de cambios de nivel de contrasea

El cambio de niveles de contrasea debe planificarse cuidadosamente. Es posible que las operaciones que se efecten con otros sistemas fallen o que los usuarios no puedan iniciar la sesin en el sistema si no ha planificado el cambio de nivel de contrasea correctamente. Antes de modificar el valor del sistema QPWDLVL, asegrese de que ha salvado los datos de seguridad utilizando el mandato SAVSECDTA o SAVSYS. Si tiene una copia de seguridad actualizada, podr restablecer las contraseas para todos los perfiles de usuario si resulta necesario volver a un nivel de contrasea inferior. Los productos que utilice en el sistema y en los clientes con los que el sistema intercambie informacin podran tener problemas cuando el valor del sistema de nivel de contrasea (QPWDLVL) est establecido en 2 3. Cualquier producto o cliente que enve contraseas al sistema en formato cifrado, en lugar de en el texto claro que un usuario entra en una pantalla de inicio de sesin, deber actualizarse para trabajar con las nuevas normas de cifrado de contraseas para QPWDLVL 2 3. El envo de contraseas cifradas se denomina sustitucin de contrasea. La sustitucin de contrasea se utiliza para evitar que se capture una contrasea durante la transmisin por una red. No se aceptarn las sustituciones de contraseas generadas por clientes antiguos que no soporten el nuevo algoritmo para QPWDLVL 2 3, incluso si los caracteres especficos tecleados son correctos. Esto tambin es aplicable al acceso de cualquier iSeries a otro iSeries igual que utilice los valores cifrados para realizar autenticacin de un sistema a otro. El problema se agrava por el hecho de que algunos de los productos afectados (es decir, Java Toolbox) se proporcionan como middleware. Un producto de terceros que incorpore una versin anterior de uno de estos productos no funcionar correctamente hasta que se reconstruya utilizando una versin actualizada del middleware. Dado este y otros ejemplos prcticos, es fcil ver por qu es necesaria una planificacin minuciosa antes de modificar el valor del sistema QPWDLVL.
Consideraciones para cambiar QPWDLVL de 0 a 1

El nivel de contrasea 1 permite a un sistema, que no tiene necesidad de comunicarse con el producto Windows 95/98/ME AS/400 Client Support para Entorno de Red Windows (AS/400 NetServer), hacer que se eliminen las contraseas de NetServer del sistema. Eliminar las contraseas cifradas innecesarias del sistema aumenta la seguridad global del sistema.
27
| | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | |
En QPWDLVL 1, todos los mecanismos actuales de contrasea y autenticacin de contrasea anteriores a la V5R1 seguirn funcionando. Hay pocas probabilidades de interrupciones, excepto en las funciones/servicios que requieran contraseas de NetServer. Las funciones/servicios que requieren la contrasea NetServer incluyen: v Soporte AS/400 para Entorno de Red Windows, Windows 95/98/ME edition, (AS/400 NetServer)
Consideraciones para cambiar QPWDLVL de 0 1 a 2

El nivel de contrasea 2 introduce el uso de contraseas sensibles a maysculas y minsculas de hasta 128 caracteres (tambin denominadas frases de paso) y proporciona la capacidad mxima de volver a QPWDLVL 0 1. Independientemente del nivel de contrasea del sistema, las contraseas del nivel 2 y 3 se crean siempre que se modifica una contrasea o un usuario inicia la sesin en el sistema. La creacin de una contrasea de nivel 2 y 3 mientras el sistema an sigue en el nivel de contrasea 0 1 ayuda a prepararse para el cambio al nivel de contrasea 2 3. Antes de cambiar QPWDLVL a 2, el administrador del sistema deber utilizar los mandatos DSPAUTUSR o PRTUSRPRF TYPE(*PWDINFO) para localizar todos los perfiles de usuario que no tengan una contrasea utilizable en el nivel de contrasea 2. Dependiendo de los perfiles localizados, al administrador puede interesarle utilizar uno de los siguientes mecanismos para hacer que se aada una contrasea de nivel de contrasea 2 y 3 a los perfiles. v Cambiar la contrasea para el perfil de usuario utilizando el mandato CL CHGUSRPRF o CHGPWD o la API QSYCHGPW. Esto provocar que el sistema cambie la contrasea utilizable en los niveles de contrasea 0 y 1; el sistema tambin crear dos contraseas equivalentes sensibles a maysculas y minsculas que son utilizables en los niveles de contrasea 2 y 3. Se crea adems una versin en maysculas y otra en minsculas de la contrasea para su uso en el nivel de contrasea 2 3. Por ejemplo, cambiar la contrasea a C4D2RB4Y da como resultado que el sistema genere las contraseas C4D2RB4Y y c4d2rb4y del nivel de contrasea 2. v Iniciar la sesin en el sistema mediante un mecanismo que presente la contrasea en texto claro (no se utiliza la sustitucin de contrasea). Si la contrasea es vlida y el perfil de usuario no tiene una contrasea utilizable en los niveles de contrasea 2 y 3, el sistema crea dos contraseas equivalentes sensibles a maysculas y minsculas utilizables en los niveles de contrasea 2 y 3. Se crea adems una versin en maysculas y otra en minsculas de la contrasea para su uso en el nivel de contrasea 2 3. La ausencia de una contrasea utilizable en el nivel de contrasea 2 3 puede ser un problema cuando el perfil de usuario tampoco tenga una contrasea utilizable en los niveles de contrasea 0 y 1, o cuando el usuario intente iniciar la sesin a travs de un producto que utilice sustitucin de contrasea. En estos casos, el usuario no podr iniciar la sesin cuando se cambie el nivel de contrasea a 2. Si un perfil de usuario no tiene una contrasea utilizable en los niveles de contrasea 2 y 3, pero tiene una contrasea utilizable en los niveles de contrasea 0 y 1 y el usuario inicia la sesin a travs de un producto que enve contraseas de texto claro, el sistema validar el usuario ante la contrasea del nivel de contrasea
28
| | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | |
0 y crear dos contraseas del nivel de contrasea 2 (tal como se describe ms arriba) para el perfil de usuario. Los siguientes inicios de sesin se validarn ante las contraseas del nivel de contrasea 2. Cualquier cliente/servicio que utilice sustitucin de contrasea no funcionar correctamente en QPWDLVL 2 si no se ha actualizado el cliente/servicio para que utilice el nuevo esquema de sustitucin de contrasea. El administrador deber comprobar si es necesario un cliente/servicio que no se haya actualizado al nuevo esquema de sustitucin de contrasea. Los clientes/servicios que utilizan la sustitucin de contrasea incluyen: v TELNET v Client Access v iSeries Host Servers v QFileSrv.400 v v v v Soporte AS/400 NetServer Print DDM DRDA SNA LU6.2
Es altamente recomendable salvar los datos de seguridad antes de cambiar a QPWDLVL 2. Ello puede ayudar a que el retorno a QPWDLVL 0 1 sea ms fcil, si fuera necesario. Se recomienda tambin que no se cambien los dems valores del sistema para contraseas, QPWDMINLEN y QPWDMAXLEN, hasta que se hayan realizado pruebas en QPWDLVL 2. Esto facilitar el retorno a QPWDLVL 1 0, si es necesario. No obstante, el valor del sistema QPWDVLDPGM debe especificar *REGFAC o *NONE para que el sistema pueda permitir que se cambie QPWDLVL a 2. Por consiguiente, si utiliza un programa de validacin de contraseas, puede interesarle escribir uno nuevo que pueda registrarse para el punto de salida QIBM_QSY_VLD_PASSWRD utilizando el mandato ADDEXITPGM. Las contraseas NetServer siguen estando soportadas en QPWDLVL 2, por lo que cualquier funcin/servicio que requiera una contrasea NetServer deber seguir funcionando correctamente. Una vez el administrador se sienta cmodo ejecutando el sistema en QPWDLVL 2, puede empezar a cambiar los valores del sistema de las contraseas para la explotacin de contraseas ms largas. No obstante, el administrador debe tener en cuenta que las contraseas ms largas pueden provocar estos efectos: v Si se especifican contraseas de ms de 10 caracteres, se borrar la contrasea del nivel de contrasea 0 y 1. Este perfil de usuario no podr iniciar la sesin si se devuelve el sistema al nivel de contrasea 0 1. v Si las contraseas contienen caracteres especiales o no siguen las normas de composicin para nombres de objeto simples (excluida la sensibilidad a maysculas y minsculas), se borrar la contrasea del nivel de contrasea 0 y 1. v Si se especifican contraseas de ms de 14 caracteres, se borrar la contrasea NetServer del perfil de usuario. v Los valores del sistema para contraseas solamente son aplicables al nuevo valor de nivel de contrasea 2 y no a los valores de contrasea de los niveles de contrasea 0 y 1 generados por el sistema o de NetServer (si se han generado).
29
| | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | |
Consideraciones para cambiar QPWDLVL de 2 a 3

Tras ejecutar el sistema en QPWDLVL 2 durante algn tiempo, el administrador puede considerar el ir a QPWDLVL 3 para maximizar la proteccin de seguridad por contraseas. En QPWDLVL 3 se borran todas las contraseas de NetServer, por lo que un sistema no debera pasar a QPWDLVL 3 hasta que no haya necesidad de utilizar contraseas de NetServer. En QPWDLVL 3 se borran todas las contraseas de los niveles de contrasea 0 y 1. El administrador puede utilizar los mandatos DSPAUTUSR o PRTUSRPRF para localizar los perfiles de usuario que no tengan asociados contraseas del nivel de contraseas 2 3.
Cambio a un nivel de contrasea inferior

Aunque es posible volver a un valor de QPWDLVL inferior, no puede esperarse que resulte una operacin sin problemas. La idea general es que se trata de un proceso en una direccin solamente, de los valores de QPWDLVL inferiores a los valores de QPWDLVL superiores. No obstante, pueden darse casos en los que deba reinstaurarse un valor de QPWDLVL inferior. Las secciones siguientes tratan las tareas necesarias para volver a un nivel de contrasea inferior. Consideraciones para cambiar de QPWDLVL 3 a 2: Este cambio es relativamente fcil. Una vez QPWDLVL est establecido en 2, el administrador debe determinar si algn perfil de usuario debe contener contraseas NetServer o contraseas del nivel de contrasea 0 1 y, si hay alguno, cambiar la contrasea del perfil de usuario a un valor permitido. Adicionalmente, puede ser necesario volver a cambiar los valores del sistema para contraseas a valores compatibles con contraseas NetServer y de nivel de contrasea 0 1, si son necesarias dichas contraseas. Consideraciones para cambiar de QPWDLVL 3 a 1 0: Debido a las altas probabilidades de provocar problemas en el sistema (por ejemplo, que nadie pueda iniciar la sesin al haberse borrado todas las contraseas de los niveles de contrasea 0 y 1), este cambio no est soportado directamente. Para cambiar de QPWDLVL 3 a QPWDLVL 1 0, el sistema debe pasar primero por el cambio intermedio a QPWDLVL 2. Consideraciones para cambiar de QPWDLVL 2 a 1: Antes de cambiar QPWDLVL a 1, el administrador deber utilizar los mandatos DSPAUTUSR o PRTUSRPRF TYPE(*PWDINFO) para localizar los perfiles de usuario que no tengan una contrasea del nivel de contrasea 0 1. Si el perfil de usuario va a necesitar una contrasea una vez de haya cambiado el QPWDLVL, el administrador deber asegurarse de que se crea una contrasea del nivel de contrasea 0 y 1 para el perfil, utilizando uno de los siguientes mecanismos: v Cambiar la contrasea para el perfil de usuario utilizando el mandato CL CHGUSRPRF o CHGPWD o la API QSYCHGPW. Esto provocar que el sistema cambie la contrasea utilizable en los niveles de contrasea 2 y 3; el sistema tambin crear una contrasea equivalente en maysculas que sea utilizable en los niveles de contrasea 0 y 1. El sistema slo ser capaz de crear la contrasea de los niveles de contrasea 0 y 1 si se cumplen las siguientes condiciones: La contrasea tiene 10 caracteres o menos de longitud.
30
| | | | | | | | | | | | | | | | | | | | | | | | | | | | | | |
La contrasea puede convertirse a los caracteres EBCDIC en maysculas A-Z, 0-9, @, #, $ y subrayado. La contrasea no empieza por un carcter numrico o subrayado. Por ejemplo, cambiar la contrasea a un valor de DaLluvia dara como resultado que el sistema generase una contrasea de los niveles de contrasea 0 y 1 de DIALLUVIA. Pero cambiar el valor de contrasea a Das de Lluvia de Abril provocara que el sistema borrase la contrasea de los niveles de contrasea 0 y 1 (debido a que la contrasea es demasiado larga y contiene espacios en blanco). No se genera ningn mensaje ni indicacin si no ha podido crearse la contrasea del nivel de contrasea 0 1. v Iniciar la sesin en el sistema mediante un mecanismo que presente la contrasea en texto claro (no se utiliza la sustitucin de contrasea). Si la contrasea es vlida y perfil de usuario no tiene una contrasea utilizable en los niveles de contrasea 0 y 1, el sistema crea una contrasea equivalente en maysculas que sea utilizable en los niveles de contrasea 0 y 1. El sistema slo ser capaz de crear la contrasea de los niveles de contrasea 0 y 1 si se cumplen las condiciones listadas ms arriba. El administrador podr entonces cambiar QPWDLVL a 1. Se borrarn todas las contraseas de NetServer cuando entre en vigor el cambio en QPWDLVL 1 (la siguiente IPL). Consideraciones para cambiar de QPWDLVL 2 a 0: Las consideraciones son las mismas que para cambiar de QPWDLVL 2 a 1, excepto que se conservan todas las contraseas de NetServer cuando el cambio entra en vigor. Consideraciones para cambiar de QPWDLVL 1 a 0: Tras cambiar QPWDLVL a 0, el administrador deber utilizar los mandatos DSPAUTUSR o PRTUSRPRF para localizar los perfiles de usuario que no tengan una contrasea NetServer. Si el perfil de usuario requiere una contrasea NetServer, sta puede crearse modificando la contrasea del usuario o iniciando la sesin mediante un mecanismo que presente la contrasea en texto claro. El administrador podr entonces cambiar QPWDLVL a 0.
Cambio de contraseas conocidas pblicamente

Efecte lo siguiente para impedir el acceso al iSeries con contraseas que pueden seguir existiendo en el sistema. __ Paso 1. Asegrese de que ningn perfil de usuario tiene la contrasea por omisin (que coincide con el nombre del perfil de usuario). Puede utilizar el mandato Analizar contraseas por omisin (ANZDFTPWD). (Vea el apartado Cmo evitar las contraseas por omisin en la pgina 38.) __ Paso 2. Intente iniciar la sesin en el sistema con las combinaciones de perfiles de usuario y contraseas enumeradas en la Tabla 2 en la pgina 33. Estas contraseas estn publicadas y son la primera eleccin de cualquiera que intente entrar en su sistema sin permiso. Si puede iniciar la sesin, utilice el mandato Cambiar perfil de usuario (CHGUSRPRF) para cambiar la contrasea por el valor recomendado.
31
__ Paso 3. Ahora arranque las Herramientas de Servicio Dedicado (DST) e intente iniciar la sesin con las contraseas que se muestran en la Tabla 3 en la pgina 34. Puede arrancar las DST mediante uno de estos mtodos: v Haga una IPL con el sistema en la modalidad Manual y seleccione Herramientas de Servicio Dedicado desde el men IPL o Instalar el Sistema. v Ponga la consola en modalidad DST efectuando lo siguiente: __ Paso a. Asegrese de que todos los trabajos de la consola han finalizado. __ Paso b. Ponga la unidad del sistema en modalidad manual. __ Paso c. Utilice el panel del sistema para seleccionar la funcin 21. __ Paso d. Pulse el botn Intro del panel del sistema. __ Paso e. En el men IPL o instalar el sistema, seleccione DST. __ Paso 4. Si puede iniciar la sesin en DST con alguna de estas contraseas, cambie las contraseas del modo siguiente: __ Paso a. En el men Herramientas de servicio dedicado (DST), seleccione la opcin 5 (Trabajar con entorno DST): __ Paso b. En el men Trabajar con entorno DST, seleccione la opcin 11 (Cambiar contraseas DST). Nota: Los nmeros de opcin de men pueden ser diferentes en su sistema, segn el release de OS/400 que est ejecutando.
Recuerde las contraseas nuevas Anote las contraseas elegidas y gurdelas en lugar seguro. Ud. o su servicio tcnico de hardware puede necesitar estas contraseas en el futuro para trabajar en el sistema. __ Paso c. En el men Cambiar contraseas DST, seleccione la opcin 3 (Cambiar contrasea de funcin de seguridad DST). Nota: La funcin completa de DST tiene el ID de usuario QSECOFR. Si lo desea puede cambiar este ID de usuario, pero asegrese de anotar bien el nuevo ID. __ Paso d. En la pantalla Cambiar contrasea de funcin de seguridad DST, escriba una contrasea nueva. Debe escribirla dos veces para verificarla. No se visualiza al teclearla. __ Paso e. Pulse la tecla Intro. __ Paso f. En el men Cambiar contraseas DST, seleccione la opcin 2 (Cambiar contrasea de funcin completa DST). Nota: La funcin completa de DST tiene el ID de usuario 22222222. Si lo desea puede cambiar este ID de usuario, pero asegrese de anotar bien el nuevo ID.
32
__ Paso g. En la pantalla Cambiar contrasea de funcin completa DST, escriba una contrasea nueva. Debe escribirla dos veces para verificarla. No se visualiza al teclearla. __ Paso h. Pulse la tecla Intro. __ Paso i. En el men Cambiar contraseas DST, seleccione la opcin 1 (Cambiar contrasea de funcin bsica DST). Nota: La funcin bsica de DST tiene el ID de usuario 11111111. Si lo desea puede cambiar este ID de usuario, pero asegrese de anotar bien el nuevo ID. __ Paso j. En la pantalla Cambiar contrasea de funcin bsica, escriba una contrasea nueva. Debe escribirla dos veces para verificarla. No se visualiza al teclearla. __ Paso k. Pulse la tecla Intro. __ Paso l. Pulse F3 hasta que vea el men Herramientas de servicio dedicado (DST). __ Paso 5. Finalmente, asegrese de que no puede iniciarse la sesin pulsando la tecla Intro en la pantalla Inicio de sesin sin entrar un ID de usuario y una contrasea. Pruebe en varias pantallas. Si puede iniciar la sesin sin entrar informacin alguna en la pantalla Inicio de sesin, efecte una de estas acciones: v Cambie el valor de seguridad por 40 50 (valor del sistema QSECURITY). Nota: Las aplicaciones se pueden ejecutar de modo diferente al cambiar al nivel de seguridad 40 50 de un nivel de seguridad inferior. Revise la informacin en el Captulo 2 de la publicacin iSeries Security Reference antes de cambiar al nivel de seguridad 40 50. v Cambie todas las entradas de estacin de trabajo para subsistemas interactivos de modo que sealen a las descripciones de trabajos en las que se especifica USER(*RQD).
Tabla 2. Contraseas para perfiles proporcionados por IBM ID de usuario Contrasea Valor recomendado
QSECOFR QSECOFR1 Valor no deducible, conocido nicamente por el administrador de seguridad. Anote la contrasea elegida y gurdela en un lugar seguro. *NONE2 *NONE2 *NONE2, 3 *NONE2 *NONE2
QSYSOPR QPGMR QUSER QSRV QSRVBAS
QSYSOPR QPGMR QUSER QSRV QSRVBAS
33
Tabla 2. Contraseas para perfiles proporcionados por IBM (continuacin) ID de usuario Contrasea Valor recomendado
Notas: 1. A partir de la V3R2, el sistema se enva con el valor Establecer contrasea como caducada para QSECOFR fijado en *YES. La primera vez que se inicia la sesin en un sistema nuevo, debe cambiar la contrasea de QSECOFR. 2. El sistema necesita estos perfiles de usuario para las funciones del sistema, pero no debe permitir que los usuarios inicien la sesin con estos perfiles. Para sistemas nuevos instalados con la V3R1 o un release posterior, esta contrasea se enva como *NONE. Cuando se ejecuta el mandato CFGSYSSEC, el sistema establece estas contraseas como *NONE. 3. Para ejecutar Client Access AS/400 para Windows 95/NT utilizando TCP/IP, el perfil de usuario QUSER debe estar habilitado y tener contrasea. Si ejecuta la herramienta de seguridad CHGSYSSEC, tendr que asignar una contrasea al perfil QUSER.
Tabla 3. Contraseas para Herramientas de Servicio Dedicado ID de Nivel de DST usuario1 Contrasea Valor recomendado
Funciones bsicas 11111111 11111111 Un valor no deducible, conocido nicamente por el administrador seguridad.2 Un valor no deducible, conocido nicamente por el administrador seguridad.2 Un valor no deducible, conocido nicamente por el administrador seguridad.2 Un valor no deducible, conocido nicamente por el administrador seguridad.2 de
| | | | |
Todas las funciones Funciones de seguridad Posibilidad de servicio Notas:
22222222
222222223
de
QSECOFR
QSECOFR3
de
QSRV
QSRV3
de
1. Para los releases del sistema operativo PowerPC AS (RISC) slo se requiere un ID de usuario. 2. Si el representante de servicio de hardware necesita conectarse con esta contrasea e ID de usuario, cambie la contrasea para un nuevo valor una vez que el servicio tcnico de hardware haya terminado.
| |
3. El perfil de usuario de las herramientas de servicio caducar en cuanto se haya utilizado por primera vez.
| | | | |
Nota: Las contraseas DST slo pueden modificarse mediante un dispositivo autenticado. Esto tambin se cumple para todas las contraseas y los ID de usuario correspondientes que sean idnticos. Para obtener ms informacin sobre los dispositivos autenticados, consulte el apartado Configuracin de Consola de operaciones.
Establecimiento de los valores de inicio de sesin

En la Tabla 4 en la pgina 35 se muestran diversos valores que se pueden definir para que a una persona no autorizada le resulte ms difcil la conexin al sistema. Si ejecuta el mandato CFGSYSSEC, estos valores del sistema tomarn los valores recomendados. Puede leer ms acerca de estos valores del sistema en el Captulo 3 de la publicacin iSeries Security Reference.
34
Tabla 4. Valores del sistema de inicio de sesin Nombre de valor del sistema Descripcin
QAUTOCFG QAUTOVRT Indica si el sistema configura automticamente nuevos dispositivos. Nmero de descripciones de dispositivos virtuales que el sistema crear automticamente si no hay ningn dispositivo disponible para su utilizacin Qu hace el sistema cuando se vuelve a conectar un dispositivo despus de un error.1 Cunto tiempo espera el sistema antes de finalizar un trabajo desconectado. Indica si el sistema visualizar informacin acerca de la actividad de inicio de sesin previa cuando un usuario se conecta. Cunto tiempo espera el sistema antes de realizar alguna accin cuando un trabajo interactivo est inactivo. Qu accin lleva a cabo el sistema cuando se alcanza el perodo de tiempo de QINACTITV. Indica si el sistema impedir a los usuarios iniciar una sesin en ms de una estacin de trabajo simultneamente. Indica si los usuarios que disponen de la autorizacin especial *ALLOBJ o *SERVICE pueden iniciar la sesin solamente en estaciones de trabajo determinadas. Nmero mximo de intentos consecutivos de inicio de sesin incorrectos (el perfil de usuario o la contrasea son incorrectos). Accin que el sistema lleva a cabo cuando se alcanza el lmite de QMAXSIGN.
Valor recomendado 0 (No) 0
QDEVRCYACN QDSCJOBITV QDSPSGNINF
*DSCMSG 120 1 (S)
QINACTITV
60
QINACTMSG QLMTDEVSSN
*DSCJOB 1 (S)
QLMTSECOFR
1 (S)2
QMAXSIGN
QMAXSGNACN
3 (Inhabilitar el perfil de usuario y el dispositivo)
Notas: 1. A partir de la V4R2, el sistema puede desconectar y volver a conectar sesiones TELNET cuando se ha asignado explcitamente la descripcin de dispositivo para la sesin. 2. Si establece este valor del sistema en 1 (S), ser necesario otorgar autorizacin sobre los dispositivos explcitamente a los usuarios que disponen de las autorizaciones especiales *ALLOBJ o *SERVICE. El modo ms sencillo de hacerlo es proporcionar al perfil de usuario QSECOFR la autorizacin *CHANGE sobre dispositivos determinados.
Cambio de los mensajes de error de inicio de sesin

A los piratas informticos les resulta muy til saber si van por buen camino cuando tratan de entrar en un sistema sin permiso. Cuando en la pantalla Inicio de sesin se visualiza un mensaje de error que dice Contrasea incorrecta, el pirata informtico sabe que el ID de usuario s es correcto. Puede intentar despistarle utilizando el mandato Cambiar descripcin de mensaje (CHGMSGD) para modificar el texto de dos mensajes de error de inicio de sesin. La Tabla 5 en la pgina 36 contiene el texto que se recomienda utilizar.
35
Tabla 5. Mensajes de error de inicio de sesin

ID de mensaje Texto original CPF1107 Texto recomendado
CPF1107 Contrasea incorrecta La informacin de inicio de sesin no para perfil de usuario. es correcta. Nota: No incluya el ID de mensaje en el texto. CPF1120 El usuario XXXXX no existe. La informacin de inicio de sesin no es correcta. Nota: No incluya el ID de mensaje en el texto.
CPF1120
Planificacin de la disponibilidad de los perfiles de usuario

Es posible que desee que algunos perfiles de usuario estn disponibles solamente a determinadas horas del da o en ciertos das de la semana. Por ejemplo, si tiene un perfil configurado para un supervisor de seguridad, puede habilitarlo solamente durante las horas de trabajo previstas del supervisor. Tambin puede inhabilitar perfiles de usuario con autorizacin especial *ALLOBJ (incluido el perfil de usuario QSECOFR) durante el horario no de oficina. Puede utilizar el mandato Cambiar entrada de planificacin de activacin (CHGACTSCDE) para establecer que los perfiles de usuarios se puedan habilitar e inhabilitar automticamente. Para cada perfil de usuario que desee planificar, debe crear una entrada que defina la planificacin del perfil de usuario. Por ejemplo, si desea que el perfil QSECOFR est disponible nicamente entre las 7 de la maana y las 10 de la noche, escribir lo siguiente en la pantalla CHGACTSCDE:
Cambiar entrada de planificacin de activacin (CHGACTSCDE) Teclee elecciones, pulse Intro. Perfil de usuario . Hora habilitacin . Hora inhabilitacin Das . . . . . . . . > > > > > > > + para ms valores > . . . . . . . . . . . . . . . . . . . . . . . . QSECOFR '7:00' '22:00' *MON *TUE *WED *THU *FRI Nombre Hora, *NONE Hora, *NONE *ALL, *MON, *TUE, *WED...
Figura 3. Pantalla de planificacin de activacin de perfilEjemplo
De hecho, quiz desee disponer del perfil QSECOFR slo para un nmero limitado de horas cada da. Puede utilizar otro perfil de usuario con la clase *SECOFR para realizar la mayora de las funciones. De este modo, evitar arriesgar un perfil de usuario conocido ante los piratas informticos. Puede utilizar peridicamente el mandato Visualizar entradas de diario de auditora (DSPAUDJRNE) para imprimir las entradas CP (Cambiar perfil) de diario de auditora. Utilice estas entradas para verificar que el sistema habilita e inhabilita los perfiles de usuario segn la planificacin efectuada.
36
Otro mtodo para asegurarse de que los perfiles de usuario se inhabilitan de acuerdo con lo planificado es la utilizacin del mandato Imprimir perfil de usuario (PRTUSRPRF). Cuando se especifica *PWDINFO para el tipo de informe, el informe incluye el estado de cada perfil de usuario seleccionado. Si, por ejemplo, inhabilita regularmente todos los perfiles de usuario que tienen la autorizacin especial *ALLOBJ, puede planificar el mandato siguiente para que se ejecute inmediatamente despus de la inhabilitacin de los perfiles:
PRTUSRPRF TYPE(*PWDINFO) SELECT(*SPCAUT) SPCAUT(*ALLOBJ)
Eliminacin de perfiles de usuario inactivos

El sistema debe contener solamente los perfiles de usuario que sean necesarios. Si ya no necesita un perfil de usuario porque el usuario ya no trabaja en su organizacin o porque ocupa otro cargo en la misma, elimine el perfil de usuario. Si alguien est ausente de la organizacin durante un amplio perodo de tiempo, inhabilite (desactive) el perfil de usuario correspondiente. Los perfiles de usuario innecesarios pueden constituir un modo de entrar en el sistema sin autorizacin para ello. Si est utilizando el Operations Navigator, lo conseguir realizando los cambios mediante la funcin de seguridad Listas de autorizaciones (vea la informacin sobre el Operations Navigator en la tercera seccin de esta publicacin).
Inhabilitacin automtica de perfiles de usuario

Puede utilizar el mandato Analizar actividad de perfil (ANZPRFACT) para inhabilitar regularmente los perfiles de usuario que han estado inactivos durante un nmero determinado de das. Cuando se utiliza el mandato ANZPRFACT, se especifica el nmero de das de inactividad que buscar el sistema. El sistema consulta la fecha del ltimo uso, la fecha de restauracin y la fecha de creacin del perfil de usuario. Una vez haya especificado un valor para el mandato ANZPRFACT, el sistema planificar un trabajo para que se ejecute semanalmente a la 1 del medioda (empezando el da despus de que se especificara un valor por primera vez). El trabajo examina todos los perfiles e inhabilita los perfiles inactivos. No es preciso que utilice de nuevo el mandato ANZPRFACT, a menos que desee cambiar el nmero de das de inactividad. Puede utilizar el mandato Cambiar lista de perfiles activos (CHGACTPRFL) para hacer que algunos perfiles estn exceptuados del proceso de ANZPRFACT. El mandato CHGACTPRFL crea una lista de perfiles de usuario que el mandato ANZPRFACT no inhabilitar, independientemente del tiempo que hayan estado inactivos. Cuando el sistema ejecuta el mandato ANZPRFACT graba una entrada CP en el diario de auditora para cada perfil de usuario que se inhabilita. Puede utilizar el mandato DSPAUDJRNE para listar los perfiles de usuario que se acaban de inhabilitar. Nota: El sistema solamente graba entradas de auditora si en el valor QAUDCTL se especifica *AUDLVL y en el valor del sistema QAUDLVL se especifica *SECURITY. Otro mtodo para asegurarse de que los perfiles de usuario se inhabilitan de acuerdo con lo planificado es la utilizacin del mandato Imprimir perfil de usuario
37
(PRTUSRPRF). Cuando se especifica *PWDINFO para el tipo de informe, se incluye en ste el estado de todos los perfiles de usuario seleccionados.
Eliminacin automtica de perfiles de usuario

Puede utilizar el mandato Cambiar entrada de planificacin de caducidad (CHGEXPSCDE) para gestionar la eliminacin o la inhabilitacin de perfiles de usuario. Si sabe que un usuario estar ausente durante un amplio perodo de tiempo, puede planificar la eliminacin o la inhabilitacin del perfil de usuario correspondiente. La primera vez que se utiliza el mandato CHGEXPSCDE, se crea una entrada de planificacin de trabajo que se ejecuta cada da un minuto despus de la medianoche. El trabajo consulta el archivo QASECEXP para determinar si se ha planificado la eliminacin de perfiles de usuario ese da. Con el mandato CHGEXPSCDE, puede inhabilitar o suprimir un perfil de usuario. Si opta por suprimirlo, debe indicar qu acciones llevar a cabo el sistema con los objetos propiedad del usuario. Antes de planificar la supresin de un perfil de usuario, es necesario investigar los objetos que son propiedad de ese usuario. Por ejemplo, si el usuario es propietario de programas que adoptan autorizacin, desea que estos programas adopten la autorizacin del nuevo propietario? O el nuevo propietario tiene ms autorizacin de la necesaria (por ejemplo, autorizacin especial)? Quiz necesite crear un nuevo perfil de usuario con autorizaciones especiales para poseer programas para los que se necesita autorizacin. Tambin es necesario averiguar si se producirn problemas en las aplicaciones al suprimir ese perfil de usuario. Por ejemplo, en alguna de las descripciones de trabajo se especifica ese perfil de usuario como usuario por omisin? Puede utilizar el mandato Visualizar planificacin de caducidad (DSPEXPSCD) para visualizar la lista de perfiles que se han planificado para su inhabilitacin o eliminacin. Puede utilizar el mandato Visualizar usuarios autorizados (DSPAUTUSR) para obtener una lista de todos los perfiles de usuario del sistema. Utilice el mandato Suprimir perfil de usuario (DLTUSRPRF) para suprimir los perfiles antiguos. Nota de seguridad: Los perfiles de usuario se inhabilitan estableciendo su estado como *DISABLED. Cuando se inhabilita un perfil, deja de estar disponible para su uso interactivo. No puede iniciar la sesin ni cambiar un trabajo utilizando un perfil de usuario inhabilitado. Los trabajos de proceso por lotes s se pueden ejecutar bajo un perfil de usuario que est inhabilitado.
Cmo evitar las contraseas por omisin

Cuando se crea un nuevo perfil de usuario, se toma como contrasea por omisin el mismo nombre del perfil. Ello proporciona una oportunidad de entrar en el sistema sin permiso, si el intruso conoce su mtodo de asignacin de nombres de perfil y sabe que se unir un nuevo miembro a su organizacin. Cuando cree perfiles de usuario nuevos, considere la posibilidad de asignarles contraseas exclusivas y no deducibles en lugar de utilizar la contrasea por omisin. Informe al nuevo usuario de cul es su contrasea de forma confidencial; por ejemplo, en una carta de bienvenida al sistema en la que se indica cules son
38
sus mtodos de seguridad. Haga que el usuario cambie la contrasea la primera vez que inicie la sesin estableciendo el perfil de usuario con el valor PWDEXP(*YES). Puede utilizar el mandato Analizar contraseas por omisin (ANZDFTPWD) para comprobar si en el sistema hay perfiles de usuario con contraseas por omisin. Cuando imprima el informe, tendr la opcin de especificar que el sistema debe emprender alguna accin (como la inhabilitacin del perfil de usuario) si la contrasea coincide con el nombre del perfil de usuario. El mandato ANZDFTPWD imprime una lista de los perfiles que encontr y las acciones que llev a cabo. Nota: Las contraseas se almacenan en el sistema en un formato cifrado irreversible. No se pueden descifrar. El sistema cifra la contrasea especificada y la compara con la contrasea almacenada, tal como comprobara una contrasea cuando iniciara la sesin en el sistema. Si est realizando una auditora de las anomalas de autorizacin (*AUTFAIL), el sistema grabar una entrada de diario de auditora PW para cada perfil de usuario que no tenga una contrasea por omisin (para los sistemas con V4R1 o releases anteriores). A partir de la V4R2, el sistema no graba entradas de diario de auditora PW cuando se ejecuta el mandato ANZDFTPWD.
Supervisin de la actividad de inicio de sesin y de contrasea

Si le preocupan los intentos de entrar en el sistema sin autorizacin, puede utilizar el mandato PRTUSRPRF para supervisar la actividad de inicio de sesin y de contrasea. La Figura 4 muestra un ejemplo del informe que se genera:
Informacin de perfil de usuario SYSTEM4 *SERVICE Sin contrasea X Inic. ses. anteriores 07/19/95 06/30/95 / / 04/25/95 Contrasea cambiada 05/25/95 03/02/95 11/28/95 04/25/95 Intervalo caducidad *SYSVAL *SYSVAL *SYSVAL 120 Contrasea caducada *YES *YES *NO *YES
Tipo de informe . . . . . . Seleccionar por . . . . . . Autorizaciones especiales . Valor del sistema QPWDEXPITV Perfil usuario Estado USERA *DISABLED USERB *ENABLED USERX *DISABLED USERY *ENABLED
. : *PWDINFO . : *SPCAUT . : *ALLOBJ . : 60 Inic. sesin no vlidos 1 2 0 0
Figura 4. Informe de usuariosEjemplo de informacin de contraseas
A continuacin se enumeran varias sugerencias para utilizar este informe: v Determine si el intervalo de caducidad de la contrasea para algunos perfiles de usuario es superior al valor del sistema y si ello est justificado. Por ejemplo, en el informe, USERY tiene un intervalo de caducidad de contrasea de 120 das. v Ejecute este informe regularmente para supervisar los intentos de inicio de sesin no satisfactorios. Aquellas personas que intenten entrar sin permiso en su sistema pueden darse cuenta de que el sistema lleva a cabo alguna accin tras un cierto nmero de intentos no satisfactorios. Cada noche, el intruso potencial podra intentar el inicio de sesin menos veces de las especificadas en el valor QMAXSIGN para evitar que se descubra su intencin. Sin embargo, si ejecuta este informe cada maana y observa que determinados perfiles suelen tener intentos de inicio de sesin no satisfactorios, puede empezar a pensar que pueden surgir problemas. v Identifique los perfiles de usuario que no se han utilizado o cuyas contraseas no se han cambiado durante mucho tiempo.
39
Consejos para el almacenamiento de la informacin de contraseas

Para dar soporte a algunos requisitos de comunicaciones y funciones de red, el iSeries proporciona un mtodo seguro para almacenar las contraseas que se pueden descifrar.El sistema utiliza estas contraseas, por ejemplo, para establecer una conexin SLIP con otro sistema. (En el apartado Seguridad y sesiones de marcacin en la pgina 175 se describe esta utilizacin de las contraseas almacenadas.) El iSeries almacena estas contraseas especiales en un rea segura que no es accesible a las interfaces ni a los programas de usuario. Solamente las funciones del sistema con autorizacin explcita pueden establecer y recuperar estas contraseas. Por ejemplo, cuando se utiliza una contrasea almacenada para las conexiones SLIP de marcacin, la contrasea se establece con el mandato del sistema que crea el perfil de configuracin (WRKTCPPTP). Es preciso tener *IOSYSCFG para utilizar este mandato. Un script de conexin codificado de forma especial recupera la contrasea y la descifra durante el procedimiento de marcacin. La contrasea descifrada no es visible para el usuario ni en ninguna anotacin de trabajo. Como administrador de seguridad, debe decidir si permitir que en el sistema se almacenen las contraseas que se puedan descifrar. Para especificarlo, utilice el valor del sistema Retener datos de seguridad del servidor (QRETSVRSEC). El valor por omisin es 0 (No). Por lo tanto, el sistema no almacenar contraseas que pueden descifrarse si no establece explcitamente este valor del sistema. Si tiene requisitos de comunicaciones o de redes para las contraseas almacenadas, debe definir los mtodos adecuados y comprender los mtodos y las prcticas de las organizaciones con las que se comunica. Por ejemplo, cuando se utiliza SLIP para comunicarse con otro iSeries, en ambos sistemas debe tenerse en cuenta la preparacin de perfiles de usuario especiales para establecer las sesiones. Dichos perfiles deben tener autorizacin limitada sobre el sistema. De este modo se limita el efecto sobre el sistema si una contrasea almacenada est comprometida en un sistema asociado.
40
Captulo 5. Cmo realizar la puesta a punto del sistema para utilizar las Herramientas de seguridad
Este captulo describe cmo realizar la puesta a punto del sistema para utilizar las herramientas de seguridad que forman parte del Operating System/400.
Iniciacin a las Herramientas de seguridad

Cuando instala el OS/400, las herramientas de seguridad estn listas para ser utilizadas. Los temas que siguen proporcionan sugerencias para los procedimientos operativos con las herramientas de seguridad.
Seguridad en las Herramientas de seguridad

Cuando se instala OS/400, los objetos asociados con las herramientas de seguridad estn protegidos. Para trabajar con las herramientas de seguridad de una forma correcta, evite hacer cambios de autorizacin a los objetos de herramientas de seguridad. A continuacin se indican los requisitos y valores de seguridad para los objetos de herramientas de seguridad: v Los programas y mandatos de las herramientas de seguridad estn en la biblioteca del producto QSYS. Los mandatos y los programas se entregan con la autorizacin de uso pblico de *EXCLUDE. Muchos de los mandatos de las herramientas de seguridad crean archivos en la biblioteca QUSRSYS. Cuando el sistema crea estos archivos, la autorizacin de uso pblico para los archivos es *EXCLUDE. Los archivos que contienen informacin para producir informes cambiados tienen nombres que empiezan por QSEC. Los archivos que contienen informacin para gestionar perfiles de usuario tienen nombres que empiezan por QASEC. Estos archivos contienen informacin confidencial acerca del sistema. Por tanto, no debe cambiar la autorizacin de uso pblico sobre los archivos. v Las herramientas de seguridad utilizan la puesta a punto normal del sistema para dirigir la salida impresa. Estos informes contienen informacin confidencial acerca del sistema. Para dirigir la salida a una cola de salida protegida, haga los cambios oportunos en el perfil de usuario o descripcin de trabajo para los usuarios que ejecutarn las herramientas de seguridad. v Debido a sus funciones de seguridad y a que tienen acceso a muchos objetos del sistema, los mandatos de las herramientas de seguridad requieren autorizacin especial *ALLOBJ. Algunos de los mandatos tambin requieren autorizacin especial *SECADM, *AUDIT o *IOSYSCFG. Para asegurarse de que los mandatos se ejecutan satisfactoriamente, debe iniciar la sesin como responsable de seguridad cuando utilice las herramientas de seguridad. Por tanto, no es necesario que otorgue autorizacin privada a ningn mandato de las herramientas de seguridad.
Cmo evitar conflictos de archivos

Muchos de los mandatos de informe de las herramientas de seguridad crean un archivo de base de datos que se puede utilizar para imprimir una versin modificada del informe. El apartado Mandatos y mens de los mandatos de seguridad le indica el nombre de archivo para cada mandato. Slo puede ejecutar
41
un mandato a la vez desde un trabajo. Actualmente la mayora de los mandatos tienen mtodos para hacer que esto se cumpla. Si ejecuta un mandato cuando otro trabajo an no ha terminado de ejecutarlo, recibir un mensaje de error. Muchos trabajos de impresin son trabajos de larga ejecucin. Hay que tener cuidado para evitar conflictos de archivo cuando los informes se someten a procesos por lotes o cuando se aaden al planificador de trabajos. Por ejemplo, es posible que desee imprimir dos versiones del informe PRTUSRPRF con diferentes criterios de seleccin. Si est sometiendo informes a proceso por lotes, debe utilizar una cola de trabajos que no ejecute ms de un trabajo al mismo tiempo, para asegurarse de que los trabajos de informes se ejecutan secuencialmente. Si est utilizando un planificador de trabajos, debe planificar los dos trabajos con suficiente separacin para que la primera versin finalice antes de que se inicie el segundo trabajo.
Cmo salvar las Herramientas de seguridad

Los programas de las herramientas de seguridad se guardan siempre que se ejecute el mandato Salvar sistema (SAVSYS) o una opcin del men Salvar que ejecuta el mandato SAVSYS. | | | | | Los archivos de las herramientas de seguridad estn en la biblioteca QUSRSYS. Esta biblioteca se debe salvar como parte de los procedimientos operativos que se realizan habitualmente. La biblioteca QUSRSYS contiene datos para muchos programas bajo licencia del sistema. Consulte el Information Center para obtener ms informacin sobre qu mandatos y opciones salvan la biblioteca QUSRSYS.
Mandatos y mens de los mandatos de seguridad

Este apartado describe los mandatos y los mens para las herramientas de seguridad. A lo largo de este manual encontrar ejemplos sobre el modo de utilizar los mandatos. Existen dos mens disponibles para las herramientas de seguridad: v El men SECTOOLS (Herramientas de seguridad) para ejecutar mandatos de forma interactiva. v El men SECBATCH (Someter o planificar informes de seguridad para procesar por lotes) para ejecutar los mandatos del informe por lotes. El men SECBATCH est dividido en dos partes. La primera parte del men utiliza el mandato Someter trabajo (SBMJOB) para someter informes para el proceso por lotes inmediato. La segunda parte del men utiliza el mandato Aadir entrada de planificacin de trabajos (ADDJOBSCDE). Se utiliza para planificar los informes de seguridad para ejecutarlos regularmente a la hora y el da especificados.
Opciones del men Herramientas de seguridad

A continuacin, aparece la parte del men SECTOOLS que est relacionada con los perfiles de usuario. Para acceder a este men, escriba GO SECTOOLS
42
SECTOOLS
Herramientas de seguridad
Seleccione una de las siguientes opciones: Trabajar con perfiles 1. Analizar contraseas por omisin 2. Visualizar lista de perfiles activos 3. Cambiar lista de perfiles activos 4. Analizar actividad de perfil 5. Visualizar planificacin de activacin 6. Cambiar entrada de planificacin de activacin 7. Visualizar planificacin de caducidad 8. Cambiar entrada de planificacin de caducidad 9. Imprimir informacin interna de perfil
La Tabla 6 describe las opciones de men y los mandatos asociados:

Tabla 6. Mandatos de las herramientas para perfiles de usuario
Opcin de1 men 1 Nombre de mandato ANZDFTPWD Descripcin Utilice el mandato Analizar contraseas por omisin para informar y emprender una accin en los perfiles de usuario que tienen una contrasea que es igual que el nombre de perfil de usuario. Utilice el mandato Visualizar lista de perfiles activos para visualizar o imprimir la lista de perfiles de usuario que estn exentos del proceso de ANZPRFACT. Utilice el mandato Cambiar lista de perfiles activos para aadir y eliminar perfiles de usuario de la lista de exenciones para el mandato ANZPRFACT. Un perfil de usuario que se encuentra en la lista de perfiles activos est permanentemente activo (hasta que se elimine el perfil de la lista). El mandato ANZPRFACT no inhabilita un perfil que se encuentre en la lista de perfiles activos, por mucho tiempo que el perfil haya permanecido inactivo. Archivo de base de datos utilizado QASECPWD2
DSPACTPRFL
QASECIDL2
CHGACTPRFL
QASECIDL2
ANZPRFACT
Utilice el mandato Analizar actividad de perfil QASECIDL2 para inhabilitar los perfiles de usuario que no se han utilizado durante un nmero especificado de das. Despus de utilizar el mandato ANZPRFACT para especificar el nmero de das, el sistema ejecuta el trabajo ANZPRFACT por la noche. Puede utilizar el mandato CHGACTPRFL para impedir que los perfiles de usuario se inhabiliten.
43
Tabla 6. Mandatos de las herramientas para perfiles de usuario (continuacin)

Opcin de1 men 5 Nombre de mandato DSPACTSCD Descripcin Utilice el mandato Visualizar planificacin de activacin de perfil para visualizar o imprimir informacin sobre la planificacin para habilitar e inhabilitar los perfiles de usuario especficos. La planificacin se crea con el mandato CHGACTSCDE. Utilice el mandato Cambiar entrada de planificacin de activacin para que un perfil de usuario est disponible para iniciar la sesin solamente en determinados momentos del da o de la semana. Para cada perfil de usuario que se planifica, el sistema crea entradas de planificacin de trabajos para las horas de habilitacin e inhabilitacin. Archivo de base de datos utilizado QASECACT2
CHGACTSCDE
QASECACT2
DSPEXPSCD
Utilice el mandato Visualizar planificacin de QASECEXP2 caducidad para visualizar o imprimir la lista de los perfiles de usuario que se han planificado para la inhabilitacin o eliminacin del sistema en el futuro. El mandato CHGEXPSCDE se utiliza para preparar la caducidad de los perfiles de usuario. QASECEXP2 Utilice el mandato Cambiar entrada de planificacin de caducidad para planificar la eliminacin de un perfil de usuario. Puede eliminarlo temporalmente (inhabilitndolo) o puede suprimirlo del sistema. Este mandato utiliza una entrada de planificacin de trabajos que se ejecuta cada da a las 00:01 (1 minuto despus de la medianoche). El trabajo examina el archivo QASECEXP para determinar si algn perfil de usuario se ha establecido para que caduque ese da. Utilice el mandato DSPEXPSCD para visualizar los perfiles de usuario cuya caducidad se ha planificado.
CHGEXPSCDE
PRTPRFINT
Utilice el mandato Imprimir informacin interna de perfil para imprimir un informe que contiene informacin sobre el nmero de entradas contenidas en un perfil de usuario. El nmero de entradas determina el tamao del perfil de usuario.
Notas: 1. Las opciones pertenecen al men SECTOOLS. 2. Este archivo est en la biblioteca QUSRSYS.
Puede avanzar pginas en el men para ver las opciones adicionales. La Tabla 7 en la pgina 45 describe las opciones de men y los mandatos asociados para las auditoras de seguridad:
44
Tabla 7. Mandatos de herramientas para la auditora de seguridad

Opcin de1 men 10 Nombre de mandato CHGSECAUD Descripcin Utilice el mandato Cambiar auditora de seguridad para poner a punto la auditora de seguridad y cambiar los valores del sistema que la controlan. Cuando se ejecuta el mandato CHGSECAUD, el sistema crea el diario de auditora de seguridad (QAUDJRN), en caso de que no exista. El mandato CHGSECAUD proporciona opciones que simplifican la definicin del valor del sistema QAUDLVL (nivel de auditora). Puede especificar *ALL para activar todos los posibles valores del nivel de auditora. Tambin puede especificar *DFTSET para activar los valores utilizados ms comnmente (*AUTFAIL, *CREATE, *DELETE, *SECURITY y *SAVRST). Nota: Si utiliza las herramientas de seguridad para poner a punto la auditora, asegrese de planificar la gestin de los receptores de diario de auditora. De lo contrario podr encontrarse rpidamente con problemas relativos a la utilizacin del disco. 11 DSPSECAUD Utilice el mandato Visualizar auditora de seguridad para visualizar informacin sobre el diario de auditora de seguridad y los valores del sistema que controlan la auditora de seguridad. Archivo de base de datos utilizado
Notas: 1. Las opciones pertenecen al men SECTOOLS.
Cmo utilizar el men Proceso por lotes de la seguridad

A continuacin, le presentamos la primera parte del men SECBATCH:
SECBATCH Someter o planificar informes seguridad para procesar por lotes Sistema: Seleccione una de las siguientes opciones: Someter informes para procesar por lotes 1. Adopcin de objetos 2. Entradas de diario de auditora 3. Autorizaciones de la lista de autorizaciones 4. Autorizacin de mandato 5. Autorizacin de uso privado sobre mandato 6. Seguridad de comunicaciones 7. Autorizacin sobre directorio 8. Autorizacin de uso privado sobre directorio 9. Autorizacin sobre documento 10. Autorizacin de uso privado sobre documento 11. Autorizacin sobre archivo 12. Autorizacin de uso privado sobre archivo 13. Autorizacin sobre carpeta
Cuando se selecciona una opcin de este men, aparece una pantalla Someter trabajo (SBMJOB) parecida a la siguiente:
45
Someter trabajo (SBMJOB) Teclee elecciones, pulse Intro. Mandato a ejecutar . . . . . . . PRTADPOBJ USRPRF(*ALL)___________________ ___________________________________________________________________________ ___________________________________________________________________________ ___________________________________________________________________________ ___________________________________________________________________________ ___________________________________________________________________________ _________________________________________________________ ... Nombre de trabajo . . . . . . . *JOBD Nombre, *JOBD Descripcin de trabajo . . . . . *USRPRF Nombre, *USRPRF Biblioteca . . . . . . . . . . Nombre, *LIBL, *CURLIB Cola de trabajos . . . . . . . . *JOBD Nombre, *JOBD Biblioteca . . . . . . . . . . Nombre, *LIBL, *CURLIB Prioridad de trabajo (en JOBQ) . *JOBD 1-9, *JOBD Prioridad de salida (en OUTQ) . *JOBD 1-9, *JOBD Dispositivo de impresin . . . . *CURRENT Nombre, *CURRENT, *USRPRF...
Si desea modificar las opciones por omisin del mandato, puede pulsar F4 (Solicitud) en la lnea Mandato a ejecutar. Para ver Someter informes a proceso por lotes, avance pgina en el men SECBATCH. Utilizando las opciones de esta parte del men, puede por ejemplo, preparar el sistema para que ejecute con regularidad las versiones modificadas de los informes.
SECBATCH Someter o planificar informes seguridad para procesar por lotes Sistema: Seleccione una de las siguientes opciones: 28. Objetos de usuario 29. Informacin de perfil de usuario 30. Informacin interna de perfil de usuario 31. Comprobar integridad de objeto Planificar informes de proceso por lotes 40. Adoptar objetos 41. Entradas de diario de auditora 42. Autorizaciones de lista de autorizaciones 43. Autorizacin sobre mandato 44. Autorizacin de uso privado sobre mandato 45. Seguridad de comunicaciones 46. Autorizacin sobre directorio
Puede avanzar pginas para ver ms opciones de men. Cuando se selecciona una opcin de esta parte del men, se visualiza la pantalla Aadir entrada de planificacin de trabajos (ADDJOBSCDE):
46
Aadir entrada de planificacin de trabajos (ADDJOBSCDE) Teclee elecciones, pulse Intro. Nombre de trabajo . . . . . . . Name, *JOBD Mandato a ejecutar . . . . . . . > PRTADPOBJ USRPRF(*ALL)__________________ ___________________________________________________________________________ ___________________________________________________________________________ ___________________________________________________________________________ ___________________________________________________________________________ ___________________________________________________________________________ _________________________________________________________ ... Frecuencia . . . . . . . . . . . *ONCE, *WEEKLY, *MONTHLY Fecha planificacin . . . . . . *CURRENT Date, *CURRENT, *MONTHST Da planificacin . . . . . . . *NONE *NONE, *ALL, *MON, *TUE. + para ms valores Hora planificacin . . . . . . . *CURRENT Time, *CURRENT
Puede situar el cursor en la lnea Mandato a ejecutar y pulsar F4 (Solicitud) para elegir diferentes valores para el informe. Debe asignar un nombre de trabajo que tenga sentido para poder reconocer la entrada cuando se visualizan entradas de planificacin de trabajos.
Opciones del men Proceso por lotes de seguridad

La Tabla 8 en la pgina 48 describe las opciones de men y los mandatos asociados para los informes de seguridad. Cuando ejecuta los informes de seguridad, el sistema slo imprime informacin que se ajusta a los criterios de seleccin que ha especificado y a los criterios de seleccin de la herramienta. Por ejemplo, las descripciones de trabajo que especifican un nombre de perfil de usuario son significativas para la seguridad. Por consiguiente, el informe de descripcin de trabajo (PRTJOBDAUT) slo imprime descripciones de trabajos de la biblioteca especificada si la autorizacin de uso pblico para la descripcin de trabajo no es *EXCLUDE y si la descripcin de trabajo especifica un nombre de perfil de usuario en el parmetro USER. Asimismo, cuando se imprime informacin sobre el subsistema (mandato PRTSBSDAUT), el sistema solamente imprime informacin acerca de un subsistema cuando la descripcin del subsistema contiene una entrada de comunicaciones que especifica un perfil de usuario. Si un informe determinado imprime menos informacin de la prevista, consulte la informacin de ayuda en lnea para averiguar cules son los criterios de seleccin del informe.
47
Tabla 8. Mandatos de los informes de seguridad

Opcin de1 men 1, 40 Nombre de mandato Descripcin PRTADPOBJ Archivo de base de datos utilizado
Utilice el mandato Imprimir objetos que adoptan QSECADPOLD2 para imprimir una lista de objetos que adoptan la autorizacin del perfil de usuario especificado. Puede especificar un solo perfil, un nombre de perfil genrico (como por ejemplo, todos los perfiles que empiezan por Q) o todos los perfiles de usuario del sistema. Este informe tiene dos versiones. El informe completo lista todos los objetos adoptados que cumplen los criterios de seleccin. El informe de modificaciones lista las diferencias entre los objetos que se encuentran actualmente en el sistema y los objetos que haba en el sistema la ltima vez que se ejecut el informe.
| | | | | |
2, 41
DSPAUDJRNE
Utilice el mandato Visualizar entradas de diario de auditora para visualizar o imprimir informacin acerca de las entradas del diario de auditora de seguridad. Puede seleccionar tipos de entrada especficos, usuarios especficos y un perodo de tiempo.
QASYxxJ43
3, 42
PRTPVTAUT *AUTL
QSECATLOLD2 Cuando se utiliza el mandato Imprimir autorizaciones privadas para los objetos *AUTL, se recibe una lista de todas las listas de autorizaciones del sistema. El informe incluye a los usuarios que reciben autorizacin para cada lista as como qu clase de autorizacin tienen los usuarios sobre la lista. Utilice esta informacin para ayudarle a analizar las fuentes de la autorizacin de objetos en el sistema. Este informe contiene tres versiones. El informe completo contiene todas las listas de autorizaciones del sistema. El informe de modificacin lista las adiciones y los cambios en la autorizacin desde que se ejecut por ltima vez el informe. El informe de supresin lista los usuarios cuya autorizacin en la lista de autorizaciones se ha suprimido desde que se ejecut por ltima vez el informe. Cuando se imprime el informe completo, tiene la opcin de imprimir una lista de objetos que cada lista de autorizaciones protege. El sistema crear un informe por separado para cada lista de autorizaciones.
48
Tabla 8. Mandatos de los informes de seguridad (continuacin)

Opcin de1 men 6, 45 Nombre de mandato Descripcin PRTCMNSEC Archivo de base de datos utilizado
QSECCMNOLD2 Utilice el mandato Imprimir seguridad de comunicaciones para imprimir los valores relativos a la seguridad para objetos que afectan a las comunicaciones del sistema. Estos valores afectan el modo en que los usuarios y los trabajos pueden entrar en el sistema. Este mandato genera dos informes: un informe que visualiza los valores de la listas de configuraciones del sistema y un informe que lista los parmetros relativos a la seguridad para descripciones de lnea, controladores y descripciones de dispositivo. Cada uno de estos informes contiene una versin completa y una modificada.
15, 54
PRTJOBDAUT
QSECJBDOLD2 Utilice el mandato Imprimir autorizacin de descripcin de trabajo para imprimir una lista de descripciones de trabajos que especifican un perfil de usuario y tienen una autorizacin de uso pblico que no es *EXCLUDE. El informe muestra las autorizaciones especiales del perfil de usuario que est especificado en la descripcin del trabajo. Este informe tiene dos versiones. El informe completo lista todos los objetos de descripcin de trabajo que cumplen con los criterios de seleccin. El informe de modificaciones lista las diferencias entre los objetos de descripcin de trabajo que se encuentran actualmente en el sistema y los objetos de descripcin de trabajo que se encontraban en el sistema la ltima vez que se ejecut el informe.
Vea la nota 4
PRTPUBAUT
QPBxxxxxx5 Utilice el mandato Imprimir objetos con autorizacin de uso pblico para imprimir una lista de objetos cuya autorizacin de uso pblico no es *EXCLUDE. Cuando se ejecuta el mandato, se especifica el tipo de objeto y la biblioteca o las bibliotecas del informe. Utilice el mandato PRTPUBAUT para imprimir informacin acerca de los objetos a los que cada usuario del sistema puede acceder. Este informe tiene dos versiones. El informe completo lista todos los objetos que cumplen los criterios de seleccin. El informe de modificacin lista las diferencias entre los objetos especificados que se encuentran actualmente en el sistema y los objetos (del mismo tipo en la misma biblioteca) que estaban en el sistema la ltima vez que se ejecut el informe.
49

Opcin de1 men Vea la nota 5. Nombre de mandato Descripcin PRTPVTAUT Utilice el mandato Imprimir autorizaciones privadas para imprimir una lista de las autorizaciones privadas sobre los objetos del tipo especificado en la biblioteca especificada. Utilice este informe para ayudarle a determinar las fuentes de autorizacin sobre los objetos. Este informe contiene tres versiones. El informe completo lista todos los objetos que cumplen los criterios de seleccin. El informe de modificacin lista las diferencias entre los objetos especificados que se encuentran actualmente en el sistema y los objetos (del mismo tipo en la misma biblioteca) que estaban en el sistema la ltima vez que se ejecut el informe. El informe de supresin lista los usuarios cuya autorizacin sobre un objeto se ha suprimido desde que se imprimi por ltima vez el informe. 24, 63 PRTQAUT QSECQOLD2 Utilice el mandato Imprimir informe de colas para imprimir los valores de seguridad de las colas de salida y las colas de trabajos del sistema. Estos valores controlan quin puede visualizar y cambiar las entradas en la cola de salida o en la cola de trabajos. Este informe tiene dos versiones. El informe completo lista todos los objetos de cola de salida y de cola de trabajo que cumplen con los criterios de seleccin. El informe de modificaciones lista las diferencias entre los objetos de la cola de salida y de la cola de trabajo que se encuentran actualmente en el sistema y los objetos de la cola de salida y de la cola de trabajo que se encontraban en el sistema la ltima vez que se ejecut el informe. 25, 64 PRTSBSDAUT QSECSBDOLD2 Utilice el mandato Imprimir descripcin de subsistema para imprimir las entradas de comunicaciones relativas a la seguridad de las descripciones de subsistema del sistema. Estos valores controlan el modo en que se puede entrar el trabajo en el sistema y cmo se ejecutan los trabajos. El informe solamente imprime una descripcin de subsistema si contiene entradas de comunicaciones que especifican un nombre de perfil de usuario. Este informe tiene dos versiones. El informe completo lista todos los objetos de descripcin de subsistema que cumplen con los criterios de seleccin. El informe de modificaciones lista las diferencias entre los objetos de descripcin del subsistema y los objetos de descripcin del subsistema que se encontraban en el sistema la ltima vez que se ejecut el informe. Archivo de base de datos utilizado QPVxxxxxx5
50

Opcin de1 men 26, 65 Nombre de mandato Descripcin PRTSYSSECA Utilice el mandato Imprimir atributos de seguridad del sistema para imprimir una lista de valores del sistema y atributos de red importantes para la seguridad. El informe muestra el valor actual y el recomendado. Utilice el mandato Imprimir programas desencadenantes para imprimir una lista de los programas desencadenates que estn asociados con los archivos de base de datos del sistema. Este informe tiene dos versiones. El informe completo lista cada programa desencadenate que est asignado y cumple los criterios de seleccin. El informe de modificacin lista los programas desencadenantes que se han asignado desde que se ejecut el informe por ltima vez. 28, 67 PRTUSROBJ QSECPUOLD2 Utilice el informe Imprimir objetos de usuario para imprimir una lista de los objetos de usuario (objetos no suministrados por IBM) que se encuentran en una biblioteca. Puede utilizar este informe para imprimir una lista de los objetos de usuario que estn en una biblioteca (como por ejemplo, QSYS) que se encuentra en la parte del sistema de la lista de bibliotecas. Este informe tiene dos versiones. El informe completo lista todos los objetos de usuario que cumplen con los criterios de seleccin. El informe de modificaciones lista las diferencias entre los objetos de usuario que se encuentran actualmente en el sistema y los objetos de usuario que se encontraban en el sistema la ltima vez que se ejecut el informe. 29, 68 PRTUSRPRF Utilice el mandato Imprimir perfil de usuario para analizar los perfiles de usuario que cumplen los criterios especificados. Puede seleccionar los perfiles de usuario en funcin de las autorizaciones especiales, la clase de usuario o una discrepancia entre las autorizaciones especiales y la clase de usuario. Puede imprimir informacin de autorizacin, informacin de entorno, informacin de contrasea o informacin de nivel de contrasea. Utilice el mandato Imprimir informacin interna de perfil para imprimir un informe de la informacin interna sobre el nmero de entradas. QSECTRGOLD2 Archivo de base de datos utilizado
27, 66
PRTTRGPGM
30, 69
PRTPRFINT
51

Opcin de1 men 31, 70 Nombre de mandato Descripcin CHKOBJITG Utilice el mandato Comprobar integridad de objetos para determinar si los objetos operativos (como por ejemplo, los programas) se han cambiado sin utilizar un compilador. Este mandato le puede ayudar a detectar intentos de introducir un programa de virus en el sistema o de cambiar un programa para seguir instrucciones no autorizadas. La publicacin iSeries Security Reference proporciona ms informacin acerca del mandato CHKOBJITG. Archivo de base de datos utilizado
Notas: 1. Las opciones pertenecen al men SECBATCH.
2. Este archivo est en la biblioteca QUSRSYS. 3. xx es el tipo de entrada de diario de dos caracteres. Por ejemplo, el archivo de salida modelo para las entradas de diario AE es QSYS/QASYAEJ4. Los archivos de salida del modelo se describen en el Apndice F del manual iSeries Security Reference. 4. El men SECBATCH contiene opciones para los tipos de objetos que normalmente conciernen a los administradores de seguridad. Por ejemplo, utilice las opciones 11 o 50 para ejecutar el mandato PRTPUBAUT en los objetos tipo *FILE. Utilice las opciones generales (18 y 57) para especificar el tipo de objeto. 5. El men SECBATCH contiene opciones para los tipos de objetos que normalmente conciernen a los administradores de seguridad. Por ejemplo, las opciones 12 o 51 ejecutan el mandato PRTPVTAUT en los archivos tipo *FILE. Utilice las opciones generales (19 y 58) para especificar el tipo de objeto. 6. xxxxxx en el nombre del archivo es el tipo de objeto. Por ejemplo, el archivo de los objetos de programa recibe el nombre de QPBPGM para las autorizaciones de uso pblico y QPVPGM para las autorizaciones privadas. Los archivos estn en la biblioteca QUSRSYS. El archivo contiene un miembro para cada biblioteca para la que se ha impreso el informe. El nombre de miembro es el mismo que el nombre de biblioteca.
Mandatos para personalizar la seguridad

La Tabla 9 describe los mandatos que puede utilizar para personalizar la seguridad en su sistema. Estos mandatos se encuentran en el men SECTOOLS.
Tabla 9. Mandatos para personalizar el sistema
Opcin de1 men 60 Nombre de mandato Descripcin CFGSYSSEC Utilice el mandato Configurar seguridad del sistema para establecer los valores del sistema relativos a la seguridad en sus valores recomendados. El mandato tambin establece la auditora de seguridad en el sistema. El apartado Valores establecidos por el mandato Configurar seguridad del sistema en la pgina 53 describe las acciones del mandato. Nota: Para obtener recomendaciones sobre seguridad personalizadas para su situacin concreta, ejecute el Asistente de seguridad iSeries 400 o el Asesor de seguridad iSeries 400 en lugar de ejecutar este mandato. Vea el Captulo 3. Asistente de seguridad y Asesor de seguridad iSeries 400 en la pgina 21 para obtener informacin sobre estas herramientas. Archivo de base de datos utilizado
52
Tabla 9. Mandatos para personalizar el sistema (continuacin)

Opcin de1 men 61 Nombre de mandato Descripcin RVKPUBAUT Utilice el mandato Revocar autorizacin de uso pblico para establecer la autorizacin de uso pblico en *EXCLUDE para un conjunto de mandatos relativos a la seguridad en el sistema. El apartado Acciones del mandato Revocar autorizacin de uso pblico en la pgina 55 lista las acciones que el mandato RVKPUBAUT lleva a cabo. Archivo de base de datos utilizado
Notas: 1. Las opciones pertenecen al men SECTOOLS.
Valores establecidos por el mandato Configurar seguridad del sistema

La Tabla 10 lista los valores del sistema que se establecen al ejecutar el mandato CFGSYSSEC. El mandato CFGSYSSEC ejecuta un programa que se denomina QSYS/QSECCFGS.
Tabla 10. Valores establecidos por el mandato CFGSYSSEC
Nombre de valor del sistema Valor QAUTOCFG QAUTOVRT 0 (No) 0 Descripcin del valor del sistema Configuracin automtica de nuevos dispositivos Nmero de descripciones de dispositivos virtuales que el sistema crear automticamente si no hay ningn dispositivo disponible para su utilizacin Si se pueden restaurar los programas de estado del sistema y los programas que adoptan autorizacin Accin del sistema cuando se restablecen las comunicaciones Perodo de tiempo antes de que el sistema emprenda una accin en un trabajo desconectado Si los usuarios visualizan la pantalla de informacin de inicio de sesin Perodo de tiempo antes de que el sistema emprenda una accin en un trabajo interactivo inactivo Accin que el sistema emprende para un trabajo inactivo Si los usuarios se ven limitados a iniciar la sesin en un dispositivo cada vez Si los usuarios *ALLOBJ y *SERVICE tienen como lmites los dispositivos especificados Cuntos intentos de inicio de sesin consecutivos e insatisfactorios se permiten Si el sistema inhabilita la estacin de trabajo o el perfil de usuario cuando se alcanza el lmite QMAXSIGN Cmo maneja el sistema un intento de inicio de sesin remoto (paso a travs o TELNET). Permite analizar remotamente el sistema.
QALWOBJRST QDEVRCYACN QDSCJOBITV QDSPSGNINF QINACTITV QINACTMSGQ QLMTDEVSSN QLMTSECOFR QMAXSIGN QMAXSGNACN QRMTSIGN QRMTSVRATR
*NONE *DSCMSG (Desconectar con mensaje) 120 1 (S) 60 *ENDJOB 1 (S) 1 (S) 3 3 (Ambos) *FRCSIGNON 0 (Desactivar)
53
Tabla 10. Valores establecidos por el mandato CFGSYSSEC (continuacin)

Nombre de valor del sistema Valor QSECURITY
1
Descripcin del valor del sistema El nivel de seguridad que se aplica Con qu frecuencia los usuarios deben cambiar sus contraseas Longitud mnima de las contraseas Longitud mxima de las contraseas Si cada posicin en una contrasea nueva debe ser diferente de la misma posicin en la ltima contrasea Caracteres que no se permiten en las contraseas Si los nmeros adyacentes estn prohibidos en las contraseas Si los caracteres repetidos estn prohibidos en las contraseas Si las contraseas deben tener como mnimo un nmero Cuntas contraseas exclusivas se necesitan antes de que se pueda repetir una contrasea El programa de salida de usuario que el sistema invoca antes de validar las contraseas
50 60 6 8 1 (S) Vea la nota 2 1 (S) 2 (No se puede repetir consecutivamente) 1 (S) 1 (32 contraseas exclusivas) *NONE
QPWDEXPITV QPWDMINLEN QPWDMAXLEN QPWDPOSDIF QPWDLMTCHR QPWDLMTAJC QPWDLMTREP QPWDRQDDGT QPWDRQDDIF QPWDVLDPGM
Notas: 1. Si actualmente est ejecutando con un valor QSECURITY de 40 o inferior, asegrese de revisar la informacin del Captulo 2 de la publicacin iSeries Security Reference antes de cambiar a un nivel de seguridad superior. 2. Los caracteres restringidos se almacenan en el ID de mensaje CPXB302 del archivo de mensajes QSYS/QCPFMSG. Se entregan como AEIOU@$#. Puede utilizar el mandato Cambiar descripcin de mensaje (CHGMSGD) para cambiar los caracteres restringidos. El valor del sistema QPWDLMTCHR no se aplica en los niveles de contrasea 2 3.
El mandato CFGSYSSEC tambin establece la contrasea en *NONE para los siguientes perfiles de usuario suministrados por IBM: QSYSOPR QPGMR QUSER QSRV QSRVBAS Por ltimo, el mandato CFGSYSSEC define la auditora de seguridad mediante el mandato Cambiar auditora de seguridad (CHGSECAUD). El mandato CFGSYSSEC activa la auditora de accin y objeto, adems especifica el conjunto de acciones que se auditarn por omisin en el mandato CHGSECAUD.
Modificacin del programa

Si algunos de estos valores no son adecuados para su instalacin, puede crear su propia versin del programa que procese el mandato. Haga lo siguiente: __ Paso 1. Utilice el mandato Recuperar fuente CL (RTVCLSRC) para copiar la fuente para el programa que se ejecuta al utilizar el mandato CFGSYSSEC. El programa que se recupera es QSYS/QSECCFGS. Cuando lo recupere, dle un nombre distinto.
54
__ Paso 2. Edite el programa y efecte las modificaciones. A continuacin, complelo. Cuando lo compile, asegrese de que no sustituye el programa QSYS/QSECCFGS suministrado por IBM. Su programa deber tener otro nombre. __ Paso 3. Utilice el mandato Cambiar mandato (CHGCMD) para cambiar el programa de modo que procese el parmetro de procesar mandato (PGM) para el mandato CFGSYSSEC. Establezca el valor PGM con el nombre de su programa. Por ejemplo, si crea un programa en la biblioteca QGPL que se denomina MYSECCFG, deber escribir lo siguiente:
CHGCMD CMD(QSYS/CFGSYSSEC) PGM(QGPL/MYSECCFG)
Nota: Si modifica el programa QSYS/QSECCFGS, IBM no puede garantizar ni dar por supuesto su fiabilidad, mantenimiento, rendimiento o funcionamiento. Las garantas implcitas de comercializacin e idoneidad para una finalidad determinada estn excluidas expresamente.
Acciones del mandato Revocar autorizacin de uso pblico

Puede utilizar el mandato Revocar autorizacin de uso pblico (RVKPUBAUT) para establecer la autorizacin de uso pblico en *EXCLUDE para un conjunto de mandatos y programas. El mandato RVKPUBAUT ejecuta un programa que se denomina QSYS/QSECRVKP. Tal como se entrega, el programa QSECRVKP revoca la autorizacin de uso pblico (estableciendo la autorizacin de uso pblico en *EXCLUDE) para los mandatos que aparecen listados en la Tabla 11 y las interfaces de programacin de aplicaciones (API) que aparecen listadas en la Tabla 12 en la pgina 56. Cuando se recibe el sistema, estos mandatos y estas API tienen la autorizacin de uso pblico establecida en *USE. Los mandatos que aparecen listados en la Tabla 11 y las API listadas en la Tabla 12 en la pgina 56 realizan funciones en el sistema que pueden permitir que se realicen acciones no permitidas. Como administrador de seguridad, debe autorizar explcitamente a los usuarios para que ejecuten estos mandatos y programas en lugar de ponerlos a disposicin de todos los usuarios del sistema. Si ejecuta el mandato RVKPUBAUT, especifique la biblioteca que contiene los mandatos. El valor por omisin es la biblioteca QSYS. Si dispone de ms de un idioma nacional en el sistema, debe ejecutar el mandato para cada biblioteca QSYSxxx.
Tabla 11. Mandatos cuya autorizacin de uso pblico se establece con el mandato RVKPUBAUT RMVCMNE CHGJOBQE ADDAJE RMVJOBQE CHGPJE ADDCFGLE RMVPJE CHGRTGE ADDCMNE RMVRTGE CHGSBSD ADDJOBQE RMVWSE CHGWSE ADDPJE RSTLIB CPYCFGL ADDRTGE RSTOBJ CRTCFGL ADDWSE RSTS36F CRTCTLAPPC CHGAJE RSTS36FLR CRTDEVAPPC CHGCFGL RSTS36LIBM CRTSBSD CHGCFGLE STRRMTSPT ENDRMTSPT CHGCMNE STRSBS RMVAJE CHGCTLAPPC WRKCFGL RMVCFGLE CHGDEVAPPC
55
Las API de la Tabla 12 se encuentran todas en la biblioteca QSYS:

Tabla 12. Programas cuya autorizacin de uso pblico se establece con el mandato RVKPUBAUT QTIENDSUP QTISTRSUP QWTCTLTR QWTSETTR QY2FTML
En la V3R7, al ejecutar el mandato RVKPUBAUT, el sistema establece autorizacin de uso pblico en *USE para el directorio raz (a menos que ya sea *USE o inferior).
Modificacin del programa

Si algunos de estos valores no son adecuados para su instalacin, puede crear su propia versin del programa que procesa el mandato. Haga lo siguiente: __ Paso 1. Utilice el mandato Recuperar fuente CL (RTVCLSRC) para copiar el fuente del programa que se ejecuta al utilizar el mandato RVKPUBAUT. El programa que se recupera es QSYS/QSECRVKP. Cuando lo recupere, dle un nombre distinto. __ Paso 2. Edite el programa y efecte las modificaciones. A continuacin, complelo. Cuando lo compile, asegrese de que no sustituye el programa QSYS/QSECRVKP suministrado por IBM. Su programa deber tener otro nombre. __ Paso 3. Utilice el mandato Cambiar mandato (CHGCMD) para cambiar el programa de modo que procese el parmetro de procesar mandato (PGM) para el mandato RVKPUBAUT. Establezca el valor PGM con el nombre de su programa. Por ejemplo, si crea un programa en la biblioteca QGPL que se denomina MYRVKPGM, deber escribir lo siguiente:
CHGCMD CMD(QSYS/RVKPUBAUT) PGM(QGPL/MYRVKPGM)
Nota: Si modifica el programa QSYS/QSECRVKP, IBM no puede garantizar ni dar por supuesto su fiabilidad, mantenimiento, rendimiento o funcin. Las garantas implcitas de comercializacin e idoneidad para una finalidad determinada estn excluidas expresamente.
56
Parte 3. Consejos para la seguridad avanzada del sistema

Si todo aquel que es bueno fuera tambin listo, y todo aquel que es listo tambin fuera bueno, el mundo podra ser sin duda visto como un lugar mucho ms placentero. Elizabeth Wordsworth
RV3M1204-0
57
58
Captulo 6. Utilizacin de la autorizacin sobre objetos para proteger la informacin

El reto de un administrador de seguridad es proteger la informacin de la organizacin sin contrariar a los usuarios del sistema. Debe asegurarse de que los usuarios tengan autorizacin suficiente para realizar los trabajos sin tener que otorgarles una autorizacin que les permita examinar el sistema y hacer cambios no autorizados.
| | |
Consejo de seguridad Las autorizaciones demasiado estrictas pueden dar un mal resultado. Frente a restricciones demasiado estrictas en las autorizaciones los usuarios reaccionan a veces compartiendo contraseas entre ellos. El sistema operativo OS/400 proporciona seguridad de objetos integrada. Los usuarios deben utilizar las interfaces que proporciona el sistema para acceder a los objetos. Por ejemplo, si quiere acceder a un archivo de base de datos, debe utilizar mandatos o programas pensados para acceder a archivos de base de datos. No puede utilizar un mandato destinado a acceder a una cola de mensajes o a unas anotaciones de trabajo. Siempre que se utiliza una interfaz del sistema para acceder a un objeto, el sistema verifica si tiene autoridad sobre el objeto requerido por la interfaz. La autorizacin sobre objetos es una herramienta poderosa y flexible para proteger las partidas del sistema. El reto de un administrador de seguridad es establecer un esquema de seguridad de objetos efectivo que pueda gestionar y mantener.
El sistema aplica siempre la autorizacin sobre objetos?

La respuesta es s y no. Siempre que se intenta acceder a un objeto, el sistema operativo comprueba la autorizacin que se tiene sobre el objeto. Sin embargo, si el nivel de seguridad del sistema (valor del sistema QSECURITY) se establece en 10 20, todos los usuarios estn automticamente autorizados para acceder a todos los objetos ya que todos los perfiles de usuario tienen autorizacin especial *ALLOBJ. Consejo acerca de la autorizacin sobre objeto: Si no est seguro de que est utilizando la autorizacin sobre objetos, compruebe el valor del sistema QSECURITY (nivel de seguridad). Si QSECURITY es 10 20, no est utilizando la seguridad sobre objetos. Debe realizar una planificacin y una preparacin antes de cambiar a un nivel de seguridad 30 o superior. De lo contrario, los usuarios no sern capaces de acceder a la informacin necesaria. | | | | | El tema Seguridad y planificacin bsica del sistema del Information Center proporciona un mtodo para analizar sus aplicaciones y decidir cmo configurar la seguridad sobre objetos. Si an no est utilizando la seguridad sobre objetos o si su esquema de seguridad sobre objetos se ha quedado anticuado, lea este tema como iniciacin.
59
El legado de la seguridad de mens

El iSeries estaba diseado originariamente como un producto de continuacin del S/36 y del S/38. Muchas instalaciones de iSeries eran instalaciones de S/36 o instalaciones de S/38. Para controlar lo que los usuarios podan hacer, los administradores de seguridad de los primeros sistemas utilizaban a menudo una tcnica llamada seguridad de mens o control de acceso a mens. El control de acceso a mens significa que cuando un usuario inicia la sesin, el usuario obtiene un men como el siguiente:
OEMENU 1. 2. 3. 4. 5. Trabajar Trabajar Trabajar Trabajar Trabajar Men de Entrada de Pedidos con con con con con registros de clientes pedidos historial de pedidos precios contratos ___
Seleccione el nmero de opcin:
Figura 5. Men de entrada de pedidos de ejemplo
El usuario puede realizar solamente las funciones que estn en el men. El usuario no puede acceder a una lnea de mandatos del sistema para llevar a cabo funciones que no estn en el men. En teora, el administrador de seguridad no tiene que preocuparse de la autorizacin sobre los objetos ya que los mens y los programas controlan lo que pueden hacer los usuarios. El iSeries proporciona diversas opciones de perfil de usuario como ayuda para el control de acceso a mens; puede utilizar: v El parmetro Men inicial (INLMNU) para controlar qu men ver primero el usuario tras iniciar la sesin. v El parmetro Programa inicial (INLPGM) para ejecutar un programa de configuracin antes de que el usuario vea un men. O bien puede utilizar el parmetro INLPGM para restringir a un usuario a la utilizacin de un nico programa. v El parmetro Limitar posibilidades (LMTCPB) para restringir a un usuario a un conjunto limitado de mandatos. Tambin evita que el usuario especifique un programa o men inicial distinto en la pantalla Inicio de sesin. (El parmetro LMTCPB slo limita mandatos entrados desde la lnea de mandatos).
Limitaciones del control de acceso a mens

Los sistemas informticos y los usuarios de sistemas informticos han cambiado mucho en los ltimos aos. Se dispone de muchas herramientas tales como programas de consulta y hojas de clculo, de forma que los usuarios pueden programar por su cuenta para quitar carga de trabajo a los departamentos de desarrollo de software. Algunas herramientas, tales como SQL o ODBC, proporcionan la posibilidad de ver y cambiar informacin. Habilitar estas herramientas dentro de una estructura de mens es muy difcil. Las estaciones de trabajo de funcin fija (pantalla verde) se estn sustituyendo rpidamente por PC y redes de sistema a sistema. Si el sistema forma parte de una red, los usuarios pueden entrar en l sin haber visto nunca una pantalla de inicio de sesin o un men.
60
El administrador de seguridad que intenta imponer el control de acceso a mens se encuentra con dos problemas fundamentales: v Si se tiene xito en la limitacin de mens para los usuarios, estos estarn probablemente descontentos porque su capacidad de utilizar herramientas modernas estar limitada. v Si no se tiene xito, se estar poniendo en peligro informacin confidencial de gran importancia que el control de acceso a mens debera proteger. Cuando el sistema participa en una red, la capacidad de imponer el control de acceso a mens disminuye. Por ejemplo, el parmetro LMTCPB se aplica slo a los mandatos que se entran desde una lnea de mandatos de una sesin interactiva. El parmetro LMTCPB no afecta a las peticiones de sesiones de comunicacin, tales como la transferencia de archivos de PC, FTP o los mandatos remotos.
Consejos para mejorar el control de acceso a mens con la seguridad de objetos

Con las numerosas opciones nuevas disponibles para conectar sistemas, un esquema de seguridad del iSeries viable para el futuro no puede basarse nicamente en el control de acceso a mens.En este tema se proporcionan sugerencias para avanzar hacia un entorno de seguridad que complemente el control de acceso a mens. El tema Seguridad bsica del sistema y planificacin del Information Center describe una tcnica para analizar la autorizacin que los usuarios deben tener sobre los objetos para ejecutar las aplicaciones actuales. Asigne los usuarios a los grupos y d a los grupos la autorizacin adecuada. Este acercamiento es razonable y lgico. Sin embargo, si el sistema ha estado funcionando durante muchos aos y tiene muchas aplicaciones, la tarea de analizar las aplicaciones y configurar las autorizaciones sobre objetos parece excesiva. Consejo de autorizacin sobre objetos: Sus mens actuales combinados con programas que adoptan la autorizacin de los propietarios de los programas pueden proporcionar un paso ms all del control de acceso de men. Asegrese de proteger tanto los programas que adoptan autorizacin como los perfiles de usuario que los poseen. Probablemente ser capaz de utilizar los mens actuales como ayuda para configurar un entorno de transicin mientras se analizan gradualmente las aplicaciones y los objetos. A continuacin sigue un ejemplo que utiliza el men Entrada de Pedidos (OEMENU) (Figura 5 en la pgina 60) y los archivos y programas asociados al mismo.
Preparacin de un entorno de transicinEjemplo

Este ejemplo empieza con las suposiciones y los requisitos siguientes: v Todos los archivos estn en la biblioteca ORDERLIB. v No conoce los nombres de todos los archivos. Tampoco sabe qu autorizacin necesitan las opciones de men para los distintos archivos. v El men y los programas que llama estn en una biblioteca llamada ORDERPGM. v Quiere que todos los que puedan iniciar la sesin en el sistema sean capaces de ver informacin en todos los archivos de pedidos, archivos de clientes y archivos de artculos (con consultas u hojas de clculo, por ejemplo).
61
v Slo los usuarios cuyo men de inicio de sesin sea el men OEMENU deben tener capacidad para cambiar los archivos. Y, para hacerlo, deben utilizar los programas del men. v Los usuarios del sistema que no son administradores de seguridad no tienen autorizacin especial *ALLOBJ o *SECADM. Haga lo siguiente para cambiar este entorno de control de acceso a men para ajustarse a la necesidad de consultas: __ Paso 1. Haga una lista de los usuarios cuyo men inicial sea OEMENU. Puede utilizar el mandato Imprimir perfil de usuario (PRTUSRPRF *ENVINFO) para listar el entorno de cada perfil de usuario del sistema. El informe incluye el men inicial, el programa inicial y la biblioteca actual. La Figura 13 en la pgina 84 muestra un ejemplo del informe. __ Paso 2. Asegrese de que el objeto OEMENU (puede ser un objeto *PGM o un objeto *MENU) es propiedad de un perfil de usuario que no se utiliza para el inicio de sesin. El perfil de usuario debe inhabilitarse o tener una contrasea *NONE. Para este ejemplo suponga que OEOWNER posee el objeto de programa OEMENU. __ Paso 3. Asegrese de que el perfil de usuario que posee el programa OEMENU no es un perfil de grupo. Puede utilizar el mandato siguiente:
DSPUSRPRF USRPRF(OEOWNER) TYPE(*GRPMBR)
__ Paso 4. Cambie el programa OEMENU para adoptar la autorizacin del perfil de usuario OEOWNER. (Utilice el mandato CHGPGM para cambiar el parmetro USRPRF por *OWNER.) Nota: Los objetos *MENU no pueden adoptar autorizacin. Si OEMENU es un objeto *MENU, puede adaptar este ejemplo llevando a cabo una de las acciones siguientes: v Cree un programa para visualizar el men. v Utilice la autorizacin adoptada para los programas que se ejecutan cuando el usuario selecciona opciones del men OEMENU. __ Paso 5. Establezca la autorizacin de uso pblico de todos los archivos de ORDERLIB en *USE tecleando los dos mandatos siguientes:
RVKOBJAUT OBJ(ORDERLIB/*ALL) OBJTYPE(*FILE) USER(*PUBLIC) AUT(*ALL) GRTOBJAUT OBJ(ORDERLIB/*ALL) OBJTYPE(*FILE) USER(*PUBLIC) AUT(*USE)
Recuerde que si selecciona la autorizacin *USE, los usuarios pueden copiar el archivo utilizando la transferencia de archivos de PC o FTP. __ Paso 6. Proporcione autorizacin *ALL sobre los archivos al perfil que posee el programa tecleando lo siguiente:
GRTOBJAUT OBJ(ORDERLIB/*ALL) OBJTYPE(*FILE) USER(OEOWNER) AUT(*ALL)
Para la mayora de las aplicaciones es suficiente la autorizacin *CHANGE sobre los archivos. Sin embargo, las aplicaciones pueden realizar funciones, tales como borrar archivos fsicos, que necesitan una autorizacin superior a *CHANGE. Es posible que deba analizar las aplicaciones y proporcionar slo la autorizacin mnima necesaria para cada aplicacin. Sin embargo, durante el perodo de transicin,
62
adoptando la autorizacin *ALL, se evitan anomalas en las aplicaciones que puedan deberse a una autorizacin insuficiente. __ Paso 7. Restrinja la autorizacin para los programas de la biblioteca de pedidos tecleando lo siguiente:
GRTOBJAUT OBJ(ORDERPGM/*ALL) OBJTYPE(*PGM) USER(*PUBLIC) AUT(*EXCLUDE)
__ Paso 8. Otorgue al perfil OEOWNER autorizacin sobre los programas de la biblioteca tecleando lo siguiente:
GRTOBJAUT OBJ(ORDERPGM/*ALL) OBJTYPE(*PGM) USER(OEOWNER) AUT(*USE)
__ Paso 9. Otorgue a los usuarios identificados en el paso 1 autorizacin sobre el programa de men tecleando lo siguiente para cada usuario:
GRTOBJAUT OBJ(ORDERPGM/OEMENU) OBJTYPE(*PGM) USER(nombre de perfil de usuario) AUT(*USE)
Cuando haya terminado estos pasos, todos los usuarios del sistema que no se hayan excluido explcitamente sern capaces de acceder (pero no de cambiar) a los archivos de la biblioteca ORDERLIB. Los usuarios con autorizacin sobre el programa OEMENU tendrn capacidad de utilizar los programas que estn en el men para actualizar archivos de la biblioteca ORDERLIB. Slo los usuarios que tengan autorizacin sobre el programa OEMENU sern capaces de cambiar los archivos de esta biblioteca. Una combinacin de seguridad de objetos y control de acceso a men protege los archivos. Al completar pasos similares para todas las bibliotecas que contienen datos de usuario, se habr creado un esquema simple para controlar las actualizaciones de base de datos. Este mtodo evita que los usuarios del sistema actualicen archivos de base de datos, excepto cuando utilicen los mens y programas aprobados. Al mismo tiempo, los archivos de base de datos quedan disponibles para que los usuarios los vean, los analicen y los copien mediante herramientas de soporte de decisiones o mediante enlaces desde otro sistema o desde un PC. Consejo de autorizacin sobre objetos: Cuando el sistema participa en una red, la autorizacin *USE puede proporcionar ms autorizacin de la esperada. Por ejemplo, con FTP, puede hacer una copia de un archivo en otro sistema (incluyendo un PC) si tiene autorizacin *USE sobre el archivo.
Utilizacin de la seguridad de bibliotecas para complementar la seguridad de mens

Para acceder a un objeto de biblioteca debe tener autorizacin sobre el objeto y sobre la biblioteca. La mayora de las operaciones necesitan la autorizacin *EXECUTE o la autorizacin *USE sobre la biblioteca. Dependiendo de la situacin, puede ser capaz de utilizar la autorizacin de biblioteca como una manera simple de asegurar objetos. Por ejemplo, suponga que en el ejemplo del men de Entrada de pedidos, todos los que tengan autorizacin sobre el men de Entrada de pedidos puedan utilizar todos los programas de la biblioteca ORDERPGM. En lugar de asegurar los programas individuales, puede establecer la autorizacin de uso pblico sobre la biblioteca ORDERPGM en *EXCLUDE. Puede otorgar entonces autorizacin *USE sobre la biblioteca a perfiles de usuario especficos, lo que les permitir utilizar los programas de la biblioteca. (Esto da por supuesto que la autorizacin de uso pblico para los programas es *USE o mayor).
63
La autorizacin sobre bibliotecas puede ser un mtodo simple y eficiente de administrar la autorizacin sobre objetos. Sin embargo debe asegurarse de que conoce el contenido de las bibliotecas que se aseguran de forma que no proporcione acceso no intencionado a los objetos.
Consejos para preparar la propiedad de objetos

La propiedad de objetos en el sistema es una parte importante del esquema de autorizacin sobre objetos. Por omisin, el propietario de un objeto tiene autorizacin *ALL sobre el objeto. El captulo 5 de la publicacin iSeries Security Reference proporciona recomendaciones y ejemplos para planificar la propiedad de los objetos. A continuacin se proporcionan algunos consejos: v Por lo general, los perfiles de grupo no deben ser propietarios de objetos. Si un perfil de grupo posee un objeto, todos los miembros del grupo tendrn autorizacin *ALL sobre el objeto a menos que el miembro del grupo est excluido de forma explcita. v Si utiliza la autorizacin adoptada, considere si los perfiles de usuario de los propios programas deben poseer tambin objetos de aplicacin tales como archivos. Probablemente no querr que los usuarios que ejecutan los programas que adoptan autorizacin tengan autorizacin *ALL sobre los archivos. | | | | Si est utilizando el Operations Navigator, lo conseguir completando los cambios utilizando la funcin de polticas de seguridad. Para obtener ms informacin, consulte el iSeries Information Center (vea Requisitos e informacin relacionada en la pgina xii para conocer ms detalles).
Consejos para la autorizacin sobre objetos para mandatos del sistema y programas
A continuacin se proporcionan varias sugerencias para cuando se restringe la autorizacin a los objetos proporcionados por IBM: v Cuando se tiene ms de un idioma nacional en el sistema, el sistema tiene ms de una biblioteca del sistema (QSYS). El sistema tiene una biblioteca QSYSxxxx para cada idioma nacional del sistema. Si va a utilizar la autorizacin sobre objetos para controlar los mandatos del sistema, acurdese de asegurar el mandato en la biblioteca QSYS y en todas las bibliotecas QSYSxxx del sistema. v La biblioteca del System/38 proporciona a veces un mandato cuya funcin es equivalente a los mandatos que quiere restringir. Asegrese de restringir el mandato equivalente en la biblioteca QSYS38. v Si tiene el entorno System/36, puede necesitar restringir programas adicionales. Por ejemplo, el programa QY2FTML proporciona transferencia de archivos del System/36.
Consejos para la auditora de funciones de seguridad Auditora de la seguridad

Este captulo describe tcnicas para realizar una auditora de la eficacia de la seguridad en su sistema. Los motivos para realizar una auditora de la seguridad del sistema pueden ser diversos: v Para evaluar si el plan de seguridad es completo. v Para asegurarse de que los controles de seguridad planificados estn en funcionamiento. Este tipo de auditora suele realizarla el responsable de
64
seguridad como parte de la administracin diaria de la seguridad. Tambin se lleva a cabo, a veces ms detalladamente, como parte de una revisin peridica de la seguridad por parte de auditores internos o externos. v Para asegurarse de que la seguridad del sistema sigue el ritmo de los cambios que se realizan en el entorno del sistema. Estos son algunos ejemplos de los cambios que afectan a la seguridad: Objetos nuevos creados por usuarios del sistema Usuarios nuevos admitidos en el sistema Cambio de la propiedad de objetos (autorizacin no ajustada) Cambio de responsibilidades (grupo de usuarios modificado) Autorizacin temporal (no revocada a tiempo) Instalacin de nuevos productos v Para prepararse para un evento futuro como, por ejemplo, instalar una nueva aplicacin, ir a un nivel de seguridad superior o configurar una red de comunicaciones. Las tcnicas descritas en este captulo son apropiadas para todas esas situaciones. Los elementos para los que realice la auditora y la frecuencia con que lo haga dependern del tamao y de las necesidades de seguridad de su organizacin. La finalidad de este captulo es averiguar qu informacin hay disponible, cmo obtenerla y por qu es necesaria, en lugar de ofrecer directrices sobre la frecuencia de las auditoras. Este captulo consta de tres partes: v Una lista de comprobacin de los elementos de seguridad que pueden planificarse y auditarse. v Informacin sobre la puesta a punto y la utilizacin del diario de auditora proporcionado por el sistema. v Otras tcnicas disponibles para reunir informacin sobre seguridad en el sistema. La auditora de seguridad implica el uso de mandatos en el sistema iSeries y el acceso a informacin de anotaciones y diarios en el sistema. Puede interesarle crear un perfil especial para que lo utilice quien tenga que realizar una auditora de seguridad de su sistema. El perfil del auditor necesitar la autorizacin especial *AUDIT para poder modificar las caractersticas de auditora de su sistema. Algunas de las tareas de auditora sugeridas en este captulo requieren un perfil de usuario con la autorizacin especial *ALLOBJ y *SECADM. Asegrese de establecer la contrasea para el perfil de auditor como *NONE al finalizar el periodo de auditora. Para obtener ms detalles sobre la auditora de seguridad vea el captulo 9 de la publicacin Seguridad, Manual de consulta.
Anlisis de perfiles de usuario

Puede visualizar o imprimir una lista completa de todos los usuarios del sistema con el mandato Visualizar usuarios autorizados (DSPAUTUSR). La lista puede ordenarse por nombre de perfil o nombre de perfil de grupo. A continuacin se proporciona un ejemplo del orden del perfil de grupo:
65
Visualizar usuarios autorizados Perfil Grupo DPTSM DPTWH QSECOFR *NO GROUP Perfil usuario ANDERSOR VINCENTM ANDERSOR WAGNERR JONESS HARRISOK DPTSM DPTWH RICHARDS SMITHJ ltimo Sin cambio contrasea Texto contrasea 08/04/9x Roger Anders 09/15/9x Mark Vincent 08/04/9x 09/06/9x 09/20/9x 08/29/9x 09/05/9x 08/13/9x 09/05/9x 09/18/9x X X Roger Anders Rose Wagner Sharon Jones Ken Harrison Ventas y Marketing Almacn Janet Richards John Smith
Impresin de perfiles de usuario seleccionados

Puede utilizar el mandato Visualizar perfil de usuario (DSPUSRPRF) para crear un archivo de salida, que puede procesar utilizando una herramienta de consulta.
DSPUSRPRF USRPRF(*ALL) + TYPE(*BASIC) OUTPUT(*OUTFILE)
Puede utilizar una herramienta de consulta para crear diversos informes de anlisis de su archivo de salida, por ejemplo: v Una lista de todos los usuarios que tienen las autorizaciones especiales *ALLOBJ y *SPLCTL. v Una lista de todos los usuarios ordenados por un campo de perfil de usuario, por ejemplo programa inicial o clase de usuario. Puede crear programas de consulta para generar distintos informes del archivo de salida. Por ejemplo: v Listar todos los perfiles de usuarios que tengan autorizaciones especiales, seleccionando registros en los que el campo UPSPAU no sea *NONE. v Listar todos los usuarios a los que les est permitido entrar mandatos, seleccionando registros en los que el campo Limitar posibilidades (denominado UPLTCP en el archivo de salida de base de datos modelo) sea *NO o *PARTIAL. v Listar todos los usuarios que tengan un men inicial o programa inicial concreto. v Listar los usuarios inactivos fijndose en el campo de fecha de ltimo inicio de sesin.
Examen de perfiles de usuario de gran tamao

Los perfiles de usuario con un gran nmero de autorizaciones, que parecen estar repartidos por el sistema al azar, pueden reflejar una falta de planificacin de la seguridad. A continuacin se muestra un mtodo para localizar los perfiles de usuario de gran tamao y cmo evaluarlos: 1. Utilice el mandato Visualizar descripcin de objeto (DSPOBJD) para crear un archivo de salida que contenga informacin sobre todos los perfiles de usuario del sistema:
DSPOBJD OBJ(*ALL) OBJTYPE(*USRPRF) + DETAIL(*BASIC) OUTPUT(*OUTFILE)
66
2. Cree un programa de consulta para listar el nombre y el tamao de cada perfil de usuario, en secuencia descendente por su tamao. 3. Imprima informacin detallada sobre los perfiles de usuario ms grandes y evale las autorizaciones y los objetos que poseen para ver si son los apropiados:
DSPUSRPRF USRPRF(nombre-perfil-usuario) + TYPE(*OBJAUT) OUTPUT(*PRINT) DSPUSRPRF USRPRF(nombre-perfil-usuario) + TYPE(*OBJOWN) OUTPUT(*PRINT)
Algunos perfiles de usuario suministrados por IBM son de gran tamao debido al nmero de objetos que poseen. No suele ser necesario listarlos y analizarlos. No obstante, deber comprbar si hay programas que adoptan la autorizacin de los perfiles de usuario suministrados por IBM que tengan la autorizacin especial *ALLOBJ, por ejemplo QSECOFR y QSYS. Para obtener ms detalles sobre la auditora de seguridad vea el captulo 9 de la publicacin Seguridad, Manual de consulta.
Consejos para analizar las autorizaciones sobre objetos

Puede utilizar el siguiente mtodo para determinar quin tiene autorizacin sobre las bibliotecas del sistema: 1. Utilice el mandato DSPOBJD para listar todas las bibliotecas del sistema:
DSPOBJD OBJ(*ALL) OBJTYPE(*LIB) OUTPUT(*PRINT)
2. Utilice el mandato Visualizar autorizacin sobre objeto (DSPOBJAUT) para listar las autorizaciones sobre una biblioteca especfica:
DSPOBJAUT OBJ(nombre-biblioteca) OBJTYPE(*LIB) + OUTPUT(*PRINT)
3. Utilice el mandato Visualizar biblioteca (DSPLIB) para listar los objetos de la biblioteca:
DSPLIB LIB(nombre-biblioteca) OUTPUT(*PRINT)
Utilizando estos informes, puede determinar qu hay en una biblioteca y quin tiene acceso a la misma. Si es necesario, puede utilizar el mandato DSPOBJAUT para ver tambin la autorizacin para objetos seleccionados de la biblioteca.
Bsqueda de objetos alterados

Puede utilizar el mandato Comprobar integridad de objetos (CHKOBJITG) para buscar objetos que hayan sido alterados. Un objeto alterado suele ser una indicacin de que alguien intenta entrar en su sistema. Puede interesarle ejecutar este mandato despus de que alguien haya realizado alguna de las siguientes acciones: v Restaurar programas al sistema v Utilizar herramientas de servicio dedicado (DST) Cuando ejecute el mandato, el sistema crear un archivo de base de datos que contendr informacin sobre cualquier posible problema de integridad. Puede comprobar los objetos propiedad de un perfil, de varios perfiles distintos o de todos los perfiles. Puede buscar objetos cuyo dominio haya sido alterado. Tambin puede volver a calcular los valores de validacin de programas para buscar objetos de los tipos *PGM, *SRVPGM, *MODULE y *SQLPKG que se hayan alterado.
67
Para ejecutar el programa CHKOBJITG es necesaria la autorizacin especial *AUDIT. El mandato puede tardar en ejecutarse debido a las exploraciones y clculos que realiza. Deber ejecutarlo en un momento en que el sistema no est muy ocupado. Nota: Los perfiles que poseen muchos objetos con muchas autorizaciones privadas pueden llegar a tener un gran tamao. El tamao de un perfil de propietario afecta al rendimiento cuando se visualiza y se trabaja con la autorizacin sobre objetos de propiedad y cuando se salvan o se restauran perfiles. Las operaciones del sistema tambin pueden resultar afectadas. Para evitar repercusiones en el rendimiento o en las operaciones del sistema, distribuya la propiedad de los objetos entre mltiples perfiles. No asigne todos los objetos (o casi todos) a un nico perfil de propietario.
Anlisis de programas que adoptan autorizaciones

Los programas que adoptan la autorizacin de un usuario con la autorizacin especial *ALLOBJ representan un riesgo para la seguridad. Puede utilizarse el siguiente mtodo para buscar e inspeccionar esos programa: 1. Para cada usuario con la autorizacin especial *ALLOBJ, utilice el mandato Visualizar programas que adoptan (DSPPGMADP) para listar los programas que adoptan la autorizacin de ese usuario:
DSPPGMADP USRPRF(nombre perfil usuario) + OUTPUT(*PRINT)
Nota: El tema Impresin de perfiles de usuario seleccionados en la pgina 66 muestra cmo listar usuarios con autorizacin *ALLOBJ. 2. Utilice el mandato DSPOBJAUT para determinar quin tiene autorizacin para utilizar cada programa que adopta y qu autorizacin de uso pblico existe para el programa:
DSPOBJAUT OBJ(nombre-biblioteca/nombre-programa) + OBJTYPE(*PGM) OUTPUT(*PRINT)
3. Inspeccione el cdigo fuente y la descripcin de programa para evaluar lo siguiente: v Si se impide al usuario del programa un exceso de funciones, por ejemplo utilizar una lnea de mandatos, mientras trabaja con el perfil adoptado. v Si el programa adopta el nivel de autorizacin mnimo necesario para la funcin deseada. Las aplicaciones que utilizan anomala de programa pueden disearse utilizando el mismo perfil de propietario para los objetos y los programas. Cuando la autorizacin del propietario del programa es adoptada, el usuario tiene autorizacin total (*ALL) sobre los objetos de la aplicacin. En muchos casos, el perfil de propietario no necesita ninguna autorizacin especial. 4. Verifique cundo se modific el programa por ltima vez, utilizando el mandato DSPOBJD:
DSPOBJD OBJ(nombre-biblioteca/nombre-programa) + OBJTYPE(*PGM) DETAIL(*FULL)
Bsqueda de objetos alterados

Puede utilizar el mandato Comprobar integridad de objetos (CHKOBJITG) para buscar objetos que hayan sido alterados. Un objeto alterado suele ser una indicacin de que alguien intenta entrar en su sistema. Puede interesarle ejecutar este mandato despus de que alguien haya realizado alguna de las siguientes acciones:
68
v Restaurar programas al sistema v Utilizar herramientas de servicio dedicado (DST) Cuando ejecute el mandato, el sistema crear un archivo de base de datos que contendr informacin sobre cualquier posible problema de integridad. Puede comprobar los objetos propiedad de un perfil, de varios perfiles distintos o de todos los perfiles. Puede buscar objetos cuyo dominio haya sido alterado. Tambin puede volver a calcular los valores de validacin de programas para buscar objetos de los tipos *PGM, *SRVPGM, *MODULE y *SQLPKG que se hayan alterado. Para ejecutar el programa CHKOBJITG es necesaria la autorizacin especial *AUDIT. El mandato puede tardar en ejecutarse debido a las exploraciones y clculos que realiza. Deber ejecutarlo en un momento en que el sistema no est muy ocupado. Nota: Los perfiles que poseen muchos objetos con muchas autorizaciones privadas pueden llegar a tener un gran tamao. El tamao de un perfil de propietario afecta al rendimiento cuando se visualiza y se trabaja con la autorizacin de objetos propiedad y cuando se salvan o se restauran perfiles. Las operaciones del sistema tambin pueden resultar afectadas. Para evitar repercusiones en el rendimiento o en las operaciones del sistema, distribuya la propiedad de los objetos entre mltiples perfiles. No asigne todos los objetos (o casi todos) a un nico perfil de propietario. Para obtener ms detalles sobre la auditora de seguridad vea el captulo 9 de la publicacin Seguridad, Manual de consulta.
Consejos para gestionar el diario de auditora y los receptores de diario

| | | | | El diario de auditora, QSYS/QAUDJRN, est pensado solamente para la auditora de seguridad. No deben registrarse objetos en el diario de auditora. El control de compromiso no deber utilizar el diario de auditora. No deben enviarse entradas de usuario a este diario utilizando el mandato Enviar entrada de diario (SNDJRNE) o la API Enviar entrada de diario (QJOSJRNE). Se utiliza una proteccin especial por bloqueo para asegurar que el sistema puede grabar entradas de auditora en el diario de auditora. Cuando la auditora est activa (el valor del sistema QAUDCTL no es *NONE), el trabajo rbitro del sistema (QSYSARB) mantiene un bloqueo en el diario QSYS/QAUDJRN. No podr realizar determinadas operaciones en el diario de auditora mientras la auditora est activa, por ejemplo: v Mandato DLTJRN v Mandato ENDJRNxxx v Mandato APYJRNCHG v v v v v Mandato RMVJRNCHG Mandato DMPOBJ o DMPSYSOBJ Mover el diario Restaurar el diario Operaciones que funcionen con autorizacin, por ejemplo el mandato GRTOBJAUT v Mandato WRKJRN
69
La informacin grabada en las entradas de diario de seguridad est descrita en el Seguridad, Manual de consulta. Todas las entradas de seguridad del diario de auditora tienen un cdigo de diario T. En el diario QAUDJRN, aparte de entradas de seguridad, aparecen entradas del sistema. Son entradas con un cdigo de diario J, relacionadas con la carga del programa inicial (IPL) y operaciones generales realizadas en los receptores de diario (por ejemplo, salvar el receptor). Si se producen daos en el diario o en su receptor actual de forma que no pueden registrarse las entradas de auditora, el valor del sistema QAUDENDACN determina la accin que llevar a cabo el sistema. La recuperacin de un diario o un receptor de diario daados es igual que para los dems diarios. Puede interesarle hacer que el sistema gestione el cambio de receptores de diario. Especifique MNGRCV(*SYSTEM) al crear el diario QAUDJRN, o bien modifique el diario para que tenga ese valor. Si especifica MNGRCV(*SYSTEM), el sistema desconecta automticamente el receptor cuando llega al umbral de tamao y crea y conecta un nuevo receptor de diario. Esto se denomina gestin de cambio de diario del sistema. | | | | | | | Si especifica MNGRCV(*USER) para QAUDJRN, se enviar un mensaje a la cola de mensajes del umbral especificado para el diario cuando el receptor de diario alcance un umbral de almacenamiento. El mensaje indica que el receptor ha alcanzado el umbral. Utilice el mandato CHGJRN para desconectar el receptor y conectar un nuevo receptor de diario. Esto evita que haya mensajes de error de Entrada no registrada journaled. Si recibe un mensaje, debe utilizar el mandato CHGJRN para que contine la auditora de seguridad. La cola de mensajes por omisin para un diario es QSYSOPR. Si su instalacin tiene un gran volumen de mensajes en la cola de mensajes QSYSOPR, puede interesarle asociar una cola de mensajes distinta, por ejemplo AUDMSG, al diario QAUDJRN. Puede utilizar un programa de manejo de mensajes para supervisar la cola de mensajes AUDMSG. Cuando se recibe un aviso de umbral de diario (CPF7099), puede conectar un nuevo receptor automticamente. Si utiliza la gestin de cambio de diario del sistema, se enviar el mensaje CPF7020 a la cola de mensajes del diario cuando se complete un cambio de diario del sistema. Puede supervisar la aparicin de este mensaje para saber cundo debe realizar una operacin de salvar los receptores de diario desconectados. Atencin: La funcin de limpieza automtica suministrada utilizando mens de Operational Assistant no realiza la limpieza de los receptores QAUDJRN. Deber desconectar, salvar y suprimir receptores QAUDJRN regularmente para evitar problemas de espacio de disco. Consulte la publicacin Copia de seguridad y recuperacin para obtener informacin completa sobre la gestin de diarios y receptores de diario. Nota: El diario QAUDJRN se crea durante una IPL, si no existe, y el valor del sistema QAUDCTL se establece en un valor que no sea *NONE. Esto ocurre solamente tras una situacin inusual como, por ejemplo, sustituir un dispositivo de disco o borrar una agrupacin de almacenamiento auxiliar.
Salvar y suprimir receptores de diario de auditora

Visin general:
70
Finalidad: Conectar un nuevo receptor de diario de auditora; Salvar y suprimir el receptor antiguo Mtodo: CHGJRN QSYS/QAUDJRN JRNRCV(*GEN) SAVOBJ (para salvar el receptor antiguo) DLTJRNRCV (para suprimir el receptor antiguo) Autorizacin: Autorizacin *ALL para el receptor de diario, autorizacin *USE para el diario Entrada de diario: J (entrada del sistema en QAUDJRN) Deber desconectar el receptor de diario de auditora actual regularmente y conectar uno nuevo por dos motivos: v El anlisis de entradas de diario resulta ms fcil si cada receptor de diario contiene las entradas durante un perodo de tiempo especfico razonable. v Los receptores de diario de gran tamao pueden afectar al rendimiento del sistema, adems de ocupar un espacio valioso en el almacenamiento auxiliar. El mtodo recomendado es hacer que el sistema gestione los receptores automticamente. Puede especificarlo utilizando el parmetro Gestionar receptor al crear el diario. Si ha configurado la auditora de acciones y la auditora de objetos para anotar muchos eventos distintos, puede ser necesario especificar un valor de umbral alto para el receptor de diario. Si est gestionando los receptores manualmente, puede ser necesario cambiar los receptores de diario cada da. Si anota solamente unos cuantos eventos, puede interesarle cambiar los receptores para que concuerden con la planificacin de copia de seguridad para la biblioteca que contiene el receptor de diario. | Utilice el mandato CHGJRN para desconectar un receptor y conectar uno nuevo. Receptores de diario gestionados por el sistema: Si hace que el sistema gestione los receptores, utilice el siguiente procedimiento para salvar todos los receptores QAUDJRN desconectados y suprimirlos: 1. Teclee WRKJRNA QAUDJRN. La pantalla le mostrar el receptor conectado actualmente. No salve ni suprima este receptor. 2. Utilice F15 para trabajar con el directorio de receptores. Se muestran todos los receptores que han estado asociados con el diario y su estado. 3. Utilice el mandato SAVOBJ para salvar cada receptor, excepto el receptor conectado actualmente, que no se ha salvado todava. 4. Utilice el mandato DLTJRNRCV para suprimir cada receptor despus de salvarlo. Nota: Una alternativa al procedimiento anterior podra ser utilizar la cola de mensajes de diario y buscar el mensaje CPF7020, que indica que el cambio de diario del sistema se ha completado satisfactoriamente. Consulte el Copia de seguridad y recuperacin para obtener ms informacin sobre este soporte.
71
Receptores de diario gestionados por el usuario: Si elige gestionar los receptores de diario manualmente, utilice el siguiente procedimiento para desconectar, salvar y suprimir un receptor de diario: 1. Teclee CHGJRN JRN(QAUDJRN) JRNRCV(*GEN). Este mandato hace lo siguiente: a. Desconecta el receptor conectado actualmente. b. Crea un nuevo receptor con el siguiente nmero de secuencia. c. Conecta el nuevo receptor al diario. Por ejemplo, si el receptor actual es AUDRCV0003, el sistema crea y conecta un nuevo receptor denominado AUDRCV0004. El mandato Trabajar con atributos de diario (WRKJRNA) le indica qu receptor est conectado actualmente: WRKJRNA QAUDJRN. 2. Utilice el mandato Salvar objeto (SAVOBJ) para salvar el receptor de diario desconectado. Especifique el tipo de objeto *JRNRCV. 3. Utilice el mandato Suprimir receptor de diario (DLTJRNRCV) para suprimir el receptor. Si intenta suprimir el receptor sin salvarlo, recibir un mensaje de aviso. Para obtener ms detalles sobre la auditora de seguridad vea el captulo 9 de la publicacin Seguridad, Manual de consulta.
72
Captulo 7. Consejos para gestionar y supervisar la autorizacin

Hay disponible un conjunto de informes de seguridad para ayudarle a hacer un seguimiento de cmo est configurada la autorizacin en su sistema. Al ejecutar estos informes de forma inicial, puede imprimirlo todo (autorizacin para todos los archivos o para todos los programas, por ejemplo). Despus de haber establecido la base de informacin, puede ejecutar regularmente las versiones cambiadas de informe. La versiones cambiadas ayudan a identificar cambios relevantes para la seguridad en el sistema a los que se deba prestar atencin. Por ejemplo, puede ejecutar el informe que muestre la autorizacin de uso pblico para los archivos cada semana. Puede pedir slo la versin cambiada del informe. En l se mostrarn los archivos nuevos en el sistema que estn disponibles para todo el mundo y los archivos existentes cuya autorizacin de uso pblico haya cambiado desde el ltimo informe. Hay dos mens disponibles para ejecutar herramientas de seguridad: v Utilice el men SECTOOLS para ejecutar programas interactivamente. v Utilice el men SECBATCH para ejecutar programas por lotes. El men SECBATCH tiene dos partes: una para someter los trabajos inmediatamente a la cola de trabajos y la otra para colocar los trabajos en el planificador de trabajos. | | | | Si est utilizando el Operations Navigator, lo conseguir completando los cambios utilizando la funcin de polticas de seguridad. Para obtener ms informacin, consulte el iSeries Information Center (vea Requisitos e informacin relacionada en la pgina xii para conocer ms detalles).
Supervisin de la autorizacin de uso pblico sobre objetos

Por motivos de simplicidad y rendimiento, la mayora de los sistemas estn preparados de tal modo que la mayor parte de los objetos estn disponibles para muchos usuarios. A los usuarios se les deniega explcitamente el acceso a ciertos objetos confidenciales en lugar de tener autorizacin expresa para utilizar todos los objetos. Algunos sistemas con requisitos de seguridad ms restrictivos tienen el enfoque opuesto y proporcionan autorizacin sobre objetos explcitamente. En estos sistemas, la mayora de los objetos se crean con la autorizacin de uso pblico *EXCLUDE. iSeries es un sistema basado en objetos con numerosos tipos de objetos.La mayor parte de ellos no contienen informacin confidencial ni realizan funciones relacionadas con la seguridad. Como administrador de seguridad de un iSeries con los requisitos de seguridad habituales, tal vez desee concentrar su atencin en los objetos que precisan proteccin, como los archivos de base de datos y los programas.Para los dems tipos de objetos, puede establecer una autorizacin de uso pblico suficiente para las aplicaciones, que es *USE para la mayor parte de tipos de objetos. Puede utilizar el mandato Imprimir autorizacin de uso pblico (PRTPUBAUT) para imprimir informacin sobre los objetos a los que los usuarios pblicos pueden acceder. (Un usuario pblico es aquel que tiene autorizacin de inicio de sesin y que no tiene autorizacin explcita sobre un objeto.) Al utilizar el mandato
73
PRTPUBAUT, puede especificar los tipos de objeto y las bibliotecas o directorios que desee examinar. En los mens SECBATCH y SECTOOLS hay opciones para imprimir el Informe de objetos con autorizacin de uso pblico de los tipos de objetos que suelen tener consideraciones de seguridad. La Figura 6 muestra un ejemplo del Informe de objetos con autorizacin de uso pblico correspondiente a los objetos *FILE en la biblioteca CUSTLIB:
Objetos con autorizacin de uso pblico (informe completo) Tipo de objeto . . . . . . . . : Biblioteca especificada . . . : Bibliot. CUSTLIB CUSTLIB CUSTLIB CUSTLIB Objeto CUSTMAST ORDERS PRICES TAXES Propiet. AROWNER AROWNER AROWNER AROWNER *FILE CUSTLIB Lista de autoriz. *NONE *NONE *NONE *NONE SYSTEM4
Autoriz. *USE *CHANGE *USE *CHANGE
----------Objeto----------- ------------Datos----------Oper Gest Exist Alter Ref Lect Aad Act Supr Ejecutar X X X X X X X X X X X X X X X X X X
Figura 6. Ejemplo de informe de objetos con autorizacin de uso pblico
Puede imprimir la versin modificada de este informe regularmente para ver qu objetos precisan su atencin.
Gestin de la autorizacin para objetos nuevos

OS/400 proporciona funciones para ayudarle a gestionar la autorizacin y la propiedad de nuevos objetos del sistema. Cuando un usuario crea un objeto nuevo, el sistema determina lo siguiente: v Quin ser el propietario del objeto v Cul es la autorizacin pblica para el objeto v Si el objeto tendr autorizaciones privadas v Dnde colocar el objeto (qu biblioteca o directorio) v Si se auditar el acceso al objeto El sistema utiliza valores del sistema, parmetros de biblioteca y parmetros de perfil de usuario para tomar estas decisiones. Assigning Authority and Ownership to New Objects en el captulo 5 de la publicacin iSeries Security Reference proporciona numerosos ejemplos de las opciones disponibles. Puede utilizar el mandato PRTUSRPRF para imprimir los parmetros de perfil de usuario que afectan a la propiedad y a la autorizacin para objetos nuevos. La Figura 11 en la pgina 82 muestra un ejemplo de este informe.
Supervisin de las listas de autorizaciones

Opciones del men SECBATCH: 3 para someter inmediatamente 42 para utilizar el planificador de trabajos Puede agrupar los objetos con requisitos de seguridad similares utilizando una lista de autorizaciones. Conceptualmente, una lista de autorizaciones contiene una lista de los usuarios y las autorizaciones que estos tienen sobre los objetos protegidos por la lista. Las listas de autorizaciones constituyen un modo eficaz de gestionar la autorizacin de objetos similares del sistema. Sin embargo, en algunos casos, dificultan el seguimiento de las autorizaciones sobre los objetos.
74
Puede utilizar el mandato Imprimir autorizacin privada (PRTPVTAUT) para imprimir informacin acerca de las autorizaciones sobre la lista de autorizaciones. La Figura 7 muestra un ejemplo del informe.
Autorizaciones privadas (informe completo) Lista autoriz. LIST1 LIST2 LIST3 LIST4 Propiet. QSECOFR BUDNIKR QSECOFR CJWLDR Grupo primario *NONE *NONE *NONE *NONE Usuario *PUBLIC BUDNIKR *PUBLIC *PUBLIC CJWLDR GROUP1 *PUBLIC Autoriz. *EXCLUDE *ALL *CHANGE *EXCLUDE *ALL *ALL *EXCLUDE Gest ----------Objeto----------List. Opr Gest Exist Alter Ref X X X X X X X X X X X X X X X X X X SYSTEM4 ------------Datos----------Lect A. Act. Supr Ejecutar X X X X X X X X X X X X X X X X X X X X
Figura 7. Informe de autorizaciones privadas para listas de autorizaciones
Este informe contiene la misma informacin que la pantalla Editar lista de autorizaciones (EDTAUTL). La ventaja del informe es que concentra la informacin acerca de todas las listas de autorizaciones. Si, por ejemplo, est realizando la puesta a punto de un grupo nuevo de objetos, puede buscar rpidamente en el informe si hay alguna lista de autorizaciones que cumpla los requisitos para estos objetos. Puede imprimir una versin modificada del informe para ver las listas de autorizaciones nuevas o las que han sufrido cambios en las autorizaciones desde la ltima vez que se imprimi el informe. Tambin tiene la opcin de imprimir una lista de los objetos protegidos por cada lista de autorizaciones. La Figura 8 muestra un ejemplo del informe correspondiente a una lista de autorizaciones:
Visualizar objetos Lista de autorizaciones . . . . . : Biblioteca . . . . . . . . . . . : Propietario . . . . . . . . . . . : Grupo primario . . . . . . . . . . : Objeto CUSTMAS CUSTORD Biblioteca CUSTLIB CUSTORD Tipo *FILE *FILE de lista de autorizaciones CUSTAUTL QSYS AROWNER *NONE Propietario AROWNER OEOWNER Grupo primario *NONE *NONE Texto
Figura 8. Informe Visualizar objetos de lista de autorizaciones
Puede utilizar este informe, por ejemplo, para ver el efecto de la adicin de un nuevo usuario a una lista de autorizaciones (qu autorizaciones recibir el usuario).
Consejos para utilizar Listas de autorizaciones

Operations Navigator proporciona funciones de seguridad diseadas para ayudarle a desarrollar un plan y una poltica de seguridad y para configurar el sistema para ajustarse a las necesidades de su empresa. Una de las funciones disponibles es el uso de listas de autorizaciones. Las listas de autorizaciones tienen las siguientes caractersticas. v Una lista de autorizaciones agrupa los objetos con requisitos de seguridad similares. v Una lista de autorizaciones contiene conceptualmente una lista de usuarios y grupos y la autorizacin que cada uno tiene sobre los objetos protegidos por la lista.
75
v Cada usuario y grupo puede tener una autorizacin distinta sobre el conjunto de objetos que la lista protege. v La autorizacin puede entregarse mediante la lista, en lugar de a grupos y usuarios individuales. Las tareas que pueden realizarse utilizando listas de autorizaciones incluyen las siguientes. v Crear una lista de autorizaciones v v v v Modificar una lista de autorizaciones. Aadir usuarios y grupos. Modificar permisos de usuarios. Visualizar objetos protegidos.
Para utilizar esta funcin haga lo siguiente. 1. Inicie el programa Operations Navigator. 2. Inicie la sesin en iSeries. 3. Seleccione Seguridad y pulse en el recuadro + . 4. Ver Listas de autorizaciones y Polticas. Pulse el botn derecho del ratn para obtener el men. 5. Seleccione Lista de autorizaciones nueva y pulse el botn izquierdo del ratn. Aparecer una ventana. La Lista de autorizaciones nueva le permite efectuar lo siguiente. v Uso: Permite el acceso a los atributos del objeto y el uso del objeto. El pblico puede ver los objetos pero no puede modificarlos. v Cambio: Permite cambiar el contenido del objeto (con algunas excepciones). v Total: Permite todas las operaciones sobre el objeto, excepto las limitadas al propietario. El usuario o grupo puede controlar la existencia del objeto, especificar la seguridad para el objeto, modificar el objeto y realizar funciones bsicas sobre el objeto. El usuario o grupo tambin puede cambiar la propiedad del objeto. v Exclusin: Se prohiben todas las operaciones sobre el objeto. No se permite el acceso al objeto ni operaciones sobre el mismo para los usuarios y grupos que tengan este permiso. Especifica que no se permite al pblico el uso del objeto. Al trabajar con listas de autorizaciones le interesa otorgar permisos tanto para los objetos como para los datos. Los permisos sobre objetos que puede elegir se enumeran a continuacin. v Operativo: Proporciona el permiso para ver la descripcin de un objeto y utilizar el objeto tal como determina el permiso de datos que el usuario o grupo tiene sobre ese objeto. v Gestin: Proporciona el permiso para especificar la seguridad para el objeto, mover o redenominar el objeto y aadir miembros a los archivos de base de datos. v Existencia: Proporciona el permiso para controlar la existencia y la propiedad del objeto. El usuario o grupo puede suprimir el objeto, liberar almacenamiento del objeto, efectuar operaciones de salvar y restaurar para el objeto y transferir la propiedad del objeto. Si un usuario o un grupo tiene un permiso de salvar especial, el usuario o grupo no necesitar el permiso de existencia para el objeto. v Alteracin (utilizado solamente para archivos de base de datos y paquetes SQL): Proporciona el permiso necesario para alterar los atributos de un objeto. Si el usuario o grupo tiene este permiso sobre un archivo de base de datos, el usuario o grupo puede aadir o eliminar desencadenantes, aadir o eliminar restricciones referenciales y de unicidad, as como modificar los atributos del archivo de base de datos. Si el usuario o grupo tiene este permiso sobre un
76
paquete SQL, el usuario o grupo puede modificar los atributos del paquete SQL. Actualmente, este permiso se utiliza solamente para archivos de base de datos y paquetes SQL. v Referencia (utilizado solamente para archivos de base de datos y paquetes SQL): Proporciona el permiso necesario para referenciar un objeto desde otro objeto, de forma que las operaciones sobre ese objeto puedan ser restringidas por el otro objeto. Si el usuario o grupo tiene este permiso sobre un archivo fsico, el usuario o grupo puede aadir restricciones referenciales en las que el archivo fsico sea el padre. Actualmente, este permiso se utiliza solamente para los archivos de base de datos. Los permisos sobre datos que puede elegir se enumeran a continuacin. v Lectura: Proporciona el permiso necesario para obtener y visualizar el contenido del objeto, por ejemplo ver registros de un archivo. v Adicin: Proporciona el permiso para aadir entradas a un objeto, por ejemplo aadir mensajes a una cola de mensajes o aadir registros a un archivo. v Actualizacin: Proporciona el permiso para cambiar las entradas de un objeto, por ejemplo cambiar registros de un archivo. v Supresin: Proporciona el permiso para eliminar entradas de un objeto, por ejemplo eliminar mensajes de una cola de mensajes o suprimir registros de un archivo. v Ejecucin: Proporciona el permiso necesario para ejecutar un programa, un programa de servicio o un paquete SQL. El usuario tambin puede ubicar un objeto en una biblioteca o directorio. Para obtener ms informacin sobre cada proceso a medida que cree o edite sus listas de autorizaciones, consulte las pantallas de ayuda en lnea para cada paso.
Herramienta de poltica de auditoras

El Operations navigator tiene dos reas de polticas. Son las siguientes: v Poltica de auditoras v y Poltica de seguridad. Para crear y utilizar polticas dentro del Operations navigator, deber hacer lo siguiente. 1. Inicie el programa Operations Navigator. 2. Inicie la sesin en iSeries. 3. Seleccione Seguridad y pulse en el recuadro + . 4. Ver Polticas en el men; pulse con el botn derecho del ratn para obtener el men de polticas. 5. Seleccione Explorar y pulse en el ttulo con el botn izquierdo del ratn. As obtendr una lista de las polticas y sus nombres. Por ejemplo: Poltica de auditoras y Poltica de seguridad con una descripcin de cada una. La poltica de auditoras es la funcin por la que el sistema hace una auditora del acceso a un objeto y crea una entrada en el diario de auditora. La poltica de auditoras hace un seguimiento de todos los usuarios que acceden a un objeto importante del sistema, as como un seguimiento de todos los objetos a los que accede un usuario concreto. Para llegar a la ventana de propiedades de polticas de auditoras puede efectuar una doble pulsacin con el botn izquierdo del ratn en Polticas de auditoras , o bien puede pulsar con el botn derecho del ratn para obtener un men y
77
seleccionar Propiedades. La ventama Propiedades de Polticas de auditoras le permitir seleccionar y activar funciones de auditora. Entre las acciones de auditora se encuentran las siguientes. v Violacin del filtro APPN: Realiza auditoras de las violaciones detectadas por el cortafuegos de APPN. Se realizan auditoras de las violaciones del filtro de bsqueda de directorios y del filtro de punto final. v Anomala de autorizacin: Realiza auditoras de los intentos no satisfactorios de iniciar la sesin en el sistema y de acceder a objetos. Anomalas de autorizacin puede utilizarse de forma regular para supervisar a los usuarios que intentan realizar funciones no autorizadas en el sistema. Tambin pueden utilizarse como ayuda para la migracin a un nivel de seguridad superior y para probar la seguridad por recursos para una aplicacin nueva. v Tareas de trabajo: Realiza auditoras de las acciones que afectan a un trabajo, por ejemplo iniciar o detener el trabajo, retenerlo, liberarlo, cancelarlo o modificarlo. Tareas de trabajo puede utilizarse para supervisar quin est ejecutando trabajos de proceso por lotes. v Creacin de objetos: Realiza auditoras sobre la creacin o la sustitucin de un objeto. Creacin de objetos puede utilizarse para supervisar cundo se crean o se vuelven a compilar programas. v Supresin de objetos: Realiza la auditora sobre la supresin de un objeto. v Gestin de objetos: Realiza la auditora sobre la operacin de redenominar o mover un objeto. Gestin de objetos puede utilizarse para detectar la copia de informacin confidencial trasladando el objeto a una biblioteca distinta. v Restauracin de objetos: Realiza la auditora sobre el objeto restaurado. Restauracin de objetos puede utilizarse para detectar intentos de restaurar objetos no autorizados. v Tareas de oficina: Realiza la auditora de cambios en el directorio de distribucin del sistema y la apertura de las anotaciones de correo. Las acciones realizadas sobre elementos especficos de las anotaciones de correo no se registran. Tareas de oficina puede utilizarse para detectar intentos de modificar el direccionamiento del correo o para supervisar si se abren las anotaciones de correo de otro usuario. v Tareas pticas: Realiza auditoras de funciones pticas, por ejemplo aadir o extraer un cartucho ptico, o modificar la lista de autorizaciones utilizada para proteger un volumen ptico. Otras funciones incluyen copiar, mover o redenominar un archivo ptico, guardar o liberar un archivo ptico retenido, etc. v Funciones de impresin: Realiza auditoras de la impresin de un archivo en spool, la impresin directamente desde un programa, o el envo de un archivo en spool a una impresora remota. Funciones de impresin puede utilizarse para detectar la impresin de informacin confidencial. v Adopcin de programas: Realiza la auditora del uso de autorizacin adoptada para obtener el acceso a un objeto. Adopcin de programas puede utilizarse para probar dnde y cundo una aplicacin nueva utiliza la autorizacin adoptada. v Tareas de seguridad: Realiza auditoras de eventos relativos a la seguridad como, por ejemplo, modificar un perfil de usuario o un valor del sistema. Tareas de seguridad puede utilizarse para mantener un registro de todas las actividades de seguridad. v Tareas de servicio: Realiza auditoras del uso de herramientas de servicio tales como Volcar objeto e Iniciar copiar pantalla. Tareas de servicio puede utilizarse para detectar intentos de esquivar la seguridad utilizando herramientas de servicio. v Gestin de spool: Realiza auditoras de las acciones llevadas a cabo sobre los archivos en spool, incluida la creacin, la copia y el envo. Gestin de spool puede utilizarse para detectar intentos de imprimir o enviar datos confidenciales.
78
v Violacin de la integridad del sistema: Realiza auditoras de las violaciones del dominio del programa cuando un programa provoca un error de integridad. Violacin de la integridad del sistema puede utilizarse como ayuda para la migracin a un nivel de seguridad superior o para probar una aplicacin nueva. v Gestin del sistema: Realiza auditoras de las actividades de gestin del sistema, por ejemplo modificar una lista de respuestas o la planificacin de encendido y apagado. Gestin del sistema puede utilizarse para detectar intentos de utilizar funciones de gestin del sistema para esquivar los controles de seguridad. | | | | | Cuando se cree la ventana de nuevos objetos, ver qu se ha creado y podr realizar cambios y pulsar Aceptar para aceptar el nuevo objeto. Si aparece una ventana que indica El diario QAUDJRN no existe en la biblioteca QSYS, utilice el mandato CL CHGSECAUD para crear el diario de auditora de seguridad (QUADJRN), si no existe. Si desea realizar una auditora sobre un nico usuario, puede hacerlo volviendo a la pantalla del men principal. 1. En el men principal seleccione Usuarios y grupos. 2. Expanda la ventana y pulse en Todos los usuarios. 3. Seleccione el usuario que desee supervisar y pulse con el botn de la derecha para obtener el men desplegable. Seleccione Propiedades. 4. En el men Propiedades seleccione y pulse en Posibilidades. 5. El siguiente men le ofrece la opcin de realiza la auditora de un nico usuario. Efecte sus selecciones de auditora y seleccione Aceptar. Ahora podr supervisar el uso que hace esa persona del sistema.
Herramienta de poltica de seguridad

Las polticas de seguridad se utilizan para administrar los valores del sistema relacionados con la seguridad. Para definir y mantener las polticas de seguridad es necesario seguir los siguientes pasos. 1. Inicie el programa Operations Navigator. 2. Inicie la sesin en iSeries. 3. Seleccione Seguridad y pulse en el recuadro + . 4. Ver Listas de autorizaciones y Polticas. Pulse el botn derecho del ratn para obtener el men. 5. Seleccione Polticas y pulse con el botn izquierdo del ratn. Aparecer una ventana. 6. Efecte una doble pulsacin en el archivo Polticas de seguridad. Eso le llevar a una ventana denominada Propiedades de Poltica de seguridad en la que deber dar el nombre de su iSeries. 7. Una vez realizadas sus selecciones, pulse Aceptar para que se apliquen a sus polticas. 8. Las siguientes funciones de seguridad de Operations Navigator sustituyen a estas interfaces de lnea de mandatos.
Valores de seguridad Pestaa de controles de seguridad Nivel de seguridad Acciones de seguridad QSECURITY QALWOBJRST; QRMTSRVATR; *ALWSYSSTT; *ALWPGMADP; *ALWPFT;QRETSVRSEC Interfaz de lnea de mandatos
79
Autorizacin por omisin para los objetos de QCRTAUT nueva creacin en el sistema de archivos QSYS.LIB Inicio de sesin en el sistema Intentos de inicio de sesin incorrectos QMAXSIGN; QMAXSGNACN; QDSPSGNINF; QLMTDEVSSN; QLMTSECOFR QUATOVRT; QAUTOCFG QPWDEXPITV
Permitir autoconfiguracin de Caducidad de contrasea Pantalla de contrasea Longitudes de contrasea Caracteres de contrasea Contraseas anteriores Tiempo de espera Trabajos inactivos Trabajos de desconexin Accin de error de dispositivo
QPWDMINLEN; QPWDMAXLEN QPWDDLMTAJC; QPWMINLEN; QPWDLMTREP; QPWDLMTCHR QPWDPOSIF; QPWDRQDDIF
QINACTITV; QINACTMSGQ QDSCJOBITV
Accin a llevar a cabo cuando se produce un QDEVRCYACN error de dispositivo en la estacin de trabajo: Inicio de sesin remoto Utilizar TELNET para la pantalla de inicio de sesin remoto Nota: Si marca Utilizar paso a travs para inicio de sesin remoto; se utilizar el valor tanto para PassThrough como para Telnet. Objetos no disponibles Permitir estos objetos en: QALWUSRDMN QRMTSIGN
Supervisin de la autorizacin privada sobre los objetos

Opciones del men SECBATCH: 12 para someter inmediatamente 41 para utilizar el planificador de trabajos Puede utilizar el mandato Imprimir autorizacin privada (PRTPVTAUT) para imprimir una lista de todas las autorizaciones privadas correspondientes a los objetos de un tipo determinado de una biblioteca especificada. Puede utilizar este informe para detectar las nuevas autorizaciones sobre objetos. Tambin puede serle til para evitar que la estructura de autorizaciones privadas se convierta en complicada e imposible de gestionar. La Figura 9 en la pgina 81 muestra un ejemplo del informe:
80
5769SS1 VxRxMx 000000 Directorio . . . . . . . . . . : Autorizacin *PUBLIC . . . . : Tipo de objeto . . . . . . . . : Objeto ProdData UserData include locales
Autorizaciones privadas (informe completo) /qibm *RX *DIR
TESTSYS
00/00/00
00:00:00
Propietario QSYS QSYS QSYS QLPINSTALL
Grupo Primario *NONE *NONE *NONE *NONE
Lista Autoriz. *NONE *NONE *NONE *NONE
Usuario *PUBLIC QSYS *PUBLIC QSYS *PUBLIC QSYS *PUBLIC QLPINSTA
Datos -----------Objeto----------Autorizacin Mgt Exist Alter Ref *RX *RWX X X X X *RX *RWX X X X X *RX *RWX X X X X *RX *RWX X X X X
Figura 9. Informe de autorizaciones privadasEjemplo
Supervisin del acceso a las colas de salida y a las colas de trabajos

En algunos casos, los administradores de seguridad hacen un gran trabajo a fin de proteger el acceso a los archivos, pero se olvidan de lo que sucede cuando el contenido de un archivo se imprime. iSeries proporciona funciones para proteger las colas de salida y las colas de trabajos confidenciales. Puede proteger una cola de salida para que los usuarios no autorizados no puedan, por ejemplo, ver o copiar los archivos en spool confidenciales que estn a la espera de imprimirse. Tambin puede proteger las colas de trabajos para que los usuarios no autorizados no puedan redirigir un trabajo confidencial a una cola de salida no confidencial ni cancelar el trabajo.
Opciones del men SECBATCH: 24 para someter inmediatamente 63 para utilizar el planificador de trabajos El tema Seguridad bsica del sistema y planificacin del Information Center y las publicaciones iSeries Security Reference, describen cmo proteger las colas de salida y las colas de trabajos. Puede utilizar el mandato Imprimir autorizacin sobre cola (PRTQAUT) para imprimir los valores de seguridad correspondientes a las colas de trabajos y de salida del sistema. A continuacin puede evaluar la impresin de trabajos que contienen informacin confidencial y asegurarse de que van a parar a colas de salida y de trabajos que estn protegidas. La Figura 10 muestra un ejemplo del informe PRTQAUT:
Autorizacin sobre colas (informe completo) Biblioteca especificada . . . : *ALL Biblioteca Objeto Tipo BASQLIB OUTQ1 *OUTQ BASQLIB OUTQ2 *OUTQ BASQLIB OUTQ3 *OUTQ BASQLIB OUTQ4 *OUTQ BASQLIB OUTQ5 *OUTQ BASQLIB JOBQ2 *JOBQ BASQLIB JOBQ3 *JOBQ Propietario BASMLYR BASMLYR BASMLYR BASMLYR BASMLYR BASMLYR BASMLYR Autorizacin *USE *ALL *CHANGE *EXCLUDE *EXCLUDE *CHANGE *EXCLUDE DSPDTA *NO *YES *OWNER *NO *NO *NONE *NONE OPRCTL *YES *YES *YES *NO *NO *NO *NO
SYSTEM4 AUTCHK *OWNER *OWNER *OWNER *OWNER *DTAAUT *OWNER *DTAAUT
Figura 10. Informe Autorizacin sobre colasEjemplo
81
Para las colas de salida y de trabajos que considera susceptibles de seguridad, puede comparar los valores de seguridad con la informacin del Apndice D de la publicacin iSeries Security Reference. Las tablas del Apndice D indican qu valores son necesarios para realizar distintas funciones de cola de salida y de trabajos.
Supervisin de autorizaciones especiales

Si los usuarios del sistema tienen autorizaciones especiales innecesarias, sus esfuerzos para desarrollar un esquema de autorizacin sobre objeto adecuado pueden ser intiles. La autorizacin sobre objeto no tiene ningn significado si un perfil de usuario tiene la autorizacin especial *ALLOBJ. Un usuario que tenga la autorizacin especial *SPLCTL puede ver todos los archivos en spool del sistema, independientemente de los esfuerzos que realice para proteger las colas de salida. Los usuarios con la autorizacin especial *JOBCTL, pueden afectar las operaciones del sistema y redirigir los trabajos. Los usuarios con la autorizacin especial *SERVICE pueden utilizar las herramientas de servicio para acceder a los datos sin pasar por el sistema operativo.
Opciones del men SECBATCH: 29 para someter inmediatamente 68 para utilizar el planificador de trabajos Puede utilizar el mandato Imprimir perfil de usuario (PRTUSRPRF) para imprimir informacin acerca de las autorizaciones especiales y las clases de usuario correspondientes a los perfiles de usuario del sistema. Cuando se ejecuta el informe, se dispone de varias opciones: v Todos los perfiles de usuario v Perfiles de usuario con autorizaciones especiales especficas v Perfiles de usuario que tengan clases de usuario especficas v Perfiles de usuario con discrepancias entre la clase de usuario y las autorizaciones especiales. La Figura 11 muestra un ejemplo del informe que contiene las autorizaciones especiales para todos los perfiles de usuario:
Informacin de perfil de usuario Tipo de informe . . . . . . . : *AUTINFO Seleccionar por . . . . . . . : *SPCAUT Autorizaciones especiales . . : *ALL -----------Autorizaciones especiales--------*IO Perfil Perfiles *ALL *AUD SYS *JOB *SAV *SEC *SER *SPL Clase usuario grupo OBJ IT CFG CTL SYS ADM VICE CTL usuario USERA *NONE X X X X X X X X *SECOFR USERB *NONE X X *PGMR USERC *NONE X X X X X X X X *SECOFR USERD *NONE *USER
Propiet *USRPRF *USRPRF *USRPRF *USRPRF
Autoriz. grupo *NONE *NONE *NONE *NONE
Tipo autoriz. grupo *PRIVATE *PRIVATE *PRIVATE *PRIVATE
Posibilidad limitada *NO *NO *NO *NO
Figura 11. Informe de usuariosEjemplo 1
Adems de las autorizaciones especiales, el informe contiene lo siguiente: v Si el perfil de usuario tiene posibilidades limitadas. v Si el usuario o el grupo de usuarios es propietario de los objetos nuevos que cree el usuario. v Qu autorizacin recibir automticamente el grupo de usuarios sobre los nuevos objetos creados por el usuario.
82
La Figura 12 muestra un ejemplo del informe correspondiente a las autorizaciones especiales y clases de usuario con discrepancias:
Informacin de perfil de usuario Tipo de informe . . . . . . . : *AUTINFO Seleccionar por . . . . . . . : *MISMATCH --------------------------------Autorizaciones especiales--------*IO Perfil Perfiles *ALL *AUD SYS *JOB *SAV *SEC *SER *SPL Clase usuario grupo OBJ IT CFG CTL SYS ADM VICE CTL usuario USERX *NONE X X X X *SYSOPR USERY *NONE X *USER USERZ X *USER QPGMR X X
Propiet *USRPRF *USRPRF *USRPRF
Autoriz. grupo *NONE *NONE *NONE
Tipo autoriz. grupo *PRIVATE *PRIVATE *PRIVATE
Posibilidad limitada *NO *NO *NO
Figura 12. Informe de usuariosEjemplo 2
En la Figura 12, observe lo siguiente: v USERX tiene una clase de usuario de operador del sistema (*SYSOPR), pero tiene las autorizaciones especiales *ALLOBJ y *SPLCTL. v USERY tiene una clase de usuario (*USER), pero tiene la autorizacin especial *SECADM. v USERZ tambin tiene una clase de usuario (*USER), pero tiene la autorizacin especial *SECADM. Tambin puede ver que USERZ es un miembro del grupo QPGMR, que tiene las autorizaciones especiales *JOBCTL y *SAVSYS. Puede ejecutar estos informes regularmente para supervisar la administracin de perfiles de usuario.
Supervisin de entornos de usuario

Una de las funciones del perfil de usuario es la definicin del entorno del usuario, que comprende la cola de salida, el men inicial y la descripcin del trabajo. El entorno del usuario tiene efectos sobre el modo en que el usuario ve el sistema y, hasta cierto punto, sobre las acciones que el usuario puede realizar. El usuario debe tener autorizacin sobre los objetos que estn especificados en el perfil de usuario. Sin embargo, si su esquema de seguridad an est en curso o no es muy restrictivo, el entorno de usuario definido en un perfil de usuario puede producir resultados no deseados. A continuacin encontrar varios ejemplos:
Opciones del men SECBATCH: 29 para someter inmediatamente 68 para utilizar el planificador de trabajos v La descripcin de trabajo de usuario puede especificar un perfil de usuario con ms autorizacin que el usuario. v El usuario puede tener un men inicial sin lnea de mandatos. Sin embargo, el programa de manejo de la tecla de atencin del usuario puede proporcionar una. v El usuario puede tener autorizacin para ejecutar informes confidenciales. Sin embargo, la salida del usuario puede dirigirse a una cola de salida que est disponible para los usuarios que no deberan ver los informes. Puede utilizar la opcin *ENVINFO del mandato Imprimir perfil de usuario (PRTUSRPRF) para supervisar los entornos que estn definidos para los usuarios del sistema. La Figura 13 en la pgina 84 muestra un ejemplo del informe:
83
Tipo de informe . . . . . . . : *ENVINFO Seleccionar por . . . . . . . : *USRCLS Men Perfil Biblioteca inicial/ usuario actual biblioteca AUDSECOFR AUDITOR MAIN *LIBL USERA *CRTDFT OEMENU *LIBL USERB *CRTDFT INVMENU *LIBL USERC *CRTDFT PAYROLL *LIBL
Informacin de perfil de usuario Programa inicial/ biblioteca *NONE *NONE *NONE *NONE Descripcin trabajo/ biblioteca QDFTJOBD QGPL QDFTJOBD QGPL QDFTJOBD QGPL QDFTJOBD QGPL Cola mensajes/ biblioteca QSYSOPR QSYS USERA QUSRSYS USERB QUSRSYS USERC QUSRSYS Cola salida/ biblioteca *WRKSTN *WRKSTN *WRKSTN PAYROLL PRPGMLIB Programa atencin/ bibliot. *SYSVAL *SYSVAL *SYSVAL *SYSVAL
Figura 13. Imprimir perfil de usuario-Ejemplo de entorno de usuario
| | | | | | | | | | | | | | | | | | |
Gestin de herramientas de servicio

Las herramientas de servicio (DST) se utilizan para: v diagnosticar problemas del sistema v aadir recursos de hardware al sistema v gestionar DASD o memoria v gestionar actividades de LPAR (particin lgica) v revisar el LIC y las anotaciones de actividad de productos v efectuar vuelcos del almacenamiento principal Las herramientas de servicio pueden utilizarse para tomarle el pulso al sistema, es decir, ver cmo est funcionando el sistema en ese momento. Esas herramientas no han cambiado, pero s lo que puede hacer con ellas. Ahora existen nuevas maneras de gestionar la seguridad de las herramientas de servicio en el sistema: v Perfiles de usuario de herramientas de servicio v Perfiles de dispositivo de herramientas de servicio v Datos de seguridad de herramientas de servicio Se puede acceder a estas nuevas funciones a travs de la pantalla Trabajar con entorno DST, como se muestra aqu:
Trabajar con entorno DST Seleccione una de las siguientes opciones: 1. 2. 3. 4. 5. 6. Herramientas de servicio activas Dispositivos del sistema Perfiles de usuario de herramientas de servicio Valores del sistema Perfiles de dispositivo de herramientas de servicio Datos de seguridad de herramientas de servicio
Sistema: ____________
Seleccin
Figura 14. Trabajar con entorno DST
84
| | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | |
Una vez creado un Perfil de usuario de herramienta de servicio, inicie la sesin utilizando el procedimiento descrito en Inicio de sesin en las Herramientas de servicio del sistema (SST) en la pgina 98.
Service Tools Server (STS)

El Service Tools Server (STS) le permite utilizar el PC para realizar funciones de DST a travs de TCP/IP. Para poder utilizar el STS para realizar actividades de LPAR basadas en GUI o de Gestin de disco, es necesario hacer que el STS est disponible. El STS puede configurarse para DST, para OS/400 o para ambos. Una vez configurado, los usuarios autorizados podrn realizar funciones de LPAR o de Gestin de disco utilizando el Operations Navigator. Nota: No le ser posible acceder a ninguna funcin DST disponible en el Operations Navigator hasta que haya configurado el STS para DST o para OS/400.
Configuracin del Service Tools Server para DST

En la V5R1, el STS puede configurarse para estar disponible cuando el sistema est en DST. Si utiliza solamente la Consola de operaciones con conectividad LAN para realizar actividades de DST, no ser necesario volver a configurar el STS, ya que lo tendr disponible cuando el sistema est en DST. De lo contrario, puede habilitar el STS mediante DST, dedicando una tarjeta de interfaz de red al STS. Para habilitar el STS con su propia tarjeta de interfaz de red: 1. Desde la pantalla Utilizar herramientas de servicio dedicado (DST), seleccione 5 (Trabajar con entorno DST) y pulse Intro. Aparecer la pantalla Trabajar con entorno DST (vea Figura 14 en la pgina 84). 2. Desde la pantalla Trabajar con entorno DST, seleccione 2 (Dispositivos del sistema) y pulse Intro. Aparecer la pantalla Trabajar con dispositivos del sistema. 3. Desde la pantalla Trabajar con dispositivos del sistema, seleccione 6 (Modalidad de consola) y pulse Intro. Aparecer la pantalla Seleccionar tipo de consola.
Seleccionar tipo de consola Seleccione una de las siguientes opciones: 1. Twinaxial 2. Consola de operaciones(Directo) 3. Consola de operaciones(LAN)
Sistema: ____________
Seleccin
Figura 15. Pantalla Seleccionar tipo de consola
4. Desde la pantalla Seleccionar tipo de consola, pulse F11 (Configurar). Aparecer la pantalla Configurar adaptador de herramientas de servicio. 5. En la pantalla Configurar adaptador de herramientas de servicio, entre la informacin sobre el Adaptador de LAN y TCP/IP. Pulse F1 (Ayuda) para conocer el tipo de informacin necesaria en cada campo.
85
| | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | |
Configurar adaptador de herramientas de servicio Sistema: ____________ Teclee elecciones, pulse Intro para verificar la entrada. Nombre de recurso..............: Tipo de adaptador..............: Modelo de adaptador............: Nmero de serie del adaptador..: Direccin Internet.............. Dir. direccionador primario..... Dir. direccionador secundario... Mscara de subred............... Nombre del sistema.............. Nodo............................ Dplex.......................... Velocidad de red................ F3=Salir F5=Cargar F6=Borrar F13=Desactivar F14=Activar CMN03_______ 2724________ 001_________ 12-1234567__ ____________ ____________ ____________ ____________ ____________ 000000000000 (0 es el valor por omisin) AUTO________ HALF, FULL, AUTO AUTO________ 4,10,15,100,AUTO F12=Cancelar
F7=Almacenar
Figura 16. Pantalla Configurar adaptador de herramientas de servicio
6. Pulse F7 (Almacenar) para comprometer los cambios. 7. Pulse F14 (Activar) para activar el adaptador. El STS ya est listo para su uso con un Perfil de usuario de herramientas de servicio vlido (vea Creacin de un perfil de usuario de herramientas de servicio en la pgina 88).
Configuracin del Service Tools Server para OS/400

Debe aadir el STS a la tabla de servicios para poder acceder a las funciones de DST en el OS/400 utilizando TCP/IP y Operations Navigator. El STS puede aadirse antes de configurar la red de rea local (LAN). Para aadir el STS a la tabla de servicios: 1. En cualquier lnea de mandatos, teclee ADDSRVTBLE (Aadir entrada de tabla de servicios) y pulse Intro. Aparecer la pantalla Aadir entrada de tabla de servicios. 2. Entre la siguiente informacin en los campos suministrados: v Servicio: as-sts v Puerto: 3000 v Protocolo: tcp v Texto descriptivo: Service Tools Server Este campo es opcional, pero se recomienda que entre una descripcin de la entrada de la tabla. 3. Pulse F10 (Parmetros adicionales). 4. Entre AS-STS en el campo Alias. El Alias debe estar en maysculas, ya que algunas bsquedas en la tabla de servicios son sensibles a las maysculas y minsculas.
86
| | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | |
Aadir entrada de tabla de servicios (ADDSRVTBLE) Teclee elecciones, pulse Intro. Servicio . . . . . Puerto . . . . . . Protocolo . . . . . Texto 'descriptivo' . . . . . as-sts . 3000 1-65535 . tcp . 'Service Tools Server' Parmetros adicionales Aliases . . . . . . . . 'AS-STS' + para ms valores
Figura 17. Pantalla Aadir entrada de tabla de servicios (ADDSRVTBLE) completada
5. Pulse Intro para aadir la entrada a la tabla. 6. Pulse F3 para salir de la pantalla Aadir entrada de tabla de servicios. Una vez se ha aadido STS a la tabla de servicios, los usuarios autorizados (vea Creacin de un perfil de usuario de herramientas de servicio en la pgina 88) podrn acceder a herramientas de servicio de LPAR y de Gestin de disco utilizando el Operations Navigator y TCP/IP.
Utilizacin de perfiles de usuario de herramientas de servicio

En el pasado, los usuarios autorizados podan acceder a cualquier herramienta de servicio del sistema si tenan un ID de usuario y una contrasea vlidos. Los usuarios que necesitaban acceder solamente a una herramienta podan acceder a todas ellas. Esto planteaba un riesgo de seguridad potencial: por ejemplo, la herramienta Visualizar/Alterar/Volcar es muy potente y solamente debern utilizarla un nmero reducido de usuario. No obstante, estaba disponible para cualquier usuario con autorizacin para utilizar otras herramientas, por ejemplo la gestin de DASD. Ahora puede crear perfiles definidos por el usuario a los que puede otorgarse un privilegio funcional sobre las herramientas de servicio. Se pueden otorgar a los usuarios privilegios sobre herramientas especficas, por ejemplo la gestin de DASD o LPAR, o sobre un grupo de herramientas. Puede definir hasta 96 perfiles de usuario distintos (lo que har un total de 100, incluidos los cuatro suministrados por IBM), lo que le permitir gestionar el acceso a herramientas de servicio de una manera ms eficaz. IBM contina suministrando perfiles de usuario estndar: QSECOFR (que tiene acceso a todas las herramientas de servicio y puede trabajar con los UID y contraseas y cambiarlos), 11111111 (que tiene privilegios de acceso bsicos) y 2222222 (ms avanzado que 11111111, pero sin todas las posibilidades de QSECOFR). IBM ha aadido tambin un nuevo perfil de usuario (QSRV) que tiene una funcionalidad similar a la de 22222222, pero sin la capacidad de Visualizar/Alterar/Volcar. Nota: Todos los perfiles de usuario de herramientas de servicio suministrados por IBM (excepto 11111111) caducarn una vez se hayan utilizado por primera vez. Deber cambiar de inmediato las contraseas para estos perfiles (vea Cambio de un perfil de usuario de herramientas de servicio en la pgina 89).
87
| | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | |
Trabajar con perfiles de usuario de herramientas de servicio

Los Perfiles de usuario de herramientas de servicio no se componen solamente de un ID de usuario y una contrasea. Tambin tienen una fecha de caducidad, lo que le permite minimizar el riesgo de seguridad en el sistema. Por ejemplo, puede crear un perfil para un tcnico de servicio que sea vlido durante poco tiempo, otorgando a ese tcnico el acceso solamente a las herramientas de servicio necesarias. El perfil tambin puede inhabilitarse si el usuario asociado con l deja la empresa, reduciendo as la posibilidad de que un antiguo empleado acceda a las herramientas de servicio con fines indefinidos. Cada perfil de usuario tiene asociada tambin una lista de privilegios funcionales. Puede seleccionar la lista de privilegios funcionales de las herramientas especficas a las que cada perfil de usuario tendr acceso y otorgar o revocar privilegios funcionales cuando lo desee.
Consejo: Utilice los perfiles de usuario de herramientas de servicio para gestionar el acceso a herramientas de servicio clave. Cree un perfil que maneje las tareas del QSECOFR. Cuando esa persona est de vacaciones, podr utilizarse el perfil alternativo para realizar esas tareas. Desde la pantalla Trabajar con entorno DST, pulse 3 (Perfiles de usuario de herramientas de servicio) para trabajar con Perfiles de usuario de herramientas de servicio.
Trabajar con perfiles de usuario de herramientas de servicio Sistema: _______________ Teclee opcin, pulse Intro. 1=Crear 2=Cambiar contrasea 3=Suprimir 4=Visualizar 5=Habilitar 6=Inhabilitar 7=Cambiar privilegios 8=Cambiar descripcin Opcin ____ ____ ____ ____ ____ ____ ____ ____ Perfil Usuario ____________ ____________ ____________ ____________ ____________ ____________ ____________ ____________ F5=Renovar Descripcin _________________________________________________________ _________________________________________________________ _________________________________________________________ _________________________________________________________ _________________________________________________________ _________________________________________________________ _________________________________________________________ _________________________________________________________ F12=Cancelar Estado ________ ________ ________ ________ ________ ________ ________ ________ Ms...
F3=Salir
Figura 18. Trabajar con perfiles de usuario de herramientas de servicio
Desde la pantalla mostrada en Figura 18, puede crear, modificar, suprimir y visualizar perfiles de usuario. En este release, el acceso a la gestin de DASD y las funciones LPAR tienen GUI como base; puede accederse a todas las dems herramientas mediante pantalla verde. Creacin de un perfil de usuario de herramientas de servicio: Para crear un Perfil de usuario de herramientas de servicio: 1. Entre el nombre del nuevo usuario de herramientas de servicio en el espacio suministrado.
88
| | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | |
2. Seleccione 1 (Crear) en la pantalla Trabajar con perfiles de usuario de herramientas de servicio. Aparecer la pantalla Crear perfil de usuario de herramientas de servicio. 3. Entre informacin sobre el nuevo perfil de usuario: v Frase de paso: El nuevo perfil de usuario utilizar esta frase de paso. Esta frase debe tener al menos un carcter de longitud. No se permiten otras normas de composicin de frases de paso. v Permita el acceso al perfil antes de la recuperacin de la gestin del almacenamiento: el valor por omisin para este campo es 2 (No). v Establezca una contrasea que debe caducar: el valor por omisin para este campo es 1 (S). v Descripcin: Este es un campo opcional que puede utilizarse para informacin ms detallada sobre el propietario del perfil de usuario, por ejemplo el nombre, departamento y nmero de telfono. 4. Una vez se haya entrado toda la informacin sobre el perfil de usuario, puede elegir entre dos opciones: v Para crear el perfil con los privilegios por omisin, pulse Intro. v Para modificar los privilegios por omisin, pulse F5 para ir a la pantalla Cambiar privilegios de usuario de herramientas de servicio. Esta pantalla lista todas las herramientas de servicio a las que puede otorgarse privilegio. Para cambiar un privilegio, vea Cambio de un perfil de usuario de herramientas de servicio para obtener ms informacin. Para aprender a iniciar la sesin en las herramientas de servicio del sistema (SST), vea Inicio de sesin en las Herramientas de servicio del sistema (SST) en la pgina 98. Cambio de un perfil de usuario de herramientas de servicio: Para cambiar un perfil de usuario de herramientas de servicio: 1. En la pantalla Trabajar con perfiles de usuario de herramientas de servicio, seleccione el perfil de usuario a modificar y pulse 7 (Cambiar privilegios) en el campo de opcin. Aparecer la pantalla Cambiar privilegios de usuario de herramientas de servicio. a. Entre 1 (Revocar) en el campo de opcin, junto a los privilegios funcionales que desee eliminar del perfil de usuario. b. Entre 2 (Otorgar) en el campo de opcin, junto a los privilegios funcionales que desee aadir al perfil de usuario. 2. Pulse Intro para habilitar estos cambios. Si pulsa F3 (Salir) antes de pulsar Intro, los cambios no entrarn en vigor y se restablecern los valores por omisin del perfil de usuario. Si pulsa F9 (Valores por omisin), se restablecern los valores por omisin de los privilegios funcionales. Para modificar una contrasea de perfil de usuario de herramientas de servicio: 1. En la pantalla Trabajar con perfiles de usuario de herramientas de servicio, seleccione el perfil de usuario a modificar y pulse 2 (Cambiar contrasea) en el campo de opcin. a. Si tiene el privilegio de administracin del sistema para modificar los perfiles de usuario de herramientas de servicio de otras personas, aparecer la pantalla Cambiar contrasea de usuario de herramientas de servicio de otro usuario. Complete los siguientes campos: v Nombre de perfil de usuario de herramientas de servicio: Entre el nombre de perfil de usuario que desee modificar.
89
| | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | |
v Contrasea nueva: Entre una frase de paso nueva. v Establecer contrasea como caducada: seleccione 1 (S) o 2 (No) en este campo. El valor por omisin es 1 (S). b. Si no tiene el privilegio de administracin del sistema para modificar los perfiles de usuario de herramientas de servicio de otras personas, aparecer la pantalla Cambiar contrasea de usuario de herramientas de servicio. Complete los siguientes campos: v Contrasea actual: Entre la frase de paso que se est utilizando actualmente para el perfil de usuario. v Contrasea nueva: Entre una frase de paso nueva. v Contrasea nueva (para verificar): Vuelva a entrar la frase de paso nueva. 2. Pulse Intro para ejecutar el cambio. Para modificar una descripcin de perfil de usuario de herramientas de servicio: 1. En la pantalla Trabajar con perfiles de usuario de herramientas de servicio, seleccione la descripcin de perfil de usuario a cambiar y pulse 8 (Cambiar descripcin) en el campo de opcin. 2. En el campo Descripcin, entre una nueva descripcin para el perfil de usuario. Esta puede incluir el nombre del usuario, el departamento y el nmero de telfono. Supresin de un perfil de usuario de herramientas de servicio: Para suprimir un perfil de usuario de herramientas de servicio: 1. En la pantalla Trabajar con perfiles de usuario de herramientas de servicio, seleccione el perfil de usuario que desee suprimir y pulse 3 (Suprimir) en el campo de opcin. Aparecer la pantalla Suprimir perfil de usuario de herramientas de servicio. 2. Se le solicitar confirmacin de su eleccin de suprimir el perfil de usuario. v Pulse Intro para suprimir el perfil. v Pulse F12 (Cancelar) para cancelar la accin y volver a la pantalla Trabajar con perfiles de usuario de herramientas de servicio. Visualizacin de un perfil de usuario de herramientas de servicio: Para visualizar un perfil de usuario de herramientas de servicio: 1. En la pantalla Trabajar con perfiles de usuario de herramientas de servicio, seleccione el perfil de usuario que desee visualizar y pulse 4 (Visualizar). Aparecer la pantalla Visualizar perfil de usuario de herramientas de servicio. Esta pantalla muestra informacin relacionada con el perfil de usuario: v Inicio de sesin anterior (fecha y hora) Intentos de inicio de sesin no vlidos Estado Fecha del ltimo cambio de contrasea Permitir acceso al perfil antes de la recuperacin de la gestin del almacenamiento (S o No) v Fecha de caducidad de la contrasea (fecha) v Contrasea establecida para caducar (S o No) 2. Pulse F5 (Visualizar privilegios) para ver los privilegios funcionales asociados con este perfil. Aparecer la pantalla Visualizar privilegios de usuario de herramientas de servicio. Esta pantalla lista todos los privilegios funcionales y el estado del usuario para cada uno de ellos. No puede realizar cambios en el perfil de usuario desde esta pantalla. v v v v
90
| | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | |
Habilitacin o inhabilitacin de un perfil de usuario de herramientas de servicio: v Para habilitar un perfil de usuario de herramientas de servicio: 1. En la pantalla Trabajar con perfiles de usuario de herramientas de servicio, seleccione el perfil de usuario que desee habilitar y entre 5 (Habilitar) en el campo de opcin. Aparecer la pantalla Habilitar perfil de usuario de herramientas de servicio. 2. Pulse Intro para confirmar la eleccin de habilitar el perfil de usuario que ha seleccionado. v Para inhabilitar un perfil de usuario de herramientas de servicio: 1. En la pantalla Trabajar con perfiles de usuario de herramientas de servicio, seleccione el perfil de usuario que desee inhabilitar y entre 6 (Inhabilitar) en el campo de opcin. Aparecer la pantalla Inhabilitar perfil de usuario de herramientas de servicio. 2. Pulse Intro para confirmar la eleccin de inhabilitar el perfil de usuario que ha seleccionado.
Utilizacin de perfiles de dispositivo de herramientas de servicio

Una novedad de este release es la mejora de la seguridad para la nueva Consola de operaciones con base LAN (vea Consejos para la utilizacin de la Consola de operaciones con conectividad LAN en la pgina 105). Los perfiles de dispositivo permiten que cualquier dispositivo de Consola de operaciones de una LAN acte como la consola. As se elimina la limitacin de proximidad fsica al iSeries y se permite una disposicin de consola ms flexible para ajustarse a sus necesidades de empresa. Nota: Cualquier dispositivo de Consola de operaciones puede ser una consola, pero solamente las configuraciones con base LAN utilizan el perfil de usuario de herramientas de servicio. Dado que cualquier dispositivo de Consola de operaciones puede ser la consola, las funciones de consola pueden repartirse entre mltiples dispositivos de la LAN. Por ejemplo, un dispositivo puede tener el privilegio funcional para realizar funciones de LPAR solamente, mientras otro realiza la gestin de DASD. Puede crearse un mximo de 50 perfiles de dispositivo para manejar actividades de consola en la LAN y cualquier dispositivo que intente actuar como consola en la LAN ser autenticado por el iSeries antes de realizarse las funciones de consola. Esta autenticacin implica la confirmacin de que el dispositivo tiene el privilegio funcional para realizar las funciones de consola que solicita, as como confirmar que se trata de un dispositivo autorizado en la LAN. Desde la pantalla Trabajar con entorno DST, seleccione 5 (Perfiles de dispositivo de herramientas de servicio).
91
| | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | |
Trabajar con perfiles de dispositivo de herramientas de servicio

Trabajar con perfiles de dispositivo de herramientas de servicio Sistema: ___________ Teclee opcin, pulse Intro. 1=Crear 2=Restablecer contrasea 3=Suprimir 4=Visualizar 5=Habilitar 6=Inhabilitar 7=Cambiar atributos 8=Cambiar descripcin Opcin ____ ____ ____ ____ ____ ____ ____ ____ F3=Salir Perfil Dispositivo _____________ _____________ _____________ _____________ _____________ _____________ _____________ _____________ F5=Renovar Descripcin ________________________________________________ ________________________________________________ ________________________________________________ ________________________________________________ ________________________________________________ ________________________________________________ ________________________________________________ ________________________________________________ F12=Cancelar Estado _________ _________ _________ _________ _________ _________ _________ _________ Ms...
Figura 19. Trabajar con perfiles de dispositivo de herramientas de servicio
Creacin de un perfil de dispositivo de herramientas de servicio: Para crear un perfil de dispositivo de herramientas de servicio: 1. Seleccione 1 (Crear) en la pantalla Trabajar con perfiles de dispositivo de herramientas de servicio. Aparecer la pantalla Crear perfil de dispositivo de herramientas de servicio. 2. Entre el nombre del nuevo perfil de dispositivo de herramientas de servicio en el espacio suministrado. 3. Entre informacin sobre el nuevo perfil de dispositivo: v Frase de paso: El nuevo perfil de dispositivo utilizar esta frase de paso. v Descripcin: Este es un campo opcional que puede utilizarse para informacin ms detallada sobre el propietario del perfil de dispositivo, por ejemplo el nombre, departamento y nmero de telfono. 4. Una vez se haya entrado toda la informacin sobre el perfil de usuario, puede elegir entre dos opciones: v Para crear el perfil con los atributos por omisin, pulse Intro. v Para modificar los atributos por omisin, pulse F5 para ir a la pantalla Cambiar atributos de dispositivo de herramientas de servicio. Esta pantalla lista todas las herramientas de servicio a las que puede otorgarse privilegio. Para cambiar un privilegio, vea Cambio de un perfil de dispositivo de herramientas de servicio en la pgina 93 para obtener ms informacin. Restablecimiento de un perfil de dispositivo de herramientas de servicio: Para restablecer un atributo de dispositivo de herramientas de servicio: 1. En la pantalla Trabajar con perfiles de dispositivo de herramientas de servicio, seleccione el perfil de usuario y pulse 2 (Restablecer contrasea) en el campo de opcin. Aparecer la pantalla Restablecer contrasea de dispositivo de herramientas de servicio. 2. Pulse Intro para confirmar el restablecimiento de la contrasea. Nota: Se restablecer la contrasea con el nombre de perfil de dispositivo.
92
| | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | |
3. Restablezca la contrasea en el PC. Consulte el apndice Resincronizacin de las contraseas de perfil de dispositivo del PC y del iSeries de la publicacin Configuracin de Consola de operaciones. Cambio de un perfil de dispositivo de herramientas de servicio: Para modificar atributos de dispositivo de herramientas de servicio: 1. En la pantalla Trabajar con perfiles de dispositivo de herramientas de servicio, seleccione el perfil de usuario a modificar y pulse 7 (Cambiar atributos) en el campo de opcin. Aparecer la pantalla Cambiar atributos de dispositivo de herramientas de servicio. a. Entre 1 (Revocar) en el campo de opcin, junto al atributo de servicio que desee eliminar del perfil de usuario. b. Entre 2 (Otorgar) en el campo de opcin, junto al atributo de servicio que desee aadir al perfil de usuario. 2. Pulse Intro para ejecutar estos cambios. Si pulsa F3 (Salir) antes de pulsar Intro, los cambios no entrarn en vigor y se restablecern los valores por omisin a los atributos de dispositivo. Si pulsa F5 (Restablecer) antes de pulsar Intro, se restablecern los valores por omisin a los atributos de dispositivo. Para modificar una descripcin de perfil de dispositivo de herramientas de servicio: 1. En la pantalla Trabajar con perfiles de dispositivo de herramientas de servicio, seleccione la descripcin de perfil de dispositivo a cambiar y pulse 8 (Cambiar descripcin) en el campo de opcin. 2. En el campo Descripcin, entre una nueva descripcin para el perfil de usuario. Esta puede incluir el nombre del usuario, el departamento y el nmero de telfono.
Supresin de un perfil de dispositivo de herramientas de servicio

Para suprimir un perfil de dispositivo de herramientas de servicio: 1. En la pantalla Trabajar con perfiles de dispositivo de herramientas de servicio, seleccione el perfil de dispositivo que desee suprimir y pulse 3 (Suprimir) en el campo de opcin. Aparecer la pantalla Suprimir perfil de dispositivo de herramientas de servicio. 2. Se le solicitar confirmacin de su eleccin de suprimir el perfil de dispositivo. v Pulse Intro para suprimir el perfil. v Pulse F12 (Cancelar) para cancelar la accin y volver a la pantalla Trabajar con perfiles de dispositivo de herramientas de servicio.
Visualizacin de un perfil de dispositivo de herramientas de servicio

Para visualizar un perfil de dispositivo de herramientas de servicio: 1. En la pantalla Trabajar con perfiles de dispositivo de herramientas de servicio, seleccione el perfil de dispositivo que desee visualizar y pulse 4 (Visualizar). Aparecer la pantalla Visualizar perfil de dispositivo de herramientas de servicio. Esta pantalla muestra informacin relacionada con el perfil de dispositivo: v Estado v Descripcin 2. Pulse F5 (Visualizar atributos) para ver los atributos asociados con este perfil. Aparecer la pantalla Visualizar atributos de dispositivo de herramientas de
93
| | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | |
servicio. Esta pantalla lista todos los atributos de dispositivo y el estado del perfil para cada uno de ellos. No puede realizar cambios en los atributos de dispositivo desde esta pantalla.
Habilitacin o inhabilitacin de un perfil de dispositivo de herramientas de servicio

v Para habilitar un perfil de dispositivo de herramientas de servicio: 1. En la pantalla Trabajar con perfiles de dispositivo de herramientas de servicio, seleccione el perfil de dispositivo que desee habilitar y entre 5 (Habilitar) en el campo de opcin. Aparecer la pantalla Habilitar perfil de dispositivo de herramientas de servicio. 2. Pulse Intro para confirmar la eleccin de habilitar el perfil de dispositivo que ha seleccionado. v Para inhabilitar un perfil de dispositivo de herramientas de servicio: 1. En la pantalla Trabajar con perfiles de dispositivo de herramientas de servicio, seleccione el perfil de dispositivo que desee inhabilitar y entre 6 (Inhabilitar) en el campo de opcin. Aparecer la pantalla Inhabilitar perfil de dispositivo de herramientas de servicio. 2. Pulse Intro para confirmar la eleccin de inhabilitar el perfil de dispositivo que ha seleccionado.
Utilizacin de datos de seguridad de servicio

Una vez tenga un plan de seguridad preparado, ser necesario poder supervisar su eficacia y ver dnde hace falta realizar alteraciones para ajustar la seguridad del sistema. La informacin que puede reunir de los Datos de seguridad de servicio le ayudarn en ese cometido. Las opciones disponibles desde esta pantalla tambin le permiten alterar la seguridad clave de contraseas y del sistema operativo. Desde la pantalla Trabajar con entorno DST, seleccione la opcin 6 (Datos de servicio de herramientas de servicio).
Trabajar con datos de seguridad de servicio

Las opciones que tiene disponibles en la pantalla Datos de seguridad de servicio le permiten ver las anotaciones de seguridad del sistema para hacer un seguimiento de las actividades relacionadas con la seguridad que se llevan a cabo en su iSeries (vea Trabajar con anotaciones de seguridad de herramientas de servicio en la pgina 96). Tambin puede salvar y restaurar datos de seguridad, establecer y modificar niveles de contrasea, restablecer la contrasea por omisin del sistema operativo y cambiar la seguridad de instalacin del sistema operativo.
94
| | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | |
Trabajar con datos de seguridad de herramientas de servicio Sistema: ____________ Seleccione una de las siguientes opciones: 1. 2. 3. 4. 5. 6. Restablecer la contrasea por omisin del sistema operativo Cambiar la seguridad de instalacin del sistema operativo Trabajar con anotaciones de seguridad de herramientas de servicio Restaurar datos de seguridad de herramientas de servicio Salvar datos de seguridad de herramientas de servicio Nivel de contrasea
Seleccin
Figura 20. Trabajar con datos de seguridad de herramientas de servicio
Restablecimiento de la contrasea por omisin del sistema operativo: Para restablecer la contrasea por omisin del sistema operativo: 1. Desde la pantalla Trabajar con datos de seguridad de herramientas de servicio, seleccione 1 (Restablecer la contrasea por omisin del sistema operativo). Aparecer la pantalla Confirmar restablecer la contrasea por omisin del sistema.
Confirmar restablecer la contrasea por omisin del sistema Sistema: ____________ Pulse Intro para confirmar la eleccin de restablecer la contrasea de inicio de sesin del responsable de seguridad del sistema operativo. La contrasea se restablecer al valor por omisin asignado cuando se envi el sistema. Pulse F12 para volver y cambiar su eleccin.
F12=Cancelar Alteracin temporal de la contrasea del sistema operativo no en vigor
Figura 21. Restablecer la contrasea por omisin del sistema operativo
2. Pulse Intro para confirmar restablecer. Aparecer un mensaje de confirmacin.

Confirmar restablecer la contrasea por omisin del sistema Sistema: ____________ Pulse Intro para confirmar la eleccin de restablecer la contrasea de inicio de sesin del responsable de seguridad del sistema operativo. La contrasea se restablecer al valor por omisin asignado cuando se envi el sistema. Pulse F12 para volver y cambiar su eleccin.
F12=Cancelar Alteracin temporal de la contrasea del sistema operativo establecida
Figura 22. Confirmar restablecer la contrasea por omisin del sistema
La contrasea por omisin del sistema es QSECOFR. Deber cambiar esta contrasea por omisin de inmediato. Las contraseas por omisin son
95
| | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | |
ampliamente conocidas, por lo que el no cambiar este valor por omisin representa un aumento significativo de la vulnerabilidad de la seguridad del sistema. Cambio de la seguridad de instalacin del sistema operativo: Para cambiar la seguridad de instalacin del sistema operativo: 1. Desde la pantalla Trabajar con datos de seguridad de herramientas de servicio, seleccione 2 (cambiar seguridad de instalacin del sistema operativo). Aparecer la pantalla Cambiar seguridad de instalacin del sistema operativo.
Cambiar seguridad de instalacin del sistema operativo Sistema: ____________ Teclee opcin, pulse Intro. Proteger instalacin del sistema operativo . . 1=Protegido 2=No protegido
F3=Salir F12=Cancelar Instalacin del sistema operativo no protegida actualmente
Figura 23. Cambiar seguridad de instalacin del sistema operativo
2. Seleccione la opcin 1 (Protegido). Volver a aparecer la pantalla Trabajar con datos de seguridad de herramientas de servicio, con el mensaje Instalacin del sistema operativo protegida. Repita este procedimiento y seleccione la opcin 2 de la pantalla Cambiar seguridad de instalacin del sistema operativo para cambiar de un estado protegido de instalacin del sistema operativo a un estado no protegido. Trabajar con anotaciones de seguridad de herramientas de servicio: Para trabajar con las anotaciones de seguridad de herramientas de servicio: Cada vez que un usuario inicia la sesin utilizando un perfil de usuario de herramientas de servicio, el evento queda anotado. Estas anotaciones pueden ayudarle a rastrear mtodos de acceso inusuales u otros riesgos de seguridad potenciales. 1. Desde la pantalla Trabajar con datos de seguridad de herramientas de servicio, seleccione 3 (Trabajar con anotaciones de seguridad de herramientas de servicio). Aparecer la pantalla Trabajar con anotaciones de seguridad de herramientas de servicio. Esta pantalla muestra la actividad relacionada con la seguridad por fecha y hora. 2. (opcional) Pulse F6 (Imprimir) para imprimir estas anotaciones. 3. (opcional) Pulse 5 (Visualizar detalles) en el campo de opcin de la actividad en la que est interesado. v Si la actividad est relacionada con un privilegio de otorgar o revocar, aparecer la pantalla Visualizar detalles de anotaciones de seguridad de herramientas de servicio, mostrando la siguiente informacin: Hora de la actividad Descripcin de la actividad Perfil del modificador Perfil afectado Descripcin del privilegio
96
| | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | |
v Si la actividad est relacionada con habilitar o inhabilitar un perfil, aparecer la pantalla Visualizar detalles de anotaciones de seguridad de herramientas de servicio, mostrando la siguiente informacin: Hora de la actividad Descripcin de la actividad Perfil del modificador Perfil afectado v Si la actividad est relacionada con cualquier otro tipo de evento, aparecer la pantalla Visualizar detalles de anotaciones de seguridad de herramientas de servicio, mostrando la siguiente informacin: Hora de la actividad Descripcin de la actividad Perfil afectado Restauracin de datos de seguridad de herramientas de servicio: Para restaurar los datos de seguridad de herramientas de servicio: 1. Desde la pantalla Trabajar con datos de seguridad de herramientas de servicio, seleccione 4 (Restaurar datos de seguridad de herramientas de servicio). Aparecer la pantalla Seleccionar tipo de soporte. 2. Seleccione una de las opciones disponibles: v Cinta a. Pulse Intro para restaurar. Aparecer la pantalla Trabajar con dispositivos de cinta. b. Puede elegir seleccionar, deseleccionar o visualizar detalles en cualquiera de los dispositivos de cinta que aparezcan. Si elige seleccionar, contine en el Paso 3. v ptico a. Pulse Intro para restaurar. Aparecer la pantalla Trabajar con dispositivos pticos. b. Puede elegir seleccionar, deseleccionar o visualizar detalles en cualquiera de los dispositivos pticos que aparezcan. Si elige seleccionar, contine en el Paso 3. 3. Las instrucciones para seleccionar el dispositivo del que desee restaurar datos de seguridad son las mismas para los dispositivos de cinta que para los pticos. a. Entre la opcin 1 (Seleccionar) en el campo de opcin, junto al recurso con el que desee trabajar. Aparecer la pantalla Restaurar perfiles de usuario de herramientas de servicio. b. Seleccione una de estas opciones: v Para restaurar todos los perfiles de usuario de herramientas de servicio: 1) Seleccione la opcin 1. 2) Pulse Intro. Se restaurarn todos los perfiles. v Para elegir los perfiles de usuario de herramientas de servicio que desee restaurar: 1) Seleccione la opcin 2 y pulse Intro. Aparecer la pantalla Seleccionar perfil de usuario de herramientas de servicio a restaurar. 2) Entre la opcin 1 (Seleccionar) en el campo de opcin, junto al perfil que desee restaurar. Salvar datos de seguridad de herramientas de servicio: Para salvar los datos de seguridad de herramientas de servicio:
97
| | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | |
1. Desde la pantalla Trabajar con datos de seguridad de herramientas de servicio, seleccione 5 (Salvar datos de seguridad de herramientas de servicio). Aparecer la pantalla Salvar datos de seguridad de herramientas de servicio. 2. Seleccione una de las opciones disponibles: v Cinta a. Pulse Intro para salvar. Aparecer la pantalla Trabajar con dispositivos de cinta. b. Puede elegir seleccionar, deseleccionar o visualizar detalles en cualquiera de los dispositivos de cinta que aparezcan. Entre el valor de opcin apropiado en el campo de opcin, junto al dispositivo de cinta en el que desee salvar los datos de seguridad. v ptico a. Pulse Intro para salvar. Aparecer la pantalla Trabajar con dispositivos pticos. b. Puede elegir seleccionar, deseleccionar o visualizar detalles en cualquiera de los dispositivos pticos que aparezcan. Entre el valor de opcin apropiado en el campo de opcin, junto al dispositivo ptico en el que desee salvar los datos de seguridad. Confirmacin del nivel de contrasea: Para confirmar el nivel de contrasea: 1. Desde la pantalla Trabajar con datos de seguridad de herramientas de servicio, seleccione 6 (Nivel de contrasea). Aparecer la pantalla Confirmacin para establecer el nivel de contrasea. 2. Observe los mensajes del sistema que aparezcan. 3. Pulse Intro para confirmar el cambio de nivel de contrasea.
Inicio de sesin en las Herramientas de servicio del sistema (SST)

En la V5R1, el procedimiento de inicio de sesin para acceder a las Herramientas de servicio del sistema (SST) ha cambiado ligeramente para proporcionar una mayor seguridad para el rea de herramientas de servicio. Para acceder a SST: 1. Teclee STRSST (Iniciar SST) en la lnea de mandatos. Aparecer la pantalla Inicio de sesin de SST.
Inicio de sesin de SST Perfil de usuario: ________________________
Contrasea de usuario: ________________________
Figura 24. Inicio de sesin de SST
2. Entre la siguiente informacin: v Perfil de usuario: este perfil debe crearse desde el entorno DST (vea Creacin de un perfil de usuario de herramientas de servicio en la pgina 88). v Contrasea: la frase de paso asociada con este perfil de usuario. 3. Pulse Intro.
98
Captulo 8. Utilizacin de seguridad en particiones lgicas (LPAR)

Tener mltiples particiones lgicas en un solo sistema iSeries 400 podra ser beneficioso en los siguientes casos. v Mantenimiento de sistemas independientes: Dedicando una parte de los recursos (unidad de almacenamiento de disco, procesadores, memoria y dispositivos de E/S) a una particin se consigue un aislamiento lgico del software. Las particiones lgicas tambin tienen una cierta tolerancia a las anomalas de hardware, si se configuran correctamente. Las cargas de trabajos interactivos y de proceso por lotes, que juntas en una sola mquina es posible que no se procesasen correctamente, pueden aislarse y ejecutarse con eficacia en particiones separadas. v Consolidacin : Un sistema con particiones lgicas puede reducir el nmero de sistemas iSeries 400 necesarios dentro de una empresa. Puede consolidar varios sistemas en un nico sistema con particiones lgicas. Esto elimina la necesidad de equipos adicionales y los gastos que conllevan. Puede desplazar los recursos de una particin lgica a otra a medida que cambien sus necesidades. v Creacin de un entorno mixto de produccin y prueba: Puede crear un entorno que combine la produccin y las pruebas. Puede crear una nica particin de produccin en la particin primaria. Para mltiples particiones de produccin, vea Creacin de un entorno de mltiples particiones de produccin ms abajo. Una particin lgica puede ser una particin de prueba o de produccin. Una particin de produccin ejecuta las principales aplicaciones comerciales. Una anomala en una particin de produccin podra alterar las operaciones comerciales de forma significativa y costarle tiempo y dinero. Una particin de prueba realiza pruebas en el software. Una anomala en una particin de prueba, aunque no est planificado necesariamente, no interrumpir las operaciones comerciales normales. v Creacin de un entorno de mltiples particiones de produccin: Solamente debe crear mltiples particiones de produccin en las particiones secundarias. En esta situacin dedicar la particin primaria a la gestin de particiones. v Copia de seguridad en activo: Cuando una particin secundaria duplica otra particin lgica dentro del mismo sistema, conmutar a la copia de seguridad durante la anomala de la particin no provocara grandes molestias. Esta configuracin tambin minimiza el efecto de los perodos de salvar prolongados. Puede tener la particin de copia de seguridad fuera de lnea y salvar mientras la otra particin lgica contina realizando trabajos de produccin. Necesitar software especial para utilizar esta estrategia de copia de seguridad urgente. v Cluster integrado: Utilizando OptiConnect/400 y un software de aplicaciones de alta disponibilidad, el sistema con particiones puede ejecutarse como un cluster integrado. Puede utilizar un cluster integrado para proteger su sistema de la mayora de anomalas no planificadas dentro de una particin secundaria. | | | | | | | | Nota: Al configurar una particin secundaria es necesario realizar consideraciones adicionales para las ubicaciones de tarjetas. Si el procesador de entrada/salida (IOP) que seleccione para la consola tambin tiene una tarjeta de LAN y dicha tarjeta LAN no est pensada para que se utilice con la Consola de operaciones, se activar para que la utilice la consola y usted no podr utilizarla para sus fines. Para obtener ms informacin sobre cmo trabajar con la Consola de operaciones, consulte Captulo 9. Consejos para la utilizacin de la Consola de operaciones de AS/400 en la pgina 103.
99
| |
Consulte Particiones lgicas en el iSeries Information Center para obtener informacin detallada sobre este tema.
Gestin de la seguridad para las particiones lgicas

Las tareas relacionadas con la seguridad que realice en un sistema con particiones sern las mismas que en un sistema sin particiones lgicas. No obstante, al crear particiones lgicas, trabaja con ms de un sistema independiente. Por consiguiente, tendr que realizar las mismas tareas en cada particin lgica en lugar de realizarlas una sola vez en un sistema sin particiones lgicas. Estas son algunas de las normas bsicas a recordar al tratar la seguridad en las particiones lgicas: v Se aaden los usuarios a las particiones lgicas del sistema de una particin en una. Es necesario aadir los usuarios a cada particin lgica a la que desee que accedan. v Limite el nmero de personas que tengan autorizacin para ir a las herramientas de servicio dedicado (DST) y a las herramientas de servicio del sistema (SST) en la particin primaria. Consulte el tema Gestin de particiones lgicas con Operations Navigator junto con DST y SST en el iSeries Information Center para obtener ms informacin sobre DST y SST. Consulte Gestin de herramientas de servicio en la pgina 84 para obtener informacin sobre el uso de perfiles de usuario de herramientas de servicio para controlar el acceso a las actividades de las particiones. Nota: Debe inicializar el Service Tools Server (STS) antes de utilizar el Operations Navigator para acceder a funciones LPAR. Vea Service Tools Server (STS) en la pgina 85 para obtener instrucciones. v Las particiones secundarias no pueden ver ni utilizar el almacenamiento principal y las unidades de discos de otra particin lgica. v Las particiones secundarias solamente pueden ver sus propios recursos de hardware. v La particin primaria puede ver todos los recursos de hardware del sistema en las pantallas Trabajar con particiones del sistema de DST y SST. v El sistema operativo de la particin primaria sigue viendo solamente sus recursos disponibles. v El panel de control del sistema controla la particin primaria. Cuando establece la modalidad del panel en Protegido (Secure), no pueden llevarse a cabo acciones en la pantalla Trabajar con estado de las particiones desde SST. Para forzar DST desde el panel de control del sistema, debe cambiar la modalidad a Manual. v Cuando establece la modalidad de operacin de una particin secundaria como protegida, restringe el uso de Trabajar con estado de las particiones de las siguientes maneras: Solamente puede utilizar DST en la particin secundaria para cambiar el estado de la particin; no puede utilizar SST para cambiar el estado de particiones. Solamente puede forzar DST en la particin secundaria desde la pantalla Trabajar con estado de las particiones de la particin primaria utilizando DST o SST. Solamente puede utilizar DST en la particin primaria para cambiar la modalidad de una particin secundaria de protegida a cualquier otro valor.
| | | | | | | | | | | |
100
Una vez la modalidad de una particin secundaria ya no es la de protegida, puede utilizar DST y SST en la particin secundaria para cambiar el estado de la particin. Para obtener ms informacin sobre la seguridad en el iSeries 400, consulte el Manual de consulta de seguridad y las pginas sobre Seguridad bsica del sistema y planificacin del iSeries Information Center.
Captulo 8. Utilizacin de seguridad en particiones lgicas (LPAR)
101
102
Captulo 9. Consejos para la utilizacin de la Consola de operaciones de AS/400

| | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | En la V4R3, IBM introdujo la Consola de operaciones de AS/400, que le permite utilizar su PC para acceder al sistema iSeries y controlarlo. En la V4R4 se aadi soporte para que un PC remoto pudiera establecer conexin con un iSeries sin un dispositivo de consola y convertirse en consola. Cuando utilice la Consola de operaciones, tenga en cuenta lo siguiente: v Desde la Consola de operaciones puede llevar a cabo las mismas tareas que realizaba desde una consola tradicional. Por ejemplo, los perfiles de usuario que tienen autorizacin especial *SERVICE o *ALLOBJ pueden iniciar la sesin en la Consola de operaciones, incluso si estn inhabilitados. v La Consola de operaciones utiliza perfiles de usuario y contraseas de herramientas de servicio para habilitar la conexin con iSeries 400. Esto hace que sea de especial importancia modificar sus perfiles de usuario y contraseas de herramientas de servicio. Es posible que los intrusos estn familiarizados con los ID de usuario y las contraseas por omisin de los perfiles de usuario de herramientas de servicio, por lo que podran utilizarlos para intentar establecer una sesin de consola remota en el iSeries. Vea Cambio de contraseas conocidas pblicamente en la pgina 31 y Cmo evitar las contraseas por omisin en la pgina 38 para obtener consejos sobre las contraseas. v Para proteger su informacin al utilizar la Consola remota, utilice la opcin de retorno de llamada de las Redes de marcacin Windows. v Al configurar una particin secundaria es necesario realizar consideraciones adicionales para las ubicaciones de tarjetas. Si el procesador de entrada/salida (IOP) que seleccione para la consola tambin tiene una tarjeta de LAN y dicha tarjeta LAN no est pensada para que se utilice con la Consola de operaciones, la consola la activar y puede que usted no pueda utilizarla. En la V5R1, se ha mejorado la Consola de operaciones para permitir que se realicen actividades de consola en una red de rea local (LAN). La mejora en la autenticacin y el cifrado de datos proporciona seguridad de red para los procedimientos de consola. Para utilizar la Consola de operaciones con conectividad LAN, se recomienda encarecidamente que instale los siguientes productos: v Cryptographic Access Provider, 5722AC2 5722AC3 en el iSeries 400 v Client Encryption, 5722CE2 5722CE3 en el PC Consola de operaciones Para que se cifren los datos de la consola, el iSeries debe tener instalado uno de los productos Cryptographic Access Provider y el PC debe tener instalado uno de los productos Client Encryption. Nota: Si no se instala ningn producto criptogrfico no habr cifrado de datos. La tabla siguiente resume los resultados de cifrado de los productos disponibles:
Tabla 13. Resultados de cifrado
Cryptographic Access Provider en el iSeries 400 NONE 5722AC2
Client Encryption en el PC Consola de operaciones NONE 5722CE2
Cifrado de datos resultante NONE 56 bits
103
| | | | | | | |
Tabla 13. Resultados de cifrado (continuacin)

Cryptographic Access Provider en el iSeries 400 5722AC2 5722AC3 5722AC3 Client Encryption en el PC Consola de operaciones 5722CE3 5722CE2 5722CE3 Cifrado de datos resultante 56 bits 56 bits 128 bits
Para obtener informacin adicional sobre la puesta a punto y la administracin de AS/400 Consola de operaciones, vea Configuracin de Consola de operaciones.
| | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | |
Visin general de la seguridad de la Consola de operaciones

La seguridad de la Consola de operaciones consta de: v autenticacin del dispositivo de consola v autenticacin de usuario v privacidad de los datos v integridad de los datos La Consola de operaciones con conectividad directa tiene implcitas la autenticacin de dispositivo, la privacidad de datos y la integridad de datos debido a su conexin punto a punto. La seguridad de autenticacin de usuario es necesaria para iniciar la sesin en la pantalla de la consola.
Autenticacin del dispositivo de consola

La autenticacin del dispositivo de consola asegura qu dispositivo fsico es la consola. La Consola de operaciones con conectividad directa utiliza una conexin fsica similar a una consola twinaxial. La Consola de operaciones que utiliza una conexin directa puede protegerse fsicamente de forma similar a una conexin twinaxial para controlar el acceso al dispositivo de consola fsico. La Consola de operaciones con conectividad LAN utiliza una versin de la capa de sockets segura (SSL) que soporta la autenticacin de dispositivos y usuarios pero sin utilizar certificados. Para esta forma de conexin, la autenticacin de dispositivo se basa en un perfil de dispositivo de herramientas de servicio. Vea Utilizacin de perfiles de dispositivo de herramientas de servicio en la pgina 91 para obtener informacin sobre la utilizacin de perfiles de dispositivo de herramientas de servicio. Consulte la pgina 105 para obtener ms detalles.
Autenticacin de usuario
La autenticacin de usuario proporciona una garanta sobre quin est utilizando el dispositivo de consola. Todos los temas relacionados con la autenticacin de usuario son los mismos, independientemente del tipo de consola.
Privacidad de datos
La privacidad de datos proporciona la seguridad de que los datos de la consola solamente podr leerlos el destinatario correcto. La Consola de operaciones con conectividad directa utiliza una conexin fsica similar a una consola twinaxial o una conexin de red segura para que la conectividad de la LAN proteja los datos de la consola. La Consola de operaciones que utiliza una conexin directa tiene la misma privacidad de datos que una conexin twinaxial. Si la conexin fsica es segura, los datos de la consola permanecen protegidos.
104
| | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | |
La Consola de operaciones con conectividad LAN utiliza una conexin de red segura si estn instalados los productos criptogrficos adecuados (ACx y CEx). La sesin de consola utiliza el cifrado ms potente posible dependiendo de los productos criptogrficos instalados en el iSeries y en el PC que ejecute la Consola de operaciones. Nota: Si no se instala ningn producto criptogrfico, no habr cifrado de datos.
Integridad de datos
La integridad de datos proporciona la seguridad de que los datos de la consola no han cambiado por el camino hasta el destinatario. La Consola de operaciones con conectividad directa utiliza una conexin fsica similar a una consola twinaxial o una conexin de red segura para que la conectividad de la LAN proteja los datos de la consola. La Consola de operaciones que utiliza una conexin directa tiene la misma integridad de datos que una conexin twinaxial. Si la conexin fsica es segura, los datos de la consola permanecen protegidos. La Consola de operaciones con conectividad LAN utiliza una conexin de red segura si estn instalados los productos criptogrficos adecuados (ACx y CEx). La sesin de consola utiliza el cifrado ms potente posible dependiendo de los productos criptogrficos instalados en el iSeries y en el PC que ejecute la Consola de operaciones. Nota: Si no se instala ningn producto criptogrfico, no habr cifrado de datos.
Consejos para la utilizacin de la Consola de operaciones con conectividad LAN

Nota: Cualquier dispositivo de Consola de operaciones puede ser una consola, pero solamente las configuraciones con base LAN utilizan el perfil de usuario de herramientas de servicio. El iSeries se entrega con un perfil de dispositivo de herramientas de servicio por omisin QCONSOLE, con una contrasea por omisin QCONSOLE. La Consola de operaciones con conectividad LAN cambiar la contrasea durante cada conexin satisfactoria. Vea Utilizacin del asistente de configuracin de la Consola de operaciones en la pgina 106 para obtener ms informacin. Para obtener informacin adicional sobre la Consola de operaciones con conectividad LAN de iSeries 400, consulte el Information Center (vea Requisitos e informacin relacionada en la pgina xii para conocer ms detalles).
Consejos para la proteccin de la Consola de operaciones con conectividad LAN

Al utilizar la Consola de operaciones con conectividad LAN, se recomienda llevar a cabo las siguientes acciones: v Cree otro perfil de dispositivo de herramientas de servicio con atributos de consola y guarde la informacin del perfil en un lugar seguro. v Instale Cryptographic Access Provider, 5722AC2 5722AC3 en el iSeries 400 y Client Encryption, 5722CE2 5722CE3 en el PC Consola de operaciones. v Elija una contrasea de informacin de dispositivo de servicio que no sea trivial. Para obtener ms informacin sobre las contraseas de dispositivo de
Captulo 9. Consejos para la utilizacin de la Consola de operaciones de AS/400
105
| | | | | | | | | | | | | |
herramientas de servicio, vea Utilizacin de perfiles de dispositivo de herramientas de servicio en la pgina 91. v Proteja el PC Consola de operaciones de la misma manera que protegera una consola twinaxial o una Consola de operaciones con conectividad directa.
Utilizacin del asistente de configuracin de la Consola de operaciones

El asistente de configuracin aadir la informacin necesaria al PC al utilizar la Consola de operaciones con conectividad LAN. El asistente de configuracin solicita el perfil de dispositivo de herramientas de servicio, la contrasea de perfil de dispositivo de herramientas de servicio y una contrasea para proteger la informacin del perfil de dispositivo de herramientas de servicio.
| | | | | | | | | | | |
Figura 25. Las contraseas protegen la informacin del perfil de dispositivo de servicio
Nota: La contrasea de la informacin del perfil de dispositivo de herramientas de servicio se utiliza para bloquear y desbloquear la informacin del perfil de dispositivo de herramientas de servicio (perfil de dispositivo de herramientas de servicio y contrasea) en el PC. Al establecer una conexin de red, el asistente de configuracin de la Consola de operaciones le solicitar la contrasea de la informacin de dispositivo de servicio para acceder al perfil de dispositivo de herramientas de servicio y contrasea que estn cifrados. Tambin se le solicitar una identificacin de usuario y contrasea de herramientas de servicio vlidos.
106
Captulo 10. Deteccin de programas sospechosos

Las ltimas tendencias en la utilizacin de sistemas informticos han aumentado la probabilidad de que el sistema tenga programas de fuentes no fiables o programas que llevan a cabo funciones desconocidas. Ejemplos de esto son: v Un usuario de PC a menudo obtiene programas de otros usuarios de PC. Si el PC est conectado al sistema iSeries, el programa puede afectar al iSeries. v Los usuarios que se conectan a redes tambin pueden obtener programas, por ejemplo, de los tablones de anuncios. v Los piratas informticos se han vuelto cada vez ms activos y famosos. A menudo publican sus mtodos y sus resultados. Esto puede llevar a su imitacin por parte de programadores que son normalmente respetuosos con la ley. Estas tendencias han conducido a un problema en la seguridad de los sistemas que se denomina virus informtico. Un virus es un programa que puede modificar otros programas para incluir una copia de s mismo. Los dems programas quedan entonces infectados por el virus. Adems, el virus puede realizar otras operaciones que pueden ocupar recursos del sistema o destruir datos. La arquitectura del iSeries proporciona cierta proteccin contra las caractersticas infecciosas de un virus informtico. Esto se describe en el apartado Proteccin contra los virus informticos. Un administrador de seguridad de iSeries debe preocuparse ms de los programas que realizan funciones no autorizadas. Los temas restantes de este captulo describen las maneras en que alguien con intenciones poco fiables puede preparar programas dainos para ejecutarlos en el sistema. Los temas proporcionan consejos para evitar que los programas lleven a cabo funciones no autorizadas.
Consejo de seguridad La autorizacin sobre objetos es siempre la primera lnea de defensa. Si no tiene un buen plan para proteger los objetos, el sistema estar indefenso. En este captulo se tratan las maneras en que un usuario autorizado puede intentar sacar partido de los agujeros del esquema de autorizacin de objetos.
Proteccin contra los virus informticos

Un sistema que tiene una infeccin por virus tiene un programa que puede cambiar otros programas. La arquitectura del iSeries, basada en objetos, hace ms difcil que alguien produzca y disperse este tipo de virus en esta arquitectura que en otras arquitecturas de sistemas. En el iSeries, puede utilizar mandatos especficos e instrucciones para trabajar en cada tipo de objeto. No puede utilizar una instruccin de archivo para cambiar un objeto de programa operativo (que es lo que hacen la mayora de los creadores de virus). Tampoco puede crear fcilmente un programa que cambie otro objeto de programa. Para hacer esto es necesario un tiempo, un esfuerzo y una habilidad considerables y tambin es necesario tener acceso a herramientas y documentacin que no estn disponibles generalmente. Sin embargo, debido a que hay funciones nuevas del iSeries que estn disponibles para participar en el entorno de sistemas abiertos, algunas de las funciones de
107
proteccin basadas en objetos del iSeries ya no se aplican. Por ejemplo, con el sistema de archivos integrado, los usuarios pueden manipular directamente algunos objetos en los directorios, tales como archivos continuos. Adems, a pesar de que la arquitectura del iSeries dificulta que un virus se disperse entre programas del iSeries, su arquitectura no evita que un iSeries sea un portador del virus.Como servidor de archivos, el iSeries puede almacenar programas que comparten muchos usuarios de PC.Alguno de estos programas puede contener un virus que el sistema iSeries no detecte.Para evitar que este tipo de virus infecte los PC conectados al servidor del iSeries, debe utilizar software de deteccin de virus para PC. Existen varias funciones en el iSeries para evitar que nadie utilice un lenguaje de bajo nivel con soporte para punteros para alterar un programa objeto operativo: v Si el sistema funciona a un nivel de seguridad 40 o superior, la proteccin de integridad incluye protecciones contra el cambio de los objetos de programa. Por ejemplo, no se puede ejecutar satisfactoriamente un programa que contiene instrucciones de mquina bloqueadas (protegidas). v En un nivel de seguridad 40 o superior, el valor de validacin del programa tambin esta pensado como proteccin de una operacin de restaurar de un programa salvado (y potencialmente cambiado) en otro sistema. En el captulo 2 de la publicacin iSeries Security Reference se describen las funciones de proteccin de la seguridad para el nivel de seguridad 40 y superior, incluyendo valores de validacin del programa. Nota: El valor de validacin del programa no es infalible y no sustituye a la vigilancia de la evaluacin de los programas que se restauran en el sistema. Algunas herramientas tambin estn disponibles para ayudarle a detectar la introduccin de un programa alterado en el sistema: v Puede utilizar el mandato Comprobar integridad de objetos (CHKOBJITG) para explorar los objetos (objetos operables) que cumplan los valores de bsqueda, para asegurarse de que esos objetos no fueron alterados. Esto es parecido a una funcin de deteccin de virus. v Puede utilizar la funcin de auditora de seguridad para supervisar los programas cambiados o restaurados. Los valores *PGMFAIL, *SAVRST y *SECURITY para el valor del sistema de nivel de autorizacin proporcionan registros de auditora que pueden ayudarle a detectar intentos de introducir un programa de tipo virus en el sistema. En el captulo 9 y en el Apndice F de la publicacin iSeries Security Reference se proporciona ms informacin acerca de los valores de auditora y las entradas de diario de auditora. v Puede utilizar el parmetro Forzar creacin (FRCCRT) del mandato Cambiar programa (CHGPGM) para volver a crear cualquier programa que se haya restaurado en el sistema. El sistema utiliza la plantilla del programa (informacin observable) para volver a crearlo. Si el objeto de programa se ha cambiado despus de compilarlo, el sistema vuelve a crear el objeto cambiado y lo sustituye. Si la plantilla del programa contiene instrucciones bloqueadas (protegidas) y trabaja con el nivel de seguridad 40 o superior, el sistema no volver a crear el programa de forma satisfactoria. v Puede utilizar el valor del sistema QVFYOBJRST (verificar objetos en restauracin) para evitar la restauracin de programas que no tengan una firma digital o que no tengan una firma digital vlida. Cuando una firma digital no es
| | |
108
| | | | | |
vlida, significa que se ha modificado el programa desde que lo firm su desarrollador. Existen APIs que le permiten firmar sus propios programas, archivos de salvar y archivos continuos. Para obtener ms informacin sobre la firma y cmo puede utilizarse para proteger el sistema ante ataques, consulte Consejos para la firma de objetos en la pgina 122.
Supervisin de la utilizacin de autorizacin adoptada

En iSeries, puede crear un programa que adopte la autorizacin de su propietario.Esto significa que cualquier usuario que ejecute el programa tendr las mismas autorizaciones (privadas y especiales) que el perfil de usuario propietario del programa. La autorizacin adoptada es una herramienta de seguridad de gran utilidad si se utiliza correctamente. En Consejos para mejorar el control de acceso a mens con la seguridad de objetos en la pgina 61, por ejemplo, se describe cmo se combinan las autorizaciones adoptadas y los mens para ir ms all del control de acceso a los mens. Puede utilizar la autorizacin adoptada para impedir la modificacin de los archivos importantes fuera de los programas de aplicacin aprobados al tiempo que se permite la realizacin de consultas en ellos. Como administrador de seguridad, debe asegurarse de que la autorizacin adoptada se utiliza correctamente: v Los programas deben adoptar la autorizacin de un perfil de usuario que slo tenga autorizacin para realizar las funciones necesarias. Debe tener especial cuidado con los programas que adoptan la autorizacin de un perfil de usuario que tenga la autorizacin especial *ALLOBJ o que sea propietario de objetos importantes. v Los programas que adoptan autorizacin deben tener funciones limitadas y especficas, y no deben proporcionar la posibilidad de entrar mandatos. v Los programas que adoptan autorizacin deben estar protegidos de forma adecuada. v El uso excesivo de la autorizacin adoptada puede tener un efecto negativo en el rendimiento del sistema. Para obtener informacin que le ayude a evitar problemas de rendimiento, revise los diagramas de flujo de comprobacin de autorizacin y las sugerencias para la utilizacin de la autorizacin adoptada que se incluye en Captulo 5 de la publicacin iSeries Security Reference.
Opciones del men SECBATCH: 1 para someter inmediatamente 40 para utilizar el planificador de trabajos Puede utilizar el mandato Imprimir objetos que adoptan (PRTADPOBJ) (opcin 21 del men SECTOOLS) para que le resulte ms fcil supervisar la utilizacin de la autorizacin adoptada en el sistema. La Figura 26 en la pgina 110 muestra un ejemplo de la salida de este mandato:
109
Objetos adoptados por perfil de usuario (informe completo) Perfil de usuario . . . . . . : Autorizaciones especiales . . : ----------Objeto------------Autoriz. Nombre Tipo uso pbl. PGM1 *PGM *USE PGM2 *PGM *CHANGE CJWLDR *ALLOBJ *AUDIT *IOSYSCFG *JOBCTL *SAVSYS *SECADM *SERVICE *SPLCTL -----Biblioteca-----Autoriz. Autoriz. Nombre uso pbl. privadas LIB1 *USE Y LIB2 *USE N
Figura 26. Informe de objetos adoptados por perfil de usuario-Informe completo
La Figura 26 muestra informacin para un perfil de usuario, CJWLDR. Muestra las autorizaciones especiales de CJWLDR y los programas que adoptan la autorizacin de CJWLDR. En este ejemplo, cualquiera que tenga acceso a una lnea de mandatos puede ejecutar los programas que adoptan la autorizacin de CJWLDR, ya que los programas tienen autorizacin de uso pblico *USE. Este ejemplo evidencia un serio riesgo de seguridad potencial a causa de las autorizaciones especiales de CJWLDR. Despus de establecer una base de informacin, puede imprimir regularmente la versin modificada del informe de objetos adoptados. En l figuran los programas nuevos que adoptan autorizacin y los programas que se han modificado para que adoptasen la autorizacin desde la ltima vez que se gener el informe. La Figura 27 muestra un ejemplo del informe de modificacin:
Objetos adoptados por perfil de usuario (informe de modificacin) Perfil de usuario . . . . . . : CJWLDR Autorizaciones especiales . . : *ALLOBJ *AUDIT *IOSYSCFG *JOBCTL *SAVSYS *SECADM *SERVICE *SPLCTL ltima modificacin del informe: 01/21/96 14:23:53 ----------Objeto------------------Biblioteca-------Autoriz. Autoriz. Autoriz. Nombre Tipo uso pbl. Nombre uso pbl. privadas PGMX *PGM *CHANGE LIB3 *CHANGE Y PGMY *PGM *USE LIB4 *USE N
Figura 27. Informe de objetos adoptados por perfil de usuario-Informe de modificacin
Si sospecha que la autorizacin adoptada se est utilizando de modo incorrecto en el sistema, puede definir el valor del sistema QAUDLVL de modo que incluya *PGMADP. Cuando este valor est activo, el sistema crea una entrada de diario de auditora cada vez que se arranca o se finaliza un programa que adopta la autorizacin. La entrada incluye el nombre del usuario que ha arrancado el programa y el nombre del programa.
Limitacin de la utilizacin de la autorizacin adoptada

Cuando se ejecuta un programa de iSeries, el programa puede utilizar autorizacin adoptada para tener acceso a objetos de dos maneras distintas: v El programa en s puede adoptar la autorizacin del propietario. Esto se especifica en el parmetro Perfil de usuario (USRPRF) del programa o del programa de servicio. v El programa puede utilizar (heredar) la autorizacin adoptada de un programa anterior que an est en la pila de llamadas del trabajo. Un programa puede heredar la autorizacin adoptada de programas anteriores incluso aunque el
110
programa mismo no adopte autorizacin. El parmetro Utilizar autorizacin adoptada (USEADPAUT) de un programa o de un programa de servicio controla si el programa hereda la autorizacin adoptada de los programas anteriores de la pila de programas. A continuacin se proporciona un ejemplo de cmo funciona la utilizacin de la autorizacin adoptada de programas anteriores. Suponga que el perfil de usuario ICOWNER tiene autorizacin *CHANGE sobre el archivo ITEM y que la autorizacin de uso pblico sobre el archivo ITEM es *USE. Ningn otro perfil tiene una autorizacin definida explcitamente sobre el archivo ITEM. En Tabla 14 se muestran los atributos para tres programas que utilizan el archivo ITEM:
Tabla 14. Ejemplo de Utilizar autorizacin adoptada (USEADPAUT) Nombre del Propietario del programa programa Valor del USRPRF Valor del USEADPAUT
PGMA PGMB PGMC ICOWNER ICOWNER ICOWNER *OWNER *USER *USER *YES *YES *NO
Ejemplo 1Adoptar autorizacin: 1. USERA ejecuta el programa PGMA. 2. El programa PGMA intenta abrir el archivo ITEM con la posibilidad de actualizacin. Resultado: El intento es satisfactorio. USERA tiene acceso *CHANGE para el archivo ITEM porque PGMA adopta la autorizacin de ICOWNER. Ejemplo 2Utilizar la autorizacin adoptada;: 1. USERA ejecuta el programa PGMA. 2. El programa PGMA llama al programa PGMB. 3. El programa PGMB intenta abrir el archivo ITEM con posibilidad de actualizacin. Resultado: El intento es satisfactorio. A pesar de que el programa PGMB no adopta autorizacin (*USRPRF es *USER), permite que se utilice una autorizacin adoptada anteriormente (*USEADPAUT es *YES). El programa PGMA est todava en la pila de programas. Por lo tanto USERA obtiene acceso *CHANGE al archivo ITEM porque PGMA adopta la autorizacin de ICOWNER. Ejemplo 3No utilizar la autorizacin adoptada: 1. USERA ejecuta el programa PGMA. 2. El programa PGMA llama al programa PGMC. 3. El programa PGMC intenta abrir el archivo ITEM con posibilidad de actualizacin. Resultado: Anomala en la autorizacin. El programa PGMC no adopta la autorizacin. El programa PGMC tampoco permite la utilizacin de autorizaciones adoptadas de programas anteriores. A pesar de que PGMA est todava en la pila de llamadas, su autorizacin adoptada no se utiliza.
Evitar que programas nuevos utilicen autorizacin adoptada

El paso de la autorizacin adoptada a programas posteriores de la pila proporciona una oportunidad para un programador experto de crear un programa caballo de
111
Troya. El programa caballo de Troya puede apoyarse en programas anteriores de la pila para obtener la autorizacin que necesita para realizar acciones no permitidas. Para evitarlo, se pueden limitar los usuarios con permiso para crear programas que utilicen la autorizacin adoptada de programas anteriores. Al crear un nuevo programa, el sistema establece automticamente el parmetro USEADPAUT en *YES. Si no quiere que el programa herede autorizacin adoptada, debe utilizar el mandato Cambiar programa (CHGPGM) o el mandato Cambiar programa de servicio (CHGSRVPGM) para establecer el parmetro USEADPAUT en *NO. Con la V3R2 y V3R7, puede utilizar una lista de autorizaciones y el valor del sistema de uso de autorizacin adoptada (QUSEADPAUT) para controlar quin puede crear programas que hereden la autorizacin adoptada. Al especificar un nombre de lista de autorizaciones en el valor del sistema QUSEADPAUT, el sistema utiliza esta lista de autorizaciones para determinar cmo crear nuevos programas. Cuando un usuario crea un programa o un programa de servicio, el sistema comprueba la autorizacin del usuario sobre la lista de autorizaciones. Si el usuario tiene autorizacin *USE, el parmetro USEADPAUT para el nuevo programa se establece en *YES. Si el usuario no tiene la autorizacin *USE, el parmetro USEADPAUT se establece en *NO. La autorizacin del usuario sobre la lista de autorizaciones no puede proceder de una autorizacin adoptada. La lista de autorizaciones que se especifique en el valor del sistema QUSEADPAUT controla tambin si un usuario puede utilizar un mandato CHGxxx para establecer el valor USEADPAUT para un programa o un programa de servicio. Notas: 1. No es necesario denominar la lista de autorizaciones como QUESADPAUT. Puede crear una lista de autorizaciones con otro nombre. Despus especifique dicha lista para el valor del sistema QUSEADPAUT. En los mandatos de este ejemplo, sustituya el nombre por el de su lista de autorizacin. 2. El valor del sistema QUSEADPAUT no afecta a los programas existentes en el sistema. Utilice el mandato CGHPGM o CHGSRVPGM para establecer el parmetro USEADPAUT para los programas existentes. Entorno ms restrictivo: Si desea que la mayora de los usuarios creen programas nuevos con el parmetro USEADPAUT establecido en *NO, haga lo siguiente: 1. Para establecer la autorizacin de uso pblico para la lista de autorizaciones en *EXCLUDE, teclee lo siguiente:
CHGAUTLE AUTL(QUSEADPAUT) USER(*PUBLIC) AUT(*EXCLUDE)
2. Para configurar usuarios especficos que puedan crear programas que utilicen la autorizacin adoptada de programas anteriores, teclee lo siguiente:
ADDAUTLE AUTL(QUSEADPAUT) USER(nombre-usuario) AUT(*USE)
Entorno menos restrictivo: Si desea que la mayora de los usuarios creen programas nuevos con el parmetro USEADPAUT establecido en *YES, haga lo siguiente: 1. Deje la autorizacin de uso pblico para la lista de autorizaciones establecida en *USE.
112
2. Para evitar que determinados usuarios creen programas que utilicen la autorizacin adoptada de programas anteriores, teclee lo siguiente:
ADDAUTLE AUTL(QUSEADPAUT) USER(nombre-usuario) AUT(*EXCLUDE)
Supervisin de la utilizacin de programas desencadenantes

DB2 UDB proporciona la posibilidad de asociar programas desencadenantes con archivos de base de datos. La posibilidad de tener programas desencadenantes es comn en el mercado para los gestores de bases de datos de alta funcionalidad. Cuando se asocia un programa desencadenante con un archivo de base de datos, debe especificarse cundo se ejecutar el programa. Por ejemplo, puede preparar el archivo de pedidos de clientes para que se ejecute un programa desencadenante siempre que se aade un registro al archivo. Cuando el saldo pendiente del cliente sobrepasa el lmite de crdito, el programa desencadenante puede imprimir una carta de aviso al cliente y enviar el mensaje al director de crditos. Los programas desencadenantes son un mtodo eficaz para proporcionar funciones de aplicacin y para gestionar la informacin. Los programas desencadenantes tambin proporcionan la posibilidad de que alguien malintencionado pueda crear programas Caballo de Troya en su sistema. Puede haber un programa destructivo en espera de ejecutarse cuando se produzca un evento determinado en un archivo de bases de datos del sistema. Nota: El caballo de Troya era un caballo de madera hueco de gran tamao que estaba lleno de soldados griegos. El caballo fue introducido dentro de las murallas de Troya, los soldados salieron del caballo y lucharon contra los Troyanos. En el mundo informtico, un programa que oculta funciones destructivas a menudo recibe el nombre de caballo de Troya.
Opciones del men SECBATCH: 27 para someter inmediatamente 66 para utilizar el planificador de trabajos Cuando el sistema sale de fbrica, la posibilidad de aadir un programa desencadenante a un archivo de base de datos est restringida. Si gestiona la autorizacin sobre objeto cuidadosamente, el usuario normal no tendr autorizacin suficiente para aadir un programa desencadenante a un archivo de base de datos. (En el Apndice D de la publicacin iSeries Security Reference se indican la autorizacin necesaria o todos los mandatos, incluyendo el mandato Aadir desencadenante de archivos fsicos (ADDPFTRG)). Puede utilizar el mandato Imprimir programas desencadenantes (PRTTRGPGM) para imprimir una lista de todos los programas desencadenantes de una biblioteca determinada o de todas las bibliotecas. La Figura 28 en la pgina 114 muestra un ejemplo del informe:
113
Programas desencadenantes (informe completo) Biblioteca especificada . . . : CUSTLIB Biblioteca Programa Biblioteca Archivo Desencadenante Desencadenante CUSTLIB MB106 ARPGMLIB INITADDR CUSTLIB MB107 ARPGMLIB INITNAME Hora Evento Condicin Desencadenante Desencadenante Desencadenante Antes Actualizacin Siempre Antes Actualizacin Siempre
Figura 28. Informe de Imprimir programas desencadenantes-Ejemplo de informe completo
Puede utilizar el informe inicial como base para evaluar los programas desencadenantes que ya existen en el sistema. Despus puede imprimir el informe de modificacin regularmente para ver si se han aadido nuevos programas desencadenantes en el sistema. Cuando evale los programas desencadenantes, tenga en cuenta lo siguiente: v Quin ha creado el programa. Puede utilizar el mandato Visualizar descripcin de objeto (DSPOBJD) para determinarlo. v Qu hace el programa. Tendr que ver el programa fuente o consultar al creador del programa para averiguarlo. Por ejemplo, comprueba el programa desencadenante quin es el usuario? Quiz el programa desencadenante est a la espera de un usuario determinado (QSECOFR) para obtener el acceso a los recursos del sistema. Despus de establecer una base de informacin, puede imprimir el informe de modificacin regularmente para supervisar los nuevos programas desencadenantes que se hayan aadido al sistema. La Figura 29 muestra un ejemplo del informe de modificacin:
Biblioteca especifica . . . . . . ltima modificacin del informe: Biblioteca Biblioteca Archivo Desenc. INVLIB MB108 INVPGM INVLIB MB110 INVPGM : Programas desencadenantes (informe de modificacin) LIBX 96/01/21 14:33:37 Programa Hora Evento Condicin Desenc. Desenc. Desenc. Desenc. NEWPRICE Despus Suprimir Siempre NEWDSCNT Despus Suprimir Siempre
Figura 29. Informe de Imprimir programas desencadenantes-Ejemplo de informe de modificacin
Comprobacin de programas ocultos

Los programas desencadenantes no son la nica forma posible de introducir un caballo de Troya en el sistema. Los programas desencadenantes son un ejemplo de un programa de salida. Cuando se produce un evento determinado, tal como la actualizacin de un archivo en el caso de un programa desencadenante, el sistema ejecuta el programa de salida asociado al evento. La Tabla 15 en la pgina 115 describe otros ejemplos de programas de salida que pueden estar en el sistema. Debe utilizar los mismos mtodos para evaluar la utilizacin y el contenido de estos programas de salida que utiliza para programas desencadenantes. Nota: La Tabla 15 en la pgina 115 no es una lista completa de los programas de salida posibles. .
114
Tabla 15. Programas de salida proporcionados por el sistema

Nombre del programa Cundo se ejecuta el programa
Nombre especificado por el usuario en el Cuando un usuario intenta abrir un archivo DDM en el sistema o efecta atributo de red DDMACC. una conexin DRDA. Nombre especificado por el usuario en el Cuando un usuario intenta utilizar las funciones de Client Access atributo de red PCSACC. mediante Original Clients para acceder a objetos en el sistema. Nombre especificado por el usuario en el Cuando un usuario ejecuta la funcin Cambiar contrasea valor del sistema QPWDVLDPGM. Nombre especificado por el usuario en el Cuando un usuario intenta iniciar la sesin de forma interactiva desde valor del sistema QRMTSIGN. un sistema remoto. QSYS/QEZUSRCLNP Cuando se ejecuta la funcin de limpieza automtica.
Nombre especificado por el usuario en el Cuando utiliza la funcin de copia de seguridad de Operation Assistant. parmetro EXITPGM del mandato CHGBCKUP. Nombres especificados por el usuario en el mandato CRTPRDLOD. Antes y despus de salvar, restaurar o suprimir el producto creado con el mandato.
Nombre especificado por el usuario en el Si se especifica un programa por omisin para un mensaje, el sistema parmetro DFTPGM del mandato ejecuta el programa cuando se emite el mensaje. Debido al gran nmero CHGMSGD. de descripciones de mensaje en un sistema tpico, la utilizacin de programas por omisin es difcil de supervisar. Para evitar que los usuarios pblicos aadan programas por omisin para mensajes, considere la posibilidad de establecer la autorizacin de uso pblico para archivos de mensajes (objetos *MSGF) en *USE. Nombre especificado por el usuario en el Cuando el usuario pulsa una tecla de funcin durante la sesin de parmetro FKEYPGM del mandato emulacin de dispositivo 3270. El sistema devuelve el control a la sesin STREML3270. de emulacin de dispositivo 3270 cuando finaliza el programa de salida. Nombre especificado por el usuario en el Para procesar datos recogidos por los mandatos siguientes: parmetro EXITPGM de los mandatos de STRPFRMON, ENDPFRMON, ADDPFRCOL y CHGPFRCOL. El programa se ejecuta cuando finaliza la recogida de datos. supervisin del rendimiento.
| | |
Nombre especificado por el usuario en el Para cada entrada de diario o grupo de entradas de diario que se han ledo del diario y receptor de diario especificados. parmetro EXITPGM del mandato RCVJRNE. Nombre especificado por el usuario en la Durante una operacin COMMIT o ROLLBACK. API QTNADDCR. Nombres especificados por el usuario en la API QHFRGFS. Para realizar las funciones del sistema de archivos.
Nombre especificado por el usuario en el Para determinar qu imprimir en la pgina separadora antes o despus de un archivo en spool o de un trabajo de impresin. parmetro SEPPGM de una descripcin de dispositivo de impresora. QGPL/QUSCLSXT Cuando se cierra un archivo de base de datos para permitir la captura de informacin de uso del archivo.
Nombre especificado por el usuario en el Cuando se graba un registro en una archivo de base de datos y no se parmetro FMTSLR de un archivo lgico. incluye un nombre de formato de registro en el programa de lenguaje de alto nivel. El programa selector recibe el registro como entrada, determina el formato de registro utilizado y lo devuelve a la base de datos. Nombre especificado por el usuario que Cuando un usuario pulsa la tecla Atencin. se especifica en el valor del sistema QATNPGM, el parmetro ATNPGM en un perfil de usuario o el parmetro PGM del mandato SETATNPGM.
115
Tabla 15. Programas de salida proporcionados por el sistema (continuacin)

Nombre del programa Cundo se ejecuta el programa
Nombre especificado por el usuario en el Antes de empezar el procedimiento de Rastreo de trabajo. parmetro EXITPGM del mandato TRCJOB.
En el caso de los mandatos que permiten especificar un programa de salida, debe asegurarse de que el valor por omisin del mandato no se ha cambiado para especificar un programa de salida. Tambin debe asegurarse de que la autorizacin de uso pblico para estos mandatos no sea suficiente para cambiar el valor por omisin del mandato. El mandato CHGCMDDFT necesita autorizacin *OBJMGT para el mandato. El usuario no necesita autorizacin *OBJMGT para ejecutar un mandato.
Evaluacin de programas de salida registrados

Puede utilizar la funcin de registro del sistema para registrar programas de salida que deben ejecutarse cuando tienen lugar determinados eventos. Para listar la informacin de registro en el sistema, teclee WRKREGINF OUTPUT(*PRINT). La Figura 30 muestra un ejemplo del informe:
Trabajar Punto de salida . . . . . . . . . . Formato de punto de salida . . . . . Punto de salida registrado . . . . . Permitir quitar registro . . . . . . Nm. mx. de programas de salida . . Nm. actual de programas de salida . Proceso previo para aadir . . . . . Biblioteca . . . . . . . . . . . . Formato . . . . . . . . . . . . . Proceso previo para eliminar . . . . Biblioteca . . . . . . . . . . . . Formato . . . . . . . . . . . . . Proceso previo para recuperar . . . Biblioteca . . . . . . . . . . . . con Informacin de Registro . : QIBM_QGW_NJEOUTBOUND . : NJEO0100 . : *YES . : *YES . : *NOMAX . : 0 . : *NONE . : . : . : *NONE . : . : . : *NONE . :
Figura 30. Trabajar con informacin de registro - ejemplo
Para cada punto de salida del sistema, el informe muestra si hay programas de salida registrados actualmente. Cuando un punto de salida tiene programas registrados actualmente, puede seleccionar la opcin 8 (Visualizar programas) de la versin de pantalla de WRKREGINF para visualizar informacin acerca de los programas:
116
Trabajar con Informacin de Registro Teclee opciones, pulse Intro. 5=Visualizar punto de salida 8=Trabajar con programas de salida
Formato Punto de punto Opc de salida salida Registrado QIBM_QGW_NJEOUTBOUND NJEO0100 *YES 8 QIBM_QHQ_DTAQ DTAQ0100 *YES QIBM_QLZP_LICENSE LICM0100 *YES QIBM_QMF_MESSAGE MESS0100 *YES QIBM_QNPS_ENTRY ENTR0100 *YES QIBM_QNPS_SPLF SPLF0100 *YES QIBM_QNS_CRADDACT ADDA0100 *YES QIBM_QNS_CRCHGACT CHGA0100 *YES
Texto Entrada de trabajo de red ext Servidor de cola de datos Servidor de gestin de licenc Servidor de mensajes original Servidor de impresin de red Servidor de impresin de red Aadir actividad de descripci Cambiar actividad de descripc
Utilice el mismo mtodo para evaluar estos programas de salida que el utilizado para otros programas de salida y programas desencadenantes.
Comprobacin de programas planificados

| | | | | iSeries proporciona numerosos mtodos para planificar trabajos para que se ejecuten ms tarde, incluyendo el planificador de trabajos. Normalmente estos mtodos no representan un riesgo para la seguridad porque el usuario que planifica el trabajo debe tener la misma autorizacin que se necesita para someter el trabajo a proceso por lotes. Sin embargo debe comprobar peridicamente los trabajos planificados. Un usuario descontento que ya no est en la organizacin puede utilizar este mtodo para planificar un siniestro.
Restriccin de las posibilidades de salvar y restaurar

La mayora de los usuarios no necesitan salvar ni restaurar objetos en el sistema. Los mandatos de salvar proporcionan la posibilidad de copiar elementos importantes de la organizacin a soportes de almacenamiento o a otro sistema. La mayora de los mandatos de salvar soportan archivos de salvar que pueden enviarse a otro sistema (utilizando el mandato de archivo SNDNETF) sin tener acceso a un soporte de almacenamiento o a un dispositivo de salvar/restaurar. Los mandatos para restaurar proporcionan la oportunidad de restaurar objetos no autorizados, tales como programas mandatos y archivos en el sistema. Tambin puede restaurar informacin sin tener acceso a soportes de almacenamiento o a un dispositivo de salvar/restaurar utilizando archivos de salvar. Los archivos de salvar se pueden enviar desde otro sistema utilizando el mandato SNDNETF o utilizando la funcin FTP. A continuacin se proporcionan sugerencias para restringir las operaciones de salvar y restaurar en el sistema: v Controle qu usuarios tienen autorizacin especial *SAVSYS. La autorizacin especial *SAVSYS permite al usuario salvar y restaurar objetos incluso cuando el usuario no tiene la autorizacin necesaria sobre los objetos. v Controle el acceso fsico para salvar y restaurar dispositivos. v Restrinja el acceso a los mandatos de salvar y restaurar. Cuando instale los programas bajo licencia de OS/400, la autorizacin de uso pblico para los mandatos RSTxxx es *EXCLUDE. La autorizacin de uso pblico para los
117
mandatos SAVxxx es *USE. Considere la posibilidad de cambiar la autorizacin de uso pblico de los mandatos SAVxxx por *EXCLUDE. Limite cuidadosamente los usuarios que autoriza a utilizar los mandatos RSTxxx. v Utilice el valor del sistema QALWOBJRST para restringir la restauracin de programas de estado del sistema, programas que adoptan autorizaciones y objetos que tienen errores de validacin. v Utilice el valor del sistema QVFYOBJRST para controlar la restauracin de objetos firmados en el sistema. v Utilice la auditora de seguridad para supervisar las operaciones de restauracin. Incluya *SAVRST en el valor del sistema QAUDLVL e imprima peridicamente registros de auditora creados por operaciones de restauracin. (En el Captulo 9 y en el Apndice F de la publicacin iSeries Security Reference se proporciona informacin acerca de las operaciones de entradas de auditora).
| |
Comprobacin de los objetos de usuario en bibliotecas protegidas

Todos los trabajos de iSeries tienen una lista de bibliotecas. Esta lista determina la secuencia en la que el sistema buscar un objeto si no se especifica un nombre de biblioteca con el nombre de objeto. Por ejemplo, cuando llama a un programa sin especificar dnde est el programa, el sistema busca en la lista de bibliotecas por orden y ejecuta la primera copia del programa que localice. En la publicacin iSeries Security Reference se proporciona ms informacin acerca de los riesgos de seguridad de las listas de bibliotecas y de los programas de llamada sin nombre de biblioteca (denominado llamada no cualificada). Tambin se proporcionan sugerencias para controlar el contenido de las listas de bibliotecas y la capacidad de cambiar las listas de bibliotecas del sistema. Para que el sistema se ejecute correctamente, ciertas bibliotecas del sistema, como QSYS y QGPL, deben estar en la lista de bibliotecas para cada trabajo. Debe utilizar la autorizacin sobre objeto para controlar quin puede aadir programas a estas bibliotecas. De este modo se facilita la tarea de impedir que alguien coloque un programa impostor en una de estas bibliotecas con el mismo nombre que un programa que figura despus en una biblioteca de la lista de bibliotecas. Tambin debe evaluar quin tiene autorizacin sobre el mandato CHGSYSLIBL y supervisar los registros SV del diario de auditora de seguridad. Un usuario malintencionado podra aadir una biblioteca delante de QSYS en la lista de bibliotecas y hacer que otros usuarios ejecuten mandatos no autorizados con el mismo nombre que los mandatos proporcionados por IBM.
118
Opciones del men SECBATCH: 28 para someter inmediatamente 67 para utilizar el planificador de trabajos Puede utilizar el mandato Imprimir objetos de usuario (PRTUSROBJ) para imprimir una lista de objetos de usuario (no creados por IBM) que estn en una biblioteca especificada. Despus puede evaluar los programas de la lista para determinar quin los ha creado y qu funciones realizan. Los objetos de usuario que no son programas tambin pueden representar un riesgo en la seguridad cuando se encuentran en bibliotecas del sistema. Por ejemplo, si un programa graba datos confidenciales en un archivo cuyo nombre no est calificado, es posible engaar al programa para que abra una versin falsa de ese archivo en una biblioteca del sistema. La Figura 31 muestra un ejemplo del informe:
Objetos de usuario (informe completo) Biblioteca QSYS QSYS QSYS Objeto PRTCUSTL CHGLMT TESTINV Tipo *PGM *PGM *PGM Atributo RPG RPG CLP Propietario JUAN JUAN ROSA Descripcin
Figura 31. Informe de Imprimir objetos de usuario-Ejemplo
Nota: Este informe contiene los objetos que los programas de salida de PTF crean en la biblioteca.
119
120
Captulo 11. Consejos para evitar y detectar intentos de pirateo

Este captulo es una recopilacin de varios consejos que le ayudarn a detectar posibles riesgos para la seguridad y personas que cometen fechoras.
Consejos de seguridad fsica

La unidad del sistema es una pieza esencial de su organizacin y representa una va de acceso potencial a su sistema. Algunos componentes del sistema son de pequeo tamao y muy valiosos. Debe colocar la unidad del sistema en un lugar vigilado para evitar la sustraccin de componentes valiosos del sistema. La unidad del sistema dispone de un panel de control que permite realizar funciones bsicas sin una estacin de trabajo. Por ejemplo, puede utilizarlo para realizar estas acciones: v Parar el sistema. v Arrancar el sistema. v Cargar el sistema operativo. v Arrancar las funciones de servicio. Todas estas actividades pueden interrumpir el trabajo de los usuarios del sistema. Tambin representan un riesgo de seguridad potencial para el sistema. Puede utilizar la cerradura existente en el sistema para controlar cundo se pueden realizar estas actividades. Para impedir la utilizacin del panel de control, coloque la cerradura en la posicin Protegido, quite la llave y gurdela en un lugar seguro. | | | | | Notas: 1. Si tiene que efectuar IPL remotas o diagnsticos remotos en el sistema, puede que necesite elegir otra posicin para la cerradura. El tema de Iniciacin del iSeries Information Center proporciona ms informacin sobre las posiciones de la cerradura (consulte Requisitos e informacin relacionada en la pgina xii para conocer ms detalles). 2. No todos los modelos de sistema incorporan una cerradura como caracterstica estndar.
Consejos para supervisar la actividad del perfil de usuario

Los perfiles de usuario proporcionan entrada al sistema. Los parmetros del perfil de usuario determinan el entorno y las caractersticas de seguridad de un usuario. Como administrador de seguridad, debe controlar y comprobar las modificaciones que se producen en los perfiles de usuario del sistema. Puede establecer comprobaciones de seguridad para que el sistema grabe un registro de las modificaciones en los perfiles de usuario. Puede utilizar el mandato DSPAUDJRNE para imprimir un informe de estos cambios. Puede crear programas de salida para evaluar las acciones solicitadas para los perfiles de usuario. La Tabla 16 en la pgina 122 muestra los puntos de salida disponibles para los mandatos de perfil de usuario.
121
Nota: Hay salidas de perfil de usuario disponibles a partir de la V3R2.

Tabla 16. Puntos de salida para la actividad del perfil de usuario Mandato Perfil de usuario Nombre de punto de salida
Crear perfil de usuario (CRTUSRPRF) Cambiar perfil de usuario (CHGUSRPRF) Suprimir perfil de usuario (DLTUSRPRF) Restaurar perfil de usuario (RSTUSRPRF) QIBM_QSY_CRT_PROFILE QIBM_QSY_CHG_PROFILE QIBM_QSY_DLT_PROFILE QIBM_QSY_RST_PROFILE
El programa de salida, por ejemplo, puede buscar las modificaciones que pudiesen hacer que el usuario ejecutara una versin no autorizada de un programa. Estas modificaciones podran ser la asignacin de una descripcin de trabajo distinta o de una nueva biblioteca actual. Su programa de salida puede notificarlo a una cola de mensajes, o realizar alguna accin (como cambiar o inhabilitar el perfil de usuario) basndose en la informacin que el programa de salida recibe. La publicacin iSeries Security Reference proporciona informacin acerca de los programas de salida para las acciones de perfil de usuario. | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | |
Consejos para la firma de objetos

Todas las precauciones de seguridad que tome no servirn de nada si alguien puede eludirlas introduciendo datos corruptos en el sistema. El iSeries tiene diversas caractersticas incorporadas que puede utilizar para evitar que se cargue software corrupto en su sistema y para detectar si ya hay software de ese tipo. Una de las tcnicas aadidas en la V5R1 es la firma de objetos. La firma de objetos es la implementacin en iSeries de un concepto criptogrfico conocido como firmas digitales. La idea es relativamente sencilla: una vez un productor de software est listo para enviar software a los clientes, el productor firma el software. Esta firma no garantiza que el software realice ninguna funcin especfica. Sin embargo, proporciona un mtodo para probar que el software proviene del productor que lo ha firmado y que ese software no ha cambiado desde que se gener y se firm. Esto es de especial importancia si el software se ha transmitido por Internet o se ha almacenado en un soporte que pudiera haber sido modificado. Utilizar firmas digitales le dar un mayor control sobre qu software puede cargarse en su sistema y le otorgar ms poder para detectar cambios una vez cargado. El nuevo valor del sistema Verificar restauracin de objeto (QVFYOBJRST) proporciona un mecanismo para establecer una poltica restrictiva que requiere que todo el software que se cargue en el sistema est firmado por las fuentes de software conocidas. Tambin puede elegir una poltica ms abierta y simplemente verificar las firmas si las hay. Todo el software de OS/400, as como el software para las opciones y los programas bajo licencia de iSeries, estn firmados por IBM. Estas firmas ayudan al sistema a proteger su propia integridad y se comprueban cuando se aplican arreglos al sistema para asegurarse de que el arreglo proviene de IBM y que no ha cambiado por el camino. Estas firmas tambin pueden comprobarse una vez el software est en el sistema. El mandato CHKOBJITG (Comprobar integridad de objeto) se ha ampliado para comprobar las firmas, adems de otras caractersticas de integridad de los objetos en el sistema. Adicionalmente, el Gestor de certificados digitales tiene paneles que puede utilizar para comprobar las firmas de los objetos, incluidos los objetos del sistema operativo.
122
| | | | | | | | | | | | | | | | |
Estando el sistema operativo firmado, podra igualmente utilizar firmas digitales para proteger la integridad del software que sea vital para su empresa. Podra comprar software que est firmado por un proveedor de software, o bien podra firmar el software que haya adquirido o escrito. Parte de su poltica de seguridad sera entonces utilizar CHKOBJITG peridicamente, o el Gestor de certificados digitales, para verificar que las firmas de ese software siguen siendo vlidas, es decir, que los objetos no han cambiado desde que se firmaron. Podra ser necesario tambin que todo el software que se restaure en el sistema est firmado por usted mismo o por una fuente conocida. Sin embargo, dado que la mayora del software de iSeries IBM no ha producido no est firmado, podra resultar demasiado restrictivo para el sistema. El nuevo soporte de firma digital le ofrece flexibilidad para decidir el mejor mtodo para proteger la integridad del software. Las firmas digitales que protegen el software son tan solo uno de los usos de los certificados digitales. Encontrar informacin adicional sobre la gestin de certificados digitales en el tema sobre gestin de certificados digitales del Information Center (consulte Requisitos e informacin relacionada en la pgina xii para conocer ms detalles).
Consejos para supervisar descripciones de subsistema

Al arrancar un subsistema en el iSeries, el sistema crea un entorno para que el trabajo entre y se ejecute en el sistema. Una descripcin de subsistema define el aspecto que tiene dicho entorno. Por tanto, las descripciones de subsistema pueden ofrecer la oportunidad de entrar al sistema a usuarios con intenciones poco fiables. Estos podran utilizar una descripcin de subsistema para arrancar automticamente un programa o bien para iniciar una sesin sin un perfil de usuario. Al ejecutar el mandato Revocar autorizacin de uso pblico (RVKPUBAUT), el sistema establece en *EXCLUDE la autorizacin de uso pblico para los mandatos de descripcin de subsistemas. Con ello se previene que los usuarios que no tienen una autorizacin especfica (y que no tienen autorizacin especial *ALLOBJ) cambien o creen descripciones de subsistema. En los temas siguientes se proporcionan sugerencias para revisar las descripciones de subsistema que existen actualmente en el sistema. Puede utilizar el mandato Trabajar con descripciones de subsistema (WRKSBSD) para crear una lista de todas las descripciones de subsistema. Al seleccionar la opcin 5 (Visualizar) de la lista, aparecer un men parecido al que se muestra en la Figura 32 para la descripcin de sistema seleccionada. Muestra una lista de los componentes de un entorno de subsistema.
123
Visualizar descripcin de subsistema Descripcin de subsistema: Estado: ACTIVO QINTER Biblioteca: QSYS
Seleccione una de las siguientes opciones: 1. 2. 3. 4. 5. 6. 7. 8. 9. 10. Atributos operativos Definiciones de agrupacin Entradas de trabajo de arranque automtico Entradas de nombre de estacin de trabajo Entradas de tipo de estacin de trabajo Entradas de cola de trabajos Entradas de direccionamiento Entradas de comunicaciones Entradas de nombre de ubicacin remota Entradas de trabajo de prearranque
Figura 32. Pantalla Visualizar descripcin de subsistema
Seleccione las opciones para ver detalles acerca de los componentes. Utilice el mandato Cambiar descripcin de subsistema (CHGSBSD) para modificar las dos primeras opciones del men. Para modificar otros elementos, utilice el mandato de aadir, eliminar o modificar (segn sea apropiado) para el tipo de entrada. Por ejemplo, para modificar una entrada de estacin de trabajo, utilice el mandato Cambiar entrada de estacin de trabajo (CHGWSE). La publicacin proporciona ms informacin acerca del trabajo con descripciones de subsistema. Tambin lista los valores iniciales para las descripciones de subsistema suministradas por IBM.
Consejos para las entradas de trabajo de arranque automtico

Una entrada de trabajo de arranque automtico contiene el nombre de una descripcin de trabajo. La descripcin de trabajo puede contener datos de solicitud (RQSDTA) que hacen que un programa o un mandato se ejecute. Por ejemplo, RQSDTA podra ser CALL LIB1/PROGRAM1. Siempre que se arranque el subsistema, el sistema ejecutar el programa PROGRAM1 en la biblioteca LIB1. Consulte las entradas de trabajo de arranque automtico y las descripciones de trabajo asociadas. Asegrese de que entiende el funcionamiento de cualquier programa que se ejecuta automticamente cuando se arranca un subsistema.
Consejos para nombres y tipos de estaciones de trabajo

Cuando se arranca un subsistema, ste asigna todas las estaciones de trabajo no asignadas que figuran (especfica o genricamente) en sus entradas de nombres y tipos de estaciones de trabajo. Cuando un usuario inicia la sesin, se conecta al subsistema que ha asignado la estacin de trabajo. La entrada de estacin de trabajo indica qu descripcin de trabajo se utilizar cuando se inicia un trabajo en dicha estacin de trabajo. La descripcin de trabajo puede contener los datos de solicitud que hacen que se ejecute un programa o un mandato. Por ejemplo, el parmetro RQSDTA podra ser CALL LIB1/PROGRAM1. Siempre que un usuario inicia la sesin en una estacin de trabajo de este subsistema, el sistema ejecutar PROGRAM1 en LIB1.
124
Consulte las entradas de estacin de trabajo y las descripciones de trabajo asociadas. Asegrese de que nadie ha aadido o actualizado ninguna entrada para ejecutar programas de los que no se tiene conocimiento. Una entrada de estacin de trabajo tambin podra especificar un perfil de usuario por omisin. Para ciertas configuraciones de subsistema, ello permite que alguien inicie la sesin simplemente pulsando la tecla Intro. Si el nivel de seguridad (valor de sistema QSECURITY) del sistema es inferior a 40, debe revisar las entradas de estacin de trabajo para los usuarios por omisin.
Consejos para entradas de cola de trabajos

Cuando se arranca un subsistema, ste asigna las colas de trabajos no asignadas que estn listadas en la descripcin de subsistema. Las entradas de cola de trabajos no constituyen un riesgo directo para la seguridad. Sin embargo, s proporcionan una oportunidad para que alguien manipule el rendimiento del sistema haciendo que los trabajos se ejecuten en entornos no previstos. Debe revisar peridicamente las entradas de cola de trabajos en las descripciones de subsistema para asegurarse de que los trabajos por lotes se ejecutan donde deben ejecutarse.
Consejos para entradas de direccionamiento

Una entrada de direccionamiento define lo que hace un trabajo cuando entra en el subsistema. Este utiliza entradas de direccionamiento para todos los tipos de trabajos: por lotes, interactivos y de comunicaciones. Una entrada de direccionamiento especifica lo siguiente: v La clase de trabajo. Al igual que las entradas de cola de trabajos, la clase que est asociada a un trabajo puede afectar a su rendimiento pero no representa un riesgo para la seguridad. v El programa que se ejecuta cuando se inicia el trabajo. Consulte las entradas de direccionamiento y asegrese de que nadie ha aadido o actualizado ninguna entrada para ejecutar programas de los que no se tiene conocimiento.
Consejos para entradas de comunicaciones y nombres de ubicacin remota

Cuando un trabajo de comunicaciones entra en el sistema, ste utiliza las entradas de comunicaciones y las entradas de nombre de ubicacin remota del subsistema activo para determinar cmo se ejecutar el trabajo de comunicaciones. Tenga en cuenta lo siguiente respecto a estas entradas: v Todos los subsistemas son capaces de ejecutar trabajos de comunicaciones. Si un subsistema que est destinado para comunicaciones no est activo, un trabajo que est intentando entrar en el sistema podra encontrar una entrada en otra descripcin de subsistema que satisfaga sus necesidades. Debe examinar las entradas en todas las descripciones de subsistema. v Una entrada de comunicaciones contiene una descripcin de trabajo. La descripcin de trabajo puede contener datos de solicitud que ejecutan un mandato o programa. Consulte las entradas de comunicaciones y las descripciones de trabajo asociadas para asegurarse de que entiende cmo se inician los trabajos. v Una entrada de comunicaciones tambin especifica un perfil de usuario por omisin que el sistema utiliza en algunas situaciones. Asegrese de que entiende
125
la funcin de los perfiles por omisin. Si el sistema contiene perfiles por omisin, debe asegurarse de que tienen una autorizacin mnima. Consulte el Captulo 13. Consejos para la seguridad de las comunicaciones APPC para obtener ms informacin acerca de los perfiles de usuario por omisin. Puede utilizar el mandato Imprimir descripcin de subsistema (PRTSBSDAUT) para identificar las entradas de comunicaciones que especifican un nombre de perfil de usuario.
Consejos para entradas de trabajo de prearranque

Puede utilizar las entradas de trabajo de prearranque para preparar un subsistema para ciertos tipos de trabajos con el fin de que los trabajos se inicien ms deprisa. Los trabajos de prearranque pueden iniciarse cuando se arranca el subsistema o cuando sean necesarios. Una entrada de trabajo de prearranque especifica lo siguiente: Un programa para ejecutar Un perfil de usuario por omisin Una descripcin de trabajo Todos ellos tienen riesgos potenciales para la seguridad. Debe asegurarse de que las entradas de trabajo de prearranque slo realizan funciones autorizadas y previstas.
Consejos para trabajos y descripciones de trabajo

Las descripciones de trabajo contienen datos de solicitud y datos de direccionamiento que pueden hacer que se ejecute un programa especfico al utilizar dicha descripcin de trabajo. Cuando la descripcin de trabajo especifica un programa en el parmetro de datos de solicitud, el subsistema ejecuta el programa. Cuando la descripcin de trabajo especifica datos de direccionamiento, el sistema ejecuta el programa especificado en la entrada de direccionamiento que coincide con los datos de direccionamiento. El sistema utiliza descripciones de trabajo tanto para los trabajos interactivos como para los trabajos por lotes. Para los trabajos interactivos, la entrada de estacin de trabajo especifica la descripcin de trabajo. Normalmente, el valor de entrada de estacin de trabajo es *USRPRF, de modo que el sistema utiliza la descripcin de trabajo especificada en el perfil de usuario. Para los trabajos por lotes, el usuario especifica la descripcin de trabajo al someter el trabajo. Debe revisar peridicamente las descripciones de trabajo para asegurarse de que stas no ejecutan programas no previstos. Tambin debe utilizar la autorizacin sobre objeto para evitar modificaciones en las descripciones de trabajo. La autorizacin *USE es suficiente para ejecutar un trabajo con una descripcin de trabajo. Un usuario tpico no necesita autorizacin *CHANGE para las descripciones de trabajo.
126
Opciones del men SECBATCH: 15 para someter inmediatamente 54 para utilizar el planificador de trabajos Las descripciones de trabajo tambin pueden especificar bajo qu perfil de usuario se debe ejecutar el trabajo. Con el nivel de seguridad 40 y superior, debe tener autorizacin *USE para la descripcin de trabajo y para el perfil de usuario especificados en la descripcin de trabajo. Con los niveles de seguridad inferiores a 40, slo se necesita autorizacin *USE para la descripcin de trabajo. Puede utilizar el mandato Imprimir autorizacin de descripcin de trabajo (PRTJOBDAUT) para imprimir una lista de descripciones de trabajos que especifican perfiles de usuario y cuya autorizacin de uso pblico es *USE. La Figura 33 muestra un ejemplo del informe:
Descripciones de trabajo con autorizacin excesiva (informe completo) Biblioteca especificada. . . : Biblioteca QGPL QGPL QGPL SYSTEM4 --------------------Autorizaciones especiales------------*ALL *AUD *IOSYS *JOB *SAV *SEC *SER *SPL OBJ IT CFG CTL SYS ADM VICE CTL X X X X X X X X
Descripcin Perfil trabajo Propietario usuario JOBD1 QSECOFR USERA JOBD2 QSECOFR USERB
Figura 33. Informe Descripciones de trabajo con autorizacin excesiva-Ejemplo
El informe muestra las autorizaciones especiales del perfil de usuario especificado en la descripcin de trabajo. El informe incluye las autorizaciones especiales de cualquier perfil de grupo que el perfil de usuario tenga. Puede utilizar el siguiente mandato para visualizar las autorizaciones privadas del perfil de usuario :
DSPUSRPRF USRPRF(nombre perfil) TYPE(*OBJAUT)
La descripcin de trabajo especifica la lista de bibliotecas que utiliza el trabajo cuando se ejecuta. Si alguien puede modificar una lista de bibliotecas de un usuario, dicho usuario podra ejecutar una versin no prevista de un programa en una biblioteca diferente. Debe revisar peridicamente las listas de bibliotecas especificadas en las descripciones de trabajo del sistema. Finalmente, debe asegurarse de que los valores por omisin para el mandato Someter trabajo (SBMJOB) y el mandato Crear perfil de usuario (CRTUSRPRF) no se han modificado para que apunten a descripciones de trabajo no previstas.
Consejos para los Nombres de programas de transacciones con arquitectura

Algunas peticiones de comunicaciones envan un tipo especfico de seal al sistema. Esta peticin se llama nombre de programa de transacciones con arquitectura (TPN) ya que el nombre del programa de transacciones forma parte de la arquitectura APPC del sistema. Una peticin de paso a travs de estacin de pantalla es un ejemplo de un TPN con arquitectura. Los TPN con arquitectura son un procedimiento normal para que funcionen las comunicaciones y no
127
necesariamente representan un riesgo para la seguridad. Sin embargo, los TPN con arquitectura pueden proporcionar una entrada inesperada al sistema. Algunos TPN no pasan ningn perfil en la peticin. Si la peticin llega a asociarse con una entrada de comunicaciones cuyo usuario por omisin es *SYS, la peticin puede iniciarse en el sistema. Sin embargo, el perfil *SYS slo puede ejecutar funciones del sistema y no aplicaciones de usuario. Si no desea que los TPN con arquitectura se ejecuten con un perfil por omisin, puede modificar el usuario por omisin de *SYS a *NONE en las entradas de comunicaciones. En la Peticiones de TPN con arquitectura se indican los TPN con arquitectura y los perfiles de usuario asociados. Si no desea que un TPN especfico se ejecute en el sistema, realice las siguientes acciones: 1. Cree un programa CL que acepte varios parmetros. El programa no debe realizar ninguna funcin. Simplemente debe tener las sentencias Declarar (DCL) para los parmetros y despus finalizar. 2. Aada una entrada de direccionamiento para el TPN a cada subsistema que tenga entradas de comunicaciones o entradas de nombre de ubicacin remota. La entrada de direccionamiento debe especificar lo siguiente: v Un valor Comparar valor (CMPVAL) igual al nombre del programa del TPN (consulte Peticiones de TPN con arquitectura) con una posicin inicial de 37. v Un valor Programa a llamar (PGM) igual al nombre del programa creado en el paso 1. Ello impide que el TPN ubique otra entrada de direccionamiento, como por ejemplo *ANY. Varios TPN ya tienen su propia entrada de direccionamiento en el subsistema QCMN. Se han aadido por motivos de rendimiento.
Peticiones de TPN con arquitectura

Tabla 17. Programas y usuarios para peticiones de TPN
Peticin de TPN X'30F0F8F1' X'06F3F0F1' X'30F0F2D1' X'30F0F1F9' X'07F0F0F1' X'07F6C4C2' X'30F0F7F7' X'30F0F1F4' X'30F0F1F3' X'30F0F2C4' X'30F0F6F0' X'30F0F8F0' X'30F0F1F7' X'30F0F1F8' Programa AMQCRC6A QACSOTP QANRTP QCNPCSUP QCNTEDDM QCNTEDDM QCQNRBAS QDXPRCV QDXPSEND QEVYMAIN QHQTRGT QLZPSERV QMFRCVR QMFSNDR Perfil de usuario *NONE QUSER QADSM *NONE QUSER QUSER QSVCCS QUSER QUSER QUSER *NONE *NONE *NONE *NONE Descripcin Cola de mensajes Programa de transacciones de inicio de sesin APPC Configuracin ADSM/400 APPC Carpetas compartidas DDM SQLDRDA1 remoto Servidor CC_ de SNA Receptor de DSNXPC Emisor de DSNXPC Servidor ENVY**/400 Cola de datos en PC Gestor de licencias Client Access Receptor de mensajes en PC Emisor de mensajes en PC
128
Tabla 17. Programas y usuarios para peticiones de TPN (continuacin)

Peticin de TPN X'30F0F6F6' DB2DRDA APINGD X'30F0F5F4' X'30F0F2C1' X'30F0F7F9' X'30F0F6F1' X'20F0F0F7' X'20F0F0F8' X'30F0F5F1' X'20F0F0F0' X'30F0F0F5' X'30F0F0F9' X'30F0F4F6' X'30F0F2C8' X'30F0F2C9' X'30F0F6F9' X'30F0F6F5' X'30F0F6F4' X'30F0F2D2' X'21F0F0F8' X'21F0F0F7' X'30F0F1F6' X'30F0F2F4' X'30F0F1F5' X'30F0F2D3' X'30F0F8F3' X'21F0F0F2' X'21F0F0F1' X'30F0F2C5' X'30F0F2C6' X'30F0F2C7' Programa QND5MAIN QCNTEDDDM QNMAPINGD QNMEVK QNPSERVR QOCEVOKE QOKCSUP QOQSESRV QOQSESRV QOQSESRV QOSAPPC QPAPAST2 QPAPAST2 QPWFSTP0 QPWFSTP1 QPWFSTP2 QRQSRVX QRQSRV0 QRQSRV1 QSVRCI QS2RCVR QS2STSND QTFDWNLD QTIHNPCS QVPPRINT QWGMTP QZDAINIT QZDRCVR QZDSTSND QZHQTRG QZRCSRVR QZSCSRVR Perfil de usuario QUSER QUSER QUSER QUSER *NONE *NONE QDOC QUSER QUSER QUSER QUSER QUSER QUSER *NONE *NONE *NONE *NONE *NONE *NONE QUSER QGATE QGATE *NONE QUSER *NONE QWGM QUSER QSNADS QSNADS *NONE *NONE *NONE Descripcin Controlador de estacin de trabajo APPN 5394 DB2DRDA APINGD Programas de utilidad de gestin del sistema Servidor de impresin de red PWS-I Calendario de sistemas cruzados Duplicacin de directorio DIA Versin 2 DIA Versin 2 DIA Versin 2 DIA Versin 1 Paso a travs de S/36S/38 Paso a travs de impresora Carpetas compartidas Tipo 2 Servidor de archivos de Client Access Servidor de archivos de Windows** Client Access SQL remoto servidor convergente SQL remoto sin compromiso SQL remoto sin compromiso SOC/CT Receptor SNADS FS2 Emisor SNADS FS2 Funcin de transferencia de PC Funcin TIE Impresin virtual en PC Ultimedia Mail/400 Server Servidor de acceso a datos PWS-I Receptor SNADS Emisor SNADS Servidor de cola de datos PWS-I Servidor de mandatos remotos PWS-I Servidor central PWS-I
Mtodos para supervisar eventos de seguridad

La puesta a punto de la seguridad no es un esfuerzo que se haga de una sola vez. Es necesario evaluar constantemente los cambios en el sistema y las anomalas en la seguridad. Despus hay que realizar ajustes en el entorno de seguridad que respondan a lo que se ha descubierto.
129
Los informes de seguridad le ayudan a supervisar los cambios relativos a la seguridad que se producen en el sistema. A continuacin se indican otras funciones del sistema que puede utilizar para ayudarle a detectar anomalas o riesgos para la seguridad: v La auditora de seguridad es una herramienta potente que puede utilizar para observar diferentes tipos de eventos relativos a la seguridad que se producen en el sistema. Por ejemplo, puede poner a punto el sistema para que grabe un registro de auditora cada vez que un usuario abra un archivo de base de datos para actualizarlo. Puede hacer una auditora de todos los cambios efectuados en los valores del sistema. Puede hacer una auditora de las acciones que ocurren cuando los usuarios restauran objetos. En el Captulo 9 de la publicacin iSeries Security Reference se proporciona informacin completa acerca de la funcin de auditora de seguridad. Puede utilizar el mandato Cambiar auditora de seguridad (CHGSECAUD) para poner a punto la auditora de seguridad en el sistema. Tambin puede utilizar el mandato Visualizar entradas de diario de auditora (DSPAUDJRNE) para imprimir informacin seleccionada del diario de auditora de seguridad. v Puede crear la cola de mensajes QSYSMSG para capturar mensajes crticos del operador del sistema. La cola de mensajes QSYSOPR recibe muchos mensajes de diversa importancia durante un da normal de trabajo. Los mensajes crticos relativos a la seguridad pueden pasarse por alto debido al gran volumen de mensajes que hay en la cola de mensajes QSYSOPR. Si se crea una cola de mensajes QSYSMSG en la biblioteca QSYS del sistema, este dirige automticamente ciertos mensajes crticos a la cola de mensajes QSYSMSG en lugar de a la cola de mensajes QSYSOPR. Puede crear un programa para supervisar la cola de mensajes QSYSMSG o bien puede asignarla en la modalidad de interrupcin para usted mismo o para otro usuario de confianza.
130
Parte 4. Consejos para las aplicaciones y las comunicaciones de red
RV3M1202-0
131
132
Captulo 12. Utilizacin del Sistema de Archivos Integrado (IFS) para proteger los archivos
El sistema de archivos integrado proporciona mltiples formas de almacenar y ver informacin en el iSeries. Este sistema de archivos integrado forma parte del sistema operativo de OS/400 que ofrece soporte para operaciones de entrada y salida continuas. Proporciona mtodos de gestin de almacenamiento similares a (y compatibles con) los sistemas operativos de PC y UNIX. Antes de la V3R1, el iSeries almacenaba y presentaba los objetos desde sus bibliotecas respectivas (o carpetas para objetos de biblioteca de documentos).Con el sistema de archivos integrado, todos los objetos del sistema se pueden ver al mismo tiempo desde la perspectiva de una estructura de directorios jerrquica. Sin embargo, en muchos casos, los usuarios ven los objetos del modo ms comn para un sistema de archivos determinado. Por ejemplo, los objetos de iSeries tradicionales se encuentran en el sistema de archivos QSYS.LIB. Por lo general, los usuarios ven los objetos desde la perspectiva de bibliotecas. Los usuarios visualizan los objetos del sistema de archivos QDLS desde la perspectiva de documentos dentro de carpetas. Los sistemas de archivos raz (/), QOpenSys y los definidos por el usuario presentan una estructura de directorios jerrquicos (anidados). Como administrador de seguridad debe conocer lo siguiente: v Qu sistemas de archivos se utilizan en el sistema v Las caractersticas de seguridad exclusivas de cada sistema de archivos En los temas siguientes se proporcionan algunas consideraciones generales acerca de la seguridad del sistema de archivos integrado.
El mtodo de seguridad del Sistema de Archivos Integrado (IFS)

El sistema de archivos raz es la base (o el fundamento) para todos los dems sistemas de archivos del iSeries. En un nivel superior, proporciona una vista integrada de todos los objetos del sistema. Otros sistemas de archivos del iSeries proporcionan distintas propuestas para la integracin y la gestin de objetos, dependiendo de la finalidad bsica de cada sistema de archivos.El sistema de archivos QOPT (ptico), por ejemplo, permite que las aplicaciones y los servidores de iSeries (incluido el servidor de archivos de Client Access) accedan a la unidad de CD-ROM del iSeries. Del mismo modo, el sistema de archivos QFileSvr.400 permite que las aplicaciones accedan a los datos del sistema de archivos integrado de sistemas iSeries 400 remotos. El servidor de archivos QLANSrv permite acceder a los archivos almacenados en el Integrated xSeries Server for iSeries o en otros servidores conectados de la red. La propuesta para la seguridad de cada sistema de archivos depende de los datos que cada sistema de archivos permite que estn disponibles. El sistema de archivos QOPT, por ejemplo, no proporciona seguridad de nivel de objeto, puesto que no existe tecnologa para escribir informacin de autorizacin en un CD-ROM. Para el sistema de archivos QFileSvr.400, el control de acceso se lleva a cabo en el sistema remoto (donde se gestionan y estn almacenados los archivos fsicamente). Para los sistemas de archivos como, por ejemplo, QLANSrv, el Integrated xSeries Server for iSeries proporciona control de acceso. A pesar de los distintos modelos de
133
seguridad, muchos sistemas de archivos soportan la gestin coherente del control de acceso a travs de los mandatos del sistema de archivos integrado, tales como Cambiar autorizacin (CHGAUT) y Cambiar propietario (CHGOWN). Estos son algunos consejos relacionados con todos los aspectos de la seguridad del sistema de archivos integrado. El sistema de archivos integrado est diseado para seguir los estndares de POSIX con la mayor precisin posible. Esto conduce a un comportamiento interesante, en el que la autorizacin de iSeries 400 y los permisos de POSIX se mezclan: 1. No elimine la autorizacin privada de un usuario sobre un directorio propiedad de ese usuario, incluso si el usuario est autorizado mediante la autorizacin de uso pblico, un grupo o una lista de autorizaciones. Al trabajar con bibliotecas o carpetas en el modelo de seguridad de iSeries estndar, eliminar la autorizacin privada del propietario reducira la cantidad de informacin sobre autorizaciones almacenada para un perfil de usuario y no afectara a otras operaciones. De todas maneras, debido a la forma en que el estndar POSIX define la herencia de permisos para directorios, el propietario de un directorio recin creado tendr las mismas autorizaciones sobre objetos para ese directorio que el propietario del padre tiene sobre el padre, incluso si el propietario del directorio recin creado tiene otras autorizaciones privadas sobre el padre. Para comprenderlo mejor, he aqu un ejemplo: USERA posee el directorio /DIRA, pero se han eliminado las autorizaciones privadas de USERA. USERB tiene autorizacin privada sobre /DIRA. USERB crea el directorio /DIRA/DIRB. Dado que USERA no tiene autorizaciones sobre objeto en /DIRA, USERB no tendr autorizaciones sobre objeto en /DIRA/DIRB. USERB no podr redenominar ni suprimir /DIRA/DIRB sin tener que llevar a cabo acciones para cambiar las autorizaciones sobre objeto de USERB. Esto tambin entra en juego al crear archivos con la API open() utilizando el distintivo O_INHERITMODE. Si USERB ha creado un archivo /DIRA/FILEB, USERB no tendr autorizaciones sobre objeto NI autorizaciones de datos sobre l. USERB no podr grabar en el nuevo archivo. 2. La autorizacin adoptada no se acepta en la mayora de sistemas de archivos fsicos. Eso incluye los sistemas de archivos raz (/), QOpenSys, QDLS y los definidos por el usuario. 3. Los objetos existentes son propiedad del perfil de usuario que los haya creado, incluso si el campo OWNER del perfil de usuario est establecido como *GRPPRF. 4. Muchas operaciones del sistema de archivos requieren autorizacin de datos *RX para cada componente de la va de acceso, incluido el directorio raz (/). Al experimentar problemas con las autorizaciones, asegrese de comprobar la autorizacin del usuario sobre el propio directorio raz. 5. Visualizar o recuperar el directorio de trabajo actual (DSPCURDIR, getcwd(), etc.) requiere autorizacin de datos *RX para cada componente de la va de acceso. No obstante, modificar el directorio de trabajo actual (CD, chdir(), etc.) solamente requiere autorizacin de datos *X para cada componente. Por consiguiente, un usuario puede cambiar el directorio de trabajo actual a una va de acceso determinada y luego no poder visualizar esa va de acceso. 6. La finalidad del mandato COPY es duplicar un objeto. Los valores de autorizacin en el nuevo archivo sern los mismos que en el original, excepto el propietario. La finalidad del mandato CPYTOSTMF, no obstante, es simplemente duplicar datos. El usuario no puede controlar los valores de autorizacin en el nuevo archivo. El creador/propietario tendr autorizacin de datos *RWX, pero las autorizaciones de uso pblico y de grupo sern
134
*EXCLUDE. El usuario debe utilizar otros medios (CHGAUT, chmod(), etc.) para asignar las autorizaciones deseadas. 7. Un usuario debe ser el propietario o tener autorizacin sobre objeto *OBJMGT para recuperar informacin de autorizacin sobre un objeto. Esto puede aparecer en lugares inesperados, como COPY, que debe recuperar la informacin de autorizacin del objeto origen para establecer las autorizaciones equivalentes en el objeto destino. 8. Al cambiar el propietario o el grupo de un objeto, el usuario no debe tener solamente la autorizacin adecuada sobre el objeto, sino que tambin debe tener la autorizacin de datos *ADD sobre el nuevo perfil de usuario de propietario/grupo y la autorizacin de datos *DELETE sobre el antiguo perfil de propietario/grupo. Estas autorizaciones de datos no estn relacionadas con las autorizaciones de datos del sistema de archivos. Estas autorizaciones de datos pueden visualizarse utilizando el mandato DSPOBJAUT y modificarse utilizando el mandato EDTOBJAUT. Esto tambin puede aparecer inesperadamente en COPY cuando intenta definir el ID de grupo para un objeto nuevo. 9. El mandato MOV tiene tendencia a sufrir errores de autorizacin extraos, especialmente al trasladar de un sistema de archivos fsico a otro o al realizar conversin de datos. En estos casos, el traslado se convierte realmente en una operacin de copiar y suprimir. Por consiguiente, el mandato MOV puede resultar afectado por las mismas consideraciones sobre autorizaciones que el mandato COPY (vea los puntos 7 y 8) y el mandato RMVLNK, aparte de otras consideraciones especficas de MOV.
Los apartados siguientes ofrecen consideraciones sobre diversos sistemas de archivos representativos. Para obtener ms informacin acerca de un sistema de archivos especfico de su iSeries, debe consultar la documentacin correspondiente al programa bajo licencia que utiliza el sistema de archivos.
Consejos de seguridad para los sistemas de archivos raz (/), QOpenSys y los definidos por el usuario
A continuacin se presentan algunas consideraciones sobre la seguridad para los sistemas de archivos raz, QOpenSys y los definidos por el usuario.
Cmo funciona la autorizacin para los sistemas de archivos raz (/), QOpenSys y los definidos por el usuario
Los sistemas de archivos raz, QOpenSys y los definidos por el usuario proporcionan una combinacin de las posibilidades del iSeries, PC y UNIX** tanto para la gestin de objetos como para la seguridad. Al utilizar los mandatos del sistema de archivos integrado de una sesin iSeries (WRKAUT y CHGAUT), puede establecer todas las autorizaciones de objeto iSeries normales. Esto incluye las autorizaciones *R, *W y *X que son compatibles con Spec 1170 (sistemas operativos de tipo UNIX). Nota: Los sistemas de archivos raz, QOpenSys y los definidos por el usuario son equivalentes en sus funciones. El sistema de archivos QOpenSys es sensible a las maysculas y el sistema de archivos raz no. Los sistemas de archivos definidos por el usuario pueden definirse como sensibles a las maysculas y minsculas. Dado que estos sistemas de archivos tienen las mismas caractersticas de seguridad, en los temas siguientes se puede dar por supuesto que sus nombres se utilizan indistintamente.
135
Al acceder al sistema de archivos raz como administrador desde una sesin de PC, puede establecer los atributos de objetos que utiliza el PC para restringir determinados tipos de acceso: v Sistema v Ocultar v Archivar v Slo lectura Estos atributos del PC se aaden y no sustituyen a los valores de autorizacin sobre objeto de iSeries. Cuando un usuario intenta acceder a un objeto del sistema de archivos raz, el OS/400 aplica todos los atributos y valores de autorizacin para el objeto, tanto si dichas autorizaciones son visibles desde la interfaz del usuario como si no. Por ejemplo, suponga que el atributo de slo lectura para un objeto est activado. Un usuario de PC no puede suprimir el objeto a travs de una interfaz de Client Access. Un usuario de iSeries con una estacin de trabajo de funcin fija tampoco puede suprimir el objeto incluso aunque el usuario de iSeries tenga autorizacin especial *ALLOBJ. Para eliminar el objeto, un usuario autorizado debe utilizar una funcin de PC para restablecer el valor de slo lectura en desactivado. Del mismo modo, un usuario de PC puede no tener la autorizacin de OS/400 suficiente para cambiar los atributos de seguridad relacionados con el PC de un objeto. Las aplicaciones de tipo UNIX que se ejecutan en el iSeries utilizan interfaces de programacin de aplicaciones (API) de tipo UNIX para acceder a los datos del sistema de archivos raz. Con API de tipo UNIX, las aplicaciones pueden reconocer y mantener la informacin de seguridad siguiente: v Propietario de objeto v Propietario de grupo (autorizacin de grupo primario de iSeries) v Lectura (archivos) v Escritura (modificar el contenido) v Ejecucin (ejecutar programas o buscar directorios) El sistema correlaciona estas autorizaciones de datos con las autorizaciones de datos y objetos existentes del iSeries: v Lectura (*R) = *OBJOPR y *READ v Escritura (*W) = *OBJOPR, *ADD, *UPD, *DLT v Ejecucin (*X) = *OBJOPR y *EXECUTE Los conceptos de otras autorizaciones sobre objeto (*OBJMGT, *OBJEXIST, *OBJALTER y *OBJREF) no existen en un entorno de tipo UNIX. Sin embargo, estas autorizaciones sobre objeto existen para todos los objetos del sistema de archivos raz. Al crear un objeto utilizando una API de tipo UNIX, ese objeto hereda estas autorizaciones del directorio padre, dando como resultado lo siguiente: v El propietario del objeto nuevo tiene la misma autorizacin sobre objeto que el propietario del directorio padre. v El grupo primario del objeto nuevo tiene la misma autorizacin sobre objeto que el grupo primario del directorio padre. v El pblico del objeto nuevo tiene la misma autorizacin sobre objeto que el pblico del directorio padre. La autorizacin sobre datos del objeto nuevo para propietario, grupo primario y pblico se especifica en la API con el parmetro de modalidad. Cuando todas las autorizaciones sobre objeto estn establecidas como activadas, obtendr el mismo
136
comportamiento por parte de las autorizaciones que el que esperara en un entorno de tipo UNIX. Es mejor dejarlas activadas, a menos que no desee un comportamiento como el de POSIX. Al ejecutar aplicaciones que utilizan API de tipo UNIX, el sistema fuerza todas las autorizaciones sobre objeto, tanto si son visibles a las aplicaciones UNIX como si no. Por ejemplo, el sistema fuerza la autorizacin de listas de autorizaciones, aunque en los sistemas operativos de tipo UNIX no exista el concepto de listas de autorizaciones. Si dispone de un entorno de aplicaciones mixtas, debe asegurarse de que no realiza cambios de autorizaciones en un entorno que pueda interrumpir sus aplicaciones en otro entorno.
Trabajar con la seguridad para los sistemas de archivos raz (/), QOpenSys y los definidos por el usuario
Al introducir el sistema de archivos integrado, el iSeries tambin proporciona un nuevo conjunto de mandatos para trabajar con objetos en sistemas de archivos mltiples.En este conjunto se incluyen mandatos para trabajar con la seguridad: v Cambiar auditora (CHGAUD) v Cambiar autorizacin (CHGAUT) v Cambiar propietario (CHGOWN) v Cambiar grupo primario (CHGPGP) v Visualizar autorizacin (DSPAUT) v Trabajar con autorizacin (WRKAUT) Estos mandatos agrupan las autorizaciones bsicas sobre objeto y sobre datos en subconjuntos de autorizaciones de tipo UNIX. *RWX Leer/grabar/ejecutar *RW Leer/grabar *R Leer *WX Grabar/ejecutar *W Grabar *X Ejecutar Adems, hay interfaces API de tipo UNIX disponibles para trabajar con la seguridad.
Autorizacin de uso pblico para el directorio raz

Al entregar el sistema, la autorizacin de uso pblico para el directorio raz es *ALL (todas las autorizaciones sobre objeto y sobre datos). Este valor proporciona la flexibilidad y la compatibilidad necesarias para ajustarse a las necesidades de las aplicaciones de tipo UNIX y a lo que esperan los usuarios de iSeries. Un usuario de iSeries con la posibilidad de lnea de mandatos puede crear una nueva biblioteca en el sistema de archivos QSYS.LIB simplemente utilizando el mandato CRTLIB. Por lo general, la autorizacin en un sistema iSeries lo permite. Del mismo modo, con el valor recibido originalmente para el sistema de archivos raz, un usuario puede crear un nuevo directorio raz (del mismo modo que se crea un nuevo directorio en el PC). Como administrador de seguridad, debe educar a sus usuarios acerca de cmo deben proteger adecuadamente los objetos que crean. Cuando un usuario crea una biblioteca, probablemente la autorizacin de uso pblico para la biblioteca no deba ser *CHANGE (el valor por omisin). El usuario debe establecer la autorizacin de uso pblico para *USE o para *EXCLUDE, dependiendo del contenido de la biblioteca.
137
Si los usuarios necesitan crear directorios nuevos en los sistemas de archivos raz (/), QOpenSys o los definidos por el usuario, existen diversas opciones de seguridad: v Puede ensear a sus usuarios a que alteren temporalmente la autorizacin por omisin al crear nuevos directorios. El valor por omisin es la herencia de la autorizacin del directorio padre inmediato. En el caso de un directorio que se acaba de crear en el directorio raz, la autorizacin de uso pblico por omisin ser *ALL. v Puede crear un subdirectorio maestro bajo el directorio raz. Establezca la autorizacin de uso pblico del directorio maestro en un valor adecuado para su organizacin y, a continuacin, solicite a sus usuarios que creen todos sus directorios personales nuevos en este subdirectorio maestro. Sus nuevos directorios heredarn la autorizacin. v Puede cambiar la autorizacin de uso pblico para el directorio raz con el fin de evitar que los usuarios creen objetos en dicho directorio. (Elimine las autorizaciones *W, *OBJEXIST, *OBJALTER, *OBJREF y *OBJMGT.) No obstante, debe evaluar si este cambio puede causar problemas en cualquiera de sus aplicaciones. Por ejemplo, puede tener aplicaciones de tipo UNIX que puedan suprimir objetos del directorio raz.
Mandato Imprimir objetos con autorizacin privada (PRTPVTAUT)

Puede utilizar el mandato Imprimir autorizacin privada (PRTPVTAUT) para imprimir un informe de todas las autorizaciones privadas correspondientes a los objetos de un tipo determinado de una biblioteca, carpeta o directorio especificados. El informe lista todos los objetos del tipo especificado y los usuarios autorizados de dichos objetos. Constituye una forma de comprobar las distintas fuentes de las autorizaciones de los objetos. Este mandato imprime tres informes de los objetos seleccionados. El primer informe (Informe completo) contiene todas las autorizaciones privadas de todos los objetos seleccionados. El segundo informe (Informe de cambios) contiene adiciones y cambios en las autorizaciones privadas de los objetos seleccionados, si previamente se ha ejecutado el mandato PRTPVTAUT en los objetos especificados de la biblioteca, carpeta o directorio especificados. Todo objeto nuevo, nuevas autorizaciones en objetos existentes o cambios en las autorizaciones existentes de los objetos existentes se listarn en el Informe de cambios. Si previamente no se ha ejecutado el mandato PRTPVTAUT para los objetos especificados en la biblioteca, carpeta o directorio especificados, no se crear ningn Informe de cambios. Si previamente se ha ejecutado el mandato, pero no se han efectuado cambios en las autorizaciones de los objetos, se imprimir el Informe de cambios, aunque no listar ningn objeto. El tercer informe (Informe de supresiones) contiene todas las supresiones de los usuarios con autorizaciones privadas de los objetos especificados, desde que se ejecut por ltima vez el mandato PRTPTVAUT. Todos los objetos suprimidos, o todos los usuarios que se hayan eliminado como usuarios con autorizaciones privadas, se listarn en el Informe de eliminaciones. Si previamente no se ha ejecutado el mandato PRTPTVAUT, no se crear ningn Informe de eliminaciones. Si previamente se ha ejecutado el mandato, pero no se han efectuado operaciones de supresin en los objetos, se imprimir el Informe de supresiones, aunque no listar ningn objeto. Restriccin: Deber tener la autorizacin especial *ALLOBJ para utilizar este mandato.
138
Ejemplos: Este mandato crea los informes completo, de cambios y de supresiones para todos los objetos de archivo de PAYROLLLIB:
PRTPVTAUT OBJTYPE(*FILE) LIB(PAYROLLLIB)
Este mandato crea los informes completo, de cambios y de supresiones para todos los objetos de archivo continuo del directorio garry:
PRTPVTAUT OBJTYPE(*STMF) DIR(/GARRY) SCHSUBDIR(*NO)
Este mandato crea los informes completo, de cambios y de supresiones para todos los objetos de archivo continuo de la estructura de subdirectorios que empieza en el directorio garry:
PRTPVTAUT OBJTYPE(*STMF) DIR(/GARRY) SCHSUBDIR(*YES)
Mandato Imprimir objetos con autorizaciones de uso pblico (PRTPUBAUT)

El mandato Imprimir objetos con autorizaciones de uso pblico (PRTPUBAUT) permite imprimir un informe de los objetos especificados que no posean la autorizacin de uso pblico de *EXCLUDE. En los objetos *PGM, solamente los programas que no posean una autorizacin de uso pblico de *EXCLUDE que pueda llamar un usuario (el programa es del dominio del usuario, o bien tiene un nivel de seguridad del sistema (valor del sistema QSECURITY) de 30 o inferior), se incluirn en el informe. Constituye una forma de comprobar los objetos que todos los usuarios del sistema estn autorizados a acceder. Este mandato imprimir dos informes. El primer informe (Informe completo) contendr todos los objetos especificados que no posean una autorizacin de uso pblico de *EXCLUDE. El segundo informe (Informe de cambios) contendr los objetos que ahora no tengan la autorizacin de uso pblico de *EXCLUDE, y que anteriormente tuvieran la autorizacin de uso pblico de *EXCLUDE o bien no existieran cuando se ejecutara previamente el mandato PRTPUBAUT. Si no se hubiera ejecutado previamente el mandato PRTPUBAUT para los objetos especificados y la biblioteca, carpeta o directorio, no se crear ningn Informe de cambios. Si se hubiese ejecutado previamente el mandato, pero ningn objeto adicional no tuviera la autorizacin de uso pblico de *EXCLUDE, se imprimir el Informe de cambios, aunque no listar ningn objeto. Restricciones: Deber tener la autorizacin especial de *ALLOBJ para utilizar este comando. Ejemplos: Este mandato crea los informes completo y de cambios para todos los objetos de archivo de la biblioteca GARRY que no tienen una autorizacin de uso pblico *EXCLUDE:
PRTPUBAUT OBJTYPE(*FILE) LIB(GARRY)
Este mandato crea los informes completo, de cambios y de supresiones para todos los objetos de archivo continuo de la estructura de subdirectorios que empieza en el directorio garry, que no tienen una autorizacin de uso pblico *EXCLUDE:
PRTPUBAUT OBJTYPE(*STMF) DIR(GARRY) SCHSUBDIR(*YES)
139
Restriccin del acceso al sistema de archivos QSYS.LIB

Puesto que el sistema de archivos raz se considera como el sistema de archivos base, el sistema de archivos QSYS.LIB constituye un subdirectorio dentro del directorio raz. Por consiguiente, cualquier usuario de PC que disponga de acceso al iSeries puede manipular los objetos almacenados en las bibliotecas del iSeries (el sistema de archivos QSYS.LIB) con acciones y mandatos de PC normales.Un usuario de PC puede, por ejemplo, arrastrar un objeto de QSYS.LIB (como la biblioteca con sus archivos de datos crticos) a la troceadora. Tal y como se ha explicado en Consejos de seguridad para los sistemas de archivos raz (/), QOpenSys y los definidos por el usuario en la pgina 135, el sistema fuerza todas las autorizaciones sobre objeto, tanto si son visibles para la interfaz como si no. Por consiguiente, un usuario no puede trocear (suprimir) un objeto a menos que el usuario tenga la autorizacin *OBJEXIST para el objeto. Sin embargo, si su iSeries depende de la seguridad de acceso de men en lugar de la seguridad de los objetos, el usuario del PC puede descubrir objetos del sistema de archivos QSYS.LIB disponibles para trocear. A medida que vaya ampliando las utilizaciones del sistema y los diferentes mtodos de acceso que puede proporcionar, ir descubriendo que la seguridad de acceso de men no es suficiente. En el Captulo 6. Utilizacin de la autorizacin sobre objetos para proteger la informacin en la pgina 59 se tratan las estrategias para proporcionar el control de acceso de men con la seguridad de objetos. Sin embargo, el iSeries tambin proporciona un modo sencillo para impedir el acceso al sistema de archivos QSYS.LIB a travs de la estructura de directorios del sistema de archivos raz.Puede utilizar la lista de autorizaciones de QPWFSERVER para controlar los usuarios que pueden acceder al sistema de archivos QSYS.LIB a travs del directorio raz. Cuando la autorizacin de un usuario a la lista de autorizaciones QPWFSERVER es *EXCLUDE, el usuario no puede entrar en el directorio QSYS.LIB desde la estructura del directorio raz. Si la autorizacin es *USE, el usuario puede entrar en el directorio. Cuando el usuario dispone de la autorizacin para entrar en el directorio, la autorizacin normal de objeto se aplica a todas las acciones que intente llevar a cabo en un objeto del sistema de archivos QSYS.LIB. En otras palabras, la autorizacin de la lista de autorizaciones QPWFSERVER acta como una puerta al sistema de archivos QSYS.LIB completo. Para el usuario con la autorizacin *EXCLUDE, la puerta est bloqueada. Para el usuario con la autorizacin *USE (o cualquier autorizacin superior), la puerta est abierta. En la mayor parte de las situaciones, los usuarios no necesitan utilizar una interfaz de directorio para acceder a los objetos del sistema de archivos QSYS.LIB. Probablemente, quiz desee establecer la autorizacin de uso pblico de la lista de autorizaciones QPWFSERVER para *EXCLUDE. Recuerde que la autorizacin de la lista de autorizaciones abre o cierra la puerta de todas las bibliotecas contenidas en el sistema de archivos QSYS.LIB, incluyendo las bibliotecas de usuario. Si algn usuario pone objeciones a esta exclusin, puede evaluar sus requisitos individualmente. Si lo considera necesario, puede autorizar explcitamente a un usuario individual a la lista de autorizaciones. Sin embargo, debe asegurarse de que el usuario tenga la autorizacin adecuada para los objetos del sistema de archivos QSYS.LIB. De lo contrario, podr suprimir objetos o bibliotecas enteras involuntariamente.
140
Notas: 1. Cuando se entrega el sistema, la autorizacin de uso pblico para la lista de autorizaciones QPWFSERVER es *USE. 2. Si autoriza a un usuario individual de forma explcita la lista de autorizaciones controla el acceso solamente con el servidor de archivos Client Access, el servidor de archivos NetServer y el servidor de archivos entre iSeries. Ello no evitar el acceso a los mismos directorios desde FTP, ODBC u otras redes.
Seguridad de los directorios

Para acceder a un objeto del sistema de archivos raz, debe leer la va de acceso completa a dicho objeto. Para buscar un directorio, debe disponer de una autorizacin *X (*OBJOPR y *EXECUTE) para dicho directorio. Suponga, por ejemplo, que desea acceder al objeto siguiente:
/companya/customers/custfile.dat
Debe tener autorizacin *X para el directorio companya y para el directorio customers. Con el sistema de archivos raz, puede crear un enlace simblico para un objeto. Un enlace simblico es un seudnimo para el nombre de la va de acceso. Generalmente, es ms corto y ms fcil de recordar que el nombre de la va de acceso completa. Sin embargo, un enlace simblico no crea una va de acceso fsica diferente para el objeto. El usuario contina necesitando la autorizacin *X para cada directorio y subdirectorio de la va de acceso fsica al objeto. Para los objetos del sistema de archivos raz, puede utilizar la seguridad de directorios del mismo modo que utilizara la seguridad de bibliotecas en el sistema de archivos QSYS.LIB. Por ejemplo, puede establecer la autorizacin de uso pblico de un directorio para *EXCLUDE e impedir as que los usuarios pblicos puedan acceder a los objetos del rbol.
Seguridad para nuevos objetos

Al crear un objeto nuevo en el sistema de archivos raz, la interfaz que utilice para crearlo determinar sus autorizaciones. Por ejemplo, si utiliza el mandato CRTDIR y sus valores por omisin, el nuevo directorio hereda todas las caractersticas de autorizacin de su directorio padre, incluidas las autorizaciones privadas, la autorizacin de grupo primario y la asociacin de lista de autorizaciones. Los apartados siguientes describen cmo se determinan las autorizaciones para cada tipo de interfaz. La autorizacin procede del directorio padre inmediato, no de los directorios superiores del rbol. Por consiguiente, como administrador de seguridad, necesita ver la autorizacin que asigna a los directorios de una jerarqua desde dos perspectivas: v Cmo influye la autorizacin en el acceso a los objetos del rbol (por ejemplo, autorizacin de biblioteca). v Cmo influye la autorizacin en los objetos que se acaban de crear (por ejemplo, el valor CRTAUT para bibliotecas). Recomendacin: Puede interesarle ofrecer a los usuarios que trabajen en el sistema de archivos integrado un directorio inicial (por ejemplo, /home/usrxxx) y luego establecer la seguridad de forma
141
apropiada (por ejemplo como PUBLIC *EXCLUDE). Todos los directorios que cree el usuario bajo su directorio inicial, heredarn las autorizaciones. A continuacin se muestran algunas descripciones de la herencia de autorizacin para interfaces diferentes:
Utilizacin del mandato Crear directorio de iSeries 400

Al crear un nuevo subdirectorio utilizando el mandato CRTDIR, existen dos opciones para especificar la autorizacin: v Puede especificar la autorizacin de uso pblico (autorizacin sobre datos, autorizacin sobre objetos o ambas). v Puede especificar *INDIR para la autorizacin sobre datos, la autorizacin sobre objetos o ambas. Al especificar *INDIR para la autorizacin sobre datos y la autorizacin sobre objetos, el sistema hace una copia exacta de toda la informacin sobre autorizaciones del directorio padre en el nuevo objeto, incluyendo la lista de autorizaciones, el grupo primario, la autorizacin de uso pblico y las autorizaciones privadas. (El sistema no copia la autorizacin privada que tiene el perfil QSYS o el perfil QSECOFR para el objeto).
Creacin de un directorio con una API

Al crear un directorio utilizando la API mkdir(), especifica las autorizaciones sobre datos para el propietario y el grupo primario y el pblico (utilizando la correlacin de autorizacin de *R, *W y *X). El sistema utiliza la informacin del directorio padre para establecer las autorizaciones sobre objetos para el propietario, el grupo primario y el pblico. Puesto que los sistemas operativos de tipo UNIX no disponen del concepto de autorizaciones sobre objeto, la API mkdir() no ofrece soporte para especificar autorizaciones sobre objeto. Si desea autorizaciones sobre objeto diferentes, puede utilizar el mandato de iSeries CHGAUT. Sin embargo, al eliminar algunas autorizaciones sobre objeto, la aplicacin de tipo UNIX puede no funcionar como espera.
Creacin de un archivo continuo con las API open() o creat()

Cuando utilice la API creat() para crear un archivo continuo, puede especificar las autorizaciones sobre datos para el propietario, el grupo primario y el pblico (utilizando las autorizaciones de tipo UNIX *R, *W y *X). El sistema utiliza la informacin del directorio padre para establecer las autorizaciones sobre objetos para el propietario, el grupo primario y el pblico. Tambin puede especificar estas autorizaciones al utilizar la API open() para crear un archivo continuo. Alternativamente, cuando utilice la API open() puede especificar que el objeto herede todas las autorizaciones del directorio padre. Esto se denomina modalidad de herencia. Al especificar la modalidad de herencia, el sistema crea una copia exacta para las autorizaciones padre, incluyendo la lista de autorizaciones, el grupo primario, la autorizacin pblica y las autorizaciones privadas. Esta funcin es similar a especificar *INDIR en el mandato CRTDIR.
Creacin de un objeto utilizando una interfaz de PC

Al utilizar una aplicacin de PC para crear un objeto en el sistema de archivos raz, el sistema hereda automticamente todas las autorizaciones del directorio padre. Incluye la lista de autorizaciones, el grupo primario, la autorizacin de uso
142
pblico y las autorizaciones privadas. Las aplicaciones de PC no equivalen en absoluto a especificar la autorizacin cuando se crea un objeto.
Consejos de seguridad para los sistemas de archivos QLANSrv y QNetWare

La finalidad de los sistemas de archivos QLANSrv y QNetWare es proporcionar la posibilidad de que los trabajos de iSeries accedan a los datos de un servidor de red.Un trabajo de iSeries utiliza el sistema de archivos QLANSrv para que un cliente solicite datos al programa LAN Server.El programa LAN Server puede estar ejecutndose en un servidor PC integrado en el mismo sistema iSeries, o bien puede estar ejecutndose en un servidor separado fsicamente en la red. Nota: El sistema de archivos QLANSrv no est soportado despus de la V4R3. Del mismo modo, un trabajo de iSeries utiliza el sistema de archivos QNetWare para que un cliente solicite datos al programa Integracin NetWare, que puede estar ejecutndose en un Integrated xSeries Server for iSeries o en otro servidor. Ni el sistema de archivos QLANSrv ni el sistema de archivos QNetWare almacenan o mantienen los datos realmente. Proporcionan la funcin de cliente para permitir que los trabajos de iSeries accedan a los datos que almacena y mantiene un servidor.Por consiguiente, el programa servidor (LAN Server o Integracin NetWare) es el responsable de proteger los datos. Como administrador de seguridad de iSeries, deber tener en cuenta dos cosas al ejecutarse un programa servidor en un Servidor PC integrado o Integrated xSeries Server for iSeries que forme parte de su sistema: v En primer lugar, debe saber quin es el responsable de la seguridad relacionada con el servidor. Tiene un administrador para el servidor y, en caso afirmativo, es esa persona responsable de la seguridad? O, considera que los datos forman parte de la serie de aplicaciones de iSeries y, por consiguiente, son su responsabilidad? Asegrese de que no se ignore la seguridad del servidor slo porque no se han definido correctamente las funciones administrativas. v En segundo lugar, si su responsabilidad respecto a la seguridad en ms amplia que en las aplicaciones tradicionales de iSeries, ser necesario comprender cmo funciona la seguridad del servidor. En las sugerencias siguientes se toma el programa LAN Server como punto de partida. Otros programas de servidor tienen consideraciones de seguridad similares. Los usuarios de LAN Server no suponen una amenaza directa para su sistema. No pueden acceder a los datos situados fuera del sistema de archivos QLANSrv desde el programa LAN Server. Debe comprender, as como el administrador de la LAN, que la recuperacin de autorizaciones y de usuarios de LAN Server es diferente de la recuperacin de las autorizaciones y los usuarios de iSeries.Debe elaborar planes para asegurar que la informacin de seguridad de su LAN Server se guarda correctamente.
Consejos de seguridad para el sistema de archivos QFileSvr.400

Con el sistema de archivos QFileSvr.400, un usuario (USERX) de un sistema iSeries (SYSTEMA) puede acceder a los datos de otro sistema iSeries conectado (SYSTEMB).El USERX tiene una interfaz que es exactamente igual a la interfaz de Client Access. El iSeries remoto (SYSTEMB) se muestra como un directorio con todos sus sistemas de archivos y subdirectorios.
143
Cuando USERX intenta acceder a SYSTEMB con esta interfaz, SYSTEMA enva el nombre de perfil de usuario USERX y la contrasea cifrada para SYSTEMB. El mismo perfil de usuario y la misma contrasea deben existir en SYSTEMB o SYSTEMB rechaza la peticin. Si SYSTEMB acepta la peticin, USERX se muestra a SYSTEMB como cualquier otro usuario de Client Access. Las mismas normas de comprobacin de autorizacin se aplican a todas las acciones que intente USERX. Como administrador de seguridad, debe saber que el sistema de archivos QFileSvr.400 representa otra puerta posible al sistema. No puede asumir que est limitando a sus usuarios remotos a una conexin interactiva con paso a travs de estacin de pantalla. Si se est ejecutando el subsistema QSERVER y el sistema est conectado a otro sistema iSeries, los usuarios remotos pueden acceder al sistema como si estuvieran en un PC local ejecutando Client Access.Es ms que probable que su sistema disponga de una conexin que precise que se ejecute el subsistema QSERVER. Este sera otro de los motivos por los que un esquema de autorizacin sobre objeto resulta esencial.
Consejos de seguridad para el sistema de archivos de red

El sistema de archivos de red (NFS) proporciona acceso a sistemas con implementaciones NFS. NFS es un mtodo estndar del mercado para compartir informacin entre usuarios de los sistemas de la red. La mayor parte de los sistemas operativos importantes (incluyendo sistemas operativos de PC) proporciona NFS. Para sistemas UNIX, NFS es el mtodo principal para acceder a los datos. iSeries puede actuar como un cliente o como un servidor NFS. Si es un administrador de seguridad de un sistema iSeries que acta como un servidor NFS, necesita comprender y gestionar los aspectos de seguridad de NFS.A continuacin se presentan algunas sugerencias y consideraciones: v Debe iniciar explcitamente la funcin de servidor NFS utilizando el mandato STRNFSSVR. Controle quin est autorizado a utilizar este mandato. v Para que un directorio o un objeto estn disponibles para los clientes NFS debe exportarlos. Por consiguiente, dispone de un control especfico a travs del cual parte de su sistema estar disponible a los clientes NFS de la red. v Al exportar, puede especificar los clientes que deben disponer de acceso a los objetos. La identificacin de un cliente se lleva a cabo mediante el nombre del sistema o la direccin IP. Un cliente puede ser un PC individual o un sistema iSeries o UNIX completo. En terminologa NFS, el cliente (direccin IP) se denomina una mquina. v Al exportar, puede especificar el acceso de slo lectura o de lectura/grabacin para cada mquina que tenga acceso a un directorio u objeto exportado. En la mayora de los casos, quiz desee proporcionar acceso de slo lectura. v El NFS no proporciona proteccin de contrasea. Su diseo y finalidad es compartir datos entre una comunidad de sistemas autorizados. Cuando un usuario solicita acceso, el servidor recibe el uid del usuario. A continuacin se incluyen algunas consideraciones acerca del uid: El iSeries intenta localizar un perfil de usuario con el mismo uid.Si encuentra un uid que coincide, utiliza las credenciales del perfil de usuario. Las credenciales son un trmino NFS para describir la utilizacin de la autorizacin de un usuario. Es similar al intercambio de perfiles de otras aplicaciones iSeries.
144
Al exportar un directorio u objeto, puede especificar si se permitir el acceso mediante un perfil con autorizacin raz. El servidor NFS de iSeries compara la autorizacin raz con la autorizacin especial de *ALLOBJ. Si especifica que no permitir la autorizacin raz, un usuario NFS con un uid que se correlacione con un perfil de usuario con autorizacin especial *ALLOBJ no podr acceder al objeto que tenga ese perfil. En su lugar, si se permite el acceso annimo, el peticionario se correlacionar con el perfil annimo. Al exportar un directorio u objeto, puede especificar si se permitirn peticiones annimas. Una peticin annima es una peticin con un uid que no coincide con ningn uid del sistema. Si elige permitir peticiones annimas, el sistema correlaciona el usuario annimo con el perfil de usuario QNFSANON suministrado por IBM. Este perfil de usuario no dispone de ninguna autorizacin especial o explcita. (Si lo desea, en la exportacin, puede especificar un perfil de usuario diferente para las peticiones annimas). v Cuando el iSeries participa en una red NFS (o en cualquier red con sistemas UNIX que dependan de los uid), probablemente necesite gestionar sus propios uid en lugar de permitir que el sistema los asigne automticamente. Debe coordinar los uid con otros sistemas de la red. Quiz se d cuenta de que debe cambiar los uid (incluso para perfiles de usuario suministrados por IBM) para disponer de compatibilidad con otros sistemas de la red. A partir de la V3R7, existe un programa disponible para simplificar el cambio de uid para un perfil de usuario. (Al cambiar el uid para un perfil de usuario, tambin debe cambiar el uid de todos los objetos que pertenecen al perfil, tanto en el directorio raz como en el directorio QOpenSrv.) El programa QSYCHGID cambia automticamente el uid tanto en el perfil de usuario como en los objetos pertenecientes al mismo. Para obtener informacin sobre cmo utilizar este programa, consulte el manual iSeries 400 System API Reference.
145
146
Captulo 13. Consejos para la seguridad de las comunicaciones APPC

Cuando el sistema forma parte de una red conjuntamente con otros sistemas, es como si se abrieran nuevas puertas para acceder a l. Como administrador de seguridad, debe tener presentes las opciones que puede utilizar para controlar la entrada en el sistema en un entorno APPC. Las comunicaciones avanzadas programa a programa (APPC) son una forma de comunicacin entre los sistemas, incluidos los PC. El paso a travs de estacin de pantalla, la Gestin de datos distribuidos y Client Access pueden utilizar las comunicaciones APPC. Los temas que se tratan a continuacin proporcionan informacin bsica acerca de cmo funcionan las comunicaciones APPC y cmo se puede establecer la seguridad idnea. Estos temas se concentran principalmente en los elementos relativos a la seguridad de una configuracin APPC. Para adaptar este ejemplo a su caso, tendr que trabajar conjuntamente con quienes gestionan la red de comunicaciones y quizs tambin con los proveedores de aplicaciones. Utilice esta informacin como punto de partida para comprender las cuestiones de seguridad y las opciones disponibles para APPC. La seguridad nunca es gratuita. Algunas sugerencias para facilitar la seguridad de la red pueden convertir la administracin de la red en una tarea ms compleja. Por ejemplo, en este libro no se hace hincapi en APPN (Redes avanzadas de igual a igual), ya que sin APPN la seguridad es ms fcil de comprender y gestionar. No obstante, sin APPN, el administrador de la red debe crear manualmente la informacin de configuracin que APPN crea de forma automtica.
Los PC tambin usan comunicaciones Una gran cantidad de mtodos para conectar los PC al iSeries dependen de las comunicaciones, como APPC o TCP/IP.Cuando lea los temas siguientes, asegrese de que tiene en cuenta las cuestiones de seguridad de la conexin a otros sistemas y a los PC. Cuando disee la proteccin de la red, asegrese de que no afecta negativamente a los PC que estn conectados al sistema.
Terminologa de APPC
APPC proporciona la posibilidad de que un usuario de un sistema trabaje en otro sistema. El sistema desde el que se inicia la peticin recibe uno de estos nombres: v Sistema (de) origen v Sistema local v Cliente El sistema que recibe la peticin se denomina: v Sistema (de) destino v Sistema remoto v Servidor
147
Elementos bsicos de las comunicaciones APPC

Desde el punto de vista del administrador de seguridad, deben darse las condiciones que se indican a continuacin para que un usuario de un sistema (SISTEMA1) pueda trabajar en otro sistema (SISTEMA2): v El sistema de origen (SISTEMA1) debe proporcionar una va de acceso al sistema de destino (SISTEMA2). Esta va recibe el nombre de sesin APPC. v El sistema destino debe identificar al usuario y asociarlo con un perfil de usuario.El sistema destino debe soportar el algoritmo de cifrado del sistema origen (consulte Niveles de contrasea en la pgina 26 para obtener ms informacin). v El sistema de destino debe iniciar un trabajo para el usuario con el entorno adecuado (valores de gestin de trabajo). En los temas siguientes se tratan estos elementos y de qu manera estn relacionados con la seguridad. El administrador de seguridad del sistema de destino tiene la responsabilidad principal de garantizar que los usuarios de APPC no violan la seguridad. Sin embargo, si los administradores de seguridad de ambos sistemas trabajan conjuntamente, la gestin de la seguridad de APPC es una tarea mucho ms sencilla.
| | | |
Conceptos bsicos de una sesin APPC

En un entorno APPC, cuando un usuario o una aplicacin de un sistema (como SISTEMA1 en la Figura 34) solicita acceso a otro sistema (SISTEMA2), ambos sistemas establecen una sesin. Para establecer la sesin, los sistemas deben enlazar dos descripciones de dispositivo APPC coincidentes. El parmetro de nombre de ubicacin remota (RMTLOCNAME) de la descripcin de dispositivo del SISTEMA1 debe coincidir con el parmetro de ubicacin local (LCLLOCNAME) de la descripcin de dispositivo del SISTEMA2 y viceversa.
Descripcin dispositivo APPC en SYSTEMA RMTLOCNAME: SYSTEMB LCLLOCNAME: SYSTEMA LOCPWD: X#@%6! SECURELOC: *NO Descripcin dispositivo APPC en SYSTEMB LCLLOCNAME: SYSTEMB RMTLOCNAME: SYSTEMA LOCPWD: X#@%6! SECURELOC: *YES
Figura 34. Parmetros de descripcin de dispositivo APPC
Para que dos sistemas establezcan una sesin APPC, las contraseas de ubicacin de las descripciones de dispositivo APPC en SISTEMA1 y SISTEMA2 deben ser idnticas. En ambas debe especificarse *NONE o un mismo valor. Si las contraseas tienen un valor distinto de *NONE, se almacenan y se transmiten en formato cifrado. Si coinciden, los sistemas establecen una sesin. Si no coinciden, la peticin del usuario se rechaza. La especificacin de contraseas de ubicacin en los sistemas recibe el nombre de enlace protegido. Nota: No todos los sistemas proporcionan soporte para la funcin de enlace protegido.
148
Consejos para restringir las sesiones APPC

Como administrador de seguridad de un sistema de origen, puede utilizar la autorizacin sobre objeto para controlar quin intenta acceder a otros sistemas. Establezca la autorizacin de uso pblico para las descripciones de dispositivo APPC en *EXCLUDE y otorgue autorizacin *CHANGE a usuarios determinados. Utilice el valor del sistema QLMTSECOFR para impedir que los usuarios que tengan autorizacin especial *ALLOBJ utilicen las comunicaciones APPC. Como administrador de seguridad de un sistema de destino, tambin debe utilizar la autorizacin sobre los dispositivos APPC para impedir que los usuarios inicien una sesin APPC en su sistema. Sin embargo, debe saber qu ID de usuario intentar acceder a la descripcin de dispositivo APPC. En el apartado Cmo un usuario de APPC obtiene acceso al sistema destino en la pgina 150 se describe cmo el iSeries asocia un ID de usuario con una peticin de sesin APPC. Nota: Puede utilizar el mandato Imprimir objetos con autorizacin de uso pblico (PRTPUBAUT *DEVD) y el mandato Imprimir autorizaciones privadas (PRTPVTAUT *DEVD) para averiguar quin posee autorizacin sobre las descripciones de dispositivo de su sistema. Cuando su sistema utiliza APPN, crea automticamente un dispositivo APPC nuevo si no hay ningn dispositivo disponible para la ruta elegida por el sistema. Un mtodo para restringir el acceso a los dispositivos APPC de un sistema que utiliza APPN es crear una lista de autorizaciones. La lista de autorizaciones contiene la lista de los usuarios que deben tener autorizacin para los dispositivos APPC. Utilice el mandato Cambiar valor por omisin de mandato (CHGCMDDFT) para cambiar el mandato CRTDEVAPPC. Para el parmetro de autorizacin (AUT) del mandato CRTDEVAPPC, establezca el valor por omisin para la lista de autorizaciones que ha creado. Nota: Si el sistema utiliza un idioma que no es el ingls, debe cambiar el valor por omisin del mandato en la biblioteca QSYSxxxx para cada idioma nacional que se utilice en el sistema. Utilice el parmetro de contrasea de ubicacin (LOCPWD) en la descripcin de dispositivo APPC para validar la identidad de otro sistema que est solicitando una sesin en su sistema (para un usuario o una aplicacin). La contrasea de ubicacin puede ayudarle a detectar un sistema impostor. Cuando utilice contraseas de ubicacin, debe trabajar en coordinacin con los administradores de seguridad de los dems sistemas de la red. Tambin debe controlar quin puede crear o cambiar las descripciones de dispositivo APPC y las listas de configuraciones. El sistema requiere la autorizacin especial *IOSYSCFG para utilizar los mandatos que trabajan con listas de configuraciones y dispositivos APPC. Nota: Cuando utiliza APPN, las contraseas de ubicacin se almacenan en la lista de configuracin QAPPNRMT en lugar de en las descripciones de dispositivo.
149
Cmo un usuario de APPC obtiene acceso al sistema destino

Cuando los sistemas establecen la sesin APPC, crean una va de acceso para que el usuario solicitante llegue a la puerta del sistema de destino. Algunos otros elementos determinan lo que debe hacer el usuario para conseguir la entrada al otro sistema. En los temas siguientes se describen los elementos que determinan cmo un usuario de APPC obtiene el acceso a un sistema de destino.
Mtodos que utiliza el sistema para enviar informacin sobre un usuario

La arquitectura APPC proporciona tres mtodos para enviar informacin de seguridad acerca de un usuario desde el sistema de origen al sistema de destino. Estos mtodos reciben el nombre de valores de seguridad con arquitectura. En la Tabla 18 se muestran estos mtodos: Nota: La publicacin APPC Programming proporciona ms informacin acerca de los valores de seguridad con arquitectura.
Tabla 18. Valores de seguridad en la arquitectura APPC Valor de seguridad con ID de usuario enviado al arquitectura sistema de destino
NONE SAME Programa Notas: 1. El sistema de origen enva el ID de usuario si el sistema de destino tiene el valor SECURELOC(*YES) o SECURELOC(*VFYENCPWD). 2. El usuario no entra una contrasea en la peticin porque el sistema de origen ya ha verificado la contrasea. En el caso de SECURELOC(*YES) y de SECURELOC(*NO), el sistema de origen no enva la contrasea. En el caso de SECURELOC(*VFYENCPWD), el sistema de origen recupera la contrasea cifrada almacenada y la enva (en formato cifrado). 3. En la V3R1 y en las versiones posteriores, el sistema enva las contraseas cifradas si el sistema de origen y el sistema de destino ofrecen soporte para el cifrado de contraseas. De lo contrario, la contrasea no se cifra. No S1 S Contrasea enviada al sistema de destino No Vea la nota 2. Yes3
La aplicacin que el usuario solicita determina el valor de seguridad con arquitectura. Por ejemplo, SNADS siempre utiliza SECURITY(NONE). DDM utiliza SECURITY(SAME). Con el paso a travs de estacin de pantalla, el usuario especifica el valor de seguridad utilizando parmetros del mandato STRPASTHR. En todos los casos, el sistema de destino decide si se acepta una peticin con el valor de seguridad que est especificado en el sistema de origen. En algunos casos, el sistema de destino puede rechazar totalmente la peticin. En otros casos, el sistema de destino puede forzar la utilizacin de otro valor de seguridad. Por ejemplo, cuando un usuario especifica un ID de usuario y una contrasea en el mandato STRPASTHR, la peticin utiliza SECURITY(PGM). Sin embargo, si el valor del sistema QRMTSIGN es *FRCSIGNON en el sistema de destino, el usuario sigue visualizando la pantalla Inicio de sesin. Con el valor *FRCSIGNON, el sistema siempre utiliza SECURITY(NONE), que es lo mismo que no entrar ID de usuario ni contrasea en el mandato STRPASTHR.
150
Notas: 1. Los sistemas de origen y de destino negocian el valor de seguridad antes de enviar datos. En el caso en que el sistema de destino especifique SECURELOC(*NO) y la peticin sea SECURITY(SAME), por ejemplo, el sistema de destino indicar al sistema de origen que se utilizar SECURITY(NONE). El sistema de origen no enva el ID de usuario. 2. A partir de la V4R2, el sistema de destino rechaza una peticin de sesin una vez que ha caducado la contrasea del usuario en el sistema de destino. Esto slo es aplicable a las peticiones de conexin que envan una contrasea, lo que incluye lo siguiente: v Peticiones de sesin del tipo SECURITY(PROGRAM). v Peticiones de sesin del tipo SECURITY(SAME) cuando el valor de SECURELOC es *VFYENCPWD.
Opciones para repartir la responsabilidad de la seguridad en una red

Cuando su sistema participa en una red, debe decidir si confiar en los otros sistemas para la validacin de la identidad de un usuario que intente entrar en su sistema. Confiar en el SISTEMA1 para asegurarse de que USUARIO1 es realmente USUARIO1 (o de que QSECOFR es, en efecto, QSECOFR)? O exigir que el usuario proporcione de nuevo el ID de usuario y la contrasea? El parmetro de proteger ubicacin (SECURELOC) de la descripcin de dispositivo APPC en el sistema de destino indica si el sistema de origen es una ubicacin protegida (en la que se confiar). Por ejemplo, en la Figura 34 en la pgina 148, el SISTEMA2 confa en el SISTEMA1 para la validacin de las identidades de los usuarios (el parmetro SECURELOC de la descripcin de dispositivo en SISTEMA2 es *YES). El SISTEMA1 no confa en el SISTEMA2 para validar las identidades de los usuarios. Cuando ambos sistemas estn ejecutando un release que soporta *VFYENCPWD (V3R2 o posterior), SECURELOC(*VFYENCPWD) proporciona proteccin adicional cuando las aplicaciones utilizan SECURITY(SAME). Aunque el solicitante no entre una contrasea en la peticin, el sistema de origen recupera la contrasea del usuario y la enva con la peticin. Para que sta sea satisfactoria, el usuario debe tener el mismo ID de usuario y la misma contrasea en ambos sistemas. Cuando el sistema de destino especifica SECURELOC(*VFYENCPWD) y el sistema de origen no da soporte a este valor, el sistema de destino manejar la peticin como SECURITY(NONE). En la Tabla 19 se ilustra el funcionamiento conjunto del valor de seguridad con arquitectura y el valor SECURELOC:
Tabla 19. Funcionamiento conjunto del valor de seguridad de APPC y del valor SECURELOC
Sistema de origen Valor de seguridad con arquitectura NONE Valor SECURELOC Perfil de usuario para trabajo Cualquiera Usuario por omisin1 Sistema de destino
151
Tabla 19. Funcionamiento conjunto del valor de seguridad de APPC y del valor SECURELOC (continuacin)
Sistema de origen Valor de seguridad con arquitectura SAME Valor SECURELOC Perfil de usuario para trabajo *NO *YES *VFYENCPWD Usuario por omisin1 El mismo nombre de perfil de usuario del solicitante en el sistema origen El mismo nombre de perfil de usuario del solicitante del sistema de origen. El usuario debe tener de la misma contrasea en ambos sistemas. Los perfiles de usuario que se han especificado en la solicitud del sistema origen. Sistema de destino
Programa
Cualquiera
Notas: 1. El usuario por omisin lo determina la entrada de comunicaciones de la descripcin de subsistema. Se describe en Cmo asigna el sistema de destino un perfil de usuario para el trabajo.
Cmo asigna el sistema de destino un perfil de usuario para el trabajo

Cuando un usuario solicita un trabajo APPC que est en otro sistema, la peticin tiene un nombre de modalidad asociado. Dicho nombre puede provenir de la peticin del usuario o puede ser un valor por omisin de los atributos de red del sistema de origen. El sistema de destino utiliza el nombre de modalidad y el nombre de dispositivo APPC para determinar cmo se ejecutar el trabajo. El sistema de destino busca en los subsistemas activos una entrada de comunicaciones que sea la ms adecuada para el nombre de dispositivo APPC y el nombre de modalidad. La entrada de comunicaciones especifica el perfil de usuario que el sistema utilizar para las peticiones SECURITY(NONE). A continuacin se facilita un ejemplo de una entrada de comunicaciones en una descripcin de subsistema.
Visualizar entradas de comunicaciones Descripcin subsistema: Dispositivo *ALL *ALL Modalidad *ANY QPCSUPP QCMN Descripcin de trabajo *USRPRF *USRPRF Estado: ACTIVO Usuario omisin *SYS *NONE Mx activos *NOMAX *NOMAX
Biblioteca
En la Tabla 20 se muestran los valores posibles para el parmetro de usuario por omisin en una entrada de comunicaciones:
Tabla 20. Valores posibles para el parmetro de usuario por omisin Valor Resultado
*NONE No hay ningn usuario por omisin disponible. Si el sistema de origen no proporciona un ID de usuario en la peticin, el trabajo no se ejecutar.
152
Tabla 20. Valores posibles para el parmetro de usuario por omisin (continuacin) Valor Resultado
*SYS nombre de usuario Solamente se ejecutarn los programas proporcionados por IBM. No se ejecutar ninguna aplicacin de usuario. Si el sistema de origen no enva un ID de usuario, el trabajo se ejecuta bajo este perfil de usuario.
Puede utilizar el mandato Imprimir descripcin de subsistema (PRTSBSDAUT) para imprimir la lista de todos los subsistemas que tengan entradas de comunicaciones con un perfil de usuario por omisin.
Opciones para el paso a travs de estacin de pantalla

El paso a travs de estacin de pantalla es un ejemplo de aplicacin que utiliza comunicaciones APPC. Puede utilizar el paso a travs de estacin de pantalla para iniciar la sesin en otro sistema que est conectado al suyo a travs de una red. La Tabla 21 muestra ejemplos de peticiones de paso a travs (mandato STRPASTHR) y cmo las maneja el sistema destino. Para el paso a travs de estacin de pantalla, el sistema utiliza los elementos bsicos de las comunicaciones APPC y el valor del sistema de inicio de sesin remoto (QRMTSIGN). Nota: Las peticiones de paso a travs de estacin de pantalla ya no se direccionan a travs de los subsistemas QCMN o QBASE. A partir de la V4R1, se direccionan a travs del subsistema QSYSWRK. Antes de la V4R1 se presupona que, al no haber iniciado los subsistemas QCMD o QBASE, el paso a travs de estacin de pantalla no funcionara. Esto ya no es verdad. Puede forzar el paso a travs de estacin de pantalla para que vaya a travs de QCMN (o QBASE, si est activo) estableciendo el valor del sistema QPASTHRSVR en 0.
Tabla 21. Ejemplo de peticiones de inicio de sesin mediante paso a travs
Valores del mandato STRPASTHR ID de usuario *NONE Contrasea *NONE Valor SECURELOC Cualquiera Sistema de destino Valor QRMTSIGN Cualquiera Resultado El usuario debe iniciar la sesin en el sistema de destino. La peticin falla.
Nombre de perfil de No entrada usuario
Cualquiera
Cualquiera
153
Tabla 21. Ejemplo de peticiones de inicio de sesin mediante paso a travs (continuacin)
Valores del mandato STRPASTHR ID de usuario *CURRENT Contrasea No entrada Valor SECURELOC *NO *YES Sistema de destino Valor QRMTSIGN Cualquiera *SAMEPRF Resultado La peticin falla. Un trabajo interactivo se inicia con el mismo nombre de perfil de usuario que el perfil de usuario del sistema origen. No se transfiere ninguna contrasea al sistema remoto. El nombre de perfil de usuario debe existir en el sistema de destino. El usuario debe iniciar la sesin en el sistema de destino. Un trabajo interactivo se inicia con el mismo nombre de perfil de usuario que el perfil de usuario del sistema origen. El sistema de origen recupera la contrasea del usuario y la enva al sistema remoto. El nombre de perfil de usuario debe existir en el sistema de destino. El usuario debe iniciar la sesin en el sistema de destino. Un trabajo interactivo se inicia con el mismo nombre de perfil de usuario que el perfil de usuario del sistema origen. La contrasea se enva al sistema remoto. El nombre de perfil de usuario debe existir en el sistema de destino. El usuario debe iniciar la sesin en el sistema de destino.
*VERIFY
*FRCSIGNON
*VFYENCPWD
*SAMEPRF
*VERIFY
*FRCSIGNON
Entrada *CURRENT (o el nombre del perfil de usuario actual para el trabajo)
Cualquiera
*SAMEPRF
*VERIFY
*FRCSIGNON
154
Tabla 21. Ejemplo de peticiones de inicio de sesin mediante paso a travs (continuacin)
Valores del mandato STRPASTHR ID de usuario Contrasea Valor SECURELOC Cualquiera Sistema de destino Valor QRMTSIGN *SAMEPRF *VERIFY Resultado La peticin falla. Un trabajo interactivo se inicia con el mismo nombre de perfil de usuario que el perfil de usuario del sistema origen. La contrasea se enva al sistema remoto. El nombre de perfil de usuario debe existir en el sistema de destino. Un trabajo interactivo se inicia con el nombre especificado de perfil de usuario. La contrasea se enva al sistema destino. El nombre de perfil de usuario debe existir en el sistema de destino.
Nombre de perfil de Entrada usuario (distinto del nombre de perfil de usuario actual para el trabajo)
*FRCSIGNON
Consejos para evitar asignaciones inesperadas de dispositivos

Cuando se produce una anomala en un dispositivo activo, el sistema intenta su recuperacin. Bajo ciertas circunstancias, cuando la conexin se interrumpe otro usuario puede restablecer accidentalmente la sesin que ha sufrido la anomala. Por ejemplo, suponga que el USUARIO1 ha apagado una estacin de trabajo sin finalizar la sesin. El USUARIO2 podra encender la estacin de trabajo y reiniciar la sesin del USUARIO1 sin conectarse. Para evitar esta posibilidad, establezca el valor del sistema de Accin de error de E/S de dispositivo (QDEVRCYACN) en *DSCMSG. Cuando se produce una anomala en un dispositivo, el sistema finalizar el trabajo del usuario.
Consejos para el control de los trabajos por lotes y los mandatos remotos
Hay varias opciones disponibles para ayudarle a controlar qu trabajos y mandatos remotos se pueden ejecutar en el sistema, incluidos los siguientes: v Si su sistema utiliza DDM, puede limitar el acceso a los archivos DDM para impedir que los usuarios utilicen el mandato Someter mandato remoto (SBMRMTCMD) desde otro sistema. Para utilizar el mandato SBMRMTCMD, el usuario debe poder abrir un archivo DDM. Tambin es necesario restringir la capacidad de crear archivos DDM. v Puede especificar un programa de salida para el valor del sistema Acceso a peticin DDM (DDMACC). En el programa de salida puede evaluar todas las peticiones DDM antes de permitirlas. v Puede utilizar el atributo de red Accin de trabajo de red (JOBACN) para impedir que se sometan trabajos de red o que se ejecuten automticamente. v Puede especificar explcitamente qu peticiones de programa se pueden ejecutar en un entorno de comunicaciones eliminando la entrada de direccionamiento PGMEVOKE de las descripciones de subsistemas. La entrada de
155
direccionamiento PGMEVOKE permite al solicitante especificar el programa que se ejecuta. Cuando se elimina esta entrada de direccionamiento de las descripciones de subsistemas (por ejemplo, de la descripcin del subsistema QCMN), debe aadir entradas de direccionamiento para las peticiones de comunicaciones que deben ejecutarse satisfactoriamente. En la Peticiones de TPN con arquitectura en la pgina 128 se enumeran los nombres de programas para las peticiones de comunicaciones emitidas por las aplicaciones proporcionadas por IBM.Para cada peticin que desee permitir, puede aadir una entrada de direccionamiento con el valor de comparacin y el nombre de programa iguales a los del nombre de programa. Cuando se utiliza este mtodo es necesario saber cul es el entorno de gestin de trabajo del sistema y los tipos de peticiones de comunicaciones que se producen en el sistema. Si es posible, deben comprobarse todos los tipos de peticiones de comunicaciones para asegurarse de que funcionan correctamente despus de cambiar las entradas de direccionamiento. Cuando una peticin de comunicaciones no encuentra una entrada de direccionamiento disponible, se recibe el mensaje CPF1269. Otra alternativa (con menos posibilidad de error, pero menos efectiva) es establecer la autorizacin de uso pblico para *EXCLUDE para los programas de transaccin que no desea ejecutar en el sistema. Nota: En la publicacin puede obtener ms informacin acerca de las entradas de direccionamiento y de cmo maneja el sistema las peticiones de arranque de programa.
Consejos de seguridad para la evaluacin de la configuracin APPC

Puede utilizar el mandato Imprimir seguridad de comunicaciones (PRTCMNSEC) o bien opciones de men para imprimir los valores relativos a la seguridad de la configuracin APPC. En los temas que figuran a continuacin se describe la informacin de los informes.
Parmetros relativos a la seguridad para los dispositivos APPC

En la Figura 35 se muestra un ejemplo del informe de las comunicaciones correspondiente a las descripciones de dispositivos. La Figura 36 en la pgina 157 contiene un ejemplo del informe correspondiente a las listas de configuraciones. Despus de los informes encontrar explicaciones de los campos de los informes.
Informacin de comunicaciones (informe completo) Tipo de objeto . . . . . . . . : Nombre objeto CDMDEV1 CDMDEV2 Tipo objeto *DEVD *DEVD *DEVD Ubicacin protegida *NO *NO Contrasea ubicacin *NO *NO Posibil. APPN *NO *NO Una sola sesin *YES *YES SYSTEM4 Sesin preestablecida *NO *NO Arranque programa SNUF
Categora dispositivo *APPC *APPC
Figura 35. Descripciones de dispositivo APPC-Informe de ejemplo
156
Visualizar lista de configuraciones Pgina 1 SYSTEM4 12/17/95 07:24:36 Lista de configuraciones . . . . . : QAPPNRMT Tipo de lista de configuraciones . : *APPNRMT Texto . . . . . . . . . . . . . . : ----------------Ubicaciones remotas APPN---------------ID de Punto ID red Ubicac. red Ubicac. control punto Ubicac. remota remoto local remoto control protegida SYSTEM36 APPN SYSTEM4 SYSTEM36 APPN *NO SYSTEM32 APPN SYSTEM4 SYSTEM32 APPN *NO SYSTEMU APPN SYSTEM4 SYSTEM33 APPN *YES SYSTEMJ APPN SYSTEM4 SYSTEMJ APPN *NO SYSTEMR2 APPN SYSTEM4 SYSTEM1 APPN *NO ------------------------Ubicaciones remotas APPN-------------------------ID de Punto Sesin Ubicac. red Ubicac. Una sola Nmero de control preestaremota remoto local sesin conversaciones local blecida SYSTEM36 APPN SYSTEM4 *NO 10 *NO *NO SYSTEM32 APPN SYSTEM4 *NO 10 *NO *NO
Figura 36. Informe de lista de configuraciones-Ejemplo
Campo Ubicacin protegida

El campo Ubicacin protegida (SECURELOC) especifica si el sistema local confa en el sistema remoto para que ste ltimo efecte la verificacin de las contraseas en lugar del sistema local. El campo SECURELOC solamente incumbe a las aplicaciones que utilizan el valor SECURITY(SAME), como las aplicaciones DDM y las aplicaciones que utilizan la API de comunicaciones CPI. SECURELOC(*YES) hace que el sistema local sea vulnerable a posibles deficiencias en el sistema remoto. Todos los usuarios que existan en ambos sistemas pueden llamar a programas del sistema local. Esto es especialmente peligroso, ya que el perfil de usuario QSECOFR (responsable de seguridad) existe en todos los sistemas iSeries y posee la autorizacin especial *ALLOBJ.Si un sistema de la red no protege correctamente la contrasea de QSECOFR, otros sistemas que traten a ste como ubicacin protegida corren riesgos. Si se utiliza SECURELOC(*VFYENCPWD), el sistema es menos vulnerable a otros sistemas que no protegen sus contraseas adecuadamente. Un usuario que solicite una aplicacin que utilice SECURITY(SAME) debe tener el mismo ID de usuario y la misma contrasea en ambos sistemas. SECURELOC(*VFYENCPWD) requiere la utilizacin de mtodos de administracin de contraseas en la red para que los usuarios tengan la misma contrasea en todos los sistemas. Nota: Slo se ofrece soporte para SECURELOC(*VFYENCPWD) entre sistemas que ejecuten la V3R2, la V3R7 o la V4R1. Si el sistema de destino especifica SECURELOC(*VFYENCPWD) y el sistema de origen no da soporte a esta funcin, la peticin se trata como SECURITY(NONE). Si un sistema especifica SECURELOC(*NO), las aplicaciones que utilicen SECURITY(SAME) necesitarn un usuario por omisin para ejecutar programas. El usuario por omisin depende de la descripcin de dispositivo y de la modalidad asociadas con la peticin. (Consulte el apartado Cmo asigna el sistema de destino un perfil de usuario para el trabajo en la pgina 152.)
157
Campo Contrasea de ubicacin

El campo Contrasea de ubicacin determina si dos sistemas intercambiarn contraseas para verificar que el sistema solicitante no es un sistema impostor. En el apartado Conceptos bsicos de una sesin APPC en la pgina 148 se facilita ms informacin acerca de las contraseas de ubicacin.
Campo Posibilidad de APPN

El campo Posibilidad de APPN (APPN) indica si el sistema remoto puede dar soporte a las funciones de red avanzada o si est limitado a las conexiones de un solo salto. APPN(*YES) significa lo siguiente: v Si el sistema remoto es un nodo de la red, puede conectar el sistema local a otros sistemas. Esta posibilidad recibe el nombre de direccionamiento de nodo intermedio. Significa que los usuarios de su sistema pueden utilizar el sistema remoto como ruta a una red ms amplia. v Si el sistema local es un nodo de red, el sistema remoto puede utilizar el sistema local para conectarse a otros sistemas. Los usuarios del sistema remoto pueden utilizar su sistema como ruta a una red ms amplia. Nota: Puede utilizar el mandato DSPNETA para determinar si un sistema es un nodo de red o un nodo final.
Campo Una sola sesin

El campo Una sola sesin (SNGSSN) indica si el sistema remoto puede ejecutar ms de una sesin al mismo tiempo utilizando la misma descripcin de dispositivo APPC. SNGSSN(*NO) suele utilizarse porque elimina la necesidad de crear varias descripciones de dispositivo para un sistema remoto. Por ejemplo, los usuarios de PC a menudo desean ms de una sesin de emulacin 5250 y sesiones para las funciones de servidor de archivos y servidor de impresin. Con SNGSSN(*NO), puede proporcionar esta funcin con una descripcin de dispositivo para el PC en el sistema iSeries. SNGSSN(*NO) significa que debe confiar en los procedimientos operativos de seguridad de los usuarios de PC y de otros usuarios APPC. Su sistema es vulnerable por un usuario del sistema remoto que inicie una sesin no autorizada que utiliza la misma descripcin de dispositivo que una sesin existente. (A esta prctica se le denomina en algunos casos parasitismo.)
Campo Sesin preestablecida

El campo Sesin preestablecida (PREESTSSN) para un dispositivo de una sola sesin controla si el sistema local inicia una sesin con el sistema remoto cuando este se pone en contacto por primera vez con el sistema local. PREESTSSN(*NO) significa que el sistema local espera a iniciar una sesin a que una aplicacin solicite una sesin con el sistema. PREESTSSN(*YES) es til para minimizar el tiempo que tarda un programa de aplicacin en completar la conexin. PREESTSSN(*YES) impide que el sistema se desconecte de una lnea conmutada (de marcacin) que ya no se utiliza. La aplicacin o el usuario deben desactivar explcitamente la lnea. PREESTSSN(*YES) puede aumentar el tiempo que el sistema local es vulnerable al parasitismo en la sesin.
Campo Arranque de programa SNUF

El campo Arranque de programa SNUF indica si el sistema remoto puede arrancar programas del sistema local. *YES significa que el esquema de autorizacin sobre objetos del sistema local debe ser apropiado para proteger objetos cuando los usuarios del sistema remoto arrancan trabajos y ejecutan programas en el sistema local.
158
Parmetros relativos a la seguridad para los controladores APPC

La Figura 37 muestra un ejemplo del informe de las comunicaciones correspondiente a las descripciones de controlador. Despus del informe encontrar explicaciones de los campos del informe.
Informacin de comunicaciones (informe completo) Tipo de objeto . . . . . . . . : Nombre objeto CTL01 CTL02 CTL03 Tipo objeto *CTLD *CTLD *CTLD Categora controlad. *APPC *APPC *APPC *CTLD Creacin autom. *YES *YES *YES Controlad. conmutado *YES *YES *YES Direcc. llamada *DIAL *DIAL *DIAL Posibil. APPN *YES *YES *YES Sesiones CP *YES *YES *YES Temporiz. desconex. 0 0 0 SYSTEM4 Segundos Nombre supres. dispos. 1440 AARON 1440 BASIC 1440 *NONE
Figura 37. Descripciones de controlador APPC-Ejemplo de informe
Campo Creacin automtica

En una descripcin de lnea, el campo Creacin automtica (AUTOCRTCTL) indica si el sistema local crear automticamente una descripcin de controlador cuando una peticin de entrada no encuentre una descripcin de controlador coincidente. En una descripcin de controlador, el campo Creacin automtica (AUTOCRTDEV) especifica si el sistema local crear automticamente una descripcin de dispositivo cuando una peticin de entrada no encuentre una descripcin de dispositivo coincidente. En el caso de los controladores con posibilidades de APPN, este campo no tiene efecto alguno. El sistema crea automticamente descripciones de dispositivo cuando es necesario, independientemente de cmo haya definido el campo de creacin automtica. Cuando se especifica *YES para una descripcin de lnea, cualquier persona con acceso a la lnea puede conectarse al sistema. Ello incluye ubicaciones que estn conectadas mediante puentes y direccionadores.
Campo Sesiones de punto de control

En los controladores con posibilidad de APPN, el campo Sesiones de punto de control (CPSSN) controla si el sistema establecer automticamente una conexin APPC con el sistema remoto. El sistema utiliza la sesin CP para intercambiar informacin y estado de red con el sistema remoto. El intercambio de informacin actualizada entre nodos de red APPN es especialmente importante para que la red funcione correctamente. Cuando se especifica *YES, las lneas conmutadas desocupadas no se desconectan automticamente. Esto hace que su sistema sea ms vulnerable a que haya una sesin parsito.
Campo Temporizador de desconexin

Para un controlador APPC, el campo Temporizador de desconexin indica cunto tiempo debe transcurrir sin que se utilice un controlador (sin sesiones activas) antes de que el sistema desconecte la lnea con el sistema remoto. Este campo tiene dos valores. El primer valor indica cunto tiempo permanecer activo el controlador desde el momento en que se contacta con l inicialmente. El segundo valor determina cunto tiempo espera el sistema tras la finalizacin de la ltima sesin en el controlador antes de desconectar la lnea.
159
El sistema utiliza el temporizador de desconexin solamente cuando el valor del campo de desconexin conmutada (SWTDSC) es *YES. Si aumenta estos valores, el sistema ser ms vulnerable a las sesiones parsito.
Parmetros relativos a la seguridad para las descripciones de lnea

En la Figura 38 se muestra un ejemplo del informe de las comunicaciones correspondiente a las descripciones de lnea. Despus del informe encontrar explicaciones de los campos del informe.
Informacin de comunicaciones (informe completo) Tipo de objeto . . . . . . . . : Nombre objeto LINE01 LINE02 LINE03 LINE04 Tipo objeto *LIND *LIND *LIND *LIND *LIND Creacin autom. *NO *NO *NO *NO Segs. supres. autom. 0 0 0 0
Categora lnea *SDLC *SDLC *SDLC *SDLC
Resp. autom. *NO *YES *NO *YES
Marcacin autom. *NO *NO *NO *NO
Figura 38. Descripciones de lnea de APPC-Ejemplo de informe
Campo Respuesta automtica

El campo Respuesta automtica (AUTOANS) indica si la lnea conmutada aceptar las llamadas de entrada sin la intervencin del operador. Si se especifica *YES, el sistema ser menos seguro, ya que se podr acceder a l con ms facilidad. Para reducir los riesgos de seguridad cuando se especifica *YES, debe desactivar la lnea cuando no sea necesaria.
Campo Marcacin automtica

El campo Marcacin automtica (AUTODIAL) especifica si la lnea conmutada puede realizar llamadas de salida sin la intervencin del operador. Si se especifica *YES, se permite a los usuarios locales que no tienen acceso fsico a los modems y a las lneas de comunicaciones que se conecten a otros sistemas.
Consideraciones sobre seguridad de APPC APPN y HPR

A continuacin se describen algunos aspectos sobre la seguridad para los sistemas iSeries que se comunican entre ellos utilizando APPC, APPN y HPR: v Consideraciones generales sobre seguridad: Tenga en cuenta las siguientes medidas al proteger su red: Nota: Las siguientes consideraciones sobre contraseas slo son aplicables si la proteccin por contrasea no est activa. Cuando se utilice la seguridad de programas de aplicacin, especifique SECURELOC(*VFYENCPWD). Esto significa que solamente conseguir iniciar la sesin si tanto el nombre de perfil de usuario como la contrasea son los mismos en ambos sistemas La persona responsable de la seguridad de la red se asegura de que cada usuario tenga un ID de usuario exclusivo en toda la red. Haga que el administrador del sistema establezca un lmite para el nmero de intentos consecutivos de entrar una contrasea que no sean vlidos para un
160
dispositivo de pantalla dado. Cuando se llegue a este lmite, se desactivar el dispositivo. Establezca el lmite con el valor del sistema QMAXSIGN. Nota: Esto solamente se cumple en los dispositivos de pantalla, no en los dispositivos APPC. Los usuarios pueden iniciar la sesin en ms de un sistema iSeries 400 con el mismo perfil. Para limitar el perfil de usuario a un inicio de sesin: - Establezca el valor del sistema (*SYSVAL) para el parmetro LMTDEVSSN en el mandato Crear perfil de usuario (CRTUSRPRF) o en Cambiar perfil de usuario (CHGUSRPRF). v Consideraciones sobre la seguridad fsica: Usted es el responsable de la seguridad fsica de su sistema al especificar *NONE para el parmetro contrasea de ubicacin (LOCPWD) durante la configuracin de APPC. En este caso, el sistema iSeries no valida la identidad de un sistema remoto cuando se est estableciendo una sesin. No obstante, puede utilizar igualmente la seguridad a nivel de aplicacin si el sistema remoto la soporta. Por ejemplo, si el sistema remoto es un sistema iSeries con un nivel de seguridad 20 o superior. v Seguridad a nivel de sesin En esta pgina solamente se trata la seguridad para las comunicaciones o la gestin de mltiples sistemas. La seguridad debe ser coherente en todos los sistemas de una red si tiene que controlarse el acceso entre sistemas y que no resulte restringido innecesariamente. Para conocer las consideraciones sobre seguridad especficas de la ejecucin de APPN y HPR en su red, consulte Proteccin del sistema en un entorno APPN y HPR, para obtener ms informacin.
Seguridad a nivel de sesin para APPN y HPR

La seguridad a nivel de sesin se consigue especificando una contrasea en el parmetro LOCPWD durante la configuracin. El sistema iSeries 400 utiliza la contrasea para validar la identidad del sistema remoto durante el establecimiento de sesin. La contrasea debe coincidir con la especificada en el sistema remoto, o no se permitir la conexin. Si el sistema remoto no soporta la seguridad a nivel de sesin (Series/1 RPS versin 7.1, CICS/VS release 1.6): v Especifique LOCPWD(*NONE) para establecer la conexin y proporcionar la seguridad fsica necesaria Existe un problema de seguridad al crear descripciones de dispositivo con APPN(*YES) y cuando APPN crea automticamente y activa una descripcin de dispositivo con el mismo ID de red remota, nombre de ubicacin y nombre de ubicacin local que la entrada de la lista de configuracin de la ubicacin remota APPN. Para compensar las ubicaciones remotas que utilicen una descripcin de dispositivo independiente con APPN(*YES): v Aada una entrada a la lista de configuracin de la ubicacin remota APPN que incluya informacin de seguridad Nota: Con la finalidad de evitar utilizar informacin de seguridad imprevisible, asegrese de que todas las descripciones de dispositivo, tal como se describe ms arriba, contengan exactamente la misma informacin de seguridad.
161
Proteccin del sistema en un entorno APPN y HPR

Las redes APPN proporcionan conectividad abierta y requieren una mnima configuracin por parte de cada sistema de la red. Cuando un sistema tiene una conexin en una red APPN, puede establecer sesiones con otros sistemas que estn conectados dentro de esa red APPN. APPN reduce las barreras fsicas y de configuracin para las comunicaciones. Sin embargo, tal vez desee crear algunas barreras lgicas entre los sistemas de la red por motivos de seguridad. Esta capacidad de controlar qu sistemas pueden conectarse con el suyo suele denominarse soporte de cortafuegos. Los administradores de red podran utilizar diversos tipos de nodos para especificar qu conexiones se permiten entre las ubicaciones de APPC. Por ejemplo, puede que quiera permitir que el SISTEMA2 se comunique con el SISTEMA1 y el SISTEMA4, pero no con el SISTEMA3. La pgina Soporte de filtrado APPN ofrece una explicacin sobre este tema. Para obtener un ejemplo, vea Creacin de un filtro de punto final de sesin. Como ampliacin a esto, los administradores pueden utilizar direccionamiento de clase de servicio (COS) para seleccionar los nodos y grupos de transmisin elegibles para su inclusin en rutas de sesin de red.
Soporte de filtrado de APPN

Antes de tratar el soporte de filtrado de APPN, es necesaria una explicacin sobre los tipos de nodos de una red APPN: v Un nodo perifrico se encuentra en los extremos de la red. Puede participar en la red, pero no puede proporcionar direccionamiento intermedio a otros sistemas de la red. Un nodo perifrico puede ser un nodo final (EN), como MADISON y PARIS en la figura mostrada ms abajo. Un nodo perifrico puede ser un nodo de red de entrada baja (LEN), como CHICPC1 y CHICPC2. Un nodo perifrico tambin puede ser un nodo de otra red (IDRED). Desde la perspectiva de CHICAGO, LONDON es un nodo perifrico. v Un nodo de red (NN) proporciona servicios de direccionamiento entre los sistemas de la red. En CHICAGO y ATLANTA hay ejemplos de nodos de red. v Un nodo Ampliador de rama es una extensin de la arquitectura de red APPN que aparece como nodo de red (NN) para la Red de rea Local (LAN) y como nodo final (EN) para la Red de rea Amplia (WAN). Esto reduce la posibilidad de que el flujo de topologa sobre recursos en la LAN se desconecte de la WAN. El soporte de filtrado de APPN proporciona la capacidad de crear un cortafuegos basado en nombres de ubicacin APPC. Puede utilizar dos tipos distintos de listas de filtros: v Un filtro de punto final de sesin controla el acceso a una ubicacin y desde la misma. Por ejemplo, en el filtro de punto final de sesin del sistema CHICAGO de la figura que aparece ms abajo, especifica qu ubicaciones pueden establecer una sesin con CHICAGO o con NOMINA. CHICAGO y NOMINA son dos ubicaciones distintas del sistema CHICAGO. Del mismo modo, el filtro de punto final de sesin del sistema MADISON especifica qu ubicaciones pueden establecer una sesin con la ubicacin MADISON.
Figura 39. Dos redes APPN conectadas
En iSeries, puede utilizar la nueva lista de configuracin QAPPNSSN, sola o conjuntamente con la lista de configuracin QAPPNRMT, para crear un filtro de punto final de sesin. v Un filtro de bsqueda de directorio en un nodo de red determina lo siguiente para sus nodos perifricos asociados:
162
Acceso del nodo perifrico (cuando el nodo perifrico es el peticionario). Por ejemplo, puede utilizar el filtro de bsqueda de directorio en LONDON para controlar los posibles destinos de los usuarios del sistema PARIS. Del mismo modo, puede utilizar el filtro de bsqueda de directorio en CHICAGO para controlar los posibles destinos de los usuarios de CHICPC1 y CHICPC2. Accesos al nodo perifrico (cuando el nodo perifrico es el destino). Por ejemplo, puede utilizar el filtro de bsqueda de directorio en CHICAGO para determinar qu ubicaciones pueden acceder a CHICPC1. Puesto que tanto CHICAGO como DALLAS proporcionan conexiones a MADISON, debe preparar los filtros de bsqueda de directorio en CHICAGO y en DALLAS para limitar las conexiones a MADISON. Del mismo modo, puede utilizar el filtro de bsqueda de directorio en CHICAGO para especificar qu ubicaciones de USANET son destinos permitidos para los usuarios de EURONET. Para crear un filtro de bsqueda de directorio, utilice la lista de configuracin QAPPNDIR.
Creacin de un filtro de punto final de sesin

A continuacin se muestran dos mtodos distintos para crear un filtro de punto final de sesin en el sistema CHICAGO, en la figura que aparece ms abajo. Deben satisfacer los siguientes requisitos: v Solamente la ubicacin FINANZA puede establecer una sesin con la ubicacin NOMINA. v La ubicacin CHICAGO puede comunicarse con cualquier ubicacin de USANET excepto con NOMINA. v La ubicacin CHICAGO puede comunicarse con LONDRES.
163
Figura 40. Dos redes APPN conectadas
v Utilizacin conjunta de las listas de configuraciones QAPPNSSN y QAPPNRMT: El mtodo ms seguro para crear un filtro de punto final de sesin es la utilizacin de las listas de configuraciones QAPPNSSN y QAPPNRMT conjuntamente. La lista de configuraciones QAPPNRMT proporciona seguridad de contrasea entre sistemas, lo que facilita la proteccin contra sistemas impostores (que son sistemas o usuarios que se hacen pasar por otro sistema). Al utilizar este mtodo crear la lista de configuracin QAPPNSSN que no especifica ninguna ubicacin remota. Seala a la lista de configuraciones QAPPNRMT. El inconveniente de este mtodo es que debe definir explcitamente cada par de ubicaciones en la lista de configuraciones QAPPNRMT. Si desea que la ubicacin CHICAGO (que est en el mismo sistema que la ubicacin NOMINA) se comunique con otras ubicaciones, deber aadir una entrada para cada par. v Utilizacin de la lista de configuracin QAPPNSSN solamente: Cuando se especifican ubicaciones remotas en lista de configuraciones QAPPNSSN, las tareas de configuracin son ms sencillas, ya que se pueden utilizar nombres genricos y comodines. Sin embargo, cuando se utiliza este mtodo, no se dispone de la proteccin de verificacin de contraseas entre ubicaciones. Adems, cuando se emplean nombres genricos y comodines, el sistema puede aceptar o rechazar las peticiones de forma distinta a como se haba previsto.
Direccionamiento de Clase de servicio (COS)

Los nodos de red conservan informacin sobre todos los nodos de red y enlaces entre los nodos de red. Cuando se solicita una sesin, se especifica una modalidad.
164
Cada nodo contiene un parmetro de clase de servicio (COS) que especifica la descripcin de clase de servicio que se utilizar para calcular la ruta que tomar la sesin. La clase de servicio tambin especifica la prioridad de transmisin que gobernar la cadencia de transferencia de datos una vez se haya establecido la sesin. Con el sistema iSeries se envan las siguientes descripciones de clase de servicio: v #CONNECT: la clase de servicio por omisin v #BATCH: una clase de servicio adaptada para las comunicaciones en proceso por lotes v #BATCHSC: es igual que #BATCH excepto en que es necesario un nivel de seguridad de enlace de datos de *PKTSWTNWK como mnimo v #INTER: una clase de servicio adaptada para las comunicaciones interactivas v #INTERSC: es igual que #INTER excepto en que es necesario un nivel de seguridad de enlace de datos de *PKTSWTNWK como mnimo
165
166
Captulo 14. Consejos para la seguridad de las comunicaciones TCP/IP

TCP/IP (Protocolo de control de transmisin/Protocolo de Internet) es una forma habitual de comunicacin entre sistemas informticos de todo tipo. Las aplicaciones TCP/IP son bien conocidas y ampliamente utilizadas a lo largo de las autopistas de la informacin. En este captulo se proporcionan consejos para lo siguiente: v Evitar la ejecucin de aplicaciones TCP/IP en el sistema. v Proteger los recursos del sistema cuando se permite la ejecucin de aplicaciones TCP/IP en l. En el manual TCP/IP Configuration and Reference encontrar informacin completa acerca de todas las aplicaciones TCP/IP. SecureWay: Consejos y Herramientas para Internet, que se encuentra en el Apndice A, describe las consideraciones de seguridad a tener en cuenta al conectar el iSeries a Internet (una red TCP/IP de gran tamao) o a una intranet. Tenga en cuenta que el iSeries soporta muchas aplicaciones TCP/IP posibles. Cuando decide permitir una aplicacin TCP/IP en el sistema, puede que tambin est permitiendo otras aplicaciones TCP/IP. Como administrador de seguridad, necesita conocer el alcance de las aplicaciones TCP/IP y las implicaciones de seguridad de estas aplicaciones.
Consejos para evitar procesos TCP/IP

Los trabajos servidores TCP/IP se ejecutan en el subsistema QSYSWRK. Se utiliza el mandato Arrancar TCP/IP (STRTCP) para arrancar TCP/IP en el sistema. Si no quiere ejecutar ningn proceso ni aplicacin TCP/IP, no utilice el mandato STRTCP. El sistema se suministra con el valor *EXCLUDE para la autorizacin de uso pblico para el mandato STRTCP. Si sospecha que alguien con acceso al mandato est arrancando TCP/IP (fuera de horas de trabajo, por ejemplo), puede establecer la auditora de objetos sobre el mandato STRTCP. El sistema grabar una entrada de diario de auditora cada vez que un usuario ejecute el mandato.
Componentes de seguridad de TCP/IP

Con la Versin 4 Release 3, podr beneficiarse de diversos componentes de seguridad de TCP/IP que mejoran la seguridad de la red y aaden flexibilidad. Aunque algunas de estas tecnologas tambin se encuentran en productos cortafuegos como IBM Firewall para iSeries 400, estos componentes de seguridad de TCP/IP para OS/400 no estn pensados para utilizarlos como cortafuegos. No obstante, puede utilizar algunas de sus funciones, en algunos casos para eliminar la necesidad de un producto cortafuegos aparte. Tambin puede utilizar estas funciones TCP/IP para proporcionar una seguridad adicional a los entornos en los que ya se est utilizando un cortafuegos. | | Los siguientes componentes pueden utilizarse para mejorar la Seguridad de TCP/IP:
167
| |
v Seguridad de paquetes v Servidor proxy HTTP
Caractersticas de Seguridad de paquetes para asegurar el trfico de TCP/IP

La caracterstica de Seguridad de paquetes est disponible a travs del Operations Navigator iSeries. Permite crear reglas de filtrado para el Protocolo Internet (IP) y valores para la Conversin de direcciones de red (NAT). Con ellos puede controlar el trfico de TCP/IP que entra y sale de su sistema iSeries. Filtrado de paquetes de Protocolo Internet (IP) El filtrado de paquetes Protocolo Internet (IP) proporciona la capacidad de bloquear el trfico de IP de forma selectiva, basndose en la informacin de las cabecercas de los paquetes IP y las especficas del protocolo. Puede crear un conjunto de reglas de filtrado para especificar qu paquetes IP se permiten en su red, y a cules negar el acceso a su red. Cuando cree reglas de filtrado, las aplicar en una interfaz fsica (por ejemplo, una lnea Ethernet o de Red en Anillo). Puede aplicar las reglas a mltiples interfaces fsicas, o bien puede aplicar reglas distintas a cada interfaz. Basndose en la siguiente informacin de cabecera, puede crear reglas para permitir o rechazar paquetes especficos: v v v v v Direccin IP de destino Protocolo de la direccin IP origen (por ejemplo, TCP, UDP, etc.). Puerto de destino (por ejemplo, 80 para HTTP). Puerto origen Direccin de datagrama IP (de entrada o de salida)
v Reenviado o Local Puede utilizar el filtrado de paquetes IP para impedir que un trfico indeseable o innecesario alcance las aplicaciones del sistema, o se reenve a otros sistemas. Esto incluye los paquetes ICMP de bajo nivel (por ejemplo, paquetes PING), para los cuales no se precisa ningn servidor de aplicaciones especfico. Puede especificar si una regla de filtrado crea una anotacin cronolgica de entrada, con informacin acerca de los paquetes que coinciden con las reglas, en un diario del sistema. Una vez se haya anotado la informacin en un diario del sistema, no podr modificar la entrada de las anotaciones. En consecuencia, las anotaciones cronolgicas son una herramienta ideal para auditar la actividad de la red. Puede utilizar el filtrado de paquetes IP de OS/400 para proporcionar proteccin adicional para un sistema iSeries concreto. Por ejemplo, este sistema podra estar ejecutando aplicaciones delicadas o dando servicios Web a Internet. Tambin puede utilizar el filtrado de paquetes para proteger toda una subred cuando el iSeries est actuando como un direccionador ocasional. Encontrar ms informacin sobre el uso del Filtrado de paquetes IP de OS/400 en el Information Center. Conversin de direcciones de red (NAT: Network Address Translation)
168
La Conversin de direcciones de red (NAT) modifica las direcciones IP origen o destino, o ambas, de los paquetes que fluyen por el sistema. Con NAT, podr utilizar el sistema iSeries como pasarela entre dos redes que posean esquemas de direccionamiento conflictivos o incompatibles. Tambin podr utilizar NAT para ocultar las direcciones IP reales de una red, sustituyndolas dinmicamente por otras direcciones distintas. Para poder utilizar NAT, deber crear un conjunto de reglas que especifiquen el modo en que se convertirn las direcciones. Las reglas de Correlacin convierten una direccin esttica en otra (por ejemplo, a.b.c.d se convierte en e.f.g.h). Puede utilizar una regla de correlacin cuando el sistema con una direccin e.f.g.h real proporcione servicios a los que desee acceder desde otra red. En esa otra red, es necesario o deseable conocer el sistema por la direccin a.b.c.d.. Las reglas Ocultar convierten todas las direcciones de una subred en una nica direccin IP. Puede utilizar una regla Ocultar cuando los sistemas cliente deban acceder a los servicios de otra red, y sea necesario o deseable utilizar una estructura alternativa de direccionamiento. Nota: Ya que el Filtrado de paquetes IP y la Conversin de Direcciones de Red se complementan entre s, a menudo las utilizar juntas para mejorar la seguridad de una red. Debera considerar el uso de las funciones de Conversin de direcciones de red (NAT) de OS/400 cuando conecte dos redes anteriormente separadas que posean estructuras de direcciones IP incoherentes o incompatibles. Encontrar ms informacin sobre el uso de la Conversin de direcciones de red de OS/400 en el Information Center.
Servidor proxy HTTP

El servidor proxy HTTP viene con el IBM HTTP Server para iSeries 400. El HTTP Server forma parte de OS/400. El servidor proxy recibe las peticiones HTTP de los navegadores Web, y las vuelve a enviar a los servidores Web. Los servidores Web que reciben las peticiones solamente conocen las direcciones IP del servidor proxy, y no pueden determinar los nombres o direcciones de los PC que originaron las peticiones. El servidor proxy puede manejar peticiones URL para HTTP, FTP, Gopher y WAIS. El servidor proxy pone en antememoria las pginas Web devueltas, consecuencia de las peticiones efectuadas por todos los usuarios del servidor proxy. Por lo tanto, cuando los usuarios pidan una pgina, el servidor proxy comprobar su existencia en la antememoria. En caso afirmativo, el servidor proxy devolver la pgina que tiene en la antememoria. Con el uso de pginas en antememoria, el servidor proxy es capaz de servir pginas Web con ms rapidez, lo cual elimina las peticiones al servidor Web que potencialmente podran consumir mucho tiempo. El servidor proxy tambin puede anotar todas las peticiones URL a efectos de rastreo. Posteriormente se pueden repasar las anotaciones para supervisar el uso y mal uso de los recursos de la red. Puede utilizar el soporte de proxy HTTP del IBM HTTP Server para consolidar el acceso a la Web. Las direcciones de los clientes PC se ocultan a los servidores Web a los que acceden; solamente se conoce la direccin IP del servidor proxy. Poner en antememoria las pginas Web tambin reduce los requisitos de ancho de banda en las comunicaciones y la carga de trabajo de los cortafuegos.
169
Consejos generales para la seguridad del entorno TCP/IP

Este tema proporciona sugerencias generales acerca de los pasos que puede seguir para reducir los riesgos en la seguridad relativos al entorno TCP/IP del sistema. Estos consejos se aplican a todo el entorno TCP/IP en lugar de a las aplicaciones especficas que se tratan en los temas siguientes. v Al escribir una aplicacin para un puerto TCP/IP, asegrese de que la aplicacin sea adecuadamente segura. Debe tener en cuenta que un extrao podra intentar acceder a dicha aplicacin a travs de dicho puerto. Un usuario con conocimientos puede intentar efectuar TELNET con la aplicacin. v Supervise la utilizacin de los puertos de TCP/IP del sistema. Una aplicacin de usuario asociada a un puerto TCP/IP puede proporcionar una entrada trasera al sistema sin necesidad de ID de usuario o de contrasea. Alguien con la suficiente autoridad en el sistema puede asociar una aplicacin con un puerto TCP o UDP. v Como administrador de seguridad, debe tener en cuenta una tcnica llamada suplantacin de IP utilizada por los piratas informticos. Cada sistema de una red TCP/IP tiene una direccin IP. Alguien que utilice esta tcnica prepara un sistema (normalmente un PC) como si fuera una direccin IP existente o una direccin IP de confianza. As, el impostor puede establecer una conexin con el sistema hacindose pasar por un sistema con el que la conexin es habitual. Si ejecuta TCP/IP en el sistema y ste participa en una red que no est protegida fsicamente (todas las lneas no conmutadas y los enlaces predefinidos), ser vulnerable a la suplantacin de IP. Para proteger el sistema del dao causado por algn suplantador, empiece por las sugerencias de este captulo, tales como la proteccin de inicio de sesin y la seguridad de objeto. Debe tambin asegurarse de que el sistema tenga establecidos lmites de almacenamiento auxiliar razonables. Esto evita que quien realiza la suplantacin inunde el sistema con correo o archivos en spool hasta que el sistema se vuelva inoperante. Adems, debe supervisar regularmente la actividad de TCP/IP en el sistema. Si detecta la tcnica de suplantacin de IP, puede intentar descubrir los puntos dbiles de la configuracin de TCP/IP y hacer ajustes. v Para la intranet (red de sistemas que no necesitan conectarse directamente con el exterior), utilice las direcciones IP reutilizables. Las direcciones reutilizables estn destinadas a ser utilizadas en una red privada. La red troncal de Internet no direcciona los paquetes que tienen una direccin IP reutilizable. Por lo tanto, las direcciones reutilizables proporcionan una capa aadida de proteccin dentro del cortafuegos. En la publicacin TCP/IP Configuration and Reference se proporciona ms informacin acerca de cmo se asignan las direcciones IP y acerca de los rangos de las direcciones IP. v Si est pensando en conectar el sistema a Internet o a una intranet, revise la informacin de seguridad de SecureWay: Consejos y herramientas para Internet que se encuentra en el Apndice A. v La publicacin TCP/IP Configuration and Reference contiene un apndice que proporciona informacin de seguridad acerca de TCP/IP. Revise la informacin en el apndice.
Control de los servidores TCP/IP que se inician automticamente

Como administrador de seguridad, necesita controlar las aplicaciones TCP/IP que se inician automticamente al iniciar TCP/IP. Hay dos mandatos disponibles para
170
iniciar TCP/IP. Para cada mandato, el sistema utiliza un mtodo distinto para determinar las aplicaciones (servidores) a iniciar. En la Tabla 22 se muestran ambos mandatos y las recomendaciones de seguridad correspondientes. En la Tabla 23 se muestran los valores de inicio automtico para los servidores. Para cambiar el valor de inicio automtico para un servidor, utilice el mandato CHGxxxA (Cambiar atributos xxx) para el servidor. Por ejemplo, el mandato para TELNET es CHGTELNA.
Tabla 22. Cmo determinan los mandatos de TCP/IP cules son los servidores a iniciar
Mandato Iniciar TCP/IP (STRTCP) Servidores que se inician El sistema inicia todo servidor que especifique AUTOSTART(*YES). La Tabla 23 muestra el valor suministrado para cada servidor TCP/IP. Recomendaciones de seguridad v Asigne la autorizacin especial *IOSYSCFG con cuidado para controlar quin puede cambiar los valores de inicio automtico. v Controle cuidadosamente quin tiene autorizacin para utilizar el mandato STRTCP. La autorizacin de uso pblico por omisin para el mandato es *EXCLUDE. v Establezca la auditora de objetos para los mandatos Cambiar atributos de nombre de servidor (por ejemplo, CHGTELNA) para supervisar los usuarios que intentan cambiar el valor AUTOSTART para un servidor. Iniciar servidor TCP/IP (STRTCPSVR) Debe utilizarse un parmetro para especificar los servidores a iniciar. El valor por omisin al emitir el mandato supone iniciar todos los servidores. v Utilice el mandato Cambiar valor por omisin de mandato (CHGCMDDFT) para establecer que el mandato STRTCPSVR inicie solamente un servidor determinado. Esto no impide que los usuarios inicien otros servidores. Sin embargo, al cambiar el valor por omisin del mandato, es menos probable que los usuarios inicien todos los servidores accidentalmente. Por ejemplo, utilice el mandato siguiente para que el valor por omisin suponga iniciar slo el servidor TELNET: CHGCMDDFT CMD(STRTCPSVR) NEWDFT('SERVER(*TELNET)') Nota: Al cambiar el valor por omisin, puede especificar solamente un nico servidor. Elija un servidor que utilice habitualmente o un servidor que implique una menor probabilidad de ser causa de riesgos en la seguridad (como TFTP). v Controle cuidadosamente quin tiene autorizacin para utilizar el mandato STRTCPSVR. La autorizacin de uso pblico por omisin para el mandato es *EXCLUDE.
Tabla 23. Valores de inicio automtico para servidores TCP/IP

Servidor TELNET FTP (protocolo de transferencia de archivos) BOOTP (Protocolo Bootstrap) TFTP (protocolo trivial de transferencia de archivos) Valor por omisin AUTOSTART(*YES) AUTOSTART(*YES) Su valor Dnde encontrar consideraciones de seguridad para el servidor Consejos de seguridad para Telnet en la pgina 178 Consejos de seguridad para el protocolo de transferencia de archivos en la pgina 183 Consejos para la seguridad del servidor de Protocolo Bootstrap en la pgina 186 Consejos para la seguridad del servidor de Protocolo trivial de transferencia de archivos en la pgina 189
AUTOSTART(*NO)
AUTOSTART(*NO)
171
Tabla 23. Valores de inicio automtico para servidores TCP/IP (continuacin)

Servidor REXEC (servidor de EXECution remoto) RouteD (Daemon de ruta) SMTP (protocolo simple de transferencia de correo) POP (Protocolo de Oficina Postal) HTTP (Protocolo de Transferencia de Hipertexto) 1 ICS (Internet Connection Server)1 WSG (Workstation Gateway Server) LPD (daemon de impresora de lneas) SNMP (Protocolo Simple de Gestin de Correo (SNMP)) DNS (sistema de nombres de dominio (DNS)) DDM DHCP (Protocolo de configuracin dinmica de sistema principal (DHCP)) NSMI INETD Valor por omisin AUTOSTART(*NO) Su valor Dnde encontrar consideraciones de seguridad para el servidor Consejos para la seguridad del Servidor de EXECution remoto en la pgina 191 Consejos de seguridad para el Daemon de ruta en la pgina 192 Consejos de seguridad para el protocolo simple de transferencia de correo en la pgina 194 Consejos de seguridad para POP (Protocolo de Oficina Postal) en la pgina 198 Consejos de seguridad para servicios Web desde el iSeries 400 en la pgina 200 Consejos de seguridad para servicios Web desde el iSeries 400 en la pgina 200 Consejos de seguridad para el Workstation Gateway Server en la pgina 212 Consejos de seguridad para el Daemon de impresora de lneas en la pgina 215 Consejos de seguridad para el Protocolo simple de gestin de red en la pgina 216 Consejos para la seguridad del servidor Sistema de nombres de dominio (DNS) en la pgina 193
AUTOSTART(*NO) AUTOSTART(*YES)
AUTOSTART(*NO)
AUTOSTART(*NO)
AUTOSTART(*NO)
AUTOSTART(*NO)
AUTOSTART(*YES)
AUTOSTART(*YES)
AUTOSTART(*NO)
AUTOSTART(*NO) AUTOSTART(*NO) Consejos para la seguridad del servidor Protocolo de Configuracin Dinmica de Sistema Principal (DHCP) en la pgina 187
AUTOSTART(*NO) AUTOSTART(*NO) Consejos de seguridad para el servidor INETD en la pgina 217
Notas: 1. A partir de la V4R1, en IBM HTTP Server para iSeries 400 se utiliza el mandato CHGHTTPA para establecer el valor AUTOSTART.
Consejos para controlar la utilizacin de SLIP

El soporte de TCP/IP de iSeries incluye el Protocolo de Lnea de Interfaz Serie (SLIP). SLIP proporciona conectividad punto a punto de bajo coste. Un usuario de SLIP puede conectarse a una LAN o a una WAN estableciendo una conexin punto a punto con un sistema que forme parte de una LAN o una WAN.
172
SLIP se ejecuta en una conexin asncrona. Puede utilizar SLIP para efectuar conexiones de marcacin a y desde el iSeries.Por ejemplo, puede utilizar SLIP para marcar desde el PC a un sistema iSeries.Despus de establecer la conexin, puede utilizar la aplicacin TELNET en el PC para conectarse al servidor TELNET del iSeries.O puede utilizar la aplicacin FTP para transferir archivos entre los dos sistemas. No existe ninguna configuracin de SLIP en el sistema cuando se enva. Por lo tanto, si no quiere que se ejecute SLIP (y TCP/IP de marcacin) en el sistema, no configure perfiles para SLIP. Puede utilizar el mandato Trabajar con punto a punto TCP/IP (WRKTCPPTP) para crear configuraciones de SLIP. Debe tener autorizacin especial *IOSYSCFG para utilizar el mandato WRKTCPPTP. Si quiere que SLIP se ejecute en el sistema, cree uno o varios perfiles de configuracin SLIP (punto a punto). Puede crear perfiles de configuracin con las modalidades operativas siguientes: v Marcacin de entrada (*ANS) v Marcacin de salida (*DIAL) En los temas siguientes se trata la forma de establecer la seguridad para los perfiles de configuracin de SLIP. Nota: Un perfil de usuario es un objeto de iSeries que permite iniciar la sesin.Cada trabajo de iSeries debe tener un perfil de usuario para ejecutarse.Un perfil de configuracin almacena informacin que se utiliza para establecer una conexin SLIP con un sistema iSeries.Cuando se arranca una conexin SLIP con el iSeries, simplemente se est estableciendo un enlace.An no se ha iniciado la sesin ni se ha arrancado un trabajo iSeries.Por lo tanto no necesita imperativamente un perfil de usuario de iSeries para arrancar una conexin SLIP con el iSeries.Sin embargo, tal como ver en los comentarios siguientes, el perfil de configuracin de SLIP puede necesitar un perfil de usuario de iSeries para determinar si se permite la conexin.
Control de conexiones de marcacin SLIP

Para que alguien pueda establecer una conexin de marcacin de entrada con el sistema mediante SLIP, debe usted arrancar un perfil de configuracin *ANS de SLIP. Para crear o cambiar un perfil de configuracin de SLIP, utilice el mandato Trabajar con punto a punto de TCP/IP (WRKTCPPTP). Para arrancar un perfil de configuracin, utilice el mandato Arrancar punto a punto de TCP/IP (STRTCPPTP) o una opcin de la pantalla WRKTCPPTP. Cuando el sistema se enva, la autorizacin de uso pblico para los mandatos STRTCPPTP y ENDTCPPTP es *EXCLUDE. Las opciones aadir, cambiar y suprimir perfiles de configuracin de SLIP estn disponibles slo si tiene autorizacin especial *IOSYSCFG. Como administrador de seguridad, puede utilizar la autorizacin de mandatos, y la autorizacin especial, para determinar quin puede configurar el sistema para permitir conexiones de marcacin de entrada.
Seguridad de una conexin SLIP de marcacin de entrada

Si desea validar los sistemas que efecten una marcacin de entrada en el sistema, querr que el sistema peticionario enve un ID de usuario y una contrasea. Su sistema puede entonces verificar el ID de usuario y la contrasea. Si el ID de usuario y la contrasea no son vlidos, el sistema puede rechazar la peticin de sesin. Para establecer la validacin de la marcacin de entrada haga lo siguiente:
173
__ Paso 1. Cree un perfil de usuario que el sistema peticionario pueda utilizar para establecer la conexin. El ID de usuario y la contrasea que enva el peticionario deben coincidir con este nombre de perfil y esta contrasea. Nota: Para que el sistema lleve a cabo la validacin de la contrasea el valor del sistema QSECURITY debe ser 20 o un valor superior. Como proteccin adicional, probablemente querr crear perfiles de usuario especficos para establecer conexiones SLIP. Los perfiles de usuario deben tener autorizacin limitada sobre el sistema. Si no va a utilizar los perfiles para ninguna funcin excepto para establecer conexiones SLIP, puede establecer los valores siguientes en los perfiles de usuario: v Un men inicial (INLMNU), *SIGNOFF v Un programa inicial (INLPGM), *NONE. v Limitar posibilidades (LMTCPB), *YES Estos valores impiden que alguien inicie una sesin interactivamente con el perfil de usuario. __ Paso 2. Cree una lista de autorizaciones para que el sistema haga una comprobacin cuando un peticionario intenta establecer una conexin SLIP. Nota: Esta lista de autorizaciones se especifica en el campo Lista de autorizaciones de acceso al sistema, al crear o modificar el perfil de SLIP. (Vea el paso 4.) __ Paso 3. Utilice el mandato Aadir entrada de autorizacin (ADDAUTLE) para aadir el perfil de usuario creado en el paso 1 a la lista de autorizaciones. Puede crear una lista de autorizaciones exclusiva para cada perfil de configuracin punto a punto, o puede crear una lista de autorizaciones que compartan varios perfiles de configuracin. __ Paso 4. Utilice el mandato WRKTCPPTP para establecer un perfil *ANS punto a punto de TCP/IP que tenga las caractersticas siguientes: v El perfil de configuracin debe utilizar un script de dilogo que incluya la funcin de validacin del usuario. La validacin del usuario incluye la aceptacin de un ID de usuario y de una contrasea del peticionario y su validacin. El sistema se enva con varios scripts de dilogo de ejemplo que proporcionan esta funcin. v El perfil de configuracin debe especificar el nombre de la lista de autorizaciones creada en el paso 2. El ID de usuario que recibe el script de dilogo de conexin debe estar en la lista de autorizaciones. Tenga en cuenta que el valor de configuracin de la seguridad de marcacin se ve afectado por las posibilidades y las prcticas de seguridad de los sistemas que efectan la marcacin de entrada. Si necesita un ID de usuario y una contrasea, el script de dilogo de conexin del sistema peticionario debe enviar el ID de usuario y la contrasea. Algunos sistemas, como el iSeries, proporcionan un mtodo de seguridad para almacenar los ID de usuario y las contraseas.(Este mtodo se describe en el apartado Seguridad y sesiones de marcacin en la pgina 175). Otros sistemas almacenan el ID de usuario y la contrasea en un script que puede ser accesible a cualquiera que sepa donde encontrarlo en el sistema.
174
Debido a las diferentes posibilidades y prcticas en materia de seguridad de los comunicantes, querr crear diferentes perfiles de configuracin para diferentes entornos de peticin. Puede utilizar el mandato STRTCPPTP para configurar el sistema para aceptar una sesin para un perfil de configuracin especfico. Para algunos perfiles de configuracin puede arrancar sesiones slo en determinados momentos del da, por ejemplo. Puede utilizar la auditora de seguridad para llevar un registro de anotaciones cronolgicas de la actividad de los perfiles de usuario asociados.
Cmo evitar que los usuarios de marcacin accedan a otros sistemas

Dependiendo del sistema y de la configuracin de red, un usuario que arranque una conexin SLIP puede ser capaz de acceder a otro sistema en la red sin iniciar la sesin en el sistema. Por ejemplo, un usuario podra establecer una conexin SLIP con el sistema. A continuacin, el usuario podra establecer una conexin FTP con otro sistema de la red que no permita entrar por una lnea telefnica. Puede evitar que un usuario SLIP acceda a otros sistemas de la red especificando N (No) para el campo Permitir reenvo de datagramas IP en el perfil de configuracin. Esto impide que un usuario acceda a la red antes de que inicie sesin en su sistema. Sin embargo, una vez que el usuario haya iniciado la sesin de forma satisfactoria en el sistema, el valor de reenvo de datagramas no tiene efecto. No limita la capacidad del usuario para utilizar una aplicacin TCP/IP en el sistema iSeries (por ejemplo, FTP o TELNET), para establecer una conexin con otro sistema de la red.
Control de las sesiones de marcacin

Antes de que alguien pueda utilizar SLIP para establecer una conexin de marcacin de salida desde el sistema, debe arrancar un perfil de configuracin *DIAL de SLIP. Para crear o cambiar un perfil de configuracin SLIP, utilice el mandato WRKTCPPTP. Para arrancar un perfil de configuracin, utilice el mandato Arrancar punto a punto de TCP/IP (STRTCPPTP) o una opcin de la pantalla WRKTCPPTP. Cuando el sistema se enva, la autorizacin de uso pblico para los mandatos STRTCPPTP y ENDTCPPTP es *EXCLUDE. Las opciones aadir, cambiar y suprimir perfiles de configuracin de SLIP estn disponibles slo si tiene autorizacin especial *IOSYSCFG. Como administrador de seguridad, puede utilizar la autorizacin de mandatos y la autorizacin especial para determinar quin puede configurar el sistema para permitir conexiones de marcacin de salida.
Seguridad y sesiones de marcacin

Los usuarios del sistema iSeries querrn establecer conexiones de marcacin con sistemas que requieran validacin de usuario. El script de dilogo de conexin en el sistema iSeries debe enviar un ID de usuario y una contrasea al sistema remoto. El iSeries proporciona un mtodo de seguridad para almacenar la contrasea.No es necesario almacenar la contrasea en el script de dilogo de conexin. Notas: 1. A pesar de que el sistema almacena la contrasea de conexin de forma cifrada, el sistema la descifra antes de enviarla. Las contraseas de SLIP, igual que las contraseas de FTP y TELNET, se envan descifradas. Sin embargo, al contrario que con FTP y TELNET, la contrasea SLIP se enva antes de que los sistemas establezcan la modalidad TCP/IP. Puesto que SLIP utiliza una conexin punto a punto en la modalidad asncrona, el riesgo en la seguridad al enviar contraseas no cifradas es distinto del riesgo
175
con las contraseas FTP y TELNET. Las contraseas no cifradas de FTP y TELNET pueden enviarse como trfico IP en una red y son, por tanto, vulnerables a la bsqueda electrnica. La transmisin de la contrasea SLIP es tan segura como lo sea la conexin telefnica entre ambos sistemas. 2. El archivo por omisin para almacenar los scripts de dilogo de conexin SLIP es QUSRSYS/QATOCPPSCR. La autorizacin de uso pblico para este archivo es *USE, lo que evita que los usuarios pblicos cambien los scripts de dilogo de conexin por omisin. Cuando crea un perfil de conexin para una sesin remota que necesite validacin, haga lo siguiente: __ Paso 1. Asegrese de que el valor del sistema Retener datos de seguridad del servidor (QRETSVRSEC) es 1 (S). Este valor del sistema determina si permitir que las contraseas que pueden descifrarse se almacenen en un rea protegida de su sistema. __ Paso 2. Utilice el mandato WRKTCPPTP para crear un perfil de configuracin que tenga las caractersticas siguientes: v Para la modalidad del perfil de configuracin, especifique *DIAL. v Para el Nombre de acceso de servicio remoto, especifique el ID de usuario que el sistema remoto espera. Por ejemplo, si va a conectarse con otro iSeries, especifique el nombre del perfil de usuario en el iSeries. v Para la Contrasea de acceso de servicio remoto, especifique la contrasea que el sistema remoto espera para este ID de usuario. En el iSeries, esta contrasea se almacena en un rea protegida en un formato que puede descifrarse.Los nombres y las contraseas que asigna a los perfiles de configuracin estn asociados con el perfil de usuario de QTCP. Los nombres y las contraseas no son accesibles con ninguna interfaz o mandato de usuario. Slo los programas registrados del sistema pueden acceder a esta informacin de contrasea. Nota: Tenga en cuenta que las contraseas para sus perfiles de conexin no se salvan al salvar los archivos de configuracin de TCP/IP. Para salvar las contraseas SLIP, necesita utilizar el mandato Salvar datos de seguridad (SAVSECDTA) para salvar el perfil de usuario QTCP. v Para el script de dilogo de conexin, especifique un script que enve el ID de usuario y la contrasea. El sistema se enva con varios scripts de dilogo de ejemplo que proporcionan esta funcin. Cuando el sistema ejecuta el script, recupera la contrasea, la descifra y la enva al sistema remoto.
Consideraciones de seguridad para el protocolo PPP (punto a punto)

A partir de la V4R2, el protocolo PPP (punto a punto) est disponible como parte de TCP/IP. PPP es un estndar comercial para las conexiones punto a punto que proporciona funciones adicionales sobre lo que est disponible con SLIP. Con PPP, el iSeries puede tener conexiones de alta velocidad directamente con un proveedor de servicios de Internet o con otros sistemas de una intranet o una extranet.Las LAN remotas pueden realmente conectarse mediante marcacin al iSeries.
176
Recuerde que PPP, al igual que SLIP, proporciona una conexin de red para el iSeries.Esencialmente, una conexin PPP trae al peticionario a la puerta del sistema. El peticionario sigue necesitando un ID de usuario y una contrasea para entrar en el sistema y conectarse a un servidor TCP/IP como TELNET o FTP. A continuacin se proporcionan algunas consideraciones de seguridad con esta nueva posibilidad de conexin: Nota: Puede configurar PPP utilizando Operations Navigator o una estacin de trabajo Client Access AS/400 para Windows 95/NT. v PPP proporciona la posibilidad de tener conexiones dedicadas (en las que el mismo usuario tiene siempre la misma direccin IP). Con una direccin dedicada, tiene el potencial para suplantacin de IP (un sistema impostor que pretende hacerse pasar por un sistema de confianza con una direccin IP conocida). Sin embargo, las posibilidades de autenticacin mejoradas que proporciona PPP ayudan en la proteccin contra la suplantacin de IP. v Con PPP, al igual que con SLIP, puede crear perfiles de conexin que tienen un nombre de usuario y una contrasea asociada. No obstante, al contrario que con SLIP, el usuario no necesita tener un perfil de usuario y contrasea de iSeries 400 vlidos. El nombre de usuario y la contrasea no estn asociados con un perfil de usuario de iSeries 400, sino que se utilizan listas de validacin para la autenticacin de PPP. Adems, PPP no requiere un script de conexin. La autenticacin (intercambio de nombre de usuario y contrasea) es parte de la arquitectura PPP y transcurre a un nivel ms bajo que en el caso de SLIP. v Con PPP tiene la opcin de utilizar CHAP (challenge handshake authentication protocol). Ya no necesitar preocuparse acerca de si existen escuchas ocultas en busca de contraseas porque CHAP cifra los nombres de usuario y las contraseas. La conexin PPP utiliza CHAP solamente si ambas partes tienen soporte CHAP. Durante las seales de intercambio para establecer las comunicaciones entre dos mdems, los dos sistemas negocian. Por ejemplo, si SYSTEMA soporta CHAP y SYSTEMB no, SYSTEMA puede denegar la sesin o avenirse a utilizar un nombre de usuario y una contrasea no cifrados. Aceptar la utilizacin de un nombre de usuario y de una contrasea no cifrados significa negociar a la baja. La decisin de negociar a la baja es una opcin de configuracin. En la intranet, por ejemplo, donde sabe que todos los sistemas tienen posibilidad CHAP, debe configurar el perfil de conexin de forma que no negocie a la baja. En una conexin de uso pblico donde el sistema est marcando fuera, puede ser deseable negociar a la baja. El perfil de conexin para PPP proporciona la posibilidad de especificar direcciones IP vlidas. Puede, por ejemplo, indicar que espera una direccin o un rango de direcciones especficos para un usuario determinado. Esta posibilidad, conjuntamente con la capacidad para contraseas cifradas, proporciona una mayor proteccin contra la suplantacin. Como proteccin adicional contra la suplantacin o el parasitismo en una sesin activa, puede configurar PPP para que pida confirmacin a intervalos establecidos. Por ejemplo, mientras una sesin PPP est activa, el iSeries puede pedir al otro sistema un usuario y una contrasea. Esto lo hace cada 15 minutos para asegurarse de que se trata del mismo perfil de conexin. (El usuario final no se dar cuenta de la existencia de esta actividad de confirmacin. Los sistemas intercambian los nombres y las contraseas por debajo del nivel que ve el usuario final.) Con PPP, es realista esperar que las LAN remotas puedan establecer una conexin por marcacin con el iSeries y con la red ampliada.En este entorno, probablemente sea un requisito tener activado el reenvo de IP. El reenvo de IP
177
tiene el potencial para permitir a un intruso vagar por la red. Sin embargo, PPP tiene protecciones ms potentes (como el cifrado de contraseas y la validacin de la direccin IP). Esto convierte en menos probable el que un intruso pueda establecer una conexin de red en primer lugar. Para obtener ms informacin acerca de PPP, consulte la publicacin TCP/IP Configuration and Reference.
Consejos de seguridad para Telnet

TELNET proporciona una sesin interactiva en el sistema. El sistema presenta la pantalla de inicio de sesin a cualquiera que intente entrar en el sistema utilizando TELNET. TELNET necesita una contrasea si el sistema funciona con un nivel de seguridad de 20 o uno mayor. | | | Nota: Cuando tenga Estaciones de red conectadas a su iSeries, debe tener TELNET en ejecucin. Las Estaciones de red utilizan TN5250E (TELNET) para las sesiones de iSeries.
Consejos para evitar el acceso de Telnet

Si no quiere que nadie utilice TELNET para acceder al sistema, debe evitar el funcionamiento del servidor TELNET. Haga lo siguiente: __ Paso 1. Para evitar que los trabajos del servidor TELNET se arranquen automticamente al arrancar TCP/IP, teclee lo siguiente:
CHGTELNA AUTOSTART(*NO)
Notas: a. AUTOSTART(*YES) es el valor por omisin. b. Control de los servidores TCP/IP que se inician automticamente en la pgina 170 proporciona ms informacin acerca del control de los servidores TCP/IP que se inician automticamente. __ Paso 2. Para evitar que alguien asocie una aplicacin de usuario, tal como una aplicacin socket, con el puerto que el sistema utiliza normalmente para TELNET, haga lo siguiente: __ Paso a. Teclee GO CFGTCP para visualizar el men Configurar TCP/IP. __ Paso b. Seleccione la opcin 4 (Trabajar con restricciones de puerto TCP/IP). __ Paso c. En la pantalla Trabajar con restricciones de puerto TCP/IP, especifique la opcin 1 (Aadir). __ Paso d. Para el rango del puerto ms bajo, especifique 23 (para TELNET no SSL) o 992 (para TELNET SSL). Nota: Estos nmeros de puerto estn especificados en la tabla Trabajar con entradas de tabla de servicios (WRKSRVTBLE) bajo telnet y telnet-ssl. Pueden correlacionarse con puertos que no sean 23 y 992. __ Paso e. Para el rango del puerto ms alto, especifique *ONLY. Notas: 1) La restriccin de puertos entra en vigor cuando se vuelve a arrancar TCP/IP. Si TCP/IP est activo cuando se establecen las restricciones de puertos, debe finalizar TCP/IP y arrancarlo de nuevo.
178
2) RFC1700 proporciona informacin sobre las asignaciones de nmeros de puerto comunes. __ Paso f. Para el protocolo, especifique *TCP. __ Paso g. Para el campo de perfil de usuario, especifique un nombre de perfil de usuario protegido en el sistema. (Los perfiles de usuario protegidos no son propietarios de programas que adoptan autorizacin y no tienen contraseas conocidas por otros usuarios.) Restringiendo el puerto a un usuario especfico, excluye automticamente a todos los dems usuarios. Si el puerto est restringido al perfil QTCP, los servidores TELNET pueden ejecutarse. Si est restringido a un perfil que no sea QTCP, los servidores TELNET no podrn utilizar ese puerto. Nota: Si desea impedir el acceso tanto a TELNET no SSL como a TELNET SSL, repita el paso 2 en la pgina 178 y especifique el otro puerto en la parte 2d en la pgina 178.
Consejos para controlar el acceso de Telnet

A continuacin se proporcionan consideraciones y sugerencias sobre el acceso de clientes TELNET al sistema: | Autenticacin de cliente: A partir de la V4R4 (habilitado para PTF), el servidor TELNET soporta la autenticacin de cliente, adems de la autenticacin de servidor SSL soportada actualmente. Cuando est habilitado, el servidor TELNET de iSeries autentica los certificados de servidor y de cliente cuando los clientes de TELNET se conectan al puerto SSL TELNET. Los clientes de TELNET que no enven un certificado de cliente vlido cuando intenten conectarse al puerto SSL TELNET, no podrn establecer una sesin de pantalla o impresora. Encontrar ms informacin en http://www.as400.ibm.com/tcpip/telnet/ssl.htm. Proteccin de contraseas: Las contraseas de TELNET no estn cifradas cuando se envan entre el cliente tradicional y el servidor. Dependiendo de los mtodos de conexin, el sistema puede ser vulnerable al robo de contraseas mediante el husmeo de la lnea. Las contraseas de Telnet estarn cifradas si se utilizan negociaciones TN5250E para intercambiar una contrasea cifrada. En tal caso, puede saltarse el panel de inicio de sesin y no se enviar por la red ninguna contrasea de texto claro. Solamente se cifra la contrasea con TN5250E, SSL es necesario para cifrar todo el trfico. Nota: La supervisin de una lnea utilizando equipo electrnico se denomina a menudo husmear (sniffing). Sin embargo, si utiliza el servidor TELNET SSL (nuevo en la V4R4) y un cliente de TELNET habilitado para SSL, todas las transacciones, incluidas las contraseas, estarn cifradas y protegidas. El puerto SSL de TELNET est definido en la entrada WRKSRVTBLE bajo telnet-ssl. Limitacin del nmero de intentos de inicio de sesin: A pesar de que el valor del sistema QMAXSIGN se aplica a TELNET, se reduce la efectividad de este valor del sistema si se configura el sistema para configurar dispositivos virtuales automticamente. Cuando el valor del sistema QAUTOVRT tiene un valor mayor que 0, el usuario de TELNET no satisfactorio puede volver a conectarse a un dispositivo virtual de creacin reciente. Esto puede continuar hasta que se produzca una de las situaciones siguientes:
179
v Todos los dispositivos virtuales estn inhabilitados y el sistema haya excedido el lmite para crear nuevos dispositivos virtuales. v Todos los perfiles de usuario estn inhabilitados. v El pirata informtico consigue iniciar la sesin en el sistema. La configuracin automtica de dispositivos virtuales multiplica el nmero de intentos TELNET disponibles. Nota: Para facilitar el control de dispositivos virtuales, podr establecer un valor para el valor del sistema QAUTOVRT que sea mayor que 0 durante un breve perodo de tiempo. Utilice TELNET para forzar al sistema a crear dispositivos o espere hasta que otros usuarios hayan originado que el sistema cree dispositivos virtuales suficientes. A continuacin establezca en 0 el valor del sistema QAUTOVRT. Las mejoras de TELNET de la V4R2 proporcionan una opcin para limitar el nmero de veces que un pirata puede intentar entrar en el sistema. Puede crear un programa de salida que llame el sistema siempre que un cliente intente iniciar una sesin TELNET. El programa de salida recibe la direccin IP del peticionario. Si el programa observa una serie de peticiones de la misma direccin IP en un breve perodo de tiempo, el programa puede actuar denegando posteriores peticiones de la direccin y enviando un mensaje a la cola de mensajes QSYSOPR. El apartado Visin general de las posibilidades del programa de salida TELNET en la pgina 182 proporciona una visin general de las posibilidades del programa de salida de TELNET. Nota: De forma alternativa tambin puede utilizar el programa de salida de TELNET para proporcionar un registro cronolgico. En lugar de dejar que el programa tome decisiones acerca de los intentos de irrupcin potenciales, puede utilizar el registro cronolgico para supervisar los intentos de iniciar sesiones TELNET. Finalizacin de sesiones inactivas: Puede utilizar el parmetro Tiempo de espera de inactividad (INACTTIMO) en la configuracin TELNET para reducir posibles conflictos cuando el usuario deja una sesin TELNET desatendida. Lea la documentacin o la ayuda en lnea para comprender el funcionamiento en comn del parmetro INACTTIMO y del temporizador de conexin (para el arranque del servidor). Nota: No se proporciona soporte para INACTTIMO a partir de la V4R4. Se ha eliminado este parmetro del panel CHGTELNA. A partir de la V4R3, las sesiones TELNET se incluyen en el proceso QINACTITV del sistema. El valor del sistema QINACTMSGQ define la accin para las sesiones TELNET interactivas que estn inactivas cuando expire el intervalo de tiempo de espera del trabajo inactivo. Si el valor QINACTMSGQ especifica que el trabajo debera desconectarse, la sesin deber soportar la funcin de trabajo desconectado. De lo contrario, el trabajo finalizar en lugar de desconectarse. Las sesiones TELNET que continen utilizando descripciones de dispositivo denominadas QPDEVxxxx no permitirn a los usuarios desconectarse de esos trabajos. La desconexin de dichos trabajos no se permite, ya que la descripcin de dispositivo con la que el usuario se vuelve a conectar es impredecible. La desconexin de un trabajo requiere la misma descripcin de dispositivo cuando el usuario vuelve a conectar con el trabajo. El tiempo de espera de trabajo inactivo se
180
soporta en todos los tipos de TELNET, incluyendo TCP/IP TELNET, IPX TELNET, y Workstation Gateway. Si est utilizando el parmetro INACTTIMO o TELNET para definir el tiempo de espera de las sesiones, deber cambiar y utilizar el valor del sistema QINACTITV. Workstation Gateway utiliza un temporizador independiente en el valor INACTTIMO que funciona adems del valor QINACTITV. Cualquiera de estos dos valores puede desencadenar un tiempo de espera de sesin excedido en Workstation Gateway. Restriccin de perfiles de usuario potentes: Puede utilizar el valor del sistema QLMTSECOFR para restringir los usuarios con autorizacin especial *ALLOBJ o *SERVICE. El usuario o QSECOFR debe tener autorizacin explcita sobre un dispositivo para iniciar la sesin. De este modo, puede evitar que alguien con autorizacin especial *ALLOBJ utilice TELNET para acceder al sistema, asegurndose de que QSECOFR no tiene autorizacin sobre ningn dispositivo virtual. En lugar de evitar a los usuarios de TELNET que tengan autorizacin especial *ALLOBJ, puede restringir a los usuarios potentes de TELNET por ubicacin. Con el punto de salida de iniciacin de TELNET en la V4R2 puede crear un programa de salida que asigne una descripcin de dispositivo de iSeries especfica a una peticin de sesin basndose en la direccin IP del peticionario. Control de la funcin por ubicacin: Es posible que desee controlar qu funciones permite o qu men ve el usuario basndose en la ubicacin en la que se origina la peticin TELNET. La API (interfaz de programacin de aplicaciones) QDCRDEVD proporciona acceso a la direccin IP del peticionario. A continuacin se proporcionan algunas sugerencias para utilizar este soporte: v Para la V4R1, podra utilizar la API en un programa inicial para todos los usuarios (si la actividad de TELNET es significativa en su entorno). Basndose en la direccin IP del usuario que solicita el inicio de sesin, puede establecer el men para el usuario o incluso cambiar a un perfil de usuario especfico. v A partir de la V4R2, puede utilizar el programa de salida de TELNET para tomar decisiones basndose en la direccin IP del peticionario. Esto elimina la necesidad de definir un programa inicial en cada perfil de usuario. Puede, por ejemplo, establecer el men inicial del usuario, establecer el programa inicial para el usuario o especificar bajo qu perfil de usuario se ejecutar la sesin TELNET. Nota: Adems, teniendo acceso a la direccin IP del usuario, puede proporcionar impresin dinmica en una impresora asociada a la direccin IP del usuario. La API QDCRDEVD tambin devolver direcciones IP para impresoras, as como para pantallas. Seleccione el formato DEVD1100 para impresoras y DEVD0600 para pantallas. Control del inicio de sesin automtico: A partir de la V4R2, TELNET permite a un usuario de Client Access pasar por alto la pantalla Inicio de sesin enviando un nombre de perfil de usuario y una contrasea con la peticin de sesin TELNET. El sistema utiliza el valor del sistema QRMTSIGN (Inicio de sesin remoto) para determinar cmo se manejan las peticiones de inicio de sesin automtico. En la Tabla 24 en la pgina 182 se muestran las opciones. Estas opciones se aplican solamente cuando la peticin TELNET incluye un ID de usuario y una contrasea.
181
Tabla 24. Funcionamiento de QRMTSIGN con TELNET

*REJECT *VERIFY *SAMEPRF *FRCSIGNON No se permite que las sesiones TELNET soliciten el inicio de sesin automtico Si la combinacin de perfil de usuario y contrasea es vlida, se inicia la sesin TELNET.1 Si la combinacin de perfil de usuario y contrasea es vlida, se inicia la sesin TELNET.1 El sistema ignora el perfil de usuario y la contrasea. El usuario ve la pantalla Inicio de sesin.
Notas: 1. Esta validacin se produce antes de que se ejecute el programa de salida TELNET. El programa de salida recibe una indicacin acerca de si la validacin ha sido satisfactoria o insatisfactoria. El programa de salida todava puede permitir o denegar la sesin, independientemente del indicador. La indicacin tiene uno de los valores siguientes: v Valor = 0, Contrasea de cliente no validada (o no se ha recibido una contrasea). v Valor = 1, Contrasea de cliente en texto claro validada v Valor = 2, Contrasea de cliente cifrada validada
Nota: Un programa de salida de TELNET puede alterar temporalmente el valor de QRMTSIGN eligiendo si permite o no el inicio de sesin automtico para un peticionario (probablemente basndose en la direccin IP). Permitir inicio de sesin annimo: A partir de la V4R2, puede utilizar los programas de salida de TELNET para proporcionar TELNET annimos o invitados en el sistema. Con el programa de salida, puede detectar la direccin IP del peticionario. Si la direccin IP proviene de fuera de la organizacin, puede asignar la sesin TELNET a un perfil de usuario que tenga autorizacin limitada sobre el sistema y un men especfico. Puede ignorar la pantalla Inicio de sesin de forma que el visitante no tenga oportunidad de utilizar otro perfil de usuario ms potente. Con esta opcin el usuario no necesita proporcionar un ID de usuario y una contrasea.
Visin general de las posibilidades del programa de salida TELNET

A partir de la V4R2, puede registrar programas de salida escritos por el usuario que se ejecuten al iniciarse una sesin de TELNET y al finalizar. A continuacin se ofrecen ejemplos de lo que puede hacer al iniciar el programa de salida: v Si est en la V4R4 y ha instalado los PTF mencionados anteriormente, puede utilizar la nueva Direccin IP de servidor (local) en servidores iSeries 400 multiubicacin para direccionar conexiones a distintos subsistemas basados en la interfaz de red (direccin IP). v Permitir o denegar la sesin, basndose en criterios conocidos, tales como la direccin IP del usuario, la hora del da y el perfil de usuario solicitado. v Asignar una descripcin de dispositivo iSeries para la sesin. Esto permite direccionar el trabajo interactivo a cualquier subsistema configurado para recibir dichos dispositivos. v Asignar valores de Idioma nacional especficos para la sesin, tales como el teclado y el juego de caracteres. v Asignar un perfil de usuario especfico para la sesin. v Conectar al solicitante automticamente (sin mostrar una pantalla de Inicio de sesin). v Establecer el registro cronolgico de auditora para la sesin.
182
Para obtener ms informacin sobre los programas de salida TELNET, vea el Apndice E, Puntos y programas de salida de aplicaciones TCP/IP, en la publicacin TCP/IP Configuration and Reference. Puede encontrar un programa de ejemplo en la ubicacin Web siguiente:
http://www.as400.ibm.com/tstudio/tech_ref/tcp/indexfr.htm
o vaya al Information Center, seleccione Redes > TCP/IP > Servicios y aplicaciones TCP/IP > Telnet > programas de salida ejemplo de Telnet.
Consejos de seguridad para el protocolo de transferencia de archivos

FTP (protocolo de transferencia de archivos) ofrece la posibilidad de transferir archivos entre el cliente (un usuario en otro sistema) y el servidor (su sistema). Tambin puede utilizar la posibilidad de mandato remoto de FTP para someter mandatos al sistema servidor. FTP requiere un ID de usuario y una contrasea. Sin embargo, puede utilizar los puntos de salida del Servidor FTP para proporcionar una funcin FTP annimo para los usuarios invitados (los usuarios que no tienen ID de usuario ni contrasea en el sistema). Para un FTP annimo seguro, debe escribir programas de salida para los puntos de salida Inicio de sesin de Servidor FTP y Validacin de peticin de Servidor FTP.
Consejos para evitar el acceso de FTP

Si no quiere que nadie utilice FTP para acceder al sistema, debe evitar el funcionamiento del servidor FTP. Haga lo siguiente: __ Paso 1. Para evitar el arranque automtico de los trabajos del servidor FTP al arrancar TCP/IP, teclee lo siguiente:
CHGFTPA AUTOSTART(*NO)
Notas: a. AUTOSTART(*YES) es el valor por omisin. b. Control de los servidores TCP/IP que se inician automticamente en la pgina 170 proporciona ms informacin acerca del control de los servidores TCP/IP que se inician automticamente. __ Paso 2. Para evitar que alguien asocie una aplicacin de usuario, tal como una aplicacin socket, con el puerto que el sistema utiliza normalmente para FTP, haga lo siguiente: __ Paso a. Teclee GO CFGTCP para visualizar el men Configurar TCP/IP. __ Paso b. Seleccione la opcin 4 (Trabajar con restricciones de puerto TCP/IP). __ Paso c. En la pantalla Trabajar con restricciones de puerto TCP/IP, especifique la opcin 1 (Aadir). __ Paso d. Para el rango del puerto ms bajo, especifique 20. __ Paso e. Para el rango del puerto ms alto, especifique 21. __ Paso f. Para el protocolo, especifique *TCP. __ Paso g. Para el campo de perfil de usuario, especifique un nombre de perfil de usuario protegido en el sistema. (Los perfiles de usuario protegidos no son propietarios de programas que adoptan autorizacin y no tienen contraseas
183
conocidas por otros usuarios.) Restringiendo el puerto a un usuario especfico, excluye automticamente a todos los dems usuarios. Notas: a. La restriccin de puertos entra en vigor cuando se vuelve a arrancar TCP/IP. Si TCP/IP est activo cuando se establecen las restricciones de puertos, debe finalizar TCP/IP y arrancarlo de nuevo. b. RFC1700 proporciona informacin sobre los nmeros de puerto asignados. c. Si los puertos 20 o 21 estn restringidos a un perfil de usuario que no sea QTCP, un intento de iniciar el servidor FTP har que finalice de inmediato con errores. d. Este mtodo slo funciona para restringir completamente una aplicacin, como el servidor FTP. No funciona para restringir usuarios especficos. Cuando un usuario se conecta al servidor FTP, la peticin utiliza inicialmente el perfil QTCP. El sistema utiliza el perfil de usuario individual una vez que la conexin es satisfactoria. Cada usuario del servidor FTP utiliza la autorizacin de QTCP para puerto.
Consejos para controlar el acceso de FTP

Si quiere permitir que los clientes de FTP accedan a su sistema, tenga en cuenta las siguientes cuestiones de seguridad: v Probablemente el esquema de autorizacin de objetos no proporcionar una proteccin suficientemente detallada al permitir FTP en el sistema. Por ejemplo, cuando un usuario tiene la autorizacin para ver un archivo (autorizacin *USE), el usuario puede tambin copiar el archivo a un PC o a otro sistema. Probablemente querr proteger algunos archivos para que no se copien a otro sistema. Puede utilizar los programas de salida de FTP para restringir las operaciones de FTP que pueden llevar a cabo los usuarios. Puede utilizar la Salida de validacin de peticin FTP para controlar las operaciones que permite. Por ejemplo, puede rechazar peticiones GET para archivos de base de datos especficos. Puede utilizar la Salida de inicio de sesin del servidor FTP para autenticar los usuarios que inicien la sesin en el servidor FTP. El apartado TCP/IP User Exits de la publicacin TCP/IP Configuration and Reference describe este punto de salida y proporciona programas de ejemplo. El apndice TCP/IP User Exits del manual TCP/IP Configuration and Reference tambin describe cmo utilizar programas de salida para poner a punto el soporte para FTP annimo en el sistema. v Las contraseas de FTP no estn cifradas cuando se envan entre el sistema cliente y el sistema servidor. Dependiendo de los mtodos de conexin, el sistema ser vulnerable al robo de contraseas mediante el husmeo de la lnea. v Si el valor del sistema QMAXSGNACN se establece en 1, el valor del sistema QMAXSIGN es aplicable a TELNET pero no a FTP. Si QMAXSGNACN se establece en 2 o 3 (valores que inhabilitan el perfil si se alcanza el nmero mximo de inicios de sesin), se cuentan los intentos de inicio de sesin de FTP. En este caso, un pirata puede montar un ataque de denegacin de servicio a travs de FTP intentando repetidamente iniciar la sesin con una contrasea incorrecta hasta que se inhabilite el perfil de usuario.
184
Para cada intento no satisfactorio, el sistema anota el mensaje CPF2234 en las anotaciones cronolgicas QHST. Puede escribir un programa para supervisar las anotaciones cronolgicas QHST para el mensaje. Si el programa detecta intentos repetidos, puede finalizar los servidores FTP. v Puede utilizar el parmetro Tiempo de espera de inactividad (INACTTIMO) en la configuracin FTP para reducir posibles conflictos cuando el usuario deja una sesin FTP desatendida. Lea la documentacin o la ayuda en lnea para comprender el funcionamiento en comn del parmetro INACTTIMO y del temporizador de conexin (para el arranque del servidor). Nota: El valor del sistema QINACTITV no influye en las sesiones FTP. La publicacin TCP/IP Configuration and Reference describe cmo utilizar el soporte de proceso por lotes FTP para, por ejemplo, enviar archivos por la noche entre sistemas. Cuando utiliza el soporte de proceso por lotes de FTP, el programa debe enviar el ID de usuario y la contrasea al sistema servidor. O bien el ID de usuario y la contrasea deben estar codificados en el programa o el programa debe recuperarlos de un archivo. Ambas opciones para almacenar contraseas e ID de usuario representan un riesgo potencial para la seguridad. Si utiliza el proceso por lotes de FTP, debe asegurarse de que utiliza la seguridad de objetos para proteger la informacin del ID de usuario y de la contrasea. Tambin debe utilizar un slo ID de usuario que tenga una autoridad muy limitada sobre el sistema destino. nicamente debe tener autorizacin suficiente para realizar la funcin deseada, como puede ser la transferencia de archivos. FTP proporciona la posibilidad de mandato remoto, al igual que las comunicaciones avanzadas programa a programa (APPC) y Client Access. El submandato del servidor FTP RCMD (Mandato remoto) equivale a tener una lnea de mandatos en el sistema. Antes de permitir FTP, asegrese de que dispone del esquema de la seguridad de objetos adecuado. Tambin puede utilizar el programa de salida de FTP para limitar o rechazar los intentos de utilizar el submandato RCMD. El apartado TCP/IP User Exits de la publicacin TCP/IP Configuration and Reference describe este punto de salida y proporciona programas de ejemplo. A partir de la V3R2 y V3R7, un usuario puede acceder a los objetos del sistema de archivos integrado con FTP. Por lo tanto, es necesario asegurarse de que el esquema de autorizacin para el sistema de archivos integrado es el adecuado cuando se ejecuta el servidor FTP en el sistema. El Captulo 12. Utilizacin del Sistema de Archivos Integrado (IFS) para proteger los archivos en la pgina 133 proporciona sugerencias para la seguridad del sistema de archivos integrado. Una actividad habitual de los piratas consiste en utilizar una ubicacin que ignora que est siendo utilizada como depsito de informacin. A veces, la informacin puede ser ilegal o pornogrfica. Si un pirata consigue acceder a su ubicacin a travs de FTP, el pirata transfiere esta informacin indeseable al sistema. El pirata comunica entonces a otros piratas la direccin del sistema. Estos accedern entonces al sistema mediante FTP y bajarn la informacin indeseable. Puede utilizar los programas de salida de FTP como ayuda para protegerse frente a estos ataques. Por ejemplo, puede dirigir todas las peticiones para subir informacin a un directorio que sea de slo grabacin. Esto destruye el objetivo del pirata porque los otros piratas ya no podrn bajar la informacin del directorio. AS/400 Internet Security: Protecting Your AS/400 from HARM on the Internet se proporciona ms informacin acerca de los riesgos de permitir subir informacin mediante FTP y de las posibles soluciones.
185
Consejos para la seguridad del servidor de Protocolo Bootstrap

El Protocolo Bootstrap (BOOTP) proporciona un mtodo dinmico para asociar estaciones de trabajo a servidores y para asignar direcciones IP de estacin de trabajo y recursos de carga del programa inicial (IPL). BOOTP y el protocolo trivial de transferencia de archivos (TFTP) proporcionan soporte para el IBM Network Station para AS/400. BOOTP es un protocolo TCP/IP que se utiliza para permitir que una estacin de trabajo sin ningn tipo de soporte de almacenamiento (cliente) solicite un archivo que contenga un cdigo inicial de un servidor de la red. El servidor BOOTP escucha al puerto 67 del servidor BOOTP. Al recibir una peticin de un cliente, el servidor busca la direccin IP definida para el cliente y le devuelve una respuesta con la direccin IP del cliente y el nombre del archivo de carga. A continuacin, el cliente inicia una peticin TFTP al servidor solicitando el archivo de carga. La correlacin entre la direccin IP y la direccin de hardware del cliente se mantiene en la tabla BOOTP del iSeries.
Consejos para evitar el acceso BOOTP

Si no tiene ninguna Network Station conectada a su iSeries, no necesita ejecutar el servidor BOOTP en su sistema.Puede utilizarse para otros dispositivos, pero la solucin preferida para esos dispositivos es utilizar DHCP. Para evitar que se ejecute el servidor BOOTP, haga lo siguiente: __ Paso 1. Para evitar que los trabajos del servidor BOOTP se inicien automticamente al arrancar TCP/IP, teclee lo siguiente:
CHGBPA AUTOSTART(*NO)
Notas: a. AUTOSTART(*NO) es el valor por omisin. b. Control de los servidores TCP/IP que se inician automticamente en la pgina 170 proporciona ms informacin acerca del control de los servidores TCP/IP que se inician automticamente. __ Paso 2. Para evitar que alguien asocie una aplicacin de usuario, tal como una aplicacin socket, con el puerto que el sistema utiliza normalmente para BOOTP, haga lo siguiente: Nota: Dado que DHCP y BOOTP utilizan el mismo nmero de puerto, esto tambin inhibir el puerto que DHCP utiliza. No debe restringir el puerto si desea utilizar DHCP. __ Paso a. Teclee GO CFGTCP para visualizar el men Configurar TCP/IP. __ Paso b. Seleccione la opcin 4 (Trabajar con restricciones de puerto TCP/IP). __ Paso c. En la pantalla Trabajar con restricciones de puerto TCP/IP, especifique la opcin 1 (Aadir). __ Paso d. Para el rango del puerto ms bajo, especifique 67. __ Paso e. Para el rango del puerto ms alto, especifique *ONLY. Notas: 1) La restriccin de puertos entra en vigor cuando se vuelve a arrancar TCP/IP. Si TCP/IP est activo cuando se establecen las restricciones de puertos, debe finalizar TCP/IP y arrancarlo de nuevo.
186
2) RFC1700 proporciona informacin sobre las asignaciones de nmeros de puerto comunes. __ Paso f. Para el protocolo, especifique *UCD. __ Paso g. Para el campo de perfil de usuario, especifique un nombre de perfil de usuario protegido en el sistema. (Los perfiles de usuario protegidos no son propietarios de programas que adoptan autorizacin y no tienen contraseas conocidas por otros usuarios.) Restringiendo el puerto a un usuario especfico, excluye automticamente a todos los dems usuarios.
Consejos para la seguridad del servidor BOOTP

El servidor BOOTP no proporciona acceso directo para su sistema iSeries y, por consiguiente, representa un riesgo de seguridad limitado.Su preocupacin principal como administrador de seguridad es asegurarse de que la informacin correcta se asocie a la Network Station correcta. (En otras palabras, una persona malintencionada podra modificar la tabla BOOTP y hacer que las estaciones de trabajo no funcionaran o funcionaran incorrectamente). Para administrar el servidor BOOTP y la tabla BOOTP, debe disponer de la autorizacin especial *IOSYSCFG. Debe controlar cuidadosamente los perfiles de usuario que tienen la autorizacin especial *IOSYSCFG en su sistema. En la publicacin IBM Network Station Manager para AS/400 se describen los procedimientos para trabajar con la tabla BOOTP.
Consejos para la seguridad del servidor Protocolo de Configuracin Dinmica de Sistema Principal (DHCP)
Protocolo de configuracin dinmica de sistema principal (DHCP) proporciona una infraestructura para pasar informacin de configuracin a los sistemas principales en una red TCP/IP. Para las estaciones de trabajo clientes, DHCP puede proporcionar una funcin similar a la configuracin automtica. Un programa habilitado para DHCP en la estacin de trabajo cliente difunde una peticin de informacin de configuracin. Si el servidor DHCP est ejecutndose en el iSeries, el servidor responde a la peticin enviando la informacin que necesita la estacin de trabajo cliente para configurar correctamente TCP/IP. Puede utilizar DHCP para que sea ms sencillo para los usuarios conectarse al iSeries por primera vez.Esto obedece a que el usuario no necesita especificar informacin de configuracin de TCP/IP. Tambin puede utilizar DHCP para reducir el nmero de direcciones internas de TCP/IP que necesita en una subred. El servidor DHCP puede asignar temporalmente direcciones IP a usuarios activos (de su agrupacin de direcciones IP). En el caso de una Network Station puede utilizar DHCP en lugar de BOOTP. DHCP proporciona ms funciones que BOOTP y puede soportar la configuracin dinmica de Network Station y PC.
Consejos para evitar el acceso con DHCP

Si no quiere que nadie utilice el servidor DHCP en el sistema, lleve a cabo lo siguiente: 1. Para evitar que los trabajos del servidor DHCP se inicien automticamente al arrancar TCP/IP, teclee lo siguiente:
CHGDHCPA AUTOSTART(*NO)
187
Notas: a. AUTOSTART(*NO) es el valor por omisin. b. Control de los servidores TCP/IP que se inician automticamente en la pgina 170 proporciona ms informacin acerca del control de los servidores TCP/IP que se inician automticamente. 2. Para evitar que alguien asocie una aplicacin de usuario, tal como una aplicacin socket, con el puerto que el sistema utiliza normalmente para DHCP, haga lo siguiente: a. Teclee GO CFGTCP para visualizar el men Configurar TCP/IP. b. Seleccione la opcin 4 (Trabajar con restricciones de puerto TCP/IP). c. En la pantalla Trabajar con restricciones de puerto TCP/IP, especifique la opcin 1 (Aadir). d. Para el rango del puerto ms bajo, especifique 67. e. Para el rango del puerto ms alto, especifique 68. Notas: 1) La restriccin de puertos entra en vigor cuando se vuelve a arrancar TCP/IP. Si TCP/IP est activo cuando se establecen las restricciones de puertos, debe finalizar TCP/IP y arrancarlo de nuevo. 2) RFC1700 proporciona informacin sobre las asignaciones de nmeros de puerto comunes. f. Para el protocolo, especifique *UDP. g. Para el campo de perfil de usuario, especifique un nombre de perfil de usuario protegido en el sistema. (Los perfiles de usuario protegidos no son propietarios de programas que adoptan autorizacin y no tienen contraseas conocidas por otros usuarios.) Restringiendo el puerto a un usuario especfico, excluye automticamente a todos los dems usuarios.
Consejos para la seguridad del servidor DHCP

A continuacin se proporcionan una serie de consideraciones de seguridad que debe tener en cuenta al ejecutar DHCP en el sistema iSeries: v Restrinja el nmero de usuarios con autoridad para administrar DHCP. La administracin de DHCP requiere la autorizacin siguiente: Autorizacin especial *IOSYSCFG Autorizacin *RW sobre los archivos siguientes:
/QIBM/UserData/OS400/DHCP/dhcpsd.cfg /QIBM/UserData/OS400/DHCP/dhcprd.cfg
v Evale la accesibilidad fsica de la LAN. Podra un extrao entrar fcilmente en sus instalaciones con un porttil y conectarse fsicamente a la LAN? Si esto constituye un riesgo, DHCP proporciona la posibilidad de crear una lista de clientes (direcciones de hardware) que configurar el servidor DHCP. Al utilizar esta caracterstica, se elimina parte de la mejora en la productividad que DHCP proporciona a los administradores de red. Sin embargo, se est evitando que el sistema configure estaciones de trabajo desconocidas. v Si es posible, utilice una agrupacin de direcciones IP que sea reutilizable (no estructurada para Internet). Esto contribuye a evitar que una estacin de trabajo externa a la red obtenga del servidor informacin de configuracin utilizable. v Utilice los puntos de salida de DHCP si necesita proteccin de seguridad adicional. A continuacin se proporciona una visin general de los puntos de salida y de las posibilidades de los mismos. La publicacin iSeries System API Reference describe cmo utilizar estos puntos de salida.
188
Entrada de puerto El sistema llama al programa de salida siempre que lee un paquete de datos del puerto 67 (el puerto de DHCP). El programa de salida recibe el paquete de datos completo. El programa de salida puede decidir si el sistema debe procesar o descartar el paquete. Puede utilizar este punto de salida cuando las caractersticas de proteccin de DHCP no sean suficientes para sus necesidades. Asignacin de direccin El sistema llama al programa de salida siempre que DHCP asigne formalmente una direccin a un cliente. Liberacin de direccin El sistema llama al programa de salida siempre que DHCP libera formalmente una direccin y la vuelve a colocar en la agrupacin de direcciones.
Consejos para la seguridad del servidor de Protocolo trivial de transferencia de archivos

El Protocolo trivial de transferencia de archivos (TFTP) proporciona la transferencia bsica de archivos sin autenticacin de usuario. TFTP trabaja con el Protocolo Bootstrap (BOOTP) o el Protocolo de Configuracin Dinmica de Sistema Principal (DHCP) para proporcionar soporte para la IBM Network Station para AS/400. La IBM Network Station para AS/400 (un cliente de estacin de trabajo sin ningn tipo de soporte de almacenamiento) se conecta inicialmente al servidor BOOTP o al servidor DHCP. El servidor BOOTP o el servidor DHCP responden con la direccin IP del cliente y el nombre del archivo de carga. A continuacin, el cliente inicia una peticin TFTP al servidor solicitando el archivo de carga. Cuando el cliente termina de bajar el archivo de carga, finaliza la sesin TFTP.
Consejos para evitar el acceso TFTP

Si no tiene ninguna Network Station conectada a su iSeries, probablemente no necesite ejecutar el servidor TFTP en el sistema.Para evitar que se ejecute el servidor TFTP, haga lo siguiente: __ Paso 1. Para evitar que los trabajos del servidor TFTP se inicien automticamente al arrancar TCP/IP, teclee lo siguiente:
CHGTFTPA AUTOSTART(*NO)
Notas: a. AUTOSTART(*NO) es el valor por omisin. b. Control de los servidores TCP/IP que se inician automticamente en la pgina 170 proporciona ms informacin acerca del control de los servidores TCP/IP que se inician automticamente. __ Paso 2. Para evitar que alguien asocie una aplicacin de usuario, tal como una aplicacin socket, con el puerto que el sistema utiliza normalmente para TFTP, haga lo siguiente: __ Paso a. Teclee GO CFGTCP para visualizar el men Configurar TCP/IP. __ Paso b. Seleccione la opcin 4 (Trabajar con restricciones de puerto TCP/IP). __ Paso c. En la pantalla Trabajar con restricciones de puerto TCP/IP, especifique la opcin 1 (Aadir).
189
__ Paso d. Para el rango del puerto ms bajo, especifique 69. __ Paso e. Para el rango del puerto ms alto, especifique *ONLY. Notas: 1) La restriccin de puertos entra en vigor cuando se vuelve a arrancar TCP/IP. Si TCP/IP est activo cuando se establecen las restricciones de puertos, debe finalizar TCP/IP y arrancarlo de nuevo. 2) RFC1700 proporciona informacin sobre las asignaciones de nmeros de puerto comunes. __ Paso f. Para el protocolo, especifique *UCD. __ Paso g. Para el campo de perfil de usuario, especifique un nombre de perfil de usuario protegido en el sistema. (Los perfiles de usuario protegidos no son propietarios de programas que adoptan autorizacin y no tienen contraseas conocidas por otros usuarios.) Restringiendo el puerto a un usuario especfico, excluye automticamente a todos los dems usuarios.
Consejos para la seguridad del servidor TFTP

Por omisin, el servidor TFTP proporciona acceso muy limitado al sistema iSeries.Se ha configurado especficamente para proporcionar el cdigo inicial para las Estaciones de red. Como administrador de seguridad, debe tener en cuenta las caractersticas siguientes del servidor TFTP: v El servidor TFTP no requiere autenticacin (una contrasea y un ID de usuario). Todos los trabajos TFTP se ejecutan bajo el perfil de usuario QTFTP. El perfil de usuario QTFTP no tiene una contrasea. Por consiguiente, no est disponible para el inicio de sesin interactivo. El perfil de usuario QTFTP no tiene ninguna autorizacin especial, ni tiene ninguna autorizacin explcita para los recursos del sistema. Utiliza la autorizacin pblica para acceder a los recursos que necesita para las Estaciones de red. v El servidor TFTP est configurado para acceder al directorio que contiene la informacin de la Network Station. Debe tener autorizacin *PUBLIC o QTFTP debe tener autorizacin para leer o grabar en ese directorio. Para grabar en el directorio debe haber especificado *CREATE en el parmetro Permitir grabacin en archivo del mandato CHGTFTPA. Para grabar en un archivo ya existente debe haber especificado *REPLACE en el parmetro Permitir grabacin en archivo de CHGTFTPA. *CREATE le permite sustituir archivos ya existentes o crear archivos nuevos. *REPLACE solamente le permite sustituir archivos ya existentes. Un cliente TFTP no puede acceder a ningn otro directorio a menos que se defina explcitamente en el directorio con el mandato Cambiar atributos TFTP (CHGTFTPA). Por consiguiente, si un usuario local o remoto no intenta iniciar una sesin TFTP para el sistema, la posibilidad del usuario de acceder a la informacin o causar daos es extremadamente limitada. v Si elige configurar el servidor TFTP para proporcionar otros servicios, adems de manejar Estaciones de red, puede definir un programa de salida para evaluar y autorizar cada peticin TFTP. El servidor TFTP proporciona una salida de validacin de peticin similar a la salida que est disponible para el servidor FTP. Nota: El apartado TCP/IP User Exits de la publicacin TCP/IP Configuration and Reference describe el punto de salida de FTP y proporciona programas de ejemplo. Puede utilizar la misma tcnica para el punto de salida TFTP.
190
Consejos para la seguridad del Servidor de EXECution remoto

El servidor de EXECution remoto (REXEC) recibe y ejecuta mandatos de un cliente REXEC. Generalmente, un cliente REXEC es una aplicacin de PC o UNIX que soporta el envo de mandatos REXEC. El soporte que proporciona este servidor es similar a la posibilidad que est disponible al utilizar el submandato RCMD (mandato remoto) para el servidor FTP.
Consejos para evitar el acceso REXEC

Si no desea que el iSeries acepte mandatos de un cliente REXEC, haga lo siguiente para evitar que se ejecute el servidor REXEC: __ Paso 1. Para evitar que los trabajos del servidor REXEC se inicien automticamente al iniciar TCP/IP, escriba lo siguiente:
CHGRXCA AUTOSTART(*NO)
Notas: a. AUTOSTART(*NO) es el valor por omisin. b. Control de los servidores TCP/IP que se inician automticamente en la pgina 170 proporciona ms informacin acerca del control de los servidores TCP/IP que se inician automticamente. __ Paso 2. Para evitar que alguien asocie una aplicacin de usuario, tal como una aplicacin socket, con el puerto que el sistema utiliza normalmente para REXEC, haga lo siguiente: __ Paso a. Teclee GO CFGTCP para visualizar el men Configurar TCP/IP. __ Paso b. Seleccione la opcin 4 (Trabajar con restricciones de puerto TCP/IP). __ Paso c. En la pantalla Trabajar con restricciones de puerto TCP/IP, especifique la opcin 1 (Aadir). __ Paso d. Para el rango del puerto ms bajo, especifique 512. __ Paso e. Para el rango del puerto ms alto, especifique *ONLY. __ Paso f. Para el protocolo, especifique *TCP. __ Paso g. Para el campo de perfil de usuario, especifique un nombre de perfil de usuario protegido en el sistema. (Los perfiles de usuario protegidos no son propietarios de programas que adoptan autorizacin y no tienen contraseas conocidas por otros usuarios.) Restringiendo el puerto a un usuario especfico, excluye automticamente a todos los dems usuarios. Notas: a. La restriccin de puertos entra en vigor cuando se vuelve a arrancar TCP/IP. Si TCP/IP est activo cuando se establecen las restricciones de puertos, debe finalizar TCP/IP y arrancarlo de nuevo. b. RFC1700 proporciona informacin sobre las asignaciones de nmeros de puerto comunes.
Consejos para la seguridad del Servidor REXEC

A continuacin se incluyen algunas consideraciones que debe tener en cuenta al elegir la ejecucin del servidor de EXECution remoto en su sistema:
191
v Una peticin REXCD incluye un ID de usuario, una contrasea y el mandato a ejecutar. Se aplica la autenticacin iSeries normal y la comprobacin de autenticacin: La combinacin de perfil de usuario y contrasea debe ser vlida. El sistema fuerza el valor de Limitar posibilidades (LMTCPB) para el perfil de usuario. El usuario debe disponer de autorizacin para el mandato y para todos los recursos que utiliza el mandato. v El servidor REXEC proporciona puntos de salida similares a los puntos de salida que estn disponibles para el servidor FTP. Puede utilizar el punto de salida de Validacin para evaluar el mandato y decidir si se autoriza. Nota: El apartado TCP/IP User Exits de la publicacin TCP/IP Configuration and Reference describe el punto de salida de FTP y proporciona programas de ejemplo. Puede utilizar la misma tcnica para el punto de salida REXEC. v Cuando elige ejecutar el servidor REXEC, ejecutar fuera de cualquier control de acceso de men que tenga en el sistema. Debe asegurarse de que el esquema de autorizacin de objeto sea el adecuado para la proteccin de los recursos.
Consejos de seguridad para el Daemon de ruta

El servidor Daemon de ruta (RouteD) proporciona soporte para RIP (Protocolo de informacin de direccionamiento) en iSeries.RIP es el protocolo de direccionamiento ms utilizado. Se trata de un Protocolo de pasarela interior que ayuda a TCP/IP en el direccionamiento de paquetes IP en un sistema autnomo. La finalidad de RouteD es aumentar la eficacia del trfico de red, permitiendo que los sistemas de una red autorizada se actualicen entre s con la informacin de ruta actual. Al ejecutar RouteD, su sistema recibe las actualizaciones de los dems sistemas participantes acerca de cmo deben direccionarse las transmisiones (paquetes). Por consiguiente, si los piratas informticos pueden acceder al servidor RouteD, pueden utilizarlo para redireccionar los paquetes a travs de un sistema que puede husmear o modificar los paquetes. A continuacin se incluyen algunas sugerencias para la seguridad RouteD: v Para la V4R1, iSeries utiliza RIPv1, que no proporciona ningn mtodo para la autenticacin de direccionadores.Su finalidad es utilizarla dentro de una red autorizada. Si su sistema es una red con otros sistemas en los que no confa, no debe ejecutar el servidor RouteD. Para garantizar que el servidor RouteD no se inicia automticamente, escriba lo siguiente:
CHGRTDA AUTOSTART(*NO)
Notas: 1. AUTOSTART(*NO) es el valor por omisin. 2. Control de los servidores TCP/IP que se inician automticamente en la pgina 170 proporciona ms informacin acerca del control de los servidores TCP/IP que se inician automticamente. v Asegrese de que controla a la persona que cambia la configuracin de RouteD, que requiere la autorizacin especial *IOSYSCFG. v Si el sistema est presente en ms de una red (por ejemplo en una intranet y en Internet), puede configurar el servidor RouteD para enviar y aceptar actualizaciones slo con la red segura.
192
Consejos para la seguridad del servidor Sistema de nombres de dominio (DNS)

| | | | El servidor Sistema de nombres de dominio (DNS) proporciona la conversin de un nombre de sistema principal a una direccin IP y viceversa. En el iSeries, el servidor DNS tiene la misin de proporcionar la conversin de direcciones para la red interna segura (intranet).
Consejos para evitar el acceso con DNS

Si no quiere que nadie utilice el servidor DNS en el sistema, lleve a cabo lo siguiente: 1. Para evitar que los trabajos del servidor DNS se inicien automticamente al iniciar TCP/IP, escriba lo siguiente:
CHGDNSA AUTOSTART(*NO)
Notas: a. AUTOSTART(*NO) es el valor por omisin. b. Control de los servidores TCP/IP que se inician automticamente en la pgina 170 proporciona ms informacin acerca del control de los servidores TCP/IP que se inician automticamente. 2. Para evitar que alguien asocie una aplicacin de usuario, tal como una aplicacin socket, con el puerto que el sistema utiliza normalmente para DNS, haga lo siguiente: a. Teclee GO CFGTCP para visualizar el men Configurar TCP/IP. b. Seleccione la opcin 4 (Trabajar con restricciones de puerto TCP/IP). c. En la pantalla Trabajar con restricciones de puerto TCP/IP, especifique la opcin 1 (Aadir). d. Para el rango del puerto ms bajo, especifique 53. e. Para el rango del puerto ms alto, especifique *ONLY. Notas: 1) La restriccin de puertos entra en vigor cuando se vuelve a arrancar TCP/IP. Si TCP/IP est activo cuando se establecen las restricciones de puertos, debe finalizar TCP/IP y arrancarlo de nuevo. 2) RFC1700 proporciona informacin sobre las asignaciones de nmeros de puerto comunes. f. Para el protocolo, especifique *TCP. g. Para el campo de perfil de usuario, especifique un nombre de perfil de usuario protegido en el sistema. (Los perfiles de usuario protegidos no son propietarios de programas que adoptan autorizacin y no tienen contraseas conocidas por otros usuarios.) Restringiendo el puerto a un usuario especfico, excluye automticamente a todos los dems usuarios. h. Repita los pasos del 2c al 2g para el protocolo *UDP (Datagrama de usuario).
Consejos para la seguridad del servidor DNS

A continuacin se proporcionan una serie de consideraciones de seguridad que debe tener en cuenta al ejecutar DNS en el sistema iSeries: v La funcin que proporciona el servidor DNS es la conversin de direcciones IP y la conversin de nombres. No proporciona acceso a objetos del sistema iSeries.El riesgo que supone el que un extrao acceda al servidor DNS consiste en que el servidor proporciona una forma fcil de ver la topologa de la red. El DNS
193
puede ahorrar esfuerzos a los piratas a la hora de determinar las direcciones de los destinos potenciales. Sin embargo, el DNS no proporciona informacin que ayude a irrumpir en tales sistemas destino. v Normalmente se utiliza el servidor DNS de iSeries para la intranet. Por lo tanto, probablemente no tenga necesidad de restringir la capacidad de consultar el DNS. Sin embargo, es posible que tenga, por ejemplo, varias subredes en la intranet. Es posible que no desee que los usuarios de otra subred puedan consultar el DNS del iSeries.Existe una opcin de seguridad del DNS que permite limitar el acceso a un dominio primario. Utilice el Operations Navigator para especificar direcciones IP a las que el servidor DNS deber responder. Otra opcin de seguridad permite especificar qu servidores secundarios pueden copiar informacin del servidor DNS primario. Cuando se utiliza esta opcin, el servidor aceptar las peticiones de transferencia de zona (una peticin para copiar informacin) solamente de los servidores secundarios listados explcitamente. v Asegrese de restringir cuidadosamente la capacidad de cambiar el archivo de configuracin del servidor DNS. Alguien con malas intenciones podra, por ejemplo, cambiar el archivo DNS para dirigirse a una direccin IP de fuera de la red. Podran hacerse pasar por servidor de la red y, quizs, obtener acceso a informacin confidencial de los usuarios que visitaran el servidor.
Consejos de seguridad para el protocolo simple de transferencia de correo

El protocolo simple de transferencia de correo (SMTP) proporciona la posibilidad de distribuir documentos y mensajes de correo electrnico a otros sistemas as como desde ellos. El sistema no realiza ningn proceso de inicio de sesin para SMTP.
Consejos para evitar el acceso de SMTP

Si no desea que nadie utilice SMTP para distribuir correo a su sistema o desde el mismo, deber evitar que se ejecute el servidor SMTP. Haga lo siguiente: __ Paso 1. Si no va a utilizar SMTP para nada, no lo configure en el sistema (ni permita a nadie que lo haga). Si necesita SMTP ocasionalmente, pero normalmente no quiere que funcione, contine con los pasos siguientes. __ Paso 2. Para evitar que los trabajos del servidor SMTP se arranquen automticamente al arrancar TCP/IP, teclee lo siguiente:
CHGSMTPA AUTOSTART(*NO)
Notas: a. AUTOSTART(*YES) es el valor por omisin. b. Control de los servidores TCP/IP que se inician automticamente en la pgina 170 proporciona ms informacin acerca del control de los servidores TCP/IP que se inician automticamente. __ Paso 3. Para evitar que se arranque SMTP y evitar que alguien asocie una aplicacin de usuario, tal como una aplicacin socket, con el puerto que el sistema utiliza normalmente para SMTP, haga lo siguiente: __ Paso a. Teclee GO CFGTCP para visualizar el men Configurar TCP/IP. __ Paso b. Seleccione la opcin 4 (Trabajar con restricciones de puerto TCP/IP).
194
__ Paso c. En la pantalla Trabajar con restricciones de puerto TCP/IP, especifique la opcin 1 (Aadir). __ Paso d. Para el rango del puerto ms bajo, especifique 25. __ Paso e. Para el rango del puerto ms alto, especifique *ONLY. Notas: 1) La restriccin de puertos entra en vigor cuando se vuelve a arrancar TCP/IP. Si TCP/IP est activo cuando se establecen las restricciones de puertos, debe finalizar TCP/IP y arrancarlo de nuevo. 2) RFC1700 proporciona informacin sobre las asignaciones de nmeros de puerto comunes. __ Paso f. Para el protocolo, especifique *TCP. __ Paso g. Para el campo de perfil de usuario, especifique un nombre de perfil de usuario protegido en el sistema. (Los perfiles de usuario protegidos no son propietarios de programas que adoptan autorizacin y no tienen contraseas conocidas por otros usuarios.) Restringiendo el puerto a un usuario especfico, excluye automticamente a todos los dems usuarios. __ Paso h. Repita los pasos del 3c al 3g para el protocolo *UDP. __ Paso 4. Para proporcionar proteccin extra, retenga las colas de distribucin SNADS que utiliza la aplicacin SMTP tecleando los mandatos siguientes:
HLDDSTQ DSTQ(QSMTPQ) PTY(*NORMAL) HLDDSTQ DSTQ(QSMTPQ) PTY(*HIGH)
Consejos para controlar el acceso de SMTP

Si quiere permitir que los clientes de SMTP accedan al sistema, tenga en cuenta los elementos de seguridad siguientes: v Si es posible, evite utilizar una entrada *ANY *ANY en el directorio de distribucin del sistema. Cuando el sistema no dispone de una entrada *ANY *ANY, es ms difcil intentar utilizar SMTP para inundar el sistema o colapsar la red. La Inundacin se produce cuando el almacenamiento auxiliar se llena de correo no deseado que se direcciona a travs de su sistema a otro sistema. v Para evitar que un usuario llene el sistema con objetos no deseados, asegrese de establecer lmites de umbral adecuados para las agrupaciones de almacenamiento auxiliar (ASP). Puede visualizar y establecer los umbrales para las ASP utilizando las herramientas de servicio del sistema (SST) o las herramientas de servicio dedicado (DST). La publicacin Copia de seguridad y recuperacin proporciona ms informacin acerca de los umbrales de ASP. v En la V4R4 tambin es posible ajustar el nmero mximo de trabajos de prearranque que se crearn efectuando CHGPJE (vea el apartado TCP/IP Config and Ref, Email). Esto limitar el nmero de trabajos creados durante un ataque de denegacin de servicio. El valor por omisin es 256 para el umbral mximo. v La publicacin AS/400 Internet Security: Protecting Your AS/400 from HARM on the Internet describe los pasos para limpiar el iSeries si el sistema es vctima de una inundacin. El PTF SMTP de nueva funcin se introddujo en las V4R2, V4R3 y V4R4 para controlar el correo SPAM. SMTP Instrucciones especiales para SPAM
195
El cdigo SPAM se aadi en los siguientes releases: v V4R2 5769TC1 SF52864 v V4R3 5769TC1 SF53421 v V4R4 5769TC1 SF54014 Instrucciones especiales para controlar RELAY y CONNECTIONS Si no elige beneficiarse de esta funcin mejorada, no es necesario llevar a cabo ninguna accin. Si en cambio desea beneficiarse de esta funcin mejorada, deber hacer lo siguiente: v Cree un Archivo fsico fuente QUSRSYS/QTMSADRLST con lonigutd de registro 92 (12 caracteres para cuenta de lnea e informacin de cambio). El archivo debe ser ccsid 500.
CRTSRCPF FILE(QUSRSYS/QTMSADRLST) CCSID(500)
v Cree un miembro de Archivo fsico fuente ACCEPTRLY Para crear un miembro para un archivo que ya existe (e ir a editar)
STRSEU SRCFILE(QUSRSYS/QTMSADRLST) SRCMBR(ACCEPTRLY)
v Aada un registro con la direccin con decimal con coma del usuario ALLOWED. Slo se permitir la retransmisin de las direcciones de la lista. Ponga una direccin y mscara por lnea, (la mscara es opcional). Este sera un ejemplo de entrada:
1.2.3.4 255.255.0.0
En este ejemplo la mscara y la direccin se combinaran (AND) para rechazar todas las direcciones que empezaran por 1.2, por ejemplo 1.2.5.6 Otro ejemplo:
7.8.9.3 255.255.255.255
Este slo rechazara una direccin, 7.8.9.3. Es igual que 7.8.9.3 Instrucciones para activar listas de retransmisiones y conexiones v Finalice el servidor smtp
ENDTCPSVR SERVER(*SMTP)
v Si existe un rea de datos para bloquear todas las retransmisiones, suprmala. Para ver si existe el rea de datos:
DSPDTAARA DTAARA(QUSRSYS/QTMSNORLY)
Para suprimir el rea de datos:

DLTDTAARA DTAARA(QUSRSYS/QTMSNORLY)
v Inicie el servidor smtp

STRTCPSVR SERVER(*SMTP)
NOTA: v Si se utiliza el rea de datos para bloquear retransmisiones (QUSRSYS/QTMSNORLY), se bloquearn TODAS las retransmisiones. Si el rea de datos no est presente pero existe QUSRSYS/QTMSADRLST.ACCEPTRLY y tiene al menos una entrada, solamente podrn retransmitirse las direcciones de la lista. v Si la direccin est en QUSRSYS/QTMSADRLST.REJECTCNN no se permitir la conexin. Esto bloquea la retransmisin y la entrega de correo desde esta
196
| | | | | | | | | | | |
direccin. Si QUSRSYS/QTMSADRLST.REJECTCNN no existe o no tiene entradas vlidas, se permitirn todas las conexiones. v Si el registro por diario est activado, las direcciones rechazadas se registrarn por diario. Para averiguar si el registro por diario est activado: Utilice PF4 en el mandato CHGSMTPA y busque el parmetro Journal que estara establecido como *YES para indicar activado. Para visualizar el diario, (sues/jrnl es la biblioteca y archivo, dec14 es el nombre del miembro que est creando):
DSPJRN JRN(QZMF) OUTPUT(*OUTFILE) OUTFILE(sues/jrnl) OUTMBR(dec14) ENTDTALEN(512)
DSPPFM FILE(sues/jrnl) MBR(dec14) Las conexiones rechazadas tendrn la entrada, empezando por la columna 195: 9S CONNECTION REFUSED 1.2.3.4 Las retransmisiones rechazadas tendrn la entrada, empezando por la columna 195: 9V RELAY REFUSED 1.2.3.4 (1.2.3.4 es la direccin con decimal con coma rechazada.) Estas entradas de diario tendrn un ID de mensaje de 0. Las retransmisiones se rechazarn con la respuesta del protocolo SMTP, en la conversacin de cliente SMTP a servidor SMTP: - 553 Relaying blocked at this site. Las conexiones se rechazarn con la respuesta del protocolo SMTP, en la conversacin de cliente SMTP a servidor SMTP: 421 Service not available, access denied. Solamente se leern las 10.000 primeras entradas de cada tabla. Las lneas que empiecen por * sern tratadas como comentarios. El archivo debe ser ccsid 500. Ponga solamente una direccin y mscara por lnea. Si hace FTP al archivo entre sistemas, asegrese de que primero se crea como un archivo fsico fuente en el sistema receptor. Los mensajes de error aparecern en las anotaciones de trabajo QTSMTPSRVR de la siguiente manera: Las entradas de QUSRSYS/QTMSADRLST que no son vlidas: TCP9508 Direccin Internet no vlida. Nota: El mensaje anterior siempre ir seguido del siguiente mensaje para indicar qu miembro de archivo tiene problemas. Las entradas sin errores seguirn utilizndose. Cualquier error en el archivo QUSRSYS/QTMSADRLST: TCP2062 El trabajo SMTP no puede utilizar el archivo QTMSADRLST. Excepto en los errores de entrada, el mensaje anterior dar como resultado las acciones que se produciran si no hubiera archivo. Un error al obtener espacio temporal para listas, que dar como resultado las acciones que se produciran si no hubiera archivo:
197
TCP1062 No hay suficiente almacenamiento disponible. Los errores de lectura en el archivo QUSRSYS/QTMSADRLST pueden dar como resulta que se utilice un archivo parcial: TCP12B5 Imposible leer datos del archivo QTMSADRLST. Si se realizan cambios en QUSRSYS/QTMSADRLST, debe reiniciarse el Servidor SMTP para que dichos cambios entren en vigor:
ENDTCPSVR SERVER(*SMTP) STRTCPSVR SERVER(*SMTP)
Para obtener ms informacin sobre las mscaras de subred, consulte el Manual de consulta y configuracin de TCP/IP, captulo 2, apartado Subredes.
Consejos de seguridad para POP (Protocolo de Oficina Postal)

El servidor POP (Protocolo de Oficina Postal) proporciona un sistema simple de almacenamiento y envo de correo. El servidor POP retiene el correo temporalmente hasta que un cliente de correo lo recupera. La interfaz cliente/servidor del servidor POP necesita los servicios del servidor SMTP. Un cliente de correo debe tener un ID de usuario y una contrasea para recuperar el correo del servidor POP.
Consejos para evitar el acceso de POP

Si no quiere que nadie utilice POP para acceder al sistema, debe evitar el funcionamiento del servidor POP. Haga lo siguiente: __ Paso 1. Si no va a utilizar POP en absoluto, no lo configure en el sistema (ni permita que nadie lo haga). Si necesita POP ocasionalmente, pero normalmente no quiere que el servidor POP funcione, contine con los pasos siguientes. __ Paso 2. Para evitar que los trabajos del servidor POP se arranquen automticamente al arrancar TCP/IP, teclee lo siguiente:
CHGPOPA AUTOSTART(*NO)
Notas: a. AUTOSTART(*NO) es el valor por omisin. b. Control de los servidores TCP/IP que se inician automticamente en la pgina 170 proporciona ms informacin acerca del control de los servidores TCP/IP que se inician automticamente. __ Paso 3. Para evitar que POP se arranque y evitar que alguien asocie una aplicacin de usuario, tal como una aplicacin socket, con el puerto que el sistema utiliza normalmente para POP, haga lo siguiente: __ Paso a. Teclee GO CFGTCP para visualizar el men Configurar TCP/IP. __ Paso b. Seleccione la opcin 4 (Trabajar con restricciones de puerto TCP/IP). __ Paso c. En la pantalla Trabajar con restricciones de puerto TCP/IP, especifique la opcin 1 (Aadir). __ Paso d. Para el rango del puerto ms bajo, especifique 109. __ Paso e. Para el rango del puerto ms alto, especifique 110.
198
Notas: 1) La restriccin de puertos entra en vigor cuando se vuelve a arrancar TCP/IP. Si TCP/IP est activo cuando se establecen las restricciones de puertos, debe finalizar TCP/IP y arrancarlo de nuevo. 2) RFC1700 proporciona informacin sobre las asignaciones de nmeros de puerto comunes. __ Paso f. Para el protocolo, especifique *TCP. __ Paso g. Para el campo de perfil de usuario, especifique un nombre de perfil de usuario protegido en el sistema. (Los perfiles de usuario protegidos no son propietarios de programas que adoptan autorizacin y no tienen contraseas conocidas por otros usuarios.) Restringiendo el puerto a un usuario especfico, excluye automticamente a todos los dems usuarios. __ Paso h. Repita los pasos del 3c al 3g para el protocolo *UDP. __ Paso 4. Revise el apartado Consejos de seguridad para el protocolo simple de transferencia de correo en la pgina 194 para obtener sugerencia para proteger el servidor SMTP. (El servidor POP necesita los servicios del servidor SMTP).
Consejos para controlar el acceso de POP

Si quiere permitir que los clientes de POP accedan al sistema, tenga en cuenta los elementos de seguridad siguientes: v El servidor de correo POP proporciona autenticacin para los clientes que intenten acceder a sus buzones. El cliente enva un ID de usuario y una contrasea al servidor. Nota: La contrasea se enva sin proteccin y puede ser vulnerable. El servidor de correo POP verifica el ID de usuario y la contrasea, comparndolos con la contrasea y el perfil de usuario del iSeries de ese usuario. Puesto que no tiene control sobre cmo se almacenan el ID de usuario y la contrasea en el cliente POP, probablemente querr crear un perfil de usuario especial que tiene una autorizacin muy limitada en el sistema iSeries.Para evitar que alguien utilice el perfil de usuario para una sesin interactiva, puede establecer los valores siguientes en el perfil de usuario: Establezca el men inicial (INLMNU) en *SIGNOFF Establezca el programa inicial (INLPGM) en *NONE Establezca limitar posibilidades (LMTCPB) en *YES v Para evitar que un intruso malicioso inunde el sistema de objetos no deseados, asegrese de establecer lmites de umbral adecuados para las agrupaciones de almacenamiento auxiliar (ASP). El umbral de almacenamiento de ASP evita que el sistema se detenga porque el sistema operativo no tiene espacio de trabajo suficiente. Puede visualizar y establecer los umbrales para las ASP utilizando las herramientas de servicio del sistema (SST) o las herramientas de servicio dedicado (DST). La publicacin Copia de seguridad y recuperacin proporciona ms informacin acerca de los umbrales de ASP. v Aunque necesita asegurarse de que el umbral ASP evita que el sistema se inunde, tambin debe asegurarse de que el sistema tiene espacio adecuado para almacenar y entregar correo adecuadamente. Si el sistema no puede entregar el
199
correo porque no tiene almacenamiento adecuado para el correo transente, esto constituye un problema de integridad para los usuarios. Nota: Habitualmente el espacio de almacenamiento no es un problema significativo. Cuando un cliente recibe correo, el sistema suprime ese correo del servidor.
Consejos de seguridad para servicios Web desde el iSeries 400

En la V4R1 y la V4R2, el producto Internet Connection Server proporcionaba al iSeries 400 la posibilidad de servicios web. En la V4R3, el producto IBM HTTP Server para AS/400 ha sustituido a Internet Connection Server. Cada producto proporciona un servidor de Protocolo de Transferencia Hipertexto (HTTP) en el iSeries 400. Los dos productos comparten diversos aspectos de la seguridad, aunque existen diferencias entre ellos. En este apartado, los trminos generales servidor HTTP y servidor Internet se utilizan para describir los aspectos relativos a ambos productos. Cuando un aspecto corresponda especficamente al Internet Connection Server o al IBM HTTP Server para AS/400, se utilizar su nombre completo. El servidor HTTP proporciona a los clientes navegadores de la World Wide Web el acceso a objetos multimedia del iSeries, tales como documentos HTML (lenguaje de cdigos hipertexto).Tambin ofrece soporte para la especificacin Interfaz de pasarela comn (CGI). Los programadores de aplicaciones pueden escribir programas CGI para ampliar la funcionalidad del servidor. El administrador puede utilizar el Internet Connection Server o el IBM HTTP Server para AS/400 para ejecutar mltiples servidores a la vez en el mismo iSeries.Cada servidor que est en ejecucin se denomina una instancia de servidor. Cada instancia de servidor tiene un nombre exclusivo. El administrador controla qu instancias se inician, y qu puede hacer cada instancia. Nota: Debe estar ejecutando la instancia *ADMIN en el servidor HTTP cuando utilice un navegador Web para configurar o administrar cualquiera de los elementos siguientes: v v v v v Firewall para iSeries Network Station Internet Connection Server Internet Connection Secure Server IBM HTTP Server para AS/400
Un usuario (un visitante del sitio Web) nunca ver ninguna pantalla de Inicio de sesin de iSeries.No obstante, el administrador del iSeries debe autorizar explcitamente todos los documentos HTML y programas CGI, definindolos en directivas HTTP.Adems, el administrador puede configurar tanto la seguridad de los recursos y la autenticacin de los usuarios (ID de usuario y contrasea), en algunas o en todas las peticiones. Un ataque por parte de un pirata podra dar como resultado la denegacin de servicio al servidor Web. El servidor puede detectar un ataque de denegacin de servicio midiendo el tiempo de espera de las peticiones de determinados clientes. Si el servidor no recibe una peticin del cliente, el servidor determina que se est produciendo un ataque de denegacin de servicio. Esto ocurre tras realizar la conexin inicial del cliente con el servidor. La accin por omisin del servidor es llevar a cabo la deteccin del ataque y la penalizacin.
200
Consejos para evitar el acceso

Si no desea que nadie utilice el programa para acceder al sistema, deber evitar la ejecucin del servidor HTTP. Haga lo siguiente: __ Paso 1. Para evitar que los trabajos del servidor HTTP se arranquen automticamente al arrancar TCP/IP, teclee lo siguiente:
CHGHTTPA AUTOSTART(*NO)
Notas: a. AUTOSTART(*NO) es el valor por omisin. b. Control de los servidores TCP/IP que se inician automticamente en la pgina 170 proporciona ms informacin acerca del control de los servidores TCP/IP que se inician automticamente. __ Paso 2. Por omisin, el trabajo del servidor HTTP utiliza el perfil de usuario QTMHHTTP. Para evitar que se arranque el servidor HTTP, establezca el estado del perfil de usuario QTMHHTTP en *DISABLED.
Consejos para controlar el acceso

El objetivo principal de ejecutar un servidor HTTP es proporcionar acceso a los visitantes a un sitio Web de su sistema iSeries.Piense en quienes visitan su sitio Web como las personas que leen un anuncio en un diario comercial. El visitante no est al corriente del hardware y el software que se ejecuta en el sitio Web, por ejemplo el tipo de servidor que est utilizando y dnde est ubicado fsicamente el servidor. Por lo general, no desear poner ninguna barrera (por ejemplo, una pantalla de inicio de sesin) entre un visitante potencial y el sitio Web. Sin embargo, quiz desee restringir el acceso a algunos documentos o programas de la CGI que se proporcionan en su sitio Web. Quiz desee tambin que un solo sistema iSeries proporcione varios sitio Web lgicos.Por ejemplo, su sistema iSeries puede ofrecer soporte para sucursales diferentes de su empresa con conjuntos de clientes diferentes.Para cada una de estas sucursales de la empresa, desea que aparezca un solo sitio Web de modo totalmente independiente para el visitante. Adems, quiz desee proporcionar sitios Web internos (una intranet) con informacin confidencial acerca de su empresa. Como administrador de seguridad, debe asegurarse de proteger el contenido de su sitio Web y, al mismo tiempo, debe garantizar que sus prcticas de seguridad no afectan negativamente a su sitio Web. Adems, debe asegurarse de que la actividad HTTP no arriesga la integridad del sistema o de la red. Los temas siguientes proporcionan sugerencias de seguridad cuando se utilice el programa.
Consideraciones sobre la administracin

A continuacin se citan algunas consideraciones sobre seguridad en la administracin del servidor Internet. v Puede realizar funciones de puesta a punto y de configuracin utilizando un navegador Web y la instancia *ADMIN. Para algunas funciones, tales como crear instancias adicionales del servidor, debe utilizar el servidor *ADMIN. v El URL por omisin para la pgina de inicio de administracin (la pgina de inicio para el servidor *ADMIN) est publicado en la documentacin de los productos que proporcionan funciones de administracin de navegador. Por lo tanto, los piratas probablemente conocern el URL por omisin y estar publicado en foros de piratas, al igual que se conocen y se publican las contraseas por omisin de los perfiles por omisin proporcionados por IBM. Existen numerosas formas de protegerse de este riesgo:
201
Ejecutar solamente la instancia *ADMIN del servidor HTTP cuando necesite realizar funciones de administracin. No tener la instancia *ADMIN en ejecucin todo el tiempo. Activar el soporte SSL para la instancia *ADMIN (utilizando el Gestor de Certificados Digitales). La instancia *ADMIN utiliza las directivas de proteccin HTTP para solicitar una contrasea y un ID de usuario. Al utilizar SSL, su ID de usuario y contrasea se cifran (junto con el resto de la informacin sobre la configuracin que aparece en los formularios de administracin). Utilizar un cortafuegos para impedir el acceso al servidor *ADMIN desde Internet y para ocultar los nombres de dominio y de sistema, que forman parte del URL. v Cuando lleve a cabo funciones de administracin, debe iniciar la sesin con un perfil de usuario que tenga autorizacin especial *IOSYSCFG. Quiz tambin necesite autorizacin para especificar objetos en el sistema como, por ejemplo: Las bibliotecas o los directorios que contienen documentos HTML y programas CGI. Los perfiles de usuario que desee intercambiar entre las directivas para el servidor. Las Listas de control de acceso (ACL) para todos los directorios que utilicen las directivas. Un objeto de lista de validacin para la creacin y el mantenimiento de ID de usuario y contraseas. Tanto con el servidor *ADMIN como con TELNET tiene la posibilidad de llevar a cabo funciones de administracin de modo remoto, quizs a travs de una conexin Internet. Si realiza la administracin a travs de un enlace pblico (Internet), puede exponer al husmeo una contrasea y un ID de usuario potentes. El husmeador puede utilizarlos para intentar acceder al sistema utilizando, por ejemplo, TELNET o FTP. Notas: 1. Con TELNET, la pantalla de Inicio de sesin se trata como cualquier otra pantalla. Aunque la contrasea no se visualiza al teclearla, el sistema la transmite sin cifrado ni codificacin. 2. Con el servidor *ADMIN, la contrasea se codifica, pero no se cifra. El esquema de codificacin es un estndar comercial y, por lo tanto, generalmente conocido entre la comunidad pirata. Aunque la codificacin no resulta fcil de comprender para el pirata informtico ocasional, un pirata informtico con experiencia probablemente disponga de las herramientas necesarias para intentar decodificar la contrasea.
Consejo de seguridad Si tiene pensado realizar la administracin remota a travs de Internet, deber utilizar la instancia *ADMIN con SSL, de forma que las transmisiones estn cifradas. No utilice una aplicacin poco segura, como una versin de TELNET anterior a la V4R4 (TELNET da soporte a SSL a partir de la V4R4). Si est utilizando el servidor *ADMIN a travs de una intranet de usuarios autorizados, es probable que pueda utilizarlo con seguridad para la administracin. v Las directivas de HTTP proporcionan la base para todas las actividades en el servidor. La configuracin entregada proporciona la posibilidad de ofrecer una
202
pgina de Bienvenida por omisin. Un cliente no puede ver ninguno de los documentos del servidor excepto la pgina de Bienvenida hasta que el administrador del servidor define las directivas para el servidor. Para definir directivas, utilice un navegador Web y el servidor *ADMIN o el mandato Trabajar con configuracin HTTP (WRKHTTPCFG). Ambos mtodos requieren la autorizacin especial *IOSYSCFG. Al conectar el iSeries a Internet, resulta an ms importante evaluar y controlar el nmero de usuarios de la organizacin que tienen autorizacin especial *IOSYSCFG.
Proteccin de recursos
El Internet Connection Server y el IBM HTTP Server para AS/400 incluyen directivas HTTP que pueden proporcionar un control detallado de la informacin que utiliza el servidor. Puede utilizar las directivas para intercambiar a otros perfiles de usuario de iSeries y para requerir la autenticacin de ciertos recursos.A continuacin se ofrecen algunas sugerencias y consideraciones para utilizar este soporte: Nota: Web serving with your IBM HTTP Server en el Information Center proporciona descripciones completas de las directivas HTTP disponibles y cmo utilizarlas. Incluye ejemplos de seguridad y consideraciones. v El servidor HTTP empieza a partir de la base de autorizacin explcita. El servidor no acepta una peticin a menos que dicha peticin est definida explcitamente en las directivas. En otras palabras, el servidor rechaza inmediatamente todas las peticiones de un URL a menos que dicho URL est definido en las directivas (por nombre o genricamente). Para beneficiarse de esta proteccin inicial que proporcionan las directivas, tenga en cuenta lo siguiente: Al aadir una directiva al servidor HTTP, defina el valor de la plantilla para la va de acceso del modo ms especfico posible. De este modo reducir la posibilidad de que alguien pueda examinar el sistema y descubrir archivos. Evite la utilizacin de nombres de archivo genricos y de comodines. Utilice las directivas Map o Pass para enmascarar los nombres de los archivos en el servidor web de iSeries. (Las directivas Map y Pass son mtodos para correlacionar el URL enviado por el cliente con un recurso o nombre diferente del servidor). Por ejemplo, el cliente (navegador) puede emitir un URL parecido a:
http://hostname/webdata/products
Utilice los formularios de configuracin y administracin con base en el navegador (o el mandato WRKHTTPCFG) para aadir una directiva Pass a la configuracin del servidor HTTP que se parezca a:
Pass /webdata/products /QSYS.LIB/WEBDATA.LIB/WWWDATA.FILE/PRODUCTS.MBR
El peticionario que vea este URL no tendr ni idea de que los datos del producto estn en el archivo WWWDATA de la biblioteca WEBDATA del sistema iSeries.Este mtodo protege (oculta) los nombres de archivo y de biblioteca de iSeries de los piratas potenciales.Tambin proporciona la flexibilidad para cambiar la aplicacin iSeries sin tener que cambiar el URL. v Puede utilizar directivas de proteccin para solicitar un ID de usuario y una contrasea antes de aceptar una peticin de alguno de sus recursos o de todos ellos. A continuacin se ofrecen algunas consideraciones para el uso de este soporte: Cuando un usuario (cliente) solicita un recurso protegido, el servidor exige al navegador una contrasea y un ID de usuario. El navegador solicita al
203
usuario que entre una contrasea y un ID de usuario y, a continuacin, enva la informacin al servidor. Algunos navegadores almacenan la contrasea y el ID de usuario y los envan automticamente con las peticiones siguientes. Esto exime al usuario de entrar repetidamente los mismos ID de usuario y contrasea en cada peticin. Puesto que algunos navegadores almacenan la contrasea y el ID de usuario, hay que llevar a cabo la misma tarea de educacin de usuario que se realiza cuando los usuarios entran en el sistema a travs de la pantalla de Inicio de sesin de iSeries o a travs de un direccionador.Una sesin de navegador desatendida representa un riesgo de seguridad potencial. Dispone de tres opciones relacionadas con el manejo de las contraseas y de los ID de usuario por parte del sistema (especificadas en las directivas de proteccin): 1. Puede utilizar la validacin de perfiles de usuario y contraseas normales del iSeries.Por lo general, se utiliza para proteger los recursos de una intranet (red protegida). 2. Puede crear usuarios de Internet: usuarios que pueden validarse pero que no tienen un perfil de usuario en el sistema iSeries 400. Los usuarios de Internet se implementan mediante un objeto iSeries 400 denominado lista de validacin. Los objetos de lista de validacin contienen listas de usuarios y contraseas definidos especficamente para su uso con una aplicacin concreta. Puede decidir cmo se suministran los ID de usuario y las contraseas de Internet (por ejemplo, mediante una aplicacin o mediante un administrador como respuesta a una peticin por correo electrnico), as como cmo gestionar los usuarios de Internet. Utilice la interfaz (con base en el navegador) del servidor HTTP para ponerlo a punto. Para las redes no seguras (Internet), el uso de usuarios de Internet proporciona una proteccin global mejor que el uso de perfiles de usuario y contraseas normales del iSeries.El conjunto exclusivo de los ID de usuario y contraseas crea una limitacin integrada respecto a lo que pueden hacer los usuarios. Las contraseas y los ID de usuario no estn disponibles en el inicio de sesin normal (por ejemplo, con TELNET o FTP). Adems, no expone las contraseas y los ID de usuario del iSeries al husmeo. 3. El protocolo LDAP (Lightweight directory access protocol) en un protocolo de servicios de directorio que proporciona acceso a un directorio a travs de un Protocolo de Control de Transmisin (TCP). Le permite almacenar informacin en ese servicio de directorio y consultarla. Ahora el LDAP est soportado como opcin para la autenticacin de usuario. Notas: 1. Cuando el navegador enva el ID de usuario y la contrasea (ya sea para un perfil de usuario iSeries 400 o para un usuario de Internet), estn codificados, no cifrados. El esquema de codificacin es un estndar comercial y, por lo tanto, generalmente conocido entre la comunidad pirata. Aunque la codificacin no resulta fcil de comprender para el pirata informtico ocasional, un pirata informtico con experiencia probablemente disponga de las herramientas necesarias para intentar decodificarlos. 2. iSeries almacena el objeto de validacin en un rea protegida del sistema.Slo puede acceder al mismo con las interfaces definidas del sistema (API) y la autorizacin adecuada.
| | | | |
204
Puede utilizar el Gestor de certificados digitales (DCM) para crear su propia Autoridad certificadora en la intranet. El Certificado digital asocia automticamente un certificado con el perfil de usuario iSeries del propietario. El certificado tiene las mismas autorizaciones y los mismos permisos que el perfil asociado. v Cuando el servidor acepta una peticin, entra en funcin la seguridad normal de los recursos del iSeries.El perfil de usuario del iSeries que ha solicitado el recurso debe disponer de la autorizacin necesaria para el recurso (por ejemplo, la carpeta o el archivo fsico del recurso que contiene el documento HTML).Por omisin, los trabajos se ejecutan bajo el perfil de usuario QTMHHTTP. Puede utilizar una directiva para cambiar a un perfil de usuario iSeries distinto.En este caso, el sistema utiliza la autorizacin del perfil de usuario para acceder a los objetos. A continuacin se ofrecen algunas consideraciones para este soporte: El intercambio de perfiles de usuario puede resultar especialmente til cuando el servidor proporciona ms de un sitio Web lgico. Puede asociar un perfil de usuario diferente a las directivas para cada sitio Web y utilizar la seguridad de recursos de iSeries para proteger los documentos de cada sitio. Puede utilizar la posibilidad de intercambiar perfiles de usuario en combinacin con el objeto de validacin. El servidor utiliza un ID de usuario y una contrasea exclusivos (separados del ID de usuario y contrasea normales de iSeries) para evaluar la peticin inicial. Una vez el servidor ha autenticado al usuario, el sistema intercambia a un perfil de usuario del iSeries diferente, beneficindose de la seguridad de los recursos del iSeries.As, el usuario no conoce el nombre verdadero del perfil de usuario y no puede intentar utilizarlo de otros modos (tales como FTP). v Algunas peticiones del servidor HTTP necesitan ejecutar un programa en el servidor HTTP. Por ejemplo, un programa podra acceder a datos de su sistema. Para que el programa pueda ejecutarse, el administrador del sistema debe correlacionar la peticin (URL) con un programa especfico definido por el usuario, que se ajuste a los estndares de interfaz de usuario CGI. A continuacin, se incluyen algunas consideraciones para los programas CGI: Puede utilizar las directivas de proteccin para los programas CGI tal y como lo hace para documentos HTML. As, puede solicitar una contrasea y un ID de usuario antes de ejecutar el programa. Por omisin, los programas CGI se ejecutan bajo el perfil de usuario QTMHHTP1. Puede intercambiar a un perfil de usuario iSeries diferente antes de ejecutar el programa.Por consiguiente, puede establecer la seguridad de recursos del iSeries normales para los recursos a los que acceden los programas CGI. Como administrador de seguridad, debe revisar la seguridad antes de autorizar la utilizacin de cualquier programa CGI en el sistema. Debe conocer la procedencia del programa y las funciones que realiza el programa CGI. Tambin debe supervisar las posibilidades de los perfiles de usuario bajo los cuales est ejecutando los programas CGI y efectuar una comprobacin con los programas CGI para determinar, por ejemplo, si puede acceder a una lnea de mandatos. Trate los programas CGI con la misma vigilancia con la que trata los programas que adoptan la autorizacin. Asimismo, debe asegurarse de evaluar los objetos confidenciales que pueden tener una autorizacin de uso pblico inadecuada. En algunas ocasiones, un programa CGI no diseado correctamente, permite que un usuario engaoso y con los conocimientos necesarios intente vagar por el sistema. Utilice una biblioteca de usuario especfica, por ejemplo, la CGILIB, para mantener todos los programas de CGI. Utilice la autorizacin sobre objetos para controlar quin puede colocar nuevos objetos en esa biblioteca y quin
205
puede ejecutar programas en ella. Utilice las directivas para limitar el servidor HTTP a ejecutar programas de CGI que estn en esa biblioteca. Nota: Si el servidor proporciona varios sitios Web lgicos, quiz desee establecer una biblioteca para los programas CGI de cada sitio.
Otras consideraciones sobre seguridad

A continuacin se describen otras consideraciones sobre la seguridad: v HTTP proporciona acceso de slo lectura al sistema iSeries.Las peticiones del servidor HTTP no pueden actualizar ni suprimir datos directamente del sistema. No obstante, puede tener programas CGI que actualicen datos. Adems puede habilitar el programa CGI Net.Data para acceder a la base de datos del iSeries. El sistema utiliza un script (que es similar a un programa de salida) para evaluar las peticiones para el programa Net.Data. Por consiguiente, el administrador del sistema puede controlar las acciones que puede llevar a cabo el programa Net.Data. Nota: Antes de la V4R3, el programa DB2WWW proporcionaba la funcin que ahora proporciona Net.Data. v El servidor HTTP proporciona unas anotaciones cronolgicas de acceso que puede utilizar para supervisar los accesos y los intentos de acceso a travs del servidor. v La publicacin HTTP Server for iSeries Webmasters Guide proporciona ms informacin acerca de las consideraciones sobre seguridad.
Consejos de seguridad para utilizar SSL con IBM HTTP Server para iSeries 400
| | | | | | | | | | | IBM HTTP Server para iSeries puede proporcionar conexiones seguras con la Web para el iSeries. Un sitio Web seguro indica que las transmisiones entre el cliente y el servidor estn cifradas (en ambas direcciones). Estas transmisiones cifradas estn protegidas frente a los husmeadores y los que intentan capturar o modificar las transmisiones. Nota: Recuerde que el sitio Web seguro se aplica estrictamente a la seguridad de la informacin que pasa entre el cliente y el servidor. Su finalidad no es la de reducir la vulnerabilidad del servidor ante los piratas informticos. No obstante, s limita la informacin que podra obtener fcilmente un supuesto pirata que se dedicara a husmear. Los temas sobre SSL y servidores Web (HTTP) del Information center proporcionan informacin completa para instalar, configurar y gestionar el proceso de cifrado. Estos temas proporcionan tanto una visin general de las caractersticas del servidor como algunas consideraciones para su utilizacin. Internet Connection Server proporciona soporte http y https cuando se instala uno de los siguientes programas bajo licencia: v 5722NC1 v 5722NCE Cuando estn instaladas estas opciones, se hace referencia al producto como Internet Connection Secure Server. | | IBM HTTP Server para iSeries (5722DG1) proporciona soporte de http y https. Debe instalar uno de los siguientes productos criptogrficos para habilitar SSL:
206
| | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | | |
v 5722AC2 v 5722AC3 La seguridad que depende del cifrado tiene numerosos requisitos: v Tanto el remitente como el receptor (servidor y cliente) deben comprender los mecanismos de cifrado y poder llevar a cabo el cifrado y el descifrado. El servidor HTTP requiere un cliente con SSL habilitado. (Los navegadores Web ms utilizados tienen SSL habilitado). Los programas bajo licencia de cifrado de iSeries ofrecen soporte para numerosos mtodos de cifrado estndar del mercado.Cuando un cliente intenta establecer una sesin segura, el servidor y el cliente negocian para localizar el mtodo de cifrado ms seguro para el que ambos ofrezcan soporte. v Un escuchador oculto no debe poder descifrar la transmisin. As, los mtodos de cifrado requieren que ambas partes dispongan de una clave privada de cifrado y de descifrado que slo conozcan ellos. Si desea tener un sitio Web externo seguro, debera utilizar una autoridad certificadora (CA) independiente para crear y emitir certificados digitales a los usuarios y servidores. A la autoridad certificadora se la denomina interlocutor de confianza. El cifrado protege la confidencialidad de la informacin transmitida. Sin embargo, para la informacin confidencial, por ejemplo, informacin econmica, adems de la confidencialidad, tambin se precisa la integridad y la autenticidad. En otras palabras, el cliente y (opcionalmente) el servidor deben autorizar a la otra parte (a travs de una consulta independiente) y asegurarse de que la transmisin no se ha alterado. La firma digital que proporcionan las autoridades certificadoras (CA) proporcionan estos seguros de autenticidad e integridad. El protocolo SSL proporciona autenticacin mediante la verificacin de la firma digital del certificado del servidor (y, opcionalmente, del certificado del cliente). El cifrado y el descifrado requieren tiempo de proceso, que influye en el rendimiento de las trasmisiones. Por consiguiente, el iSeries proporciona la posibilidad de ejecutar los programas para el servicio seguro y no seguro al mismo tiempo.Puede utilizar el servidor HTTP no seguro para ofrecer documentos que no requieran seguridad, por ejemplo, el catlogo de productos. Estos documentos dispondrn de un URL que se inicie con http:// . Puede utilizar un servidor HTTP seguro para la informacin delicada, por ejemplo el formulario en el que el cliente incluye la informacin de su tarjeta de crdito. El programa puede atender a documentos cuyo URL empiece con http:// o con https://.
Recordatorio Es buena prctica de Internet (netiquette) informar a sus clientes cundo son seguras las transmisiones y cundo no, especialmente cuando su sitio Web utilice solamente un servidor seguro en ciertos documentos. Recuerde que el cifrado requiere un cliente y un servidor seguros. Los navegadores seguros (clientes HTTP) son cada vez ms habituales.
Seguridad de LDAP (Lightweight Directory Access Protocol)

OS/400Servicios de Directorio proporciona un servidor LDAP (Lightweight Directory Access Protocol) en iSeries 400. LDAP se ejecuta a travs de Protocolo de Control de Transmisin/Protocolo Internet (TCP/IP) y est creciendo en popularidad como servicio de directorios para aplicaciones tanto de Internet como
207
| | | | | | |
no de Internet. La mayora de tareas de configuracin y administracin del servidor de directorios LDAP se realizan en iSeries 400 mediante la interfaz grfica de usuario (GUI) del Operations Navigator de iSeries 400. Para administrar los Servicios de Directorio debe tener instalado el Operations Navigator en un PC que est conectado al iSeries. Puede utilizar Servicios de Directorio con aplicaciones habilitadas para LDAP, por ejemplo las aplicaciones de correo que consultar direcciones de correo electrnico en los servidores LDAP. Aparte del servidor LDAP, los Servicios de Directorio incluyen: v Un cliente LDAP. Este cliente incluye un conjunto de interfaces de programa de aplicacin (API) que puede utilizar en programas OS/400 para crear sus propias aplicaciones de cliente. Para obtener informacin sobre estas API, vea la pgina Servicios de Directorio bajo Programacin en el iSeries Information Center. v Un cliente LDAP Windows 95 y Windows NT. Este cliente incluye la Herramienta de gestin de directorios IBM SecureWay, que le proporciona una interfaz grfica de usuario para gestionar el contenido de los directorios. El cliente LDAP de Windows tambin incluye un conjunto de interfaces de programas de aplicacin (API) que puede utilizar en sus propias aplicaciones. Para obtener ms informacin sobre estas API, vea las pginas sobre Redes en el iSeries Information Center. El servidor LDAP que los Servicios de Directorio proporcionan es un producto de Directorio IBM SecureWay.
| | | |
Conceptos bsicos sobre LDAP

El protocolo LDAP (Lightweight Directory Access Protocol) es un protocolo de servicios de directorio que se ejecuta a travs del Protocolo de Control de Transmisin/Protocolo Internet (TCP/IP). La versin 2 de LDAP est definida formalmente en Internet Engineering Task Force (IETF) Request for Comments (RFC) 1777, Lightweight Directory Access Protocol. La versin 3 de LDAP est definida formalmente en IETF RFC 2251, Lightweight Directory Access Protocol (v3). Puede ver estos RFC en Internet en el siguiente URL: http://www.ietf.org El servicio de directorio LDAP sigue un modelo cliente/servidor. Uno o ms servidores LDAP contienen los datos del directorio. Un cliente LDAP se conecta a un servidor LDAP y realiza una peticin. El servidor responde con una respuesta o bien con un puntero (un referente) a otro servidor LDAP. Usos de LDAP: Dado que LDAP es un servicio de directorio y no una base de datos, la informacin de un directorio LDAP suele ser informacin descriptiva, basada en atributos. Generalmente los usuarios de LDAP se dedican ms a leer la informacin del directorio que a modificarla. Las actualizaciones suelen ser cambios de todo o nada. Los usos ms corrientes de los directorios LDAP incluyen los listines telefnicos en lnea y los directorios de correo electrnico. Estructura de directorio LDAP: El modelo de servicio de directorio LDAP se basa en entradas (a las que tambin se conoce como objetos). Cada entrada consta de uno o varios atributos , tales
208
como un nombre o direccin y un tipo. Los tipos suelen consistir en series nemotcnicas, por ejemplo cn para nombre comn o mail para la direccin de correo electrnico. El directorio de ejemplo de Figura 41 en la pgina 210 muestra una entrada para Tim Jones que incluye atributos mail y telephoneNumber. Otros atributos posibles son fax, title, sn (apellido) y jpegPhoto. | | | | | | | | Cada directorio tiene un esquema, que es un conjunto de normas que determinan la estructura y el contenido del directorio. Deber utilizar la Herramienta de gestin de directorios (DMT) de IBM SecureWay para editar los archivos de esquema para el servidor LDAP. Nota: Encontrar copias originales de los archivos de esquema por omisin en /QIBM/ProdData/OS400/DirSrv . Si necesita sustituir los archivos del directorio UserData, puede copiar estos archivos en ese directorio. Cada entrada de directorio tiene un atributo especial denominado objectClass. Este atributo controla qu atributos son necesarios y estn permitidos en una entrada. En otras palabras, los valores del atributo objectClass determinan las normas del esquema que la entrada debe obedecer. Cada entrada de directorio tiene adems los siguientes atributos operativos, que el servidor LDAP mantiene automticamente: v CreatorsName, que contiene el DN de enlace utilizado al crear la entrada. v CreateTimestamp, que contiene la hora en que se cre la entrada. v modifiersName, que contiene el DN de enlace utilizado en la ltima modificacin de la entrada (inicialmente es igual que CreatorsName). v modifyTimestamp, que contiene la hora de la ltima modificacin de la entrada (inicialmente es igual que CreateTimestamp). Tradicionalmente, las entradas del directorio LDAP se disponen en una estructura jerrquica que refleja lmites polticos, geogrficos u organizativos (vea Figura 41 en la pgina 210). Las entradas que representan a pases aparecen en lo ms alto de la jerarqua. Las entradas que representan estados u organizaciones nacionales ocupan el segundo nivel de la jerarqua. Las entradas bajo estas ltimas pueden representar a individuos, unidades organizativas, impresoras, documentos u otros elementos. Al estructurar su directorio no est limitado a la jerarqua tradicional. La estructura de componente de dominio, por ejemplo, est ganando en popularidad. Con esta estructura, las entradas se componen de las partes de nombres de dominio de TCP/IP. Por ejemplo, dc=ibm,dc=com puede ser preferible a o=ibm,c=us. LDAP hace referencias a entradas con Nombres distinguidoss (DNs). Los nombres distinguidos constan del nombre de la propia entrada as como de los nombres, del final al principio, de los objetos que tiene por encima en el directorio. Por ejemplo, el DN completo para la entrada del lado inferior izquierdo de Figura 41 en la pgina 210 es cn=Tim Jones, o=IBM, c=US. Cada entrada tiene al menos un atributo que se utiliza para nombrar la entrada. Este atributo de denominacin se llama el Nombre distinguido relativo (RDN) de la entrada. La entrada superior a un RDN dado es su Nombre distinguido padre. En el ejemplo anterior, cn=Tim Jones da nombre a la entrada, por lo que es el RDN. o=IBM, c=US es el DN padre para cn=Tim Jones.
209
Para otorgar a un servidor LDAP la capacidad de gestionar parte de un directorio LDAP, debe especificar los nombre distinguidos padre del nivel ms alto en la configuracin del servidor. Estos nombres distinguidos se denominan sufijos. El servidor puede acceder a todos los objetos del directorio que se encuentran por debajo del sufijo especificado en la jerarqua del directorio. Por ejemplo, si un servidor LDAP contiene el directorio mostrado en Figura 41, necesitara tener el sufijo o=ibm, c=us especificado en su configuracin para poder responder a consultas de clientes relativas a Tim Jones.
Figura 41. Una estructura de directorio LDAP bsica
Notas acerca de LDAP y los Servicios de Directorio de iSeries: v A partir de la V4R5, tanto el servidor LDAP OS/400 como el cliente LDAP OS/400 se basan en LDAP Versin 3. Puede utilizar un cliente V2 con un servidor V3. No obstante, no puede utilizar un cliente V3 con un servidor V2 a menos que enlace como cliente V2 y utilice solamente APIs de V2. Vea LDAP V2/V3 considerations para obtener ms detalles. v El cliente LDAP de Windows tambin se basa en LDAP Versin 3. v Dado que LDAP es un estndar, todos los servidores LDAP comparten muchas caractersticas bsicas. Sin embargo, debido a las diferencias de implementacin, no son totalmente compatibles entre s. El servidor LDAP suministrado por
210
Servicios de Directorio es bastante compatible con otros servidores de directorio LDAP del grupo de productos IBM SecureWay. No obstante, podra no ser tan compatible con otros servidores LDAP. v Los datos para el servidor LDAP que proporcionan los Servicios de Directorio residen en una base de datos de OS/400. Ms informacin: Para ver ejemplos del uso de los directorios LDAP, consulte Ejemplo del uso de los Servicios de Directorio. | | | Para conocer ms datos sobre los conceptos de LDAP, vea los Servicios de Directorio de Red (LDAP) en el Information Center (vea Requisitos e informacin relacionada en la pgina xii para ms detalles).
Ejemplo del uso de los Servicios de Directorio

Puede utilizar los Servicios de Directorio y sus funciones de diversas maneras. El siguiente ejemplo ficticio muestra solamente una de las posibles implementaciones de los servidores de directorio LDAP en iSeries. Jonathon es el director de la Asociacin de alumnos de una pequea universidad de Minnesota. Durante mucho tiempo ha conservado un archivador con informacin sobre los nombres y direcciones de los alumnos. Ahora quiere trasladar esa informacin a un sistema para hacer posible que los alumnos que se encuentren en ubicaciones lejanas puedan consultar la informacin. Llama a Michelle del departamento de Servicios de informacin de la universidad y le pide ayuda. Ella le explica que puede poner a punto un directorio LDAP en el mismo iSeries en el que ejecuta el servidor Web de la Asociacin de alumnos. Michelle y Jonathon planifican un directorio LDAP que incluya el pas, estado y nombre de cada alumno. Tambin incluir la direccin de correo electrnico, la direccin postal y el nmero de telfono de cada alumno. Entonces configuran el servidor de directorio LDAP de Servicios de Directorio, especificando sufijos tales como st=MN, c=US y c=Canada, as como entradas similares para otros estados y pases. | | | | | | | | | | | | | | | | | | | A continuacin, Michelle y Jonathon planifican la seguridad de su directorio LDAP. La informacin del servidor no es confidencial ni vital, por lo que no les preocupa que algn intruso pueda interceptar la informacin durante la transmisin. Por consiguiente, deciden que no necesitan utilizar seguridad de Capa de Sockets Segura (SSL) (vea Utilizacin de la seguridad de Capa de Sockets Segura (SSL) con el servidor de directorio LDAP en el tema sobre Servicios de Directorio de Redes (LDAP) en el Information Center). No obstante, no quieren exponerse a un acceso totalmente abierto a todos los datos del directorio. Jonathon se pone en contacto con cada alumno para ver si estn dispuestos a que la informacin que les concierne est disponible pblicamente. A la mayora no les importa, pero algunos prefieren que dicha informacin se mantenga en privado. Para esos usuarios, Michelle y Jonathon crean listas de control de accesos que limitan el acceso a su informacin, de forma que solamente Jonathon y otros miembros del personal de la Asociacin de alumnos pueden verla o modificarla. Para obtener ms informacin sobre la creacin y uso de las listas de control de accesos, consulte el tema sobre Servicios de Directorio de Redes (LDAP) en el Information Center (vea Requisitos e informacin relacionada en la pgina xii para ms detalles). El directorio est listo para aceptar datos. Jonathon se encargar de ello. Podra utilizar los programas de utilidad shell que se incluyen con los Servicios de
211
| | | | | | | | | | |
Directorio para poblar el directorio. Sin embargo no tiene mucha experiencia en el uso de interfaces de lnea de mandatos, por lo que prefiere utilizar la Herramienta grfica de gestin de directorios IBM SecureWay. Con esta interfaz, Jonathon puede aadir, buscar y modificar entradas de directorio fcilmente. Durante el verano utiliza la Herramienta de gestin de directorios para aadir la informacin de los licenciados ms recientes. Mientras, Michelle utiliza las interfaces de programas de aplicacin (API) incluidas con el cliente LDAP Windows para crear una interfaz grfica personalizada. Los estudiantes empleados de la Asociacin de alumnos pueden utilizar esta interfaz sin tener conocimiento alguno sobre la estructura del directorio. Cuando los estudiantes empleados vuelvan al campus en otoo, utilizarn la interfaz personalizada para aadir los alumnos restantes al directorio.
Consideraciones para utilizar LDAP V2 con LDAP V3

A partir de la V4R5, tanto el servidor LDAP de OS/400 como el cliente LDAP de OS/400 se basan en LDAP Versin 3. No puede utilizar un cliente V3 con un servidor V2. No obstante, puede utilizar la API ldap_set_option() para cambiar la versin de un cliente V3 a V2. Entonces podr enviar peticiones de cliente a un servidor V2 satisfactoriamente. Puede utilizar un cliente V2 con un servidor V3. Tenga en cuenta que, si embargo, en una peticin de bsqueda el servidor V3 puede devolver datos en el formato UTF-8, mientras que un cliente V2 slo puede manejar datos del juego de caracteres IA5. Nota: La versin 2 de LDAP est definida formalmente en Internet Engineering Task Force (IETF) Request for Comments (RFC) 1777, Lightweight Directory Access Protocol. La versin 3 de LDAP est definida formalmente en IETF RFC 2251, Lightweight Directory Access Protocol (v3). Puede ver estos RFC en Internet en el siguiente URL: http://www.ietf.org | | | | | | | | |
Caractersticas de seguridad de LDAP

Las caractersticas de seguridad de LDAP (Lightweight Directory Access Protocol) incluyen Capa de Sockets Segura (SSL), Listas de control de aceso y cifrado de contraseas CRAM-MD5. En la V5R1 tambin se han aadido las conexiones Kerberos y el soporte de auditora de seguridad para mejorar la seguridad de LDAP. Para obtener ms informacin sobre estos temas, consulte el tema sobre Servicio de directorio de redes (LDAP) en el Information Center (vea Requisitos e informacin relacionada en la pgina xii para conocer ms detalles).
Consejos de seguridad para el Workstation Gateway Server

El Workstation Gateway Server (WSG) proporciona una aplicacin de TCP/IP que transforma las aplicaciones 5250 de iSeries al Hypertext Markup Language (HTML) para su visualizacin dinmica en los navegadores Web.Al configurar el Workstation Gateway Server, se controla si los usuarios ven una pantalla de inicio de sesin o si el inicio de sesin lo maneja un programa de salida. Nota: El iSeries no ofrece una versin segura del Workstation Gateway Server.Por consiguiente, si su programa ofrece el control al servidor WSG (por ejemplo, en los formularios rellenables), recuerde que la transmisin WSG no se cifrar.
212
Consejos para evitar el acceso de WSG

Si no quiere que nadie utilice WSG para acceder al sistema, debe evitar el funcionamiento del servidor WSG. Haga lo siguiente: __ Paso 1. Para evitar que los trabajos del servidor WSG se arranquen automticamente al arrancar TCP/IP, teclee lo siguiente:
CHGWSGA AUTOSTART(*NO)
Notas: a. AUTOSTART(*NO) es el valor por omisin. b. El atributo DSPSGN controla si el sistema puede visualizar paneles de inicio de sesin. DSPSGN(*NO) es el valor por omisin. c. Control de los servidores TCP/IP que se inician automticamente en la pgina 170 proporciona ms informacin acerca del control de los servidores TCP/IP que se inician automticamente. __ Paso 2. Para evitar que WSG se arranque y evitar que alguien asocie una aplicacin de usuario, tal como una aplicacin socket, con el puerto que el sistema utiliza normalmente para HTTP, haga lo siguiente: __ Paso a. Teclee GO CFGTCP para visualizar el men Configurar TCP/IP. __ Paso b. Seleccione la opcin 4 (Trabajar con restricciones de puerto TCP/IP). __ Paso c. En la pantalla Trabajar con restricciones de puerto TCP/IP, especifique la opcin 1 (Aadir). __ Paso d. Para el rango del puerto ms bajo, especifique 5061. __ Paso e. Para el rango del puerto ms alto, especifique *ONLY. Notas: 1) La restriccin de puertos entra en vigor cuando se vuelve a arrancar TCP/IP. Si TCP/IP est activo cuando se establecen las restricciones de puertos, debe finalizar TCP/IP y arrancarlo de nuevo. 2) RFC1700 proporciona informacin sobre las asignaciones de nmeros de puerto comunes. __ Paso f. Para el protocolo, especifique *TCP. __ Paso g. Para el campo de perfil de usuario, especifique un nombre de perfil de usuario protegido en el sistema. (Los perfiles de usuario protegidos no son propietarios de programas que adoptan autorizacin y no tienen contraseas conocidas por otros usuarios.) Restringiendo el puerto a un usuario especfico, excluye automticamente a todos los dems usuarios.
Consejos para controlar el acceso de WSG

Como administrador de seguridad, debe conocer los objetivos del servidor WSG en el sistema y los entornos de cliente que utilizarn el servidor WSG. Por ejemplo, algunos usuarios del servidor WSG podrn ser empleados que estn de viaje y que utilicen una red interna para acceder al sistema desde dentro de un cortafuegos. Otros usuarios pueden ser visitantes annimos del sitio WEB en que quieran pedir informacin adicional de algo que hayan visto. Los usuarios pueden acceder al servidor WSG de las maneras siguientes: v A partir de una peticin directa de un navegador de cliente.
213
v A partir de una peticin indirecta, cuando el servidor HTTP deja el control al servidor WSG. v A partir de una peticin de conexin HTTP. Por ejemplo, un visitante de un sitio WEB puede seleccionar un rea del sitio WEB que diga Envenme informacin adicional. El servidor HTTP puede enviar una peticin al servidor WSG para visualizar una pantalla en la que se pregunte el nombre y la direccin del visitante. A continuacin se proporcionan una serie de consideraciones de seguridad para permitir el funcionamiento del servidor WSG en el sistema: v Para configurar el servidor WSG, utilice el mandato Cambiar atributos de pasarela de estacin de trabajo (CHGWSGA). Este mandato necesita *IOSYSCFG autorizacin especial. Una configuracin controla todas las sesiones WSG en el sistema. Puede especificar los valores significativos para la seguridad siguientes: Tiempo de espera de inactividad. El servidor WSG no utiliza el valor del sistema QINACTITV. El servidor WSG tiene su propio valor para determinar el tiempo que esperar el sistema antes de finalizar una sesin inactiva. Este valor es particularmente importante en un entorno en el que puede tener usuarios WSG que tengan algo ms que una autorizacin mnima en el sistema. Panel de inicio de sesin. Cuando una peticin de WSG viene de un navegador de World Wide Web, este valor controla si el sistema enva la pantalla de inicio de sesin definida por el sistema. Puede utilizar un programa de salida de inicio de sesin WSG para ignorar el proceso de sesin y llevar a cabo la validacin de usuario. A menudo, una peticin del servidor WSG realiza una funcin especfica y limitada, tal como presentar un formulario para completarlo. La pantalla Inicio de sesin no es necesaria en este entorno. En realidad la pantalla Inicio de sesin proporciona una oportunidad para los piratas informticos que no existe cuando el programa de salida ignora el inicio de sesin y utiliza un perfil de usuario con una autorizacin muy limitada. En su lugar, ignore la pantalla de Inicio de sesin y ejecute WSG bajo un perfil de usuario que tenga autorizacin limitada en su sistema. Registro cronolgico de acceso. Puede resultar til que el sistema lleve un registro de los accesos al servidor WSG, particularmente cuando proporcione una aplicacin nueva. v Algunas peticiones del servidor WSG incluyen un ID de usuario y una contrasea. Se da la misma problemtica que con los scripts de conexin SLIP. La seguridad depende de las prcticas y posibilidades de los comunicantes. Si el ID de usuario y la contrasea se almacenan en un documento en el cliente, sern accesibles a intrusos potenciales en el sistema. Adems, cuando la sesin WSG es una sesin no segura (Internet), la contrasea y el ID de usuario estn sujetos a husmeo. v Puede utilizar el valor del sistema QLMTSECOFR como un mtodo para limitar la posibilidad de los usuarios WSG. Cuando el valor de QLMTSECOFR es 1, puede evitar que cualquier usuario con autorizacin especial *ALLOBJ inicie la sesin en las estaciones de trabajo virtuales WSG, a menos que el usuario o QSECOFR tengan autorizacin explcita. v Recuerde que iSeries no proporciona un servidor WSG seguro.Por consiguiente, aunque el Internet Connection Secure Server pase una peticin al servidor WSG, la transmisin de WSG no es segura (cifrada).
214
Consejos de seguridad para el Daemon de impresora de lneas

El LPD (daemon de impresora de lneas) proporciona la posibilidad de distribuir la salida de impresora para el sistema. El sistema no realiza ningn proceso de inicio de sesin para LPD.
Consejos para evitar el acceso de LPD

Si no quiere que nadie utilice LPD para acceder al sistema, debe evitar que funcione el servidor LPD. Haga lo siguiente: __ Paso 1. Para evitar que los trabajos del servidor LPD se arranquen automticamente al arrancar TCP/IP, teclee lo siguiente:
CHGLPDA AUTOSTART(*NO)
Notas: a. AUTOSTART(*YES) es el valor por omisin. b. Control de los servidores TCP/IP que se inician automticamente en la pgina 170 proporciona ms informacin acerca del control de los servidores TCP/IP que se inician automticamente. __ Paso 2. Para evitar que alguien asocie una aplicacin de usuario, tal como una aplicacin socket, con el puerto que el sistema utiliza normalmente para LPD, haga lo siguiente: __ Paso a. Teclee GO CFGTCP para visualizar el men Configurar TCP/IP. __ Paso b. Seleccione la opcin 4 (Trabajar con restricciones de puerto TCP/IP). __ Paso c. En la pantalla Trabajar con restricciones de puerto TCP/IP, especifique la opcin 1 (Aadir). __ Paso d. Para el rango del puerto ms bajo, especifique 515. __ Paso e. Para el rango del puerto ms alto, especifique *ONLY. Notas: 1) La restriccin de puertos entra en vigor cuando se vuelve a arrancar TCP/IP. Si TCP/IP est activo cuando se establecen las restricciones de puertos, debe finalizar TCP/IP y arrancarlo de nuevo. 2) RFC1700 proporciona informacin sobre las asignaciones de nmeros de puerto comunes. __ Paso f. Para el protocolo, especifique *TCP. __ Paso g. Para el campo de perfil de usuario, especifique un nombre de perfil de usuario protegido en el sistema. (Los perfiles de usuario protegidos no son propietarios de programas que adoptan autorizacin y no tienen contraseas conocidas por otros usuarios.) Restringiendo el puerto a un usuario especfico, excluye automticamente a todos los dems usuarios. __ Paso h. Repita los pasos del 2c al 2g para el protocolo *UDP.
Consejos para controlar el acceso de LPD

Si quiere permitir a los clientes de LPD que accedan al sistema tenga en cuenta los elementos de seguridad siguientes: v Para evitar que un usuario llene el sistema con objetos no deseados, asegrese de establecer lmites de umbral adecuados para las agrupaciones de
215
almacenamiento auxiliar (ASP). Puede visualizar y establecer los umbrales para las ASP utilizando las herramientas de servicio del sistema (SST) o las herramientas de servicio dedicado (DST). La publicacin Copia de seguridad y recuperacin proporciona ms informacin acerca de los umbrales de ASP. v Puede utilizar la autorizacin sobre las colas de salida para restringir quin puede enviar archivos en spool al sistema. Los usuarios de LPD sin un ID de usuario de iSeries utilizan el perfil de usuario QTMPLPD. Puede dar acceso a este perfil de usuario nicamente a unas pocas colas de salida.
Consejos de seguridad para el Protocolo simple de gestin de red

El iSeries 400 puede actuar como un agente del Protocolo simple de gestin de red (SNMP) en una red. El SNMP proporciona un medio para gestionar las pasarelas, direccionadores y sistemas principales de un entorno de red. Un agente SNMP recoge informacin acerca del sistema y realiza las funciones que solicitan los gestores remotos de la red SNMP.
Consejos para evitar el acceso SNMP

Si no quiere que nadie utilice SNMP para acceder al sistema, debe evitar el funcionamiento del servidor SNMP. Haga lo siguiente: __ Paso 1. Para evitar que los trabajos servidores SNMP se arranquen automticamente al arrancar TCP/IP, teclee lo siguiente:
CHGSNMPA AUTOSTART(*NO)
Notas: a. AUTOSTART(*YES) es el valor por omisin. b. Control de los servidores TCP/IP que se inician automticamente en la pgina 170 proporciona ms informacin acerca del control de los servidores TCP/IP que se inician automticamente. __ Paso 2. Para evitar que alguien asocie una aplicacin de usuario, tal como una aplicacin socket, con el puerto que el sistema utiliza normalmente para SNMP, haga lo siguiente: __ Paso a. Teclee GO CFGTCP para visualizar el men Configurar TCP/IP. __ Paso b. Seleccione la opcin 4 (Trabajar con restricciones de puerto TCP/IP). __ Paso c. En la pantalla Trabajar con restricciones de puerto TCP/IP, especifique la opcin 1 (Aadir). __ Paso d. Para el rango del puerto ms bajo, especifique 161. __ Paso e. Para el rango del puerto ms alto, especifique *ONLY. Notas: 1) La restriccin de puertos entra en vigor cuando se vuelve a arrancar TCP/IP. Si TCP/IP est activo cuando se establecen las restricciones de puertos, debe finalizar TCP/IP y arrancarlo de nuevo. 2) RFC1700 proporciona informacin sobre las asignaciones de nmeros de puerto comunes. __ Paso f. Para el protocolo, especifique *TCP. __ Paso g. Para el campo de perfil de usuario, especifique un nombre de perfil de usuario protegido en el sistema. (Los perfiles de usuario protegidos no son propietarios de programas que adoptan autorizacin y no tienen contraseas
216
conocidas por otros usuarios.) Restringiendo el puerto a un usuario especfico, excluye automticamente a todos los dems usuarios. __ Paso h. Repita los pasos del 2c al 2g para el protocolo *UDP.
Consejos para controlar el acceso de SNMP

Si quiere permitir que los gestores de SNMP accedan al sistema tenga en cuenta los elementos de seguridad siguientes: v Alguien que pueda acceder a la red con SNMP puede reunir informacin acerca de la red. La informacin que ha ocultado utilizando seudnimos y un servidor de nombres de dominio est disponible para el supuesto intruso a travs de SNMP. Adems, un intruso puede utilizar SNMP para modificar la configuracin de la red y destruir las comunicaciones. v SNMP confa en un nombre de comunidad para el acceso. En teora, el nombre de comunidad es similar a una contrasea. El nombre de comunidad no est cifrado. Por consiguiente, es vulnerable al husmeo. Utilice el mandato Aadir comunidad para SNMP (ADDCOMSNMP) para establecer el parmetro de direccin Internet del gestor (INTNETADR) como una o varias direcciones IP especficas en lugar de *ANY. Tambin puede establecer el parmetro OBJACC de los mandatos ADDCOMSNMP o CHGCOMSNMP en *NONE, para evitar que los gestores de una comunidad accedan a objetos MIB. Esto est pensado para hacerse slo temporalmente, para denegar el acceso a los gestores de una comunidad sin eliminar la comunidad.
Consejos de seguridad para el servidor INETD

Al contrario que la mayora de los servidores TCP/IP, el servidor INETD no proporciona un nico servicio a los clientes, sino que proporciona servicios varios que los administradores pueden personalizar. Por ese motivo, al servidor INETD se le conoce a veces como el superservidor. El servidor INETD tiene incorporados los siguientes servicios: v time v daytime v echo v discard v changed Estos servicios estn soportados para TCP y para UDP. Para UDP, los servicios echo, time, daytime y changed reciben paquetes UDP y, a continuacin devuelven los paquetes al originador. El servidor echo server devuelve los paquetes que recibe, los servidores time y daytime generan la hora en un formato especfico y lo devuelven y el servidor changed genera un paquete de caracteres ASCII imprimibles y lo devuelven. La naturaleza de estos servicios UDP hace al sistema vulnerable a ataques de denegacin de servicio. Por ejemplo, supongamos que tiene dos sistemas iSeries 400: SYSTEMA y SYSTEMB. Un programador malintencionado podra falsificar la cabecera IP y la cabecera UDP con una direccin de origen de SYSTEMA y un nmero de puerto UDP del servidor time. Entonces podra enviar ese paquete al servidor time en el SYSTEMB, que enviar la hora al SYSTEMA, que volver a responder al SYSTEMB, y as sucesivamente, generando un bucle continuo y consumiendo recursos de CPU en ambos sistemas, as como el ancho de banda de la red.
217
Por consiguiente, deber tener en cuenta el riesgo de un ataque de este tipo en su sistema iSeries y ejecutar estos servicios solamente en una red segura. El servidor INETD se enva definido para que no se inicie automticamente al iniciar TCP/IP. Puede configurar si se iniciarn los servicios o no al iniciarse INETD. Por omisin, los servidores time y daytime de TCP y UDP se inician al iniciar el servidor INETD. Existen dos archivos de configuracin para el servidor INETD:
/QIBM/UserData/OS400/inetd/inetd.conf /QIBM/ProdData/OS400/inetd/inetd.conf
Estos archivos determinan qu programas deben iniciarse cuando se inicia el servidor INETD. Tambin determinan bajo qu perfil de usuario se ejecutan estos programas cuando INETD los inicias. Nota: El archivo de configuracin en proddata no debe modificarse nunca. Se sustituye cada vez que vuelve a cargarse el sistema. Los cambios en la configuracin de clientes slo debern colocarse en el archivo del rbol de de directorios userdata, ya que dicho archivo no se actualiza durante las actualizaciones de release. Si un programador malintencionado accediera a estos archivos, podra configurarlos para iniciar cualquier programa al iniciarse INETD. Por consiguiente, es de suma importancia proteger estos archivos. Para realizar cambios en ellos, requieren por omisin la autorizacin especial QSECOFR. No debe reducir la autorizacin necesaria para acceder a ellos. Nota: No modifique el archivo de configuracin del directorio ProdData. Ese archivo se sustituye cada vez que se vuelve a cargar el sistema. Los cambios en la configuracin de clientes slo debern colocarse en el archivo del rbol de directorios UserData, ya que dicho archivo no se actualiza durante las actualizaciones de release.
Consejos para limitar la posibilidad de vagar por la red con TCP/IP

Si el sistema est conectado a una red, querr limitar las posibilidades del usuario para vagar por la red con las aplicaciones TCP/IP. Una forma de hacerlo es restringir el acceso a los siguientes mandatos TCP/IP de cliente: Nota: Estos mandatos pueden existir en numerosas bibliotecas del sistema. Se encuentran tanto en la biblioteca QSYS como en la biblioteca QTCP, como mnimo. Asegrese de localizar y asegurar todas las ocurrencias. v STRTCPFTP v FTP v STRTCPTELN v TELNET v LPR v SNDTCPSPLF v RUNRMTCMD (cliente REXEC) Los posibles destinos del usuario estn determinados por lo siguiente: v Entradas en la tabla del sistema principal TCP/IP.
218
v La entrada *DFTROUTE en la tabla de ruta TCP/IP. Esto permite a los usuarios entrar la direccin IP del sistema del salto siguiente cuando su destino es una red desconocida. Un usuario puede alcanzar o poner en contacto una red remota utilizando la ruta por omisin. v Configuracin del servidor de nombre remoto. Este soporte permite a otro servidor de la red ubicar nombres de sistemas principales para los usuarios. v Tabla del sistema remoto. Necesita controlar quin puede aadir entradas a estas tablas y cambiar la configuracin. Tambin necesita entender las implicaciones de sus entradas de tabla y de su configuracin. Tenga en cuenta que un usuario experimentado con acceso a un compilador ILE C puede crear un programa socket que se conecte a un puerto TCP o UDP. Puede dificultar esta operacin restringiendo el acceso a los archivos de interfaz de socket de la biblioteca QSYSINC: v SYS v NETINET v H v ARPA v sockets y SSL En los programas de servicio, se puede restringir el uso de sockets y aplicaciones SSL (que ya estn compiladas), restringiendo el uso de los siguientes programas de servicio: v QSOSRV1 v QSOSRV2 v QSOSKIT(SSL) v QSOSSLSR(SSL) Los programas de servicio se entregan con autorizacin de uso pblico *USE, aunque la autorizacin se puede cambiar por *EXCLUDE (u otro valor).
Consejos para la seguridad del programa bajo licencia Soporte de servidor de archivos TCP/IP para OS/400
Atencin para los usuarios de la V3R7 y V4R1 El sistema de archivos de red (NFS) del sistema de archivos integrado sustituye la funcin del programa bajo licencia Soporte de servidor de archivos TCP/IP para OS/400. Vea Consejos de seguridad para el sistema de archivos de red en la pgina 144 para obtener ms informacin. Cuando se tiene el programa bajo licencia Soporte de servidor de archivos TCP/IP para OS/400, el sistema iSeries puede actuar como un servidor de archivos para otros sistemas de una red TCP/IP.Un sistema cliente puede montar un directorio de iSeries como si fuera un directorio local.La biblioteca QSYS que incluye todas las bibliotecas del sistema iSeries puede tener el aspecto de un directorio y subdirectorios en el sistema cliente. En gran parte, el producto Soporte de servidor de archivos descansa sobre las posibilidades del sistema cliente para controlar el acceso a los recursos del iSeries.Si es un administrador de seguridad del iSeries con el producto instalado en el sistema, debe revisar la documentacin del producto para comprender las funciones que proporciona y las implicaciones de seguridad.Con la configuracin
219
enviada para el Soporte de servidor de archivos, los recursos del sistema son vulnerables a la utilizacin no intencionada por parte de usuarios del Soporte de servidor de archivos. A continuacin se proporcionan algunas sugerencias para proteger el sistema iSeries cuando Soporte de servidor de archivos TCP/IP para OS/400 est instalado: v Elimine todas las entradas de perfil de usuario de nivel de raz de la tabla de exportacin y de la tabla de usuarios autorizados. No permita que el perfil que figura en el sistema cuando ste es entregado Q7FSOWN, tenga autorizacin raz. En otros sistemas que pueden ser sistemas cliente para el Soporte de servidor de archivos, es posible definir un usuario que pretenda tener autorizacin raz. Necesita proteger el sistema de esto. v Para los archivos de base de datos de configuracin para Soporte de servidor de archivos, establezca el valor de las posibilidades de base de datos en *NO para todos los atributos excepto *READ. Esto protege el contenido de los archivos de base de datos de Soporte de servidor de archivos de cambios no autorizados al margen de los mandatos y de las interfaces de men que forman parte del producto. v Configure el sistema para que rechace peticiones que no tengan una identificacin de usuario (ID de usuario) explcitamente especificada. No permita que tales peticiones utilicen un usuario por omisin. v Revise las entradas de la tabla de exportacin para asegurarse de que cumplen con los requisitos de seguridad. Considere la eliminacin de todas las entradas por omisin proporcionadas con el producto y la preparacin de solamente aquellas entradas que sepa que no sern causa de un riesgo para la seguridad. v Para los mandatos CL que arrancan y detienen la funcin Soporte de servidor de archivos, establezca la autorizacin de uso pblico en *EXCLUDE. Esto permite controlar cuando el entorno Soporte de servidor de archivos est activo y quin puede activarlo. Otorgue autorizacin slo a los administradores de confianza del sistema. v Al aadir entradas a la tabla de exportacin, en la mayora de los casos debera establecer el permiso de grabacin y el acceso a raz en *NO. Utilice con cuidado otros valores. Puede cambiar los valores por omisin del mandato por *NO para ayudarle a evitar equivocaciones. v Existen riesgos de seguridad potenciales graves en el caso de que el sistema iSeries sea un servidor para un cliente que no proteja el uid raz con una contrasea no trivial. |
Utilizacin de VPN para asegurar las aplicaciones TCP/IP

A partir de la V4R4, puede utilizar las redes privadas virtuales (VPN) para proteger de forma selectiva alguna o todas sus aplicaciones TCP/IP. Vea el apartado Iniciacin a las Redes privadas virtuales (VPN) iSeries 400 en el Information Center para obtener ms informacin sobre las VPN y su funcionamiento.
220
Captulo 15. Consejos para la seguridad del PC

Muchos usuarios del sistema tienen un PC en la mesa como estacin de trabajo. Utilizan herramientas que funcionan en el PC y utilizan el PC para conectarse al iSeries. La mayora de los mtodos de conexin de un PC al iSeries proporcionan ms funcionalidad que la emulacin de estacin de trabajo.El PC puede parecer una pantalla de iSeries y proporcionar al usuario sesiones de inicio de sesin interactivas.Adems, el PC puede parecer otro sistema para el iSeries y proporcionar funciones tales como transferencia de archivos y llamada de procedimiento remoto. Como administrador de seguridad del iSeries, necesita tener en cuenta lo siguiente: v las funciones disponibles para los usuarios de PC que estn conectados al sistema, v los recursos del iSeries a los que pueden acceder los usuarios de PC. Querr evitar funciones avanzadas de PC (tales como transferencia de archivos y llamada de procedimiento remoto), si el esquema de seguridad del iSeries no est preparado todava para tales funciones.Probablemente el objetivo a largo plazo sea permitir las funciones avanzadas de PC mientras se protege la informacin del sistema. En los temas siguientes se tratan ciertos elementos de seguridad asociados al acceso de PC.
Consejos para evitar los virus en el PC

En este apartado se sugieren mtodos para que los administradores de seguridad puedan proteger los PC ante los virus.
Consejos para la seguridad del acceso a datos desde PC

| | | | | | | | Parte del software de cliente PC utiliza carpetas compartidas para almacenar informacin en el iSeries. Para acceder a los archivos de la base de datos del iSeries, el usuario de PC tiene un conjunto limitado, bien definido de interfaces. Con la posibilidad de transferencia de archivos que forma parte de la mayora del software cliente/servidor, el usuario de PC puede copiar archivos entre el sistema iSeries y el PC.Con la posibilidad de acceso a base de datos, tal como un archivo DDM, SQL remoto, o un controlador ODBC, el usuario de PC puede acceder a los datos del sistema iSeries. En este entorno puede crear programas para interceptar y evaluar peticiones de usuario de PC para acceder a los recursos del iSeries. Cuando las peticiones utilizan un archivo DDM, especifique el programa de salida en el atributo de red Acceso a la gestin de datos distribuidos (DDMACC). Para algunos mtodos de transferencia de archivos de PC se especifica el programa de salida en el atributo de red Acceso de peticin de cliente (PCSACC). O bien puede especificar PCSACC(*REGFAC) para utilizar la funcin de registro. Cuando las peticiones utilizan otras funciones del servidor para acceder a los datos, puede utilizar el mandato WRKREGINF para registrar los programas de salida para tales funciones del servidor.
221
Los programas de salida, sin embargo, pueden ser difciles de disear y en raras ocasiones son infalibles. Los programas de salida no son una sustitucin de la autorizacin de objetos, que est diseada para proteger los objetos del acceso no autorizado de cualquier fuente. Parte del software de cliente, por ejemplo, el cliente Client Access AS/400 para Windows 95/NT, utiliza el sistema de archivos integrado para almacenar y acceder a los datos del iSeries. Con el sistema de archivos integrado, todo el iSeries resulta ms fcilmente disponible para los usuarios de PC.La autorizacin sobre objetos se vuelve incluso ms importante. A travs del sistema de archivos integrado, un usuario con la autorizacin suficiente puede ver una biblioteca de iSeries como si fuera un directorio de PC.Mediante mandatos simples de movimiento y de copia se pueden mover datos instantneamente de una biblioteca del iSeries a un directorio de PC o viceversa.El sistema hace automticamente los cambios adecuados en el formato de los datos. Notas: 1. Puede utilizar una lista de autorizaciones para controlar la utilizacin de objetos en el sistema de archivos QSYS.LIB. Consulte el apartado Restriccin del acceso al sistema de archivos QSYS.LIB en la pgina 140 para obtener ms informacin. 2. En el Captulo 12. Utilizacin del Sistema de Archivos Integrado (IFS) para proteger los archivos en la pgina 133 se proporciona ms informacin acerca de los temas de seguridad con el sistema de archivos integrado. La fortaleza del sistema de archivos integrado es su simplicidad para usuarios y programadores. Con una sola interfaz, el usuario puede trabajar con objetos en varios entornos. El usuario de PC no necesita software o API especiales para acceder a los objetos. En lugar de eso, el usuario de PC puede utilizar mandatos de PC conocidos o seleccionar y pulsar para trabajar directamente con los objetos. Para todos los sistemas que tengan PC conectados, pero especialmente para los sistemas con software de cliente que utilice el sistema de archivos integrado, resulta decisivo un buen esquema de autorizacin sobre objetos. Debido a que la seguridad est integrada en el OS/400, cualquier peticin para acceder a los datos debe pasar a travs del proceso de comprobacin de autorizacin. La comprobacin de autorizacin se aplica a las peticiones de cualquier fuente y para el acceso a datos que utilicen cualquier mtodo.
Autorizacin sobre objetos con acceso desde PC

Al configurar la autorizacin sobre objetos, es necesario evaluar lo que la autorizacin proporciona al usuario de PC. Por ejemplo, cuando un usuario tiene autorizacin *USE sobre un archivo, el usuario puede ver o imprimir datos en el archivo. El usuario no puede cambiar la informacin del archivo ni suprimirlo. Para el usuario de PC, ver es equivalente a leer, lo cual proporciona al usuario autorizacin suficiente para hacer una copia de un archivo en el PC. Este no ser probablemente el objetivo pretendido. En el caso de algunos archivos de gran importancia, necesitar establecer la autorizacin de uso pblico en *EXCLUDE para evitar que los copien en el PC. Puede proporcionar entonces otro mtodo para ver el archivo en el iSeries, tal como utilizar un men y programas que adopten la autorizacin. Otra opcin para evitar la copia de archivos es utilizar un programa de salida que se ejecute siempre que un usuario de PC arranque una funcin del iSeries (que no
222
sea el inicio de sesin interactivo).Puede especificar un programa de salida en el atributo de red PCSACC utilizando el mandato Cambiar atributo de red (CHGNETA). O puede registrar programas de salida utilizando el mandato Trabajar con informacin de registro (WRKREGINF). El mtodo que utilice depender del modo en que los PC accedan a los datos del sistema y del programa cliente que utilicen los PC. El programa de salida (QIBM_QPWFS_FILE_SERV) es aplicable al acceso al IFS desde Client Access y Net Server. No evita el acceso desde un PC con otros mecanismos, como FTP u ODBC. Normalmente, el software del PC proporciona la posibilidad de subir, de forma que un usuario pueda copiar datos de un PC a un archivo de base de datos del iSeries.Si no ha configurado correctamente el esquema de autorizaciones, un usuario de PC puede recubrir todos los datos de un archivo con datos desde un PC. Debe asignar la autorizacin *CHANGE cuidadosamente. Revise el Apndice D de la publicacin iSeries Security Reference para comprender la autorizacin necesaria para operaciones de archivo. | | | El iSeries Information Center proporciona ms informacin sobre la autorizacin para las funciones de PC y sobre la utilizacin de programas de salida. Vea Requisitos e informacin relacionada en la pgina xii para obtener ms detalles.
Administracin de aplicaciones de Client Access

La Administracin de aplicaciones es un componente del Operations Navigator instalable opcionalmente, la interfaz grfica de usuario (GUI) para iSeries 400. La Administracin de aplicaciones permite a los administradores del sistema controlar las funciones o las aplicaciones disponibles para otros usuarios y grupos en un iSeries especfico. Esto incluye el control de las funciones disponibles para los usuarios que a sus iSeries a travs de clientes. Es importante destacar aqu que, si accede al iSeries desde un cliente Windows, ser el usuario del iSeries y no el usuario de Windows el que determine qu funciones estn disponibles para la administracin. Para obtener una documentacin completa sobte la Administracin de aplicaciones del Operations Navigator, seleccione Operations Navigator en la barra de navegacin principal del Information Center, a la izquierda.
Administracin de polticas de Client Access

Administracin de polticas Las polticas son una herramienta para que la utilicen los administradores al configurar software en sus PC cliente. Las polticas pueden restringir las funciones y aplicaciones a las que puede acceder un usuario en el PC. Las polticas tambin pueden sugerir o imponer configuraciones para que las utilicen determinados usuarios o determinados PC. Nota: Las polticas no ofrecen control sobre los recursos de iSeries 400. Las polticas no son un sustituto de la seguridad de iSeries. Las polticas pueden utilizarse para afectar a la forma en que Client Access Express accede al iSeries desde un PC concreto, por parte de un usuario concreto. No obstante, no cambian la manera en que se accede a los recursos del iSeries 400 a travs de otros mecanismos. Las polticas se almacenan en un servidor de archivos. Cada vez que el usuario inicia la sesin en la estacin de trabajo Windows, las polticas aplicables a ese
223
usuario de Windows se bajan desde el servidor de archivos. Las polcitcas se aplican al registro antes de que el usuario lleve a cabo accin alguna en la estacin de trabajo. Las polticas de Microsoft frente a la Administracin de aplicaciones Client Access Express soporta dos estrategias distintas para implementar el control de administracin dentro de su red: Las polticas del sistema Microsoft y la Administracin de aplicaciones del Operations Navigator. Tenga en cuenta lo siguiente al decidir qu estrategia se ajusta mejor a sus necesidades. Polticas del sistema Microsoft Las polticas son reguladas por el PC, no dependen de los releases especficos del OS/400. Las polticas pueden ser aplicables a los PC, as como a los usuarios de Windows. Esto significa que los usuarios se refieren al perfil de usuario de Windows, no al perfil de usuario del iSeries. Las polticas pueden utilizarse para configurar, as como para restringir. Por lo general, las polticas pueden ofrecer ms granularidad que la Administracin de aplicaciones y pueden ofrecen un mayor rango de funciones. Esto se debe a que no es necesaria la conexin con el sistema iSeries para determinar si el usuario puede utilizar o no la funcin. La implementacin de polticas es ms complicada que la implementacin de la Administracin de aplicaciones debido a que es necesario el uso del editor de polticas del sistema Microsoft y los PC deben configurarse individualmente para bajar las polticas. Administracin de aplicaciones de Operations Navigator La Administracin de aplicaciones asocia datos con el perfil de usuario del iSeries, en lugar del perfil de Windows con el que se asocian las polticas del sistema Microsoft. Aunque es necesario un iSeries 400 de la V4R3 o posterior para poder utilizar la Administracin de aplicaciones, algunas funciones solamente estn disponibles en la V4R4 o posteriores. Algunas funciones especficas de Client Access pueden restringirse utilizando la Administracin de aplicaciones en la V4R4, por ejemplo Transferencia de datos, ODBC y OLE DB. Utilizando polticas tendr ms granularidad disponible, pero la Administracin de aplicaciones es de uso ms fcil ya que no implica una puesta a punto complicada. La Administracin de aplicaciones utiliza la interfaz grfica de usuario del Operations Navigator para administrar, lo que resulta ms fcil que utilizar el editor de polticas. La informacin de la Administracin de aplicaciones se aplica al usuario, independientemente del PC desde el que se conecte. Pueden restringirse funciones concretas dentro del Operations Navigator. La Administracin de aplicaciones es preferible si todas las funciones que desea restringir estn habilitadas para la Administracin de aplicaciones y si la versin de OS/400 que se utiliza soporta la Administracin de aplicaciones.
Utilizacin de SSL con Client Access Express

| | | | | Para obtener informacin sobre el uso de Client Access Express con SSL, revise los temas del iSeries Information Center Secure Sockets Layer Administration, Securing Client Access Express and Operations Navigator, iSeries 400 Developer Kit for Java y iSeries 400 Java Toolbox bajo el tema principal Java. Tambin puede revisar esta informacin en el CD suministrado con el sistema.
224
Seguridad y Operations Navigator

El Operations Navigator proporciona una interfaz al iSeries de fcil uso para los usuarios que tienen Client Access. Con cada release nuevo de OS/400, es posible acceder a ms funciones del iSeries a travs de Operations Navigator. Una interfaz de fcil manejo proporciona muchas ventajas, lo que incluye un coste bajo de soporte tcnico y una imagen mejorada para el sistema. Tambin supone retos en la seguridad. Como administrador de seguridad ya no puede confiar en la ignorancia de los usuarios para proteger los recursos. Operations Navigator convierte muchas funciones en funciones sencillas y visibles para los usuarios. Debe asegurarse de disear e implementar polticas de seguridad para los perfiles de usuario y la seguridad de objetos para cumplir las necesidades de seguridad. La Versin 4 Release 4 Modificacin 0 de iSeries Client Access Express para Windows proporciona los siguientes mtodos para controlar las funciones que los usuarios pueden llevar a cabo mediante el Operations Navigator: v Instalacin selectiva v Administracin de aplicaciones v Soporte de Poltica del sistema Windows NT El Operations Navigator viene empaquetado como mltiples componentes en la V4R4, que puede instalar por separado. Ello le permitir instalar slo las funciones que necesite. La administracin de aplicaciones permite a los administradores controlar las funciones a las que un usuario o un grupo pueden acceder mediante el Operations Navigator. La administracin de aplicaciones organiza las aplicaciones en las siguientes categoras: iSeries 400 Operations Navigator Incluye el Operations Navigator y conectores adicionales. Aplicaciones de cliente Incluye todas las dems aplicaciones de cliente, incluido Client Access Express, que proporcionan funciones en los clientes administrados mediante la Administracin de aplicaciones. Aplicaciones de sistema principal Incluye todas las aplicaciones que residen por completo en el iSeries y que proporcionan funciones administradas mediante la Administracin de aplicaciones. Puede utilizar la instalacin selectiva, administracin de aplicaciones y polticas para limitar las funciones de Operations Navigator a las que podr acceder un usuario. Ninguna de ellas, no obstante, debe utilizarse para la seguridad por recursos. A partir de la V4R4, iSeries Client Access Express para Windows tambin soporta el uso del Editor de polticas del sistema de Windows NT para controlar qu funciones pueden llevarse a cabo desde un cliente PC concreto, sin tener en cuenta qun est utilizando ese PC. Consulte el iSeries Information Center para obtener informacin adicional sobre la instalacin selectiva, la Administracin de aplicaciones y la Administracin de polticas. El apartado Acceso limitado a las funciones del programa en la pgina 16 de este manual tambin trata la administracin de aplicaciones.
225
Consejos para el acceso de ODBC (conectividad de base de datos abierta)

Conectividad de base de datos abierta (ODBC) es una herramienta que pueden utilizar las aplicaciones de PC para acceder a los datos del iSeries como si fueran datos de PC.El programador de ODBC puede hacer que la ubicacin fsica de los datos sea transparente al usuario de la aplicacin del PC. A continuacin se detallan varias consideraciones acerca de la seguridad cuando las aplicaciones de ODBC tienen acceso al iSeries: v Cuando los PC conectados tienen aplicaciones de ODBC que acceden a los datos del iSeries, es esencial disponer de un buen esquema de autorizaciones.Sin embargo, puede que la autorizacin sobre objetos no proporcione proteccin suficientemente detallada para los datos. Por ejemplo, querr evitar que los usuarios cambien datos en el archivo FILEB excepto cuando utilicen un programa especfico (PGMX). Para las aplicaciones que se ejecutan directamente en el iSeries, como un programa RPG o COBOL, puede utilizar autorizacin adoptada para controlar cmo los usuarios actualizan los archivos de base de datos. Por ejemplo, suponga que los usuarios pblicos tienen autorizacin *USE sobre FILEA, pero ciertos usuarios estn autorizados al programa PGMX. PGMX adopta su autorizacin de propietario, que permite que los usuarios cambien el archivo al ejecutar el programa PGMX. Cuando se tienen aplicaciones ODBC sobre PC conectados, se pueden utilizar procedimientos almacenados para proporcionar un nivel parecido de control sobre quin puede actualizar datos. Un procedimiento almacenado puede ser un objeto de programa iSeries que adopte una autorizacin.La aplicacin de ODBC puede enviar peticiones para actualizar datos al procedimiento almacenado en lugar de acceder directamente al archivo. Por lo tanto, los usuarios de PC no necesitan tener autorizacin para cambiar los archivos. Puede dar a usuarios especficos de PC autorizacin para utilizar el programa (procedimiento almacenado) que actualiza el archivo. Cuando se utilizan procedimientos almacenados en lugar de acceder directamente a los datos con las aplicaciones de ODBC, tambin debe mantener en privado la estructura de la base de datos del iSeries y la arquitectura de las aplicaciones.Cuando es necesario que los programadores de ODBC utilicen procedimientos almacenados, los programadores no pueden utilizar un programa espa de ODBC para supervisar el acceso a la base de datos. Esto hace ms difcil para un programador de ODBC realizar ingeniera inversa con el diseo de la base de datos, o bien con el diseo de la aplicacin. v Cuando un usuario solicita el acceso a una base de datos utilizando ODBC, puede configurar los programas de salida para que supervisen (y aprueben o rechacen) la peticin. Los puntos de salida siguientes estn disponibles para las peticiones de ODBC: QIBM_QZDA_NDB1, QIBM_QZDA_SQL1 y QIBM_QZDA_SQL2 controlan el acceso de slo lectura a los archivos de base de datos. Durante la inicializacin del servidor (cuando se hace la conexin de ODBC), el sistema llama al programa QIBM_QZDA_INIT. Puede utilizar este punto de salida para validar una sesin y configurar el entorno para esa sesin. Por ejemplo, puede arrancar un gobernador de consultas durante la inicializacin para limitar las consultas de larga ejecucin.
226
Cuando un usuario solicita una operacin que afecta a todo un archivo (tal como suprimir o borrar un archivo), el sistema llama al programa QIBM_QZDA_NDB1. Puede utilizar el programa de salida para aceptar o rechazar estas peticiones. Cuando una aplicacin ODBC enva una peticin de Lenguaje de consulta estructurada (SQL), el sistema llama a los programas QIBM_QZDA_SQL1 y QIBM_QZDA_SQL2. El programa de salida puede evaluar la peticin y determinar si permite la peticin especfica. Por ejemplo, la peticin puede consistir en ver un conjunto de registros o en aadir o suprimir registros de un archivo de la base de datos. Cuando el sistema recibe una peticin de informacin acerca de la estructura de base de datos (una peticin de catlogo), el sistema llama al programa QIBM_QZDA_ROI1 program.Tenga en cuenta que el servidor de bases de datos IBM utiliza estos puntos de salida. Los controladores de ODBC del iSeries de otros proveedores no utilizaran probablemente los mismos puntos de salida. Pueden proporciona su propio servidor o bien pueden utilizar DRDA (Acceso a base de datos relacional distribuida) para acceder al iSeries 400. Las peticiones de DRDA llegan a travs de DDM (Gestion de base de datos distribuida). A partir de la V4R3, si el punto de salida de DDM tiene un programa definido, se llamar a dicho programa en una conexin DRDA. Los siguientes PTF habilitan esta funcin en la V4R1 y la V4R2:
VRM410 SF46018 VRM420 SF46017
| | | |
Se puede definir un programa de salida para DDM mediante el mandato CHGNETA (Cambiar atributos de red), y especificando un nombre de programa en el parmetro DDMACC. v El iSeries Information Center contiene temas que le ayudarn a usted y los programadores de ODBC a comprender los aspectos de seguridad de las aplicaciones de ODBC. Vea Requisitos e informacin relacionada en la pgina xii para obtener ms detalles. v Existen dos APAR informativos disponibles que tratan acerca de la seguridad de ODBC: II09333 y II09334. La informacin de ambos APAR est escrita desde la perspectiva del programador de ODBC que no est familiarizado con las posibilidades del iSeries.Como administrador de seguridad puede proporcionar estos APAR informativos a los programadores de ODBC para ayudarles a entender los elementos de seguridad y las soluciones posibles. La informacin de estas APAR debe ser de utilidad para salvar el hueco terminolgico existente entre el entorno del iSeries y el entorno de ODBC y PC.
Consideraciones de seguridad sobre las contraseas de sesin de PC

Normalmente, cuando un usuario de PC arranca el software de conexin, como el Client Access, el usuario teclea una vez el ID de usuario y la contrasea del servidor. La contrasea se cifra y se almacena en la memoria del PC. Siempre que el usuario establezca una nueva sesin con el mismo servidor, el PC enva automticamente el ID de usuario y la contrasea. Parte del software de cliente/servidor proporciona tambin la opcin de ignorar la pantalla de inicio de sesin para sesiones interactivas. El software enviar el ID de usuario y la contrasea cifrada cuando el usuario arranque una sesin interactiva (emulacin 5250). Para soportar esta opcin, el valor del sistema QRMTSIGN del servidor del iSeries debe establecerse en *VERIFY. Cuando se elige permitir que se ignore la pantalla Inicio de sesin, debe tener en cuenta las contrapartidas en la seguridad.
227
Riesgo de seguridad cuando se solicita la pantalla de inicio de sesin: Para la emulacin 5250 o cualquier otro tipo de sesin interactiva, la pantalla Inicio de sesin es la misma que cualquier otra pantalla. A pesar de que cuando se teclea la contrasea no se visualiza en la pantalla, la contrasea se enva a travs del enlace sin cifrar igual que cualquier otro campo de datos. Para algunos tipos de enlace, esto puede proporcionar a un futuro intruso la oportunidad de supervisar el enlace y detectar un ID de usuario y una contrasea. La supervisin de un enlace utilizando equipo electrnico se denomina a menudo rastreo. A partir de la V4R4, puede utilizar la capa de sockets segura (SSL) para cifrar las comunicaciones entre Client Access Express y el servidor iSeries 400. As se protegen los datos, incluidas las contraseas, contra el husmeo. Riesgo de seguridad al ignorar la pantalla de inicio de sesin: Cuando se elige la opcin de ignorar la pantalla Inicio de sesin, el PC cifra la contrasea antes de enviarla. El cifrado evita la posibilidad de que se robe una contrasea mediante la tcnica del rastreo. Sin embargo, debe asegurarse de que los usuarios de PC practiquen la seguridad operativa. Un PC no atendido con una sesin activa en el sistema iSeries proporciona la oportunidad de arrancar otra sesin sin conocer un ID de usuario y una contrasea.Los PC deben estar preparados para bloquearse cuando el sistema permanece inactivo durante un perodo prolongado, y deben requerir una contrasea para reanudar la sesin. Aunque no se elija ignorar la pantalla Inicio de sesin, un PC no atendido con una sesin activa representa un riesgo para la seguridad. Utilizando el software de PC, alguien puede arrancar una sesin del servidor y acceder a los datos, de nuevo sin conocer un ID de usuario y una contrasea. El riesgo con la emulacin 5250 es mayor ya que se necesitan menos conocimientos para arrancar una sesin y empezar a acceder a los datos. Tambin necesita educar a sus usuarios acerca del efecto de desconectar su sesin de Client Access. Muchos usuarios dan por supuesto (lgica pero incorrectamente) que la opcin de desconexin detiene completamente la conexin al iSeries.De hecho, cuando un usuario selecciona la opcin de desconectar, el iSeries permite que la sesin (licencia) del usuario est disponible para otro usuario.No obstante, la conexin del cliente al iSeries contina abierta. Otro usuario podra entrar a travs del PC no protegido y acceder a los recursos del iSeries sin haber entrado nunca un ID de usuario y una contrasea. Puede sugerir dos opciones para los usuarios que necesitan desconectar sus sesiones: v Asegrese de que sus PC dispongan de una funcin de bloqueo que requiera una contrasea. De este modo, un PC desatendido no estar disponible para quien no conozca la contrasea. v Para desconectar completamente una sesin, finalice la sesin de Windows o reinicie (rearranque) el PC. De este modo concluir la sesin del iSeries. Tambin necesita educar a sus usuarios acerca de un riesgo de seguridad potencial cuando utilizan Client Access AS/400 para Windows 95/NT. Cuando un usuario especifica un UNC (convenio de denominacin universal) para identificar un recurso del iSeries, el cliente Win95 o NT crea una conexin de red para enlazar al iSeries.Puesto que el usuario especifica un UNC, el usuario no lo ve como una Unidad de red correlacionada. Con frecuencia, el usuario desconoce la existencia de la conexin de red. Sin embargo, esta conexin de red representa un riesgo de seguridad en un PC desatendido, puesto que el iSeries aparece en el rbol de directorios del PC.Si la sesin de iSeries del usuario tiene un perfil de usuario
228
poderoso, pueden arriesgarse los recursos de iSeries en un PC desatendido.Como en el ejemplo anterior, la solucin es asegurar que los usuarios comprendan el riesgo y utilicen la funcin de bloqueo del PC.
Consejos para proteger el iSeries de mandatos y procedimientos remotos

Un usuario de PC experto que disponga de software como Client Access puede ejecutar mandatos en un sistema iSeries sin pasar a travs de la pantalla Inicio de sesin.A continuacin se detallan varios mtodos disponibles para que los usuarios de PC ejecuten los mandatos de iSeries.El software de cliente/servidor determina los mtodos de que disponen los usuarios de PC. v Un usuario puede abrir un archivo DDM y utilizar la funcin de mandato remoto para ejecutar un mandato. v Parte del software, como los clientes optimizados de Client Access, proporciona la funcin de mandato remoto a travs de las API de Llamada de programa distribuido (DPC) sin utilizar DDM. v Parte del software, tal como ODBC y SQL remoto, proporciona una funcin de mandato remoto sin DDM o DPC. Para el software de cliente/servidor que utiliza DDM para el soporte de mandato remoto, puede utilizar el atributo de red DDMACC para evitar totalmente los mandatos remotos. Para el software de cliente/servidor que utiliza otro soporte del servidor, puede registrar los programas de salida para el servidor. Si quiere permitir mandatos remotos, debe asegurarse de que el esquema de autorizacin sobre objetos protege los datos de forma adecuada. La posibilidad de mandatos remotos es equivalente a proporcionar a un usuario una lnea de mandatos. Adems, cuando iSeries recibe un mandato remoto a travs de DDM, el sistema no aplica el valor Posibilidad limitada (LMTCPB) de los perfiles de usuario.
Consejos para proteger a los PC de mandatos y procedimientos remotos

El software de cliente Client Access AS/400 para Windows 95/NT, por ejemplo, proporciona la posibilidad de recibir mandatos remotos en el PC. Puede utilizar el mandato Ejecutar mandato remoto (RUNRMTCMD) en el iSeries para ejecutar un procedimiento en un PC conectado.La posibilidad de RUNRMTCMD es una herramienta valiosa para los administradores del sistema y el personal auxiliar. Sin embargo, tambin proporciona la oportunidad de daar datos de PC, deliberada o accidentalmente. Los PC no tienen las mismas funciones de autorizacin sobre objetos que el iSeries.La mejor proteccin frente a los problemas con el mandato RUNRMTCMD es restringir cuidadosamente los usuarios del iSeries que tengan acceso al mandato.El software de cliente de Client Access AS/400 para Windows 95/NT proporciona la posibilidad de registrar a los usuarios que pueden ejecutar mandatos remotos en un PC especfico. Cuando la conexin se realiza a travs de TCP/IP, puede utilizar el panel de control de propiedades en el cliente para controlar el acceso de mandatos remotos. Puede autorizar a los usuarios por ID de usuario o por nombre de sistema remoto. Cuando la conexin se realiza a travs de SNA, determinado software de cliente proporciona la posibilidad de poner a punto la seguridad para la conversacin. Con otro tipo de software de cliente, slo es posible elegir si se pone a punto o no la posibilidad de mandato de entrada.
229
Para cada combinacin de software de cliente y tipo de conexin (como TCP/IP o SNA), es necesario revisar el potencial de los mandatos de entrada para los PC conectados. Consulte la documentacin del cliente y busque mandato de entrada o RUNRMTCMD. Est preparado para aconsejar a los usuarios de PC y los administradores de red acerca de la forma correcta (segura) de configurar clientes para permitir o evitar esta posibilidad.
Consejos para los servidores de pasarela

El sistema puede formar parte de una red con un servidor intermedio o de pasarela entre el sistema iSeries y los PC.Por ejemplo, su sistema iSeries puede estar conectado a una LAN con un servidor de PC que tenga PC conectados al servidor.Los elementos de seguridad dependen en esta situacin de las posibilidades del software que se ejecuta en el servidor de pasarela. La Figura 42 muestra un ejemplo de una configuracin de servidor de pasarela:
USERB USERA
USERC
USERE SERVIDOR AS/400 SERVIDOR PASARELA USERGTW
USERD
RV3M1207-0
Figura 42. iSeries con servidor de pasarelaEjemplo
Con determinado software, el sistema iSeries no conocer los usuarios (como USERA o USERC) que estn en sentido directo del servidor de pasarela.El servidor iniciar la sesin en el iSeries como un slo usuario (USERGTW).Utilizar el ID de usuario USERGTW para manejar todas las peticiones de los usuarios en sentido directo. Para el iSeries una peticin de USERA parecer una peticin de USERGTW. Si es ste el caso, debe confiar en el servidor de pasarela para el cumplimiento de la seguridad. Debe comprender y gestionar las posibilidades de seguridad del servidor de pasarela. Desde la perspectiva del iSeries, cada usuario tiene la misma autorizacin que el ID de usuario que utiliza el servidor de pasarela para iniciar la sesin.Un equivalente a esto sera ejecutar un programa que adoptara autorizacin y proporcionara una lnea de mandatos. Con otro software, el servidor de pasarela pasa las peticiones de los usuarios individuales al iSeries.El iSeries sabe que USERA est solicitando acceso a un objeto determinado.La pasarela es casi transparente para el iSeries. Si el sistema est en una red que tiene servidores de pasarela, debe evaluar qu autorizacin se debe proporcionar a los ID de usuario utilizados por los servidores de pasarela. Tambin debe comprender lo siguiente: v Los mecanismos de seguridad que los servidores de pasarela hacen cumplir. v Cmo aparecen los usuarios en sentido directo ante el sistema iSeries.
230
Consejos para las comunicaciones LAN inalmbricas

Algunos clientes pueden utilizar la LAN inalmbrica de iSeries para comunicarse con el sistema iSeries sin utilizar cables.La LAN inalmbrica de iSeries utiliza tecnologa de comunicaciones por radio frecuencia.Como administrador de seguridad, debe conocer las siguientes caractersticas de seguridad de los productos de la LAN inalmbrica de iSeries: v Estos productos de la LAN inalmbrica utilizan tecnologa de difusin de espectro. Esta misma tecnologa la utiliz el gobierno en el pasado para asegurar las transmisiones de radio. Para alguien que intente rastrear electrnicamente las transmisiones de datos, stas parecen ser un ruido, ms que una transmisin real. v La conexin inalmbrica tiene tres parmetros de configuracin relevantes para la seguridad: Velocidad de datos (dos velocidades de datos posibles) Frecuencia (cinco frecuencias posibles) Identificador del sistema (8 millones de identificadores posibles) Estos elementos de configuracin se combinan para proporcionar 80 millones de configuraciones posibles, lo que convierte el hecho de que un pirata informtico acierte la configuracin correcta en muy poco verosmil. Al igual que en el caso de otros mtodos de comunicacin, la seguridad de las comunicaciones inalmbricas se ve afectada por la seguridad del dispositivo del cliente. La informacin del ID del sistema y otros parmetros de configuracin estn en un archivo del dispositivo del cliente y deben protegerse. Si un dispositivo inalmbrico se pierde o lo roban, las medidas de seguridad normales del iSeries, tales como las contraseas de inicio de sesin y la seguridad de objetos, proporcionan proteccin cuando un usuario no autorizado intenta utilizar la unidad perdida o robada para acceder al sistema. Si una unidad cliente inalmbrica se pierde o la roban, debe considerar la posibilidad de cambiar la informacin del ID del sistema para todos los usuarios, puntos de acceso y sistemas. Piense en esto como en cambiar la cerradura de las puertas en caso de que le hayan robado las llaves. Probablemente quiera hacer una particin del servidor en grupos de clientes cuyos ID de sistema sean exclusivos. Esto limita el impacto producido por la prdida o el robo de una unidad. Este mtodo funciona solamente si puede confinar un grupo de usuarios en una parte especfica de la instalacin. Al contrario que la tecnologa de LAN por cable, la tecnologa de LAN inalmbrica es propietaria. Por lo tanto, no hay rastreadores electrnicos a disposicin general para estos productos LAN inalmbricos. (Un rastreador es un dispositivo electrnico que lleva a cabo una supervisin no autorizada de una transmisin.)
231
232
Captulo 16. Consejos para el uso de los programas de salida de seguridad

Algunas funciones del iSeries proporcionan una salida para que el sistema pueda ejecutar un programa creado por el usuario para realizar comprobaciones y validaciones adicionales.Por ejemplo, puede preparar el sistema para que ejecute un programa de salida cada vez que algn usuario intenta abrir un archivo DDM (gestin de datos distribuidos). Puede utilizar la funcin de registro para especificar programas de salida que se ejecuten bajo determinadas circunstancias. Varias publicaciones del iSeries contienen ejemplos de programas de salida que realizan funciones de seguridad.La Tabla 25 proporciona una lista de estos programas de salida, y fuentes de los programas de ejemplo.
Tabla 25. Fuentes de los programas de salida de ejemplo
Tipo de programa de salida Finalidad En qu lugar puede obtener un ejemplo
| | | | | | | | | | | | | | | |
Validacin de contrasea
El valor del sistema QPWDVLDPGM puede v An Implementation Guide for AS/400 Security especificar un nombre de programa o indicar and Auditing, GG24-4200 que se utilicen los programas de validacin v iSeries Security Reference, SC41-5302-04 registrados para el punto de salida QIBM_QSY_VLD_PASSWRD para comprobar en las contraseas nuevas si hay requisitos adicionales que no pueden ser controlados por los valores del sistema QPWDxxx. La utilizacin de este programa debe supervisarse con suma atencin porque recibe contraseas sin cifrar. Este programa no debe almacenar contraseas en un archivo ni transferirlas a otro programa. Puede especificar este nombre de programa v An Implementation Guide for AS/400 Security en el parmetro Acceso de peticin de cliente and Auditing, GG24-4200 (PCSACC) de los atributos de red para controlar las siguientes funciones: v Funcin Impresora virtual v Funcin Transferencia de archivos v Funcin Carpetas compartidas Tipo 2 v Funcin Mensajes de Client Access v Colas de datos v Funcin SQL remoto
Acceso a Soporte PC/400 o Client Access1
Acceso a Gestin de datos distribuidos (DDM)
Puede especificar este nombre de programa en el parmetro Acceso de peticin de DDM (DDMACC) de los atributos de red para controlar las siguientes funciones: v Funcin Carpetas compartidas Tipo 0 y 1 v Funcin Someter mandato remoto
v An Implementation Guide for AS/400 Security and Auditing, GG24-4200
Inicio de sesin remoto
Puede especificar un programa en el valor del sistema QRMTSIGN para controlar qu usuarios pueden iniciar la sesin automticamente y desde qu ubicaciones (paso a travs.)
v An Implementation Guide for AS/400 Security and Auditing, GG24-4200
233
Tabla 25. Fuentes de los programas de salida de ejemplo (continuacin)

Tipo de programa de salida Conectividad Abierta de Bases de Datos (ODBC) con Client Access 1 Finalidad Controle las siguientes funciones de ODBC: v Si se permite de alguna manera la ODBC. v Qu funciones se permiten para los archivos de base de datos del iSeries. v Qu sentencias SQL se permiten. v Qu informacin se puede recuperar acerca de los objetos del servidor de la base de datos. v Qu funciones del catlogo SQL se permiten. Programa de manejo de interrupciones QSYSMSG Puede crear un programa para supervisar la v An Implementation Guide for AS/400 Security cola de mensajes QSYSMSG y emprender la and Auditing, GG24-4200 accin adecuada (como, por ejemplo, notificrselo al administrador del sistema) en funcin del tipo de mensaje. Algunos servidores de TCP/IP (como FTP, v TCP/IP User Exits en la publicacin TFTP, TELNET y REXEC) proporcionan iSeries 400 System API Reference puntos de salida. Puede aadir programas de salida para manejar el inicio de sesin y para validar peticiones de usuario, como por ejemplo, las peticiones para obtener o colocar un archivo especificado. Tambin puede utilizar estas salidas para proporcionar un protocolo FTP annimo en el sistema. Puede crear programas de salida para los siguientes mandatos de perfil de usuario: CHGUSRPRF CRTUSRPRF DLTUSRPRF RSTUSRPRF v iSeries Security Reference, SC41-5302-04 v TCP/IP User Exits en la publicacin iSeries 400 System API Reference En qu lugar puede obtener un ejemplo
TCP/IP
Cambios del perfil de usuario
| | |
Notas: 1. Encontrar informacin adicional sobre este tema en el Information Center iSeries. Vea Requisitos e informacin relacionada en la pgina xii para obtener ms detalles.
234
Captulo 17. Consideraciones sobre seguridad para Java

Java est teniendo una rpida y amplia aceptacin y utilizacin. Es posible que utilice Toolbox for Java en el sistema para desarrollar nuevas aplicaciones. Los usuarios que dispongan de acceso a Internet pueden estar accediendo a pginas Web que ejecuten applets Java. Aunque Java es un lenguaje potente que proporciona herramientas y caractersticas para ayudar a los programadores a escribir programas seguros, Java no puede asegurar la informacin por s solo. Este apartado trata las consideraciones sobre seguridad para: v Aplicaciones Java v Applets Java v Servlets Java v Autenticacin y autorizacin de Java Para obtener ms informacin puede utilizar el libro rojo, Java 2 Network Security. Est ubicado en la siguiente direccin del navegador, http://www.redbooks.ibm.com/abstracts/sg242109.html
Aplicaciones Java
Las aplicaciones Java residen en el sistema iSeries 400 o en el PC en el que se ejecutan, y se ejecutan utilizando la mquina virtual Java instalada en dicho sistema. Los problemas de seguridad para las aplicaciones Java en iSeries son los mismos que para las dems aplicaciones de iSeries. La aplicacin puede realizar funciones o acceder a objetos en el sistema iSeries solamente si el perfil de usuario bajo el que se ejecuta tiene autorizacin sobre dichas funciones u objetos. Algunas aplicaciones se ejecutan bajo el perfil de usuario del usuario actual, mientras que otras lo hacen bajo un perfil de usuario por omisin, que puede tener o no una cantidad significativa de autorizaciones. Si escribe sus propias aplicaciones Java, es recomendable que se ejecuten bajo el perfil de usuario actual. Un buen esquema de seguridad por recursos es esencial al empezar a utilizar las aplicaciones Java para proporcionar nuevas funciones de aplicaciones. Cuando el sistema iSeries procesa peticiones de cualquier aplicacin, incluidas las aplicaciones Java, no utiliza el control de acceso de men ni el valor de posibilidad limitada del perfil de usuario. El control de acceso de men slo est en vigor para los mens y los mandatos visualizados o entrados desde una sesin 5250. Las peticiones que se procesan mediante servidores de software no estn sujetas al control de acceso de men ni a la posibilidad limitada. A partir de la V4R4, Java para iSeries Java soporta SSL (capa de sockets segura). Los datos (incluidos los ID de usuario y contraseas) pueden cifrarse cuando los usuarios acceden a aplicaciones Java del iSeries desde Internet. No obstante, antes de la V4R4, no haba soporte integrado para SSL, pero eso solamente impeda el cifrado de datos con SSL. No impeda el cifrado de datos utilizando un algoritmo dentro del propio programa Java. Existen diversas maneras de cifrar los datos; SSL slo es una de ellas. Tambin a partir de la V4R4, los programas Java pueden adoptar la autorizacin de su propietario o utilizar la autorizacin adoptada que est en vigor cuando se
235
inicie la aplicacin Java. Utilice el mandato CRTJVAPGM para establecer el atributo Perfil de usuario en *OWNER para adoptar la autorizacin del propietario. Para utilizar la autorizacin adoptada en vigor al iniciarse la aplicacin Java, establezca en USE el atributo Utilizar autorizacin adoptada. La autorizacin adoptada puede utilizarse en cualquier entidad Java que pueda utilizarse como parmetro archivo de clase o archivo Jar en el mandato CRTJVAPGM. Un programa Java que adopte la autorizacin de su propietario no se regenerar automticamente si el archivo de clase asociado cambia. Una aplicacin Java que se ejecute en un PC puede intentar conectarse a a cualquier puerto TCP/IP de un servidor. El cdigo de la aplicacin de servidor determinar si son necesarios el ID de usuario y la contrasea. No obstante, para los servidores con Java Toolbox, la aplicacin debe proporcionar un ID de usuario y una contrasea cuando desee volver a establecer una conexin con el servidor. En este caso, el servidor es un sistema iSeries. Normalmente, la clase Toolbox solicita al usuario un ID de usuario y una contrasea para la primera conexin. Para obtener ms informacin puede utilizar el libro rojo, Java 2 Network Security. Est ubicado en la siguiente direccin del navegador, http://www.redbooks.ibm.com/abstracts/sg242109.html
Applets Java
Los applets Java son pequeos programas Java que residen en un servidor web. Se bajan a un cliente y se ejecutan en el cliente mediante el cdigo Java proporcionado por un navegador Web. Dado que los applets se ejecutan en el cliente, lo que hagan ser problema del cliente. Una buena gestin de seguridad del servidor iSeries protege los recursos del iSeries sin tener en cuenta lo que el applet intente hacer. Por otro lado, quin puede acceder al applet ser problema del servidor iSeries. Utilice las directivas del servidor HTTP y la seguridad por recursos de OS/400 para controlar el acceso al applet. Los applets Java tienen el potencial para acceder a su iSeries pero, por lo general, las aplicaciones Java slo pueden establecer una sesin con el servidor desde el que se origin la aplicacin. Por consiguiente, una aplicacin Java puede acceder a su iSeries desde un PC conectado solamente cuando la aplicacin provenga de su iSeries (por ejemplo, de su servidor Web). El visor de applets le permite probar un applet en el sistema servidor. El visor de applets no est sujeto a las restricciones de seguridad implementadas por un navegador. Por ese motivo, slo deber utilizar la herramienta visor de applets para probar sus propios applets, nunca para ejecutar applets de fuentes externas. Para obtener ms informacin puede utilizar el libro rojo, Java 2 Network Security. Est ubicado en la siguiente direccin del navegador, http://www.redbooks.ibm.com/abstracts/sg242109.html
Servlets Java
Los servlets son componentes del lado del servidor, escritos en Java, que amplan de forma dinmica la funcionalidad de un servidor web sin modificar el cdigo del servidor web. El IBM WebSphere Application Server que se enva con IBM HTTP Server para iSeries proporciona soporte para servlets en el iSeries.
236
Es ms complicado asegurar los servlets que otros tipos de programas Java. Aplicar la seguridad por recursos a un servlet no lo asegura lo suficiente. Una vez un servidor web ha cargado un servlet, la seguridad por recursos no evita que otros lo ejecuten. Debe utilizar la seguridad por recursos en los objetos que utilice el servidor. Tambin puede mejorar la seguridad de los servlets utilizando las siguientes directivas de proteccin del IBM HTTP Server para iSeries: v Ejecute los servlets bajo el perfil de usuario del solicitante (UserID=%%CLIENT), o bajo un perfil de usuario especificado. v No permita que los servlets se ejecuten bajo el perfil del servidor web. v Controle quin puede ejecutar el servlet (aplicar mscaras a las palabras clave de la directiva de proteccin). v Utilice los grupos de HTTP Server y las listas de control de acceso (ACL). Para obtener ms informacin puede utilizar el libro rojo, Java 2 Network Security. Est ubicado en la siguiente direccin del navegador, http://www.redbooks.ibm.com/abstracts/sg242109.html
Autenticacin y autorizacin de Java

iSeries 400 Toolbox para Java contiene clases de seguridad para proporcionar la verificacin de la identidad de un usuario y asignar opcionalmente esa identidad a la hebra del sistema operativo para una aplicacin o servlet que se est ejecutando en el iSeries. Las siguientes comprobaciones de la seguridad por recursos se producirn bajo la identidad asignada. Para obtener informacin detallada adicional revise la pgina iSeries 400 Toolbox para Java: Servicio de autenticacin y autorizacin en el iSeries Information Center. Tambin puede utilizar el libro rojo, Java 2 Network Security. Est ubicado en la siguiente direccin del navegador, http://www.redbooks.ibm.com/abstracts/sg242109.html
Captulo 17. Consideraciones sobre seguridad para Java
237
238
Captulo 18. Consideraciones de seguridad para los navegadores

Muchos usuarios de PC de su organizacin tendrn navegadores en las estaciones de trabajo. Es posible que se conecten a Internet. Es posible tambin que se conecten al iSeries.A continuacin se proporcionan algunas consideraciones de seguridad para los PC y para el iSeries.
Riesgo: Daos en el PC local

Una pgina Web visitada por un usuario puede tener un programa asociado, como por ejemplo un applet Java, un control Active-X o algn otro tipo de mdulo enlazable. Aunque no es el caso habitual, este tipo de programas pueden daar la informacin del PC. Como administrador de seguridad, tenga en cuenta lo siguiente para proteger los PC de la organizacin: v Estudie las opciones de seguridad de los distintos navegadores de que dispone. Por ejemplo, en algunos navegadores puede controlar el acceso que los applets Java tienen fuera del navegador (el entorno operativo restringido de Java se llama sandbox). Esto puede evitar que los applets daen los datos del PC. Nota: El concepto de sandbox y sus restricciones de seguridad asociadas no existe en Active-X ni en otros mdulos enlazables. v Recomiende a los usuarios los valores a utilizar en el navegador. Probablemente no tenga el tiempo ni los recursos para asegurarse de que los usuarios sigan estas recomendaciones. Por lo tanto debe instruirlos acerca de los riesgos potenciales de la utilizacin de valores inadecuados. v Considere la estandarizacin de los navegadores Web que proporcionan las opciones de seguridad necesarias. v Haga que los usuarios le informen de cualesquiera comportamientos o sntomas sospechosos que puedan asociarse a sitios Web determinados.
Riesgo: Acceso a los directorios de iSeries a travs de unidades correlacionadas

Suponga que hay un PC conectado al iSeries con una sesin Client Access AS/400 para Windows 95/NT. La sesin ha configurado unidades correlacionadas para enlazar con el sistema de archivos integrado del iSeries. Por ejemplo, la unidade G del PC podra correlacionarse con el sistema de archivos integrado del iSeries SYSTEM1 en la red. Ahora suponga que el mismo usuario de PC tiene un navegador y puede acceder a Internet. El usuario solicita una pgina Web que ejecuta un programa perjudicial como puede ser un applet Java applet o un control Active-X. En teora, el programa podra intentar borrar todo lo contenido en la unidad G del PC. Existen varias protecciones contra daos en las unidades correlacionadas: v La proteccin ms importante es la seguridad de recursos en el iSeries. El applet Java o el control Active-X es, para el iSeries, igual que el usuario que ha establecido la sesin de PC. Necesita gestionar cuidadosamente cules son los usuarios de PC que estn autorizados a trabajar en el iSeries.
239
v Debe aconsejar a los usuarios de PC que configuren los navegadores para evitar intentos de acceder a las unidades correlacionadas. Esto funciona para los applets Java pero no para los controles Active-X, que no disponen del concepto sandbox. v Debe instruir a los usuarios acerca del peligro que supone conectarse al iSeries y a Internet en la misma sesin. Asegrese tambin de que los usuarios de PC (con clientes Windows 95, por ejemplo) comprendan que las unidades permanecen correlacionadas incluso cuando parezca que la sesin de Client Access ha finalizado.
Riesgo: Confianza en applets firmados

Probablemente los usuarios hayan seguido el consejo y hayan configurado los navegadores para evitar que los applets graben en unidades de PC. Sin embargo, los usuarios de PC deben tener en cuenta que un applet firmado puede alterar temporalmente los valores del navegador. Un applet firmado lleva asociada una firma digital para establecer su autenticidad. Cuando un usuario accede a una pgina Web que tiene un applet firmado, el usuario ve un mensaje. El mensaje indica la firma del applet (quin y cundo lo firm). Cuando el usuario acepta el applet, el usuario permite al applet pasar por alto los valores de seguridad del navegador. El applet firmado puede grabar en las unidades locales del PC, incluso aunque los valores por omisin del navegador lo impidan. El applet firmado puede tambin grabar en las unidades correlacionadas del iSeries porque para el PC son unidades locales. Para los applets Java propios procedentes del iSeries, es posible que necesite utilizar applets firmados. Sin embargo, debe indicar a los usuarios que, en general, no acepten applets firmados de origen desconocido.
240
Captulo 19. Consejos para la seguridad de Domino para iSeries

| | | Encontrar informacin sobre el uso de Domino en el iSeries en el siguiente URL: http://www.as400.ibm.com/domino/ . Desde esa pgina puede enlazar con la biblioteca de consulta de Domino, as como con productos y estudios de casos.
241
242
Parte 5. Consejos y herramientas para la seguridad de Internet en iSeries 400
RV3M1204-0
| | | |
Nota: El contenido de Parte 5. Consejos y herramientas para la seguridad de Internet en iSeries 400 est disponible en el Information Center. Consulte tambin el Apndice. IBM SecureWay: iSeries 400 e Internet en la pgina 247.
243
244
Parte 6. Apndices
245
246
Apndice. IBM SecureWay: iSeries 400 e Internet

| | | | | | | | | | | | | | | | | | | | | El acceso a Internet desde la LAN es un paso importante en la evolucin de su red que requerir que vuelva a evaluar sus necesidades de seguridad. El iSeries 400 tiene soluciones de software integradas y una arquitectura de seguridad que le permitirn crear potentes defensas contra los posibles intrusos y trampas de seguridad de Internet. El uso correcto de estas ofertas de seguridad de iSeries 400 asegurar que sus clientes, empleados y asociados puedan obtener la informacin necesaria para sus intercambios comerciales en un entorno seguro. Para saber ms sobre los riesgos de seguridad de Internet y las soluciones de seguridad de iSeries 400 que puede utilizar para proteger sus sistemas y recursos, revise estos temas en el Information Center (vea Requisitos e informacin relacionada en la pgina xii para ms detalles): v Seguridad bsica del sistema y planificacin: Aprenda a planificar, configurar, gestionar y poner a prueba la seguridad de su sistema. Consulte este teme si no tiene experiencia en seguridad, o si no la tiene en la seguridad del iSeries 400. v IBM SecureWay: iSeries 400 e Internet: Este tema proporciona una visin general de las ofertas y los puntos fuertes de la seguridad en Internet iSeries 400. Consulte este tema para obtener ms informacin sobre las opciones de seguridad de redes, aplicaciones y transacciones. El iSeries 400 Information Center proporciona enlaces con fuentes adicionales de informacin de seguridad. Vea Requisitos e informacin relacionada en la pgina xii para obtener ms detalles. Nota: Si no est familiarizado con los trminos relacionados con la seguridad e Internet, deber revisar la Terminologa de seguridad en el Information Center, a medida que trabaja con este material.
Seguridad C2
C2 es un estndar de seguridad definido por el gobierno de los EE.UU. en el Department of Defense Trusted System Evaluation Criteria (DoD 5200.28.STD). Es posible que se pregunte por qu le interesa tener la calificacin C2. Para poder realizar solicitudes y que se le contrate como desarrollador de proyectos dentro de la estructura gubernamental puede ser necesario que su sistema se ejecute con el nivel de seguridad C2. En Octubre de 1995, AS/400 recibi formalmente su primera calificacin de seguridad C2 del Departamente de Defensa del Gobierno de los Estados Unidos. Esta calificacin de seguridad C2 original es para la V2R3 de OS/400, Programa de Utilidad para Entrada del Fuente, Consulta/400, SAA Lenguaje de Consulta Estructurada/400 y Common Cryptographic Architecture Services/400. La calificacin de seguridad C2 se obtuvo tras un riguroso perodo de evaluacin de varios aos de duracin. iSeries 400 es el primer sistema que consiguie una calificacin de seguridad C2 para un sistema (hardware y sistema operativo) con una base de datos integrada de funcin completa. | | | | Desde que recibi su primera calificacin C2, el objetivo de IBM ha sido conseguir nuevas calificaciones C2 para el hardware adicional de iSeries 400 y los releases de OS/400 a travs del proceso RAMP (Ratings Maintenance Phase) del Departamento de Defensa de los Estados Unidos. Hasta la fecha, el iSeries 400 ha recibido
247
| |
calificaciones C2 para la Versin 3 Release 0 Modificacin 5 (V3R0M5), la Versin 3 Release 2 (V3R2), la Versin 4 Release 1 (V4R1) y la Versin 4 Release 4 (V4R4). Para obtener el nivel de seguridad C2, los sistemas deben cumplir unas condiciones estrictas en las reas siguientes: v Control de acceso discrecional v Fiabilidad del usuario v Auditora de la seguridad v Aislamiento de recursos Para obtener informacin detallada consulte Department of Defense Trusted System Evaluation Criteria y SecurityEnabling for C2
248
Avisos
Esta informacin se ha desarrollado para productos y servicios ofrecidos en los Estados Unidos. IBM puede no ofrecer los productos, servicios o caractersticas tratados en este documento en otros pases. Consulte al representante de IBM local acerca de los productos y servicios disponibles actualmente en su zona. Cualquier referencia a un producto, programa o servicio IBM no implica que nicamente pueda utilizarse dicho producto, programa o servicio IBM. En su lugar, puede utilizarse cualquier producto, programa o servicio funcionalmente equivalente que no vulnere ninguno de los derechos de propiedad intelectual de IBM. No obstante, es responsabilidad del usuario evaluar y verificar el funcionamiento de cualquier producto, programa o servicio no IBM. IBM puede tener patentes o aplicaciones pendientes de patente que cubran informacin descrita en este documento. La posesin de este documento no le otorga licencia sobre dichas patentes. Puede enviar consultas sobre las licencias, por escrito, a: | | | | | IBM Director of Licensing IBM Corporation 500 Columbus Avenue Thornwood, NY 10594 EE.UU. Para consultas sobre licencias relativas a la informacin de doble byte (DBCS), pngase en contacto con el departamento de propiedad intelectual de IBM en su pas o enve las consultas, por escrito, a: | | | | IBM World Trade Asia Corporation Licensing 2-31 Roppongi 3-chome, Minato-ku Tokyo 106-0032, Japn El prrafo siguiente no se aplica al Reino Unido ni a ningn otro pas en que dichas previsiones entren en contradiccin con las leyes locales: INTERNATIONAL BUSINESS MACHINES CORPORATION PROPORCIONA ESTA PUBLICACIN TAL CUAL SIN GARANTA DE NINGN TIPO, NI EXPLCITAS NI IMPLCITAS, INCLUYENDO, PERO NO LIMITNDOSE A LAS GARANTAS IMPLCITAS DE NO VULNERABILIDAD, COMERCIALIZACIN O ADECUACIN A UN PROPSITO DETERMINADO. Algunos estados no permiten el rechazo de las garantas implcitas o explcitas en determinadas transacciones, por lo que puede que esta declaracin no se aplique a su caso. Esta informacin puede incluir imprecisiones tcnicas o tipogrficas. Se efectan cambios peridicamente a la informacin incluida en este documento; estos cambios se incorporarn en nuevas ediciones de la publicacin. IBM puede efectuar mejoras y/o cambios en el producto(s) y/o el programa(s) descritos en esta publicacin en cualquier momento y sin previo aviso. Toda referencia en esta informacin a sitios Web no IBM se proporcionan solamente a efectos ilustrativos, y de ningn modo suponen un endoso a dichos sitios Web. Los materiales de dichos sitios Web no forman parte de los materiales de este producto IBM, y el uso de dichos sitios Web se har bajo su responsabilidad.
249
Los usuarios licenciados de este programa, que deseen tener informacin acerca de l a efectos de permitir: (i) el intercambio de informacin entre programas independientemente creados y otros programas (incluyendo ste), y (ii) el uso mutuo de la informacin que se haya intercambiado, debern ponerse en contacto con: IBM Corporation Software Interoperability Coordinator 3605 Highway 52 N Rochester, MN 55901-7829 U.S.A. Esta informacin puede estar disponible, sujeta a los correspondientes trminos y condiciones, incluyendo en ciertos casos, el pago de una tarifa. El programa licenciado en esta informacin, y todo el material licenciado disponible para dicho programa, los ofrece IBM bajo los trminos del IBM Customer Agreement, IBM International Program License Agreement, o cualquier acuerdo equivalente entre las dos partes. Todos los datos de rendimiento aqu contenidos se obtuvieron en un entorno controlado. Por tanto, los resultados obtenidos en otros entornos operativos pueden varias significativamente. Al gunas medidas pueden haberse efectuado en sistemas a nivel desarrollo, y no hay garanta de que dichas medidas sean las mismas en los sistemas generalmente disponibles. Es ms, algunas medidas pueden haberse estimado mediante extrapolaciones. Los resultados reales pueden variar. Los usuarios de este documento deberan verificar los datos aplicables en sus entornos concretos. La informacin concerniente a los productos no IBM se obtuvo de los suministradores de dichos productos, de sus anuncios publicados o de otras fuentes de acceso pblico. IBM no ha probado dichos productos y no puede confirmar la exactitud del cumplimiento, la compatibilidad ni ninguna otra afirmacin relativa a los productos no IBM. Toda cuestin sobre las posibilidades de los productos no IBM deberan ser dirigidas a los suministradores de dichos productos. Todas las declaraciones relativas a las intenciones o direcciones futuras de IBM estn sujetas a cambio o revocacin sin previo aviso, y representan solamente metas y objetivos. Todos los precios aqu mostrados son precios recomendados de venta de IBM, son actuales y sujetos a cambio sin previo aviso. Los precios de los concesionarios pueden variar. Esta informacin es slo a efectos de planificacin. La informacin aqu contenida est sujeta a cambio antes de que estn disponibles los productos descritos. Esta informacin contiene ejemplos de datos e informes utilizados en operaciones comerciales diarias. Para ilustrarlas de la forma ms completa posible, los ejemplos incluyen los nombres de personas, empresas, marcas y productos. Todos estos nombres son ficticios y cualquier parecido con los nombres y direcciones utilizados por una empresa real es pura coincidencia. LICENCIA DE COPYRIGHT:
250
Esta informacin contiene programas de aplicacin de ejemplo en lenguaje fuente, que ilustran tcnicas de programacin en distintas plataformas operativas. Puede copiar, modificar y distribuir dichos programas de ejemplo en cualquier forma sin pago a IBM para el propsito de desarrollar, utilizar, comercializar o distribuir programas de aplicacin que se ajusten a la interfaz de programacin de aplicaciones correspondiente a la plataforma operativa para la que se han escrito los programas de ejemplo. Estos ejemplos no se han probado exhaustivamente bajo todas las condiciones. IBM, por tanto, no puede garantizar ni implicar la fiabilidad, servicio o funcionamiento de estos programas. Puede copiar, modificar y distribuir dichos programas de ejemplo en cualquier forma sin pago a IBM para el propsito de desarrollar, utilizar, comercializar o distribuir programas de aplicacin que se ajusten a las interfaces de programacin de aplicaciones de IBM. Si est examinando esta informacin mediante una copia software, puede que no aparezcan las fotografas ni las ilustraciones a color.
Marcas registradas
Los trminos siguientes son marcas registradas de International Business Machines Corporation en Estados Unidos y/o en otros pases:
iSeries 400 ADSM/400 Net.Data Advanced 36 OfiVisin Advanced Peer-to-Peer Networking Operating System/400 AIX OS/2 AnyNet OS/400 Application System/400 PowerPC AS APPN QMF AS/400 SAA AS/400e SecureWay Client Access SmoothStart CT System/36 DATABASE 2 System/38 Arquitectura de Bases de Datos Relacionales Distribuidas S/390 DRDA Ultimedia Global Network 400 IBMiSeries
Lotus y Lotus Notes son marcas registradas de Lotus Development Corporation. Domino y Notes son marcas registradas de Lotus Development Corporation. C-bus es marca registrada de Corollary, Inc. Microsoft, Windows, Windows NT y el logotipo de Windows 95 son marcas registradas de Microsoft Corporation. Java y HotJava son marcas registradas de Sun Microsystems, Inc. UNIX es marca registrada en los Estados Unidos y en otros pases con licencia exclusivamente a travs de X/Open Company Limited. PC Direct es marca registrada de Ziff Communications Company y lo utiliza, bajo licencia, IBM Corporation. Otros nombres de empresas, productos y servicios pueden ser marcas registradas de terceros.
Avisos
251
252
Dnde obtener ms informacin y ayuda

Existen muchos recursos disponibles si necesita ms informacin acerca de la seguridad o si necesita ayuda. Encontrar informacin adicional sobre estos temas en el iSeries Information Center (vea Requisitos e informacin relacionada en la pgina xii para conocer ms detalles).
Acerca de IBM SecureWay

IBM SecureWay proporciona una marca comn para la amplia gama de ofertas de seguridad de IBM; hardware, software, consulta y servicios para ayudar a los clientes a proteger su tecnologa de informacin. Tanto si es para una necesidad individual cono para crear una solucin total de empresa, las ofertas de IBM SecureWay proporcionan la experiencia necesaria para planificar, disear, implementar y operar soluciones seguras para las empresas. Para obtener ms informacin sobre las ofertas de IBM SecureWay, vea Dnde obtener ms informacin y ayuda y visite la pgina de presentacin de IBM Secureway:
http://www.ibm.com/secureway
Ofertas de servicio
A continuacin encontrar las descripciones de diversas ofertas que IBM tiene disponibles para ayudarle con la seguridad del iSeries o en la conexin a Internet. Para obtener ms informacin, pngase en contacto con el representante de IBM. En los EE.UU. puede ponerse en contrato con la oficina de distribucin local Express Services o puede llamar al nmero 1-800-IBM-4YOU. Tambin puede encontrar informacin actual sobre las ofertas de servicio visitando la siguiente Web IBM:
http://www.as.ibm.com/asus
Revisin de la seguridad para iSeries:La Revisin de seguridad para iSeries est disponible en los Servicios de disponibilidad de IBM. La revisin incluye los siguientes aspectos: v El uso de las herramientas de seguridad. v Un cuestionario para el cliente. v Una entrevista para reunir informacin sobre las prcticas de seguridad. El resultado de la revisin es un informe que resume los riesgos potenciales de la seguridad y ofrece unas recomendaciones preliminares para la accin correctiva. La planificacin de seguridad, la implementacin y los servicios de consulta tambin estn disponibles en los Servicios de disponibilidad de IBM. SmoothStart para Web Server/400 desde I/Net: Un especialista en servicios de IBM instalar, configurar y adaptar Web Server/400 desde I/Net, para que su empresa est presente en la World Wide Web. Al finalizar este servicio, tendr un prototipo de pgina de presentacin de Web, el servidor Web Server/400 instalado y operativo, y el iSeries TCP/IP configurado y listo para conectarlo a Internet o a su propia Intranet.
253
Planificacin de Conexin Internet para iSeries: Esta oferta de servicio le proporciona la informacin y los consejos que necesite para determinar las funciones de iSeries que desea ofrecer a los usuarios de Internet.La sesin de planificacin tratar las funciones de Internet Connection para AS/400 y las comparar con Web Server/400 desde I/Net. Al finalizar este servicio ser capaz de juzgar la aplicabilidad de Internet Connection para AS/400 a su entorno. SmoothStart para Conexin Internet para iSeriesFTP annimo: A partir de la V3R2 de OS/400, puede utilizar annimo como ID de usuario vlido para los usuarios del protocolo de transferencia de archivos (FTP). Con FTP annimo, puede ofrecer a los usuarios de Internet o a los de su propia Intranet, el acceso a los archivos de su iSeries sin necesidad de distribuir a los usuarios los identificadores de usuario y las contraseas exclusivos. El servicio SmoothStart para Conexin Internet para iSeriesFTP annimo le proporcionar un especialista de servicios que le ayudar a hacer lo siguiente: v Planificar la utilizacin de FTP annimo para su entorno v Poner a punto una salida de usuario de FTP que permitir que sus usuarios obtengan archivos de una biblioteca del iSeries y pongan archivos en otra biblioteca del iSeries. Al finalizar este servicio, su iSeries estar configurado para permitir que los usuarios tengan acceso a los archivos utilizando FTP annimo, y para impedir su acceso a lo archivos de uso restringido.Los usuarios de FTP tendrn adems la posibilidad de subir archivos a una biblioteca especfica. SmoothStart para Conexin Internet para iSeriesServidor de correo POP: A partir de la V3R2, iSeries puede ser un servidor de correo POP3 (Post Office Protocol R3) y mantener correo en buzones para los usuarios que ejecuten un cliente POP3. Los usuarios pueden recoger su correo cuando lo deseen. La oferta SmoothStart para Conexin Internet para iSeriesServidor de correo POP le proporciona un especialista de servicios para configurar los objetos necesarios para permitir que el iSeries sea un servidor de correo POP3 para los clientes que utilicen programas de correo como Eudora, Ultimail, as como otros clientes POP3 que se ejecuten en AIX, Windows, OS/2 y MacIntosh. Al finalizar este servicio, su iSeries estar configurado como servidor de correo POP3, con los buzones creados para que diez clientes de correo los utilicen. Adems, se definirn en el iSeries cinco usuarios de correo no de iSeries para hacer posible que les enve correo. SmoothStart para Conexin Internet para iSeriesWeb le proporciona un especialista en servicios para instalar, configurar y personalizar el servidor Web Conexin Internet para iSeries y HTML Workstation Gateway para que su empresa est presente en la Web. Al finalizar este servicio, dispondr de una pgina de presentacin Web prototipo y podr acceder a las aplicaciones del iSeries desde un navegador Web. El iSeries TCP/IP del AS/400 estar configurado y preparado para la conexin a Internet o a su propia intranet.
254
Security Analysis Lab: Con la oferta de laboratorio de anlisis de seguridad, los consultores de IBM intentan infiltrarse en las redes de los clientes. Evalan la vulnerabilidad de la red y recomiendan mejoras de la seguridad. Emergency Response Service: El servicio de respuesta de emergencia para empresas comerciales proporciona conocimientos de gestin de incidentes, expertos y rpidos, durante y despus de una emergencia de seguridad electrnica. En el caso de una intrusin, el equipo de respuesta de emergencia ayuda a los clientes a detectar, aislar y contener la infiltracin no autorizada en la red, y a recuperarse de ella.
Publicaciones relacionadas
Las publicaciones siguientes proporcionan ms informacin acerca de la seguridad del iSeries: v APPC Programming, SC41-5443-00, describe el soporte de comunicaciones avanzadas programa a programa (APPC) para el sistema iSeries.Este manual proporciona ayuda para desarrollar programas de aplicacin que utilizan APPC y para definir el entorno para las comunicaciones APPC. Incluye consideraciones sobre el programa de aplicacin, requisitos de configuracin y mandatos, gestin de problemas para APPC y consideraciones generales sobre gestin de redes. v En la publicacin AS/400 Internet Security: Protecting Your AS/400 from HARM on the Internet, SG24-4929, se tratan los elementos de seguridad y los riesgos asociados a la conexin del iSeries a Internet. Proporciona ejemplos, recomendaciones, consejos y tcnicas para las aplicaciones de TCP/IP. | | | | | | | | | | | | | v Copia de seguridad y recuperacin, SC10-3123-05 (SC41-5304-05), proporciona informacin acerca de la puesta a punto y la gestin de: Registro por diario, proteccin de va de acceso y control de compromiso Agrupaciones de almacenamiento auxiliar (ASP) Proteccin de disco (paridad de dispositivo, duplicacin de disco y suma de comprobacin) Planificar una estrategia para salvar el sistema. Realizar operaciones de salvar bsicas. Seleccionar qu opciones de disponibilidad son adecuadas para el sistema. Recuperar el sistema si se produce una anomala.
Encontrar informacin adicional sobre estos temas en el iSeries Information Center. Vea Requisitos e informacin relacionada en la pgina xii para obtener ms detalles. v CL Programming, SC41-5721-04, proporciona descripciones detalladas para codificar especificaciones de descripcin de datos (DDS) para archivos que se pueden describir externamente. Estos archivos son archivos fsicos, lgicos, de pantalla, de impresin y de funcin de comunicaciones intersistemas (ICF). v IBM Network Station Manager para AS/400, SC10-3088-00 (SC41-0632-01), describe cmo poner a punto, configurar y gestionar la Network Station. v An Implementation Guide for AS/400 Security and Auditing, GG24-4200, proporciona sugerencias prcticas y ejemplos para muchas reas de la seguridad de iSeries. v Implementing iSeriesSecurity, 3rd Edition by Wayne Madden and Carol Woodbury. Loveland, Colorado: 29th Street Press, a division of Duke Communications International, 1998. Proporciona sugerencias de ayuda y prcticas para planificar, poner a punto y gestionar la seguridad de iSeries. Nmero de pedido ISBN:
Dnde obtener ms informacin y ayuda
255
| | | |
1-882419-78-2 v HTTP Server for iSeries Webmasters Guide, GC41-5434-07, proporciona informacin a la administracin del sistema para la configuracin y la gestin del Internet Connection Server y del Internet Connection Secure Server. v C2 Security describe cmo personalizar su sistema para cumplir los requisitos de seguridad C2, tal como se describe en Department of Defense Trusted Computer Evaluation Criteria v iSeries Security Reference, SC41-5302-04, proporciona informacin completa acerca de los valores de seguridad del sistema, los perfiles de usuario, la seguridad de recursos y la auditora de seguridad. Este manual no describe la seguridad de programas bajo licencia, lenguajes y programas de utilidad especficos. v El tema Iniciacin a iSeries del iSeries Information Center proporciona informacin acerca del panel de control de la unidad del sistema, cmo arrancar y detener el sistema, cmo utilizar cintas y disquetes, cmo trabajar con arreglos temporales del programa y cmo manejar problemas. v TCP/IP Configuration and Reference, SC41-5420-03, proporciona informacin amplia para la configuracin y la utilizacin del soporte TCP/IP de iSeries.Incluye descripciones de todas las aplicaciones del servidor TCP/IP. Nota: Para V4R1, las descripciones del Internet Connection Server (antes HTTP) en el Internet Connection Secure Server se encuentran en el manual HTTP Server for iSeries Webmasters Guide. v Soporte de servidor de archivos TCP/IP para OS/400 Installation and Users Guide, SC41-0125, proporciona informacin introductoria, instrucciones para la instalacin y procedimientos de puesta a punto para la oferta del programa bajo licencia Soporte de servidor de archivos. Explica las funciones disponibles con el producto e incluye ejemplos y sugerencias para utilizarlo con otros sistemas. v Trusted Computer Systems Evaluation Criteria DoD 5200.28.STD, describe los criterios de niveles de confianza para sistemas PC. TCSEC es una publicacin del gobierno de los Estados Unidos. Pueden obtenerse copias en: Office of Standards and Products National Computer Security Center Fort Meade, Maryland 20755-6000 EE.UU. A la atencin de: Chief, Computer Security Standards v , proporciona informacin que permite que los programadores puedan gestionar eficazmente su carga de trabajo del sistema cambiando objetos de gestin de trabajo con el fin de que se ajustar a sus necesidades. La publicacin proporciona directrices para el ajuste de rendimiento, descripciones de los valores del sistema e informacin sobre la recopilacin de datos de rendimiento, la recopilacin de datos de utilizacin del sistema, la utilizacin de entradas de trabajo y la planificacin de trabajos de proceso por lotes.
256
ndice Caracteres Especiales

*ALWPTF 5 (ICSS), Internet Connection Secure Server 9 *IOSYSCFG (configuracin del sistema), autorizacin especial necesaria para mandatos de configuracin APPC 149 (IP) Protocolo Internet, filtrado de paquetes 7, 168 (NAT), Conversin de direcciones de red 168 *PGMADP (adopcin de programa), nivel de auditora 110 (PPP), Protocolo punto a punto 8 (PRTPUBAUT), mandato, Imprimir objetos con autorizaciones de uso pblico 139 (PRTPUBAUT), mandato Imprimir autorizacin de uso pblico 6 (PRTPVTAUT), mandato, Imprimir objetos con autorizacin privada 138 (PRTPVTAUT) mandato, Imprimir autorizacin privada 6 (QVFYOBJRST) valor del sistema verificar objetos en restauracin firma digital 108 valores del sistema de restauracin valores del sistema de restauracin (QVFYOBJRST) 108 (RSTUSRPRF) mandato, Restaurar perfil de usuario 6 *SAVSYS (salvar sistema), autorizacin especial control 117 (SNMP), protocolo simple de gestin de red 216 (SSL), Capa de Sockets Segura 5 *VFYENCPWD (verificar contrasea cifrada), valor 151, 157 (VPN), Red privada virtual 5 acceso de peticin de cliente (PCSACC), atributo de red (continuacin) utilizacin de programa de salida 114 Acceso limitado a las funciones del programa 6 accin al llegar al lmite de intentos de inicio de sesin (QMAXSGNACN), valor del sistema valor establecido por el mandato CFGSYSSEC 53 valor recomendado 34 accin de recuperacin de dispositivo (QDEVRCYACN), valor del sistema evitar riesgos en la seguridad 155 valor establecido por el mandato CFGSYSSEC 53 valor recomendado 34 accin de trabajo de red (JOBACN), atributo de red 155 acciones de auditora 69 activacin perfil de usuario 36, 43 actualizacin, autorizacin, V4R2 7 ADDJOBSCDE (Aadir entrada de planificacin de trabajos), mandato SECBATCH, men 46 ADDPFRCOL (Aadir recogida del rendimiento), mandato programa de salida 114 ADDSRVTBLE (Aadir entrada de tabla de servicios), mandato 86 Administracin de aplicaciones de Operations Navigator 6 adopcin de programa (*PGMADP), nivel de auditora 110 almacenamiento contraseas 40 umbral receptor de diario de auditora (QAUDJRN) 70 anlisis anomala de programa 68 autorizacin sobre objeto 67 perfil de usuario por autorizaciones especiales 48 por clases de usuario 48 perfiles de usuario 65 Analizar actividad de perfil (ANZPRFACT), mandato creacin de usuarios exentos 43 descripcin 43 utilizacin sugerida 37 Analizar contraseas por omisin (ANZDFTPWD), mandato descripcin 43 utilizacin sugerida 39 anomala de programa auditora 68 anotaciones de seguridad de herramientas de servicio utilizacin 96 ver actividad 96 anotaciones de seguridad del sistema ver 94 ANZDFTPWD (Analizar contraseas por omisin), mandato descripcin 43 utilizacin sugerida 39 ANZPRFACT (Analizar actividad de perfil), mandato creacin de usuarios exentos 43 descripcin 43 utilizacin sugerida 37 Aadir Entrada de planificacin de trabajos (ADDJOBSCDE), mandato SECBATCH, men 46 Aadir recogida del rendimiento (ADDPFRCOL), mandato programa de salida 114 API, Creacin de un archivo continuo con open() o creat() 142 API, creacin de un directorio 142 API de Llamada de programa distribuido 229 API QHFRGFS programa de salida 114 API QTNADDCR programa de salida 114 aplicaciones, Operations Navigator, administracin de 6 Aplicaciones Java 235 APPC (comunicaciones avanzadas programa a programa) asignacin de perfil de usuario 152 consejos de seguridad 147 descripcin de controlador CPSSN (sesiones de punto de control), parmetro 159 parmetro AUTOCRTDEV (creacin automtica de dispositivo) 159 parmetros relativos a la seguridad 159 temporizador de desconexin, parmetro 159 descripcin de dispositivo APPN (posibilidad de APPN), parmetro 158 arranque de programa SNUF, parmetro 158 funcin en la seguridad 148 LOCPWD (contrasea de ubicacin), parmetro 148 parmetros relativos a la seguridad 156 PREESTSSN (sesin preestablecida), parmetro 158 proteccin con APPN 149
A
acceso control 59 Acceso a los directorios de iSeries 400 a travs de unidades correlacionadas 239 Acceso al sistema de archivos QSYS.LIB, restriccin 140 acceso de peticin de cliente (PCSACC), atributo de red fuente del programa de salida de ejemplo 233 restringir el acceso a datos desde PC 221
257
APPC (comunicaciones avanzadas programa a programa) (continuacin) proteger ubicacin (SECURELOC), parmetro 157 restriccin con autorizacin sobre objeto 149 SECURELOC (proteger ubicacin), parmetro 148, 151 SNGSSN (una sola sesin), parmetro 158 descripcin de lnea 160 AUTOANS (respuesta automtica), campo 160 AUTODIAL (marcacin automtica), campo 160 parmetros relativos a la seguridad 160 elementos bsicos 148 evaluacin de la configuracin 156, 160 identificacin de un usuario 150 inicio de trabajo de paso a travs 153 mandato remoto 155 restriccin con la entrada PGMEVOKE 155 repartir responsabilidad de la seguridad 151 restriccin de sesiones 149 sesin 148 terminologa 147 valores de seguridad con arquitectura con el parmetro SECURELOC (proteger ubicacin) 151 descripcin 150 ejemplos de aplicacin 150 APPC, elementos bsicos de las comunicaciones 148 applets firmados, confianza 240 Applets Java 236 archivo herramientas de seguridad 41 archivo de base de datos programa de salida para informacin de uso 114 proteccin del acceso desde PC 221 archivo lgico programa de salida para seleccin de formato de registro 114 archivos, QFileSvr.400, sistema de 143 archivos, QLANSrv y QNetWare, sistemas de 143 Archivos, restriccin del acceso al sistema QSYS.LIB 140 Archivos, seguridad para raz (/), QOpenSys y definidos por usuario, sistemas de 137 archivos de base de datos, autorizaciones a nivel de columna 7 archivos de configuracin, TCP/IP restriccin del acceso 170 archivos de red, sistema 144 arquitectura, valores de seguridad con con el parmetro SECURELOC (proteger ubicacin) 151 descripcin 150 ejemplos de aplicacin 150
Arrancar emulacin de pantalla 3270 (STREML3270), mandato programa de salida 114 Arrancar supervisin del rendimiento (STRPFRMON), mandato programa de salida 114 Arrancar TCP/IP (STRTCP), mandato restringir 167 arranque de programa SNUF, parmetro 158 Asesor de seguridad iSeries 400 21, 23 Asesor de seguridad iSeries 400e 6 asignacin perfil de usuario para trabajo APPC 152 Asistente de seguridad iSeries 400 6, 21 atributo de red DDMACC (acceso a peticin DDM) fuente del programa de salida de ejemplo 233 restringir el acceso a datos desde PC 221 restringir mandatos remotos 229 utilizacin de programa de salida 114, 155 impresin relativa a la seguridad 19, 48 JOBACN (accin de trabajo de red) 155 mandato para establecer 52 PCSACC (acceso de peticin de cliente) fuente del programa de salida de ejemplo 233 restringir el acceso a datos desde PC 221 utilizacin de programa de salida 114 atributos de seguridad impresin 19 auditora anomala de programa 68 autorizacin sobre objeto 67 integridad de objetos 67, 68 auditora, acciones 69 auditora, diario trabajar con 72 auditora, receptor de diario salvar 72 umbral de almacenamiento 70 auditora de funciones de seguridad 64 auditora de seguridad introduccin 18, 64 operaciones de restauracin 118 puesta a punto 44 sugerencias para la utilizacin auditora de objetos 167 CP (Cambiar perfil), entrada de diario 36, 37 entrada de diario SV (valor del sistema) 118 nivel de auditora *PGMADP 110 valor *PGMFAIL 108 valor *SAVRST 108 valor *SECURITY 108 visin general 130 visualizacin 44
AUTOANS (respuesta automtica), campo 160 AUTOCRTCTL (creacin automtica de controlador), parmetro 159 AUTODIAL (marcacin automtica), campo 160 autorizacin *SAVSYS (salvar sistema), autorizacin especial 117 control 117 acceso a datos por usuarios de PC 222 acceso a mandatos de restaurar 118 acceso a mandatos de salvar 118 adoptada 109 auditora 68 limitacin 110 supervisin 109 colas de salida 81 colas de trabajos 81 complementar con control de acceso a mens 61 cundo se impone 59 de uso pblico 73 en el nivel de seguridad 10 20 59 entorno de transicin 61 especial 82 gestin 73 herramientas de seguridadmandatos 41 idiomas nacionales 64 iniciacin a 61 introduccin 15, 16 objetos nuevos 74 seguridad de bibliotecas 63 supervisin 73, 80 visin general 59 autorizacin adoptada con ODBC 226 impresin de lista de objetos 48 limitacin 110 procedimientos almacenados 226 supervisin de utilizacin 109 Autorizacin de actualizacin, V4R2 7 Autorizacin de referencias 7 autorizacin de uso pblico impresin 49 revocar 52 revocar con el mandato RVKPUBAUT 55 supervisin 73 autorizacin de uso pblico mandato (PRTPUBAUT), Imprimir 6 Autorizacin de uso pblico para el directorio raz 137 autorizacin especial *SAVSYS (salvar sistema) control 117 anlisis de asignacin 48 discrepancia con clase de usuario 83 listado de usuarios 66 supervisin 82 autorizacin privada supervisin 80 autorizacin privada (PRTPVTAUT) mandato, Imprimir 6
258
autorizacin sobre objeto *SAVSYS (salvar sistema), autorizacin especial 117 control 117 acceso a datos por usuarios de PC 222 acceso a mandatos de restaurar 118 acceso a mandatos de salvar 118 adoptada 109 limitacin 110 supervisin 109 anlisis 67 colas de salida 81 colas de trabajos 81 complementar con control de acceso a mens 61 cundo se impone 59 de uso pblico 73 en el nivel de seguridad 10 20 59 entorno de transicin 61 especial 82 gestin 73 herramientas de seguridadmandatos 41 idiomas nacionales 64 iniciacin a 61 introduccin 15, 16 objetos nuevos 74 seguridad de bibliotecas 63 supervisin 73, 80 visin general 59 visualizacin 67 Autorizaciones de nivel de columna para archivos de base de datos 7 Avisos 249 ayuda 253
B
bajada autorizacin necesaria 222 base de datos, autorizaciones a nivel de columna para archivos de 7 bibliografa 255 biblioteca listado contenido 67 todas las bibliotecas 67 biblioteca actual (CURLIB), parmetro 83 biblioteca protegida comprobacin de objetos de usuario 118 BOOTP (Protocolo Bootstrap) consejos de seguridad 186 restriccin de puerto 186
C
C2, seguridad descripcin 247 caballo de Troya comprobacin de 114 descripcin 113 heredar autorizacin adoptada
112
caducidad perfil de usuario definicin de planificacin 38, 43 visualizacin de planificacin 43 Cambiar auditora de seguridad (CHGSECAUD), mandato descripcin 44 utilizacin sugerida 130 Cambiar copia de seguridad (CHGBCKUP), mandato programa de salida 114 Cambiar descripcin de mensaje (CHGMSGD), mandato programa de salida 114 Cambiar diario (CHGJRN), mandato 70, 72 Cambiar entrada de planificacin de activacin (CHGACTSCDE), mandato descripcin 43 utilizacin sugerida 36 Cambiar entrada de planificacin de caducidad (CHGEXPSCDE), mandato descripcin 43 utilizacin sugerida 38 Cambiar lista de bibliotecas del sistema (CHGSYSLIBL), mandato restriccin del acceso 118 Cambiar lista de perfiles activos (CHGACTPRFL), mandato descripcin 43 utilizacin sugerida 37 Cambiar recogida del rendimiento (CHGPFRCOL), mandato programa de salida 114 cambio auditora de seguridad 44 contraseas con Herramientas de Servicio Dedicado (DST) 32 contraseas conocidas pblicamente 31 contraseas proporcionadas por IBM 31 lista de perfiles activos 43 mensajes de error de inicio de sesin 35 receptor de diario de auditora 70, 72 uid 145 capa de sockets segura (SSL) utilizacin con Client Access Express 224 Capa de Sockets Segura (SSL) 5 CFGSYSSEC (Configurar seguridad del sistema), mandato descripcin 52 utilizacin sugerida 25 cifrado comunicaciones TCP/IP 179, 184 contrasea sesiones de PC 227 cifrado irreversible 39 clase de usuario anlisis de asignacin 48 discrepancia con autorizacin especial 83 Client Access autorizacin sobre objeto 222 cifrado de contraseas 227
Client Access (continuacin) control del acceso a datos 221 evitar virus en PC 221 ignorar inicio de sesin 228 implicaciones de seguridad 221 implicaciones del sistema de archivos integrado 222 mtodos de acceso a datos 221 proteccin de mandatos remotos 229 restringir mandatos remotos 229 servidores de pasarela 230 transferencia de archivos 221 virus en PC 221 Client Access Express 5 utilizacin de SSL con 224 Client Access Express, utilizacin de SSL 224 clientes Windows 95, puesta de contraseas en antememoria para 8 cola de mensajes (MSGQ), parmetro 83 cola de mensajes de trabajo inactivo (QINACTMSGQ), valor del sistema valor establecido por el mandato CFGSYSSEC 53 valor recomendado 34 cola de salida impresin de parmetros relativos a la seguridad 50 impresin de perfiles de usuario 83 supervisin del acceso 81 cola de trabajos impresin de parmetros relativos a la seguridad 50 supervisin del acceso 81 Cmo evitar que los usuarios de marcacin accedan a otros sistemas 175 comprobacin contraseas por omisin 43 integridad de objetos 48, 108 descripcin 67, 68 objetos alterados 67, 68 programas ocultos 114 Comprobar integridad de objetos (CHKOBJITG), mandato descripcin 48, 67, 68 utilizacin sugerida 108 Comunicaciones, elementos bsicos de APPC 148 comunicaciones, seguridad de APPC 147 comunicaciones inalmbricas 231 comunicaciones TCP/IP BOOTP (Protocolo Bootstrap) consejos de seguridad 186 restriccin de puerto 186 consejos para la seguridad 167 DHCP (Protocolo de configuracin dinmica de sistema principal (DHCP)) consejos de seguridad 187 restriccin de puerto 188 DNS (sistema de nombres de dominio (DNS)) consejos de seguridad 193 restriccin de puerto 193 entrada preventiva 167 ndice
259
comunicaciones TCP/IP (continuacin) FTP (protocolo de transferencia de archivos) contraseas no cifradas 184 evitar autoarranque del servidor 183 fuente del programa de salida de ejemplo 233 QMAXSIGN (nmero mximo de intentos de inicio de sesin), valor del sistema 184 restriccin de puerto 183 restringir el soporte de proceso por lotes 185 HTTP (Protocolo de Transferencia de Hipertexto) restriccin de puerto 213 Internet Connection Secure Server (ICSS) consejos de seguridad 206 descripcin 206 Internet Connection Server (ICS) consejos de seguridad 200 descripcin 200 evitar autoarranque del servidor 201 LPD (daemon de impresora de lneas) consejos de seguridad 215 descripcin 215 evitar autoarranque del servidor 215 restriccin de puerto 215 POP (Protocolo de Oficina Postal) consejos de seguridad 198 descripcin 198 evitar autoarranque del servidor 198 restriccin de puerto 198 proteger aplicaciones de puerto 170 restringir archivos de configuracin 170 direccin Internet del gestor (INTNETADR), parmetro 217 mandato STRTCP 167 salidas 218 vagar 218 REXECD (servidor de EXECution remoto) consejos de seguridad 191 restriccin de puerto 191 RouteD (Daemon de ruta) consejos de seguridad 192 SLIP (Protocolo de Lnea de Interfaz Serie) control 172 descripcin 172 seguridad de marcacin 175 seguridad de marcacin de entrada 173 SMTP (protocolo simple de transferencia de correo) consejos de seguridad 194 descripcin 194 evitar autoarranque del servidor 194 inundacin 195 restriccin de puerto 194
comunicaciones TCP/IP (continuacin) SNMP (protocolo simple de gestin de red) consejos de seguridad 216, 217 evitar autoarranque del servidor 216 restriccin de puerto 216 TELNET consejos de seguridad 178 contraseas no cifradas 179 evitar autoarranque del servidor 178 inicio de sesin automtico 181 programa de salida 180 QAUTOVRT (configuracin automtica del dispositivo virtual), valor del sistema 179 QLMTSECOFR (responsable de seguridad de lmites), valor del sistema 181 QMAXSIGN (nmero mximo de intentos de inicio de sesin), valor del sistema 179 QRMTSIGN (inicio de sesin remoto), valor del sistema 181 restriccin de puerto 178 TFTP (protocolo trivial de transferencia de archivos) consejos de seguridad 189 restriccin de puerto 189 WSG (Workstation Gateway Server) consejos de seguridad 212 descripcin 212 evitar autoarranque del servidor 213 Conceptos bsicos de una sesin APPC 148 conectividad de base de datos abierta (ODBC) control de acceso 226 fuente del programa de salida de ejemplo 233 Conexiones, marcacin SLIP , control 173 confianza en applets firmados 240 configuracin automtica (QAUTOCFG), valor del sistema valor establecido por el mandato CFGSYSSEC 53 valor recomendado 34 configuracin automtica de dispositivo virtual (QAUTOVRT), valor del sistema TELNET 179 valor establecido por el mandato CFGSYSSEC 53 valor recomendado 34 configuracin del sistema (*IOSYSCFG), autorizacin especial necesaria para mandatos de configuracin APPC 149 Configurar seguridad del sistema (CFGSYSSEC), mandato descripcin 52 utilizacin sugerida 25 Consejos de seguridad 183 Consideraciones sobre seguridad para Java 235
Consideraciones sobre seguridad para los navegadores 239 Consola de operaciones asistente de configuracin 106 autenticacin de dispositivo 104 autenticacin de usuario 104 conectividad directa 104, 105 conectividad LAN 104, 105 consola remota 103 criptografa 103 integridad de datos 105 perfiles de usuario 103 perfiles de usuario de herramientas de servicio 103 privacidad de datos 104 utilizacin 103 Consola de operaciones con conectividad LAN asistente de configuracin contrasea de perfil de dispositivo de herramientas de servicio 106 perfil de dispositivo de herramientas de servicio 106 cambio de contrasea 105 utilizacin 105 contenido herramientas de seguridad 42 contrasea almacenamiento 40 cambio con Herramientas de Servicio Dedicado (DST) 32 cambio de la proporcionada por IBM 31 cifrado comunicaciones TCP/IP 179, 184 sesiones de PC 227 cifrado irreversible 39 comprobacin del valor por omisin 43 definir normas 25 diferencia necesaria (QPWDRQDDIF), valor del sistema valor establecido por el mandato CFGSYSSEC 53 valor recomendado 25 exigir carcter numrico (QPWDRQDDGT), valor del sistema valor establecido por el mandato CFGSYSSEC 53 valor recomendado 25 intervalo de caducidad (QPWDEXPITV), valor del sistema valor establecido por el mandato CFGSYSSEC 53 valor recomendado 25 limitar caracteres repetidos (QPWDLMTREP), valor del sistema valor establecido por el mandato CFGSYSSEC 53 valor recomendado 25 longitud mxima (QPWDMAXLEN), valor del sistema valor establecido por el mandato CFGSYSSEC 53 valor recomendado 25
260
contrasea (continuacin) longitud mnima (QPWDMINLEN), valor del sistema valor establecido por el mandato CFGSYSSEC 53 valor recomendado 25 necesidad de diferente posicin en contrasea (QPWDPOSDIF), valor del sistema valor establecido por el mandato CFGSYSSEC 53 valor recomendado 25 por omisin 38 programa de validacin (QPWDVLDPGM), valor del sistema valor establecido por el mandato CFGSYSSEC 53 valor recomendado 25 QPGMR (programador), perfil de usuario 54 QSRV (servicio), perfil de usuario 54 QSRVBAS (servicio bsico), perfil de usuario 54 QSYSOPR (operador del sistema), perfil de usuario 54 QUSER (usuario), perfil de usuario 54 restringir caracteres (QPWDLMTCHR), valor del sistema valor establecido por el mandato CFGSYSSEC 53 valor recomendado 25 restringir caracteres adyacentes (QPWDLMTAJC), valor del sistema valor establecido por el mandato CFGSYSSEC 53 valor recomendado 25 supervisin de actividad 39 contrasea conocida pblicamente cambio 31 contrasea de ubicacin APPN 149 contrasea de ubicacin (LOCPWD), parmetro 148 contrasea por omisin del sistema QSECOFR 95 contrasea por omisin del sistema operativo restablecer 95 contraseas cambio 31 control *SAVSYS (salvar sistema), autorizacin especial 117 acceso a mandatos de restaurar 118 a mandatos de salvar 118 de la informacin 59 acceso a datos desde PC 221 autorizacin adoptada 109, 110 cambios en la lista de bibliotecas 118 conectividad de base de datos abierta (ODBC) 226 contraseas 25 descripcin de dispositivo APPC 149 descripciones de subsistema 123
control (continuacin) direccin Internet del gestor (INTNETADR), parmetro 217 inicio de sesin 25 mandatos remotos 155, 229 nombres de programas de transacciones con arquitectura 127 PC (personal computer) 221 posibilidad de restaurar 117 posibilidad de salvar 117 programas de salida 114 programas desencadenantes 113 programas planificados 117 sesiones APPC 149 Soporte de proceso por lotes de FTP 185 TCP/IP archivos de configuracin 170 entrada 167 salidas 218 transferencia de archivos del Sistema/36 64 control de acceso a mens complementar con autorizacin sobre objetos 61 descripcin 60 entorno de transicin 61 limitaciones 60 parmetros de perfil de usuario 60 control de auditora (QAUDCTL), valor del sistema cambio 44 visualizacin 44 Control de conexiones de marcacin SLIP 173 Control de los servidores TCP/IP que se inician automticamente 170 conversin de direcciones de red, NAT 7 Conversin de direcciones de red (NAT) 168 CP (Cambiar perfil), entrada de diario utilizacin sugerida 36, 37 CPF1107, mensaje 35 CPF1120, mensaje 35 CPSSN (sesiones de punto de control), parmetro 159 creacin automtica de controlador (AUTOCRTCTL), parmetro 159 Creacin de un archivo continuo con las API open() o creat() 142 Creacin de un directorio con una API 142 Creacin de un objeto utilizando una interfaz de PC 142 Crear carga de producto (CRTPRDLOD), mandato programa de salida 114 Crear directorio, mandato 142 CRTPRDLOD (Crear carga de producto), mandato programa de salida 114
CH
CHGACTPRFL (Cambiar lista de perfiles activos), mandato descripcin 43 utilizacin sugerida 37 CHGACTSCDE (Cambiar entrada de planificacin de activacin), mandato descripcin 43 utilizacin sugerida 36 CHGBCKUP (Cambiar copia de seguridad), mandato programa de salida 114 CHGEXPSCDE (Cambiar entrada de planificacin de caducidad), mandato descripcin 43 utilizacin sugerida 38 CHGJRN (Cambiar diario), mandato desconexin del receptor 70, 72 CHGMSGD (Cambiar descripcin de mensaje), mandato programa de salida 114 CHGPFRCOL (Cambiar recogida del rendimiento), mandato programa de salida 114 CHGSECAUD (Cambiar auditora de seguridad), mandato descripcin 44 utilizacin sugerida 130 CHGSYSLIBL (Cambiar lista de bibliotecas del sistema), mandato restriccin del acceso 118 CHKOBJITG (Comprobar integridad de objetos), mandato descripcin 48, 67, 68 utilizacin sugerida 108
D
daemon de impresora de lneas (LDP) consejos de seguridad 215 descripcin 215 evitar autoarranque del servidor 215 restriccin de puerto 215 Daemon de ruta (RouteD) consejos de seguridad 192 datos de seguridad de herramientas de servicio restauracin cinta 97 ptico 97 restauracin de perfiles seleccionados 97 restauracin de todos los perfiles 97 salvar cinta 97 ptico 97 datos de seguridad de servicio utilizacin 94 DDMACC (acceso a peticin DDM), atributo de red fuente del programa de salida de ejemplo 233 restringir el acceso a datos desde PC 221 restringir mandatos remotos 229
ndice
261
DDMACC (acceso a peticin DDM), atributo de red (continuacin) utilizacin de programa de salida 114, 155 definicin atributos de red 52 valores de seguridad 52 valores del sistema 52 desactivacin perfil de usuario 36 desconexin receptor de diario 70 receptor de diario de auditora 70, 72 descripcin de controlador impresin de parmetros relativos a la seguridad 48 descripcin de dispositivo impresin de parmetros relativos a la seguridad 48 descripcin de dispositivo de impresora programa de salida para pginas separadoras 114 descripcin de subsistema consejos de seguridad entrada de cola de trabajos 125 entrada de comunicaciones 125 entrada de direccionamiento 125 entrada de nombre de estacin de trabajo 124 entrada de nombre de ubicacin remota 125 entrada de tipo de estacin de trabajo 124 entrada de trabajo de arranque automtico 124 entrada de trabajo de prearranque 126 consideraciones de seguridad 33 entrada de comunicaciones modalidad 152 usuario por omisin 152 entrada de direccionamiento eliminacin de la entrada PGMEVOKE 155 impresin de parmetros relativos a la seguridad 48 supervisin de valores relevantes para la seguridad 123 valores relevantes para la seguridad 123 descripcin de trabajo consejos de seguridad 126 impresin de parmetros relativos a la seguridad 48 impresin de perfiles de usuario 83 Deteccin de programas sospechosos 107 DHCP (Protocolo de configuracin dinmica de sistema principal (DHCP)) consejos de seguridad 187 restriccin de puerto 188 diario gestin 70 diario de auditora impresin de entradas 48 trabajar con 72
diario de auditora (QAUDJRN) cambio del receptor 72 daado 70 desconexin del receptor 70, 72 entradas del sistema 70 gestin 69 limpieza automtica 70 umbral de almacenamiento de receptor 70 diario de auditora daado 70 diario de auditora de seguridad impresin de entradas 48 diferencia necesaria en contrasea (QPWDRQDDIF), valor del sistema valor establecido por el mandato CFGSYSSEC 53 direccin Internet del gestor (INTNETADR), parmetro restringir 217 direccionamiento de nodo intermedio 158 Directorio raz, autorizacin de uso pblico 137 directorios, seguridad 141 DLTJRNRCV (Suprimir receptor de diario), mandato paro de la funcin de auditora 72 DNS (sistema de nombres de dominio (DNS)) consejos de seguridad 193 restriccin de puerto 193 DSPACTPRFL (Visualizar lista de perfiles activos) descripcin 43 DSPACTSCD (Visualizar planificacin de activacin), mandato descripcin 43 DSPAUDJRNE (Visualizar entradas de diario de auditora), mandato descripcin 48 utilizacin sugerida 130 DSPAUTUSR (Visualizar usuarios autorizados), mandato auditora 65 DSPEXPSCD (Visualizar planificacin de caducidad), mandato descripcin 43 utilizacin sugerida 38 DSPLIB (Visualizar biblioteca), mandato utilizacin 67 DSPOBJAUT (Visualizar autorizacin sobre objeto), mandato utilizacin 67 DSPOBJD (Visualizar descripcin de objeto), mandato uso de archivo de salida 66 DSPPGMADP (Visualizar programas que adoptan), mandato auditora 68 DSPSECAUD (Visualizar auditora de seguridad), mandato descripcin 44 DSPUSRPRF (Visualizar perfil de usuario), mandato uso de archivo de salida 66 DST (Herramientas de Servicio Dedicado) cambio de contraseas 32
DST (Herramientas de Servicio Dedicado) (continuacin) contraseas 34
E
Ejecutar mandato remoto (RUNRMTCMD), mandato restringir 229 Elementos bsicos de las comunicaciones APPC 148 elementos bsicos de seguridad 13 eliminacin entradas de direccionamiento PGMEVOKE 155 perfil de usuario automtica 38, 43 perfiles de usuario inactivos 37 empantanarse 195 emulacin de dispositivo 3270 programa de salida 114 ENDPFRMON (Finalizar supervisin del rendimiento), mandato programa de salida 114 enlace protegido 148 entorno de usuario supervisin 83 entrada de cola de trabajos consejos de seguridad 125 entrada de comunicaciones consejos de seguridad 125 modalidad 152 usuario por omisin 152 entrada de diario CP (Cambiar perfil) utilizacin sugerida 36, 37 envo 69 recibir programa de salida 114 entrada de diario SV (valor del sistema) utilizacin sugerida 118 entrada de direccionamiento consejos de seguridad 125 eliminacin de la entrada PGMEVOKE 155 entrada de estacin de trabajo consideraciones de seguridad 33 entrada de nombre de estacin de trabajo consejos de seguridad 124 entrada de nombre de ubicacin remota consejos de seguridad 125 entrada de pedidos (OEMENU), men 60 entrada de tipo de estacin de trabajo consejos de seguridad 124 Enviar entrada de diario (SNDJRNE) command 69 envo entrada de diario 69 Establecer programa de atencin (SETATNPGM), mandato programa de salida 114 evaluacin programas planificados 117 salida registrada 116
262
evitar conflictos de archivos de las herramientas de seguridad 41 evitar y detectar fechoras 121 explorar alteraciones de objetos 67, 68
gestin (continuacin) posibilidad de salvar 108, 117 programas desencadenantes 113 programas planificados 117 gestin de red (SNMP), protocolo simple 216
F
fechoras, evitar y detectar 121 Filtrado de paquetes de Protocolo Internet (IP) 7, 168 Finalizar supervisin del rendimiento (ENDPFRMON), mandato programa de salida 114 Firewall para iSeries 400 9 firma de objetos 122 introduccin 122 firmas digitales introduccin 122 fsica, seguridad 121 FMTSLR (programa de seleccin de formato de registro), parmetro 114 forzar creacin de programa 108 forzar creacin (FRCCRT), parmetro 108 FRCCRT (forzar creacin), parmetro 108 FTP (protocolo de transferencia de archivos) 183 contraseas no cifradas 184 evitar autoarranque del servidor 183 fuente del programa de salida de ejemplo 233 QMAXSIGN (nmero mximo de intentos de inicio de sesin), valor del sistema 184 restriccin de puerto 183 restringir el soporte de proceso por lotes 185 fuente programas de salida de seguridad 233 funcin del sistema de archivos programa de salida 114 funciones, acceso limitado a las del programa 6 funciones de seguridad, auditora 64
H
habilitacin perfil de usuario automtica 43 herramientas de seguridad archivos 41 autorizacin para mandatos 41 conflictos de archivos 41 contenido 42 mandatos 42 mens 42 proteccin de la salida 41 puesta a punto 41 salvar 42 seguridad 41 Herramientas de seguridad (SECTOOLS), men 42 herramientas de servicio herramientas de servicio (perfiles de usuario) 84 Herramientas de Servicio Dedicado (DST) cambio de contraseas 32 contraseas 34 herramientas de servicio del sistema (SST) inicio de sesin 98 HTTP (Protocolo de Transferencia de Hipertexto) restriccin de puerto 213 HTTP, servidor proxy 7 husmear 179, 228
I
IBM Firewall para iSeries 400, VPN 7 IBM SecureWay 253 ICS (Internet Connection Server) consejos de seguridad 200 descripcin 200 evitar autoarranque del servidor 201 ICSS (Internet Connection Secure Server) consejos de seguridad 206 descripcin 206 identificacin usuario de APPC 150 ignorar inicio de sesin implicaciones de seguridad 228 impresin atributos de red 48 atributos de seguridad del sistema 19 entradas de diario de auditora 48 informacin de lista de autorizaciones 48, 75 informacin sobre objeto adoptado 48 lista de objetos no IBM 48
G
gestin autorizacin 73 autorizacin adoptada 109, 110 autorizacin de uso pblico 73 autorizacin especial 82 autorizacin privada 80 autorizacin sobre objetos nuevos 74 colas de salida 81 colas de trabajos 81 descripcin de subsistema 123 diario de auditora 69 entorno de usuario 83 listas de autorizaciones 74 posibilidad de restaurar 108, 117
impresin (continuacin) lista de programas desencadenantes 114 objetos con autorizacin de uso pblico 49 parmetros de cola de salida relativos a la seguridad 50 parmetros de cola de trabajos relativos a la seguridad 50 programas desencadenantes 48 valores de comunicaciones relativos a la seguridad 48 valores de descripcin de subsistema relativos a la seguridad 48 valores del sistema 48 Imprimir atributos de seguridad del sistema (PRTSYSSECA), mandato descripcin 48 ejemplo de salida 19 utilizacin sugerida 25 Imprimir autorizacin de cola (PRTQAUT), mandato descripcin 50 utilizacin sugerida 81 Imprimir autorizacin de descripcin de trabajo (PRTJOBDAUT), mandato descripcin 48 utilizacin sugerida 126 Imprimir autorizacin de uso pblico, mandato (PRTPUBAUT) 6 Imprimir autorizacin privada (PRTPVTAUT), mandato 6 Imprimir autorizaciones privadas (PRTPVTAUT), mandato descripcin 50 ejemplo 81 lista de autorizaciones 48, 75 utilizacin sugerida 149 Imprimir descripcin de subsistema (PRTSBSDAUT), mandato descripcin 48 utilizacin sugerida 153 Imprimir objetos con autorizacin de uso pblico (PRTPUBAUT), mandato descripcin 49 utilizacin sugerida 74, 149 Imprimir objetos con autorizacin privada (PRTPVTAUT), mandato 138 Imprimir objetos con autorizaciones de uso pblico (PRTPUBAUT), mandato 139 Imprimir objetos de usuario (PRTUSROBJ), mandato descripcin 48 utilizacin sugerida 118 Imprimir objetos que adoptan (PRTADPOBJ), mandato descripcin 48 utilizacin sugerida 110 Imprimir perfil de usuario (PRTUSRPRF), mandato autorizaciones especiales, ejemplo 82 descripcin 48 discrepancias, ejemplo 83 informacin de contrasea 37, 39 informacin del entorno, ejemplo 84
ndice
263
Imprimir programas desencadenantes (PRTTRGPGM), mandato descripcin 48 utilizacin sugerida 114 Imprimir seguridad de comunicaciones (PRTCMNSEC), mandato descripcin 48 ejemplo 156, 160 Imprimir valores internos de perfil (PRTPRFINT), mandato 6 inactivo usuario listado 66 INETD 217 Informe de objetos adoptados por perfil de usuario 110 Informe Visualizar objetos de lista de autorizaciones Informe Lista de objetos 75 inhabilitacin perfil de usuario automtica 37, 43 impacto 38 iniciacin a herramientas de seguridad 41 inicio trabajo de paso a travs 153 inicio automtico, control de los servidores TCP/IP 170 inicio de sesin control 25 establecimiento de valores del sistema 34 ignorar 228 sin ID de usuario y contrasea 33 supervisin de intentos 39 Inicio de sesin, pantalla cambio de mensajes de error 35 inicio de sesin automtico TELNET 181 inicio de sesin remoto (QRMTSIGN), valor del sistema TELNET 181 Integrado, sistema de archivos 133 integridad comprobacin descripcin 67, 68 integridad de objetos auditora 67, 68 Internet Connection Secure Server (ICSS) 9 consejos de seguridad 206 descripcin 206 Internet Connection Server 9 Internet Connection Server (ICS) consejos de seguridad 200 descripcin 200 evitar autoarranque del servidor 201 intervalo de tiempo de espera de trabajo desconectado (QDSCJOBITV), valor del sistema valor establecido por el mandato CFGSYSSEC 53 valor recomendado 34
intervalo de tiempo de espera de trabajo inactivo (QINACTITV), valor del sistema valor establecido por el mandato CFGSYSSEC 53 valor recomendado 34 INTNETADR (direccin Internet del gestor), parmetro restringir 217 inundacin 195 iSeries 400, acceso a los directorios a travs de unidades correlacionadas 239 iSeries 400, Asesor de seguridad 23 iSeries 400, Asistente de seguridad 6, 21 iSeries 400, mandato Crear directorio 142 iSeries 400, Servidor HTTP 4, 7 iSeries 400e, Asesor de seguridad 6
lista de perfiles activos cambio 43 listado contenido de biblioteca 67 perfiles de usuario seleccionados 66 todas las bibliotecas 67 LOCPWD (contrasea de ubicacin), parmetro 148 LP, seguridad 99 LPD (daemon de impresora de lneas) consejos de seguridad 215 descripcin 215 evitar autoarranque del servidor 215 restriccin de puerto 215
LL
llamada no calificada 118 lleno receptor de diario de auditora (QAUDJRN) 70
J
Java, aplicaciones 235 Java, applets 236 Java, consideraciones sobre seguridad 235 Java, servlets 236 JOBACN (accin de trabajo de red), atributo de red 155
M
mandato revocar autorizacin de uso pblico 52 mandato, CL ADDJOBSCDE (Aadir entrada de planificacin de trabajos) SECBATCH, men 46 ADDPFRCOL (Aadir recogida del rendimiento) programa de salida 114 ANZDFTPWD (Analizar contraseas por omisin) descripcin 43 utilizacin sugerida 39 ANZPRFACT (Analizar actividad de perfil) creacin de usuarios exentos 43 descripcin 43 utilizacin sugerida 37 Cambiar diario (CHGJRN) 70, 72 CFGSYSSEC (Configurar seguridad del sistema) descripcin 52 utilizacin sugerida 25 Comprobar integridad de objetos (CHKOBJITG) descripcin 67, 68 CRTPRDLOD (Crear carga de producto) programa de salida 114 CHGACTPRFL (Cambiar lista de perfiles activos) descripcin 43 utilizacin sugerida 37 CHGACTSCDE (Cambiar entrada de planificacin de activacin) descripcin 43 utilizacin sugerida 36 CHGBCKUP (Cambiar copia de seguridad) programa de salida 114
L
Lightweight Directory Access Protocol (LDAP) caractersticas de seguridad 207, 212 consideraciones 212 ejemplo 211 estructura de directorio atributos 208 entradas 208 objetos 208 tipo 208 introduccin 208 usos 208 limitacin adoptada 110 posibilidades listado de usuarios 66 limpieza, automtica programa de salida 114 limpieza automtica programa de salida 114 lista de autorizaciones controlar Utilizar autorizacin adoptada 112 impresin de informacin de autorizacin 48, 75 supervisin 74 lista de bibliotecas implicaciones de seguridad 118 lista de bibliotecas del sistema (QSYSLIBL), valor del sistema proteccin 118 lista de copia de seguridad programa de salida 114
264
mandato, CL (continuacin) CHGEXPSCDE (Cambiar entrada de planificacin de caducidad) descripcin 43 utilizacin sugerida 38 CHGJRN (Cambiar diario) 70, 72 CHGMSGD (Cambiar descripcin de mensaje) programa de salida 114 CHGPFRCOL (Cambiar recogida del rendimiento) programa de salida 114 CHGSECAUD (Cambiar auditora de seguridad) descripcin 44 utilizacin sugerida 130 CHGSYSLIBL (Cambiar lista de bibliotecas del sistema) restriccin del acceso 118 CHKOBJITG (Comprobar integridad de objetos) descripcin 48, 67, 68 utilizacin sugerida 108 DLTJRNRCV (Suprimir receptor de diario) 72 DSPACTPRFL (Visualizar lista de perfiles activos) descripcin 43 DSPACTSCD (Visualizar planificacin de activacin) descripcin 43 DSPAUDJRNE (Visualizar entradas de diario de auditora) descripcin 48 utilizacin sugerida 130 DSPAUTUSR (Visualizar usuarios autorizados) auditora 65 DSPEXPSCD (Visualizar planificacin de caducidad) descripcin 43 utilizacin sugerida 38 DSPLIB (Visualizar biblioteca) 67 DSPOBJAUT (Visualizar autorizacin sobre objeto) 67 DSPOBJD (Visualizar descripcin de objeto) uso de archivo de salida 66 DSPPGMADP (Visualizar programas que adoptan) auditora 68 DSPSECAUD (Visualizar auditora de seguridad) descripcin 44 DSPUSRPRF (Visualizar perfil de usuario) uso de archivo de salida 66 ENDPFRMON (Finalizar supervisin del rendimiento) programa de salida 114 Enviar entrada de diario (SNDJRNE) 69 herramientas de seguridad 42 planificacin de activacin 43 PRTADPOBJ (Imprimir objetos que adoptan) descripcin 48
mandato, CL (continuacin) PRTADPOBJ (Imprimir objetos que adoptan) (continuacin) utilizacin sugerida 110 PRTCMNSEC (Imprimir seguridad de comunicaciones) descripcin 48 ejemplo 156, 160 PRTJOBDAUT (Imprimir autorizacin de descripcin de trabajo) descripcin 48 utilizacin sugerida 126 PRTPUBAUT (Imprimir objetos con autorizacin de uso pblico) descripcin 48 utilizacin sugerida 74, 149 PRTPVTAUT (Imprimir autorizaciones privadas) descripcin 50 ejemplo 81 lista de autorizaciones 48, 75 utilizacin sugerida 149 PRTQAUT (Imprimir autorizacin de cola) descripcin 50 utilizacin sugerida 81 PRTSBSDAUT (Imprimir descripcin de subsistema) descripcin 48 utilizacin sugerida 153 PRTSYSSECA (Imprimir atributos de seguridad del sistema) descripcin 48 ejemplo de salida 19 utilizacin sugerida 25 PRTTRGPGM (Imprimir programas desencadenantes) descripcin 48 utilizacin sugerida 114 PRTUSROBJ (Imprimir objetos de usuario) descripcin 48 utilizacin sugerida 118 PRTUSRPRF (Imprimir perfil de usuario) autorizaciones especiales, ejemplo 82 descripcin 48 discrepancias, ejemplo 83 informacin de contrasea 37, 39 informacin del entorno, ejemplo 84 RCVJRNE (Recibir entradas de diario) programa de salida 114 RUNRMTCMD (Ejecutar mandato remoto) restringir 229 RVKPUBAUT (Revocar autorizacin de uso pblico) descripcin 52 detalles 55 utilizacin sugerida 123 Salvar objeto (SAVOBJ) 72 SAVOBJ (Salvar objeto) 72 SBMJOB (Someter trabajo) SECBATCH, men 45
mandato, CL (continuacin) SBMRMTCMD (Someter mandato remoto) restringir 155 SETATNPGM (Establecer programa de atencin) programa de salida 114 SNDJRNE (Enviar entrada de diario) 69 STREML3270 (Arrancar emulacin de pantalla 3270) programa de salida 114 STRPFRMON (Arrancar supervisin del rendimiento) programa de salida 114 STRTCP (Arrancar TCP/IP) restringir 167 Suprimir receptor de diario (DLTJRNRCV) 72 Trabajar con atributos de diario (WRKJRNA) 72 Trabajar con diario (WRKJRN) 72 TRCJOB (Rastrear trabajo) programa de salida 114 Visualizar autorizacin sobre objeto (DSPOBJAUT) 67 Visualizar biblioteca (DSPLIB) 67 Visualizar descripcin de objeto (DSPOBJD) uso de archivo de salida 66 Visualizar perfil de usuario (DSPUSRPRF) uso de archivo de salida 66 Visualizar programas que adoptan (DSPPGMADP) auditora 68 Visualizar usuarios autorizados (DSPAUTUSR) auditora 65 WRKJRN (Trabajar con diario) 72 WRKJRNA (Trabajar con atributos de diario) 72 WRKREGINF (Trabajar con informacin de registro) programa de salida 116 WRKSBSD (Trabajar con descripcin de subsistema 123 mandato, Imprimir objetos con autorizacin privada (PRTPVTAUT) 138 mandato, Imprimir objetos con autorizaciones de uso pblico (PRTPUBAUT) 139 mandato (PRTPUBAUT), Imprimir autorizacin de uso pblico 6 mandato Crear directorio de iSeries 400 142 mandato de restaurar restriccin del acceso 118 mandato de salvar restriccin del acceso 118 mandato Imprimir valores internos de perfil (PRTPRFINT) 6 mandato remoto prevencin 155, 229 restriccin con la entrada PGMEVOKE 155 ndice
265
marcacin automtica (AUTODIAL), campo 160 mximo tamao receptor de diario de auditora (QAUDJRN) 70 mejoras de seguridad 9 Mejoras de seguridad para la V4R1 9 Mejoras de seguridad para la V4R2 7 Mejoras de seguridad para la V4R5 4 Mejoras de seguridad para la V5R1 3 mensaje CPF1107 35 CPF1120 35 CPF2234 185 programa de salida 114 mensaje CPF2234 185 mensaje del sistema (QSYSMSG), cola de mensajes fuente del programa de salida de ejemplo 233 utilizacin sugerida 130 men herramientas de seguridad 42 men inicial (INLMNU), parmetro 83 Mtodos que utiliza el sistema para enviar informacin sobre un usuario 150 modalidad entrada de comunicaciones 152
Nuevos objetos, seguridad 141 nmero mximo de intentos de inicio de sesin (QMAXSIGN), valor del sistema FTP (protocolo de transferencia de archivos) 184 TELNET 179 valor establecido por el mandato CFGSYSSEC 53 valor recomendado 34
O
objeto alterado comprobacin 67, 68 gestin de autorizacin sobre uno nuevo 74 impresin autorizacin adoptada 48 no IBM 48 origen de autorizacin 48 origen de autorizacin impresin de lista 75 objeto, autorizacin 67 objeto de usuario en bibliotecas protegidas 118 objeto nuevo gestin de autorizacin 74 objetos, propiedad 64 Objetos, seguridad para nuevos 141 objetos con autorizacin privada (PRTPVTAUT), mandato, Imprimir 138 objetos con autorizaciones de uso pblico (PRTPUBAUT), mandato, Imprimir 139 ODBC (conectividad de base de datos abierta) control de acceso 226 fuente del programa de salida de ejemplo 233 ofertas de servicio 253 operacin de compromiso programa de salida 114 operacin de retrotraccin programa de salida 114 Operations Navigator, administracin de aplicaciones 6 Operations Navigator, seguridad 225
N
NAT (conversin de direcciones de red) 7 Navegadores, consideraciones sobre seguridad 239 nivel de auditora (QAUDLVL), valor del sistema cambio 44 visualizacin 44 nivel de columna, autorizaciones para archivos de base de datos 7 nivel de contrasea confirmacin 98 nivel de seguridad (QSECURITY), valor del sistema descripcin 13 valor establecido por el mandato CFGSYSSEC 53 nivel de seguridad 10 autorizacin sobre objeto 59 migrar desde 59 nivel de seguridad 20 autorizacin sobre objeto 59 migrar desde 59 niveles de contrasea cambio 27, 28, 30, 31 definicin 26 introduccin 26 planificacin 27 nombres de programas de transaccin con arquitectura lista suministrada por IBM 128 nombres de programas de transacciones con arquitectura consejos de seguridad 127
P
pgina separadora programa de salida 114 pantalla Visualizar usuarios autorizados (DSPAUTUSR) 65 paquetes, Protocolo Internet (IP), filtrado de 7, 168 parasitismo 158 particiones lgicas 100 PC (personal computer) autorizacin sobre objeto 222 cifrado de contraseas 227 control del acceso a datos 221 evitar virus en PC 221 ignorar inicio de sesin 228 implicaciones de seguridad 221
PC (personal computer) (continuacin) implicaciones del sistema de archivos integrado 222 mtodos de acceso a datos 221 proteccin de mandatos remotos 229 restringir mandatos remotos 229 servidores de pasarela 230 transferencia de archivos 221 virus en PC 221 PCSACC (acceso de peticin de cliente), atributo de red fuente del programa de salida de ejemplo 233 restringir el acceso a datos desde PC 221 utilizacin de programa de salida 114 perfil anlisis con consulta 65 usuario 65 gran tamao, examen 66 listado de inactivos 66 listado de usuarios con autorizaciones especiales 66 listado de usuarios con posibilidad de mandatos 66 listado seleccionados 66 perfil de dispositivo de herramientas de servicio atributos consola 105 cambio de contrasea 105 contrasea 105 contrasea por omisin 105 proteccin 106 perfil de grupo introduccin 15 perfil de usuario activos permanentemente, lista cambio 43 anlisis por autorizaciones especiales 48 por clases de usuario 48 anlisis con consulta 65 asignacin para trabajo APPC 152 auditora usuarios autorizados 65 autorizaciones especiales con discrepancia y clase de usuario 83 comprobacin de la contrasea por omisin 43 contrasea por omisin 38 control de acceso a mens 60 eliminacin automtica 38 eliminacin de inactivos 37 estado inhabilitado (*DISABLED) 38 gran tamao, examen 66 impedir la inhabilitacin 37 impresin 66 autorizaciones especiales 82 entorno 84 inhabilitacin automtica 37 introduccin 15 listado inactivo 66 seleccionados 66
266
perfil de usuario (continuacin) usuarios con autorizaciones especiales 66 usuarios con posibilidad de mandatos 66 planificacin de activacin 36 planificacin de caducidad 38 planificacin de desactivacin 36 proceso inactivo 37 supervisin 121 supervisin de autorizaciones especiales 82 supervisin de clases de usuario 83 supervisin de valores de entorno 83 visualizacin de planificacin de caducidad 38 perfil de usuario (RSTUSRPRF) mandato, Restaurar 6 perfil de usuario de gran tamao 66 perfil proporcionado por IBM cambio de contrasea 31 perfiles de dispositivo de herramientas de servicio 92 atributos cambiar valores por omisin 92 otorgar 93 restablecer valores por omisin 93 revocar 93 autenticacin 91 cambio 93 descripcin 93 caractersticas descripcin 92 frase de paso 92 Consola de operaciones con conectividad LAN 91 contrasea resincronizar el PC y el iSeries 92 restablecer 92 creacin 92 habilitacin 94 inhabilitacin 94 nmero mximo 91 privilegios otorgar 92 privilegios funcionales 91 restablecer contrasea 92 supresin 93 utilizacin 91 visualizacin atributos 93 estado 93 perfiles de usuario de herramientas de servicio 11111111 perfil de usuario 87 22222222 perfil de usuario 87 cambio 89 cambio de contrasea 89 cambio de descripcin 90 caractersticas contrasea 88 descripcin 88 fecha de caducidad 88 frase de paso 88
perfiles de usuario de herramientas de servicio (continuacin) caractersticas (continuacin) ID de usuario 88 lista de privilegios funcionales 88 creacin 88 gestin de DST 84 habilitacin 91 inhabilitacin 91 nmero mximo 87 otorgar 89 perfiles de usuario de herramientas de servicio (DST) 84 QSECOFR perfil de usuario 87 QSRV perfil de usuario 87 revocar 89 supresin 90 utilizacin 87 visualizacin 90 visualizacin de privilegios funcionales 90 permitir inicio de sesin remoto (QRMTSIGN), valor del sistema efecto del valor *FRCSIGNON 150 fuente del programa de salida de ejemplo 233 utilizacin de programa de salida 114 valor establecido por el mandato CFGSYSSEC 53 permitir restauracin de objeto (QALWOBJRST), valor del sistema utilizacin sugerida 118 valor establecido por el mandato CFGSYSSEC 53 personalizacin valores de seguridad 52 planificacin informes de seguridad 46 perfil de usuario activacin 36, 43 caducidad 38, 43 desactivacin 36 planificacin de cambios de nivel de contrasea aumento del nivel de contrasea 27, 28 cambio del nivel de contrasea de 1 a 0 31 cambio del nivel de contrasea de 2 a 0 31 cambio del nivel de contrasea de 2 a 1 30 cambio del nivel de contrasea de 3 a 0 30 cambio del nivel de contrasea de 3 a 1 30 cambio del nivel de contrasea de 3 a 2 30 cambios de nivel de contrasea planificacin de cambios de nivel 27, 28 cambios de nivel de contrasea (de 0 a 1) 27
planificacin de cambios de nivel de contrasea (continuacin) cambios de nivel de contrasea (de 0 a 2) 28 cambios de nivel de contrasea (de 1 a 2) 28 cambios de nivel de contrasea (de 2 a 3) 30 disminucin de niveles de contrasea 30, 31 QPWDLVL, cambios 27, 28 planificador de trabajos evaluacin de programas 117 POP (Protocolo de Oficina Postal) consejos de seguridad 198 descripcin 198 evitar autoarranque del servidor 198 restriccin de puerto 198 posibilidad de APPN (ANN), parmetro 158 posibilidad de mandatos listado de usuarios 66 posibilidad de restaurar control 117 supervisin 108 posibilidad de salvar control 117 supervisin 108 PREESTSSN (sesin preestablecida), parmetro 158 prevencin entrada TCP/IP 167 procedimiento almacenado como herramienta de seguridad 226 programa adoptar autorizacin auditora 68 forzar creacin 108 oculto comprobacin de 114 planificado evaluacin 117 programa de atencin impresin de perfiles de usuario 83 programa de salida 114 programa de deteccin de virus 108 programa de salida acceso de peticin DDM (DDMACC), atributo de red 114, 233 acceso de peticin de cliente (PCSACC), atributo de red 114, 233 API QHFRGFS 114 API QTNADDCR 114 cambiar descripcin de mensaje (mandato CHGMSGD) 114 conectividad de base de datos abierta (ODBC) 233 crear carga de producto (mandato CRTPRDLOD) 114 descripcin de dispositivo de impresora 114 descripcin de mensaje 114 evaluacin 114 fuentes 233 funcin de registro 116 funciones del sistema de archivos 114 ndice
267
programa de salida (continuacin) limpieza automtica (QEZUSRCLNP) 114 lista de copia de seguridad (mandato CHGBCKUP) 114 mandato RCVJRNE 114 operacin de compromiso 114 operacin de retrotraccin 114 pginas separadoras 114 permitir inicio de sesin remoto (QRMTSIGN), valor del sistema 114, 233 programa de atencin 114 programa de validacin de contrasea (QPWDVLDPGM), valor del sistema 114, 233 programa QUSCLSXT 114 QATNPGM (programa de atencin), valor del sistema 114 recibir entradas de diario 114 recogida de rendimiento 114 seleccin de formato 114 seleccin de formato de archivo lgico 114 SETATNPGM (Establecer programa de atencin), mandato 114 STREML3270 (Arrancar emulacin de pantalla 3270), mandato 114 tecla de funcin de emulacin 3270 114 TRCJOB (Rastrear trabajo), mandato 114 uso del archivo de base de datos 114 programa de salida QEZUSRCLNP 114 programa de seleccin de formato de registro (FMTSLR), parmetro 114 programa de validacin de contrasea (QPWDVLDPGM), valor del sistema fuente del programa de salida de ejemplo 233 utilizacin de programa de salida 114 programa desencadenante evaluacin del uso 114 impresin de lista 114 listado 48 supervisin de utilizacin 113 programa inicial (INLPGM), parmetro 83 programa oculto comprobacin de 114 programa QUSCLSXT 114 Programas de salida de seguridad, uso 233 programas que adoptan visualizacin 68 programas que adoptan autorizacin limitacin 110 supervisin de utilizacin 109 Programas sospechosos, deteccin 107 propiedad de objetos 64 proteccin aplicaciones de puerto de TCP/IP 170 contra los virus informticos 107
proteccin de integridad nivel de seguridad (QSECURITY) 40 13 proteccin de integridad mejorada nivel de seguridad (QSECURITY) 50 14 proteger ubicacin (SECURELOC), parmetro 157 *VFYENCPWD (verificar contrasea cifrada), valor 151, 157 descripcin 151 diagrama 148 Protocolo Bootstrap (BOOTP) consejos de seguridad 186 restriccin de puerto 186 Protocolo de configuracin dinmica de sistema principal (DHCP) consejos de seguridad 187 restriccin de puerto 188 Protocolo de Lnea de Interfaz Serie (SLIP) control 172 descripcin 172 seguridad de marcacin 175 seguridad de marcacin de entrada 173 Protocolo de Oficina Postal (POP) consejos de seguridad 198 descripcin 198 evitar autoarranque del servidor 198 restriccin de puerto 198 protocolo de transferencia de archivos (FTP) contraseas no cifradas 184 evitar autoarranque del servidor 183 fuente del programa de salida de ejemplo 233 QMAXSIGN (nmero mximo de intentos de inicio de sesin), valor del sistema 184 restriccin de puerto 183 restringir el soporte de proceso por lotes 185 Protocolo de Transferencia de Hipertexto (HTTP) restriccin de puerto 213 Protocolo Internet (IP), filtrado de paquetes 7 Protocolo punto a punto (PPP) 8 protocolo simple de gestin de red (SNMP) consejos de seguridad 216, 217 evitar autoarranque del servidor 216 restriccin de puerto 216 Protocolo simple de gestin de red (SNMP) 216 protocolo simple de transferencia de correo (SMTP) consejos de seguridad 194 descripcin 194 evitar autoarranque del servidor 194 inundacin 195 restriccin de puerto 194 protocolo trivial de transferencia de archivos (TFTP) consejos de seguridad 189 restriccin de puerto 189
PRTADPOBJ (Imprimir objetos que adoptan), mandato descripcin 48 utilizacin sugerida 110 PRTCMNSEC (Imprimir seguridad de comunicaciones), mandato descripcin 48 ejemplo 156, 160 PRTJOBDAUT (Imprimir autorizacin de descripcin de trabajo), mandato descripcin 48 utilizacin sugerida 126 PRTPUBAUT (Imprimir objetos con autorizacin de uso pblico), mandato descripcin 48 utilizacin sugerida 74, 149 PRTPVTAUT (Imprimir autorizaciones privadas), mandato descripcin 50 ejemplo 81 lista de autorizaciones 48, 75 utilizacin sugerida 149 PRTQAUT (Imprimir autorizacin de cola), mandato descripcin 50 utilizacin sugerida 81 PRTSBSDAUT (Imprimir descripcin de subsistema), mandato descripcin 48 utilizacin sugerida 153 PRTSYSSECA (Imprimir atributos de seguridad del sistema), mandato descripcin 48 ejemplo de salida 19 utilizacin sugerida 25 PRTTRGPGM (Imprimir programas desencadenantes), mandato descripcin 48 utilizacin sugerida 114 PRTUSROBJ (Imprimir objetos de usuario), mandato descripcin 48 utilizacin sugerida 118 PRTUSRPRF (Imprimir perfil de usuario), mandato autorizaciones especiales, ejemplo 82 descripcin 48 discrepancias, ejemplo 83 informacin de contrasea 37, 39 informacin del entorno, ejemplo 84 publicaciones relacionadas 255 puesta a punto auditora de seguridad 44 Puesta de contraseas en antememoria para clientes Windows 95 8 punto a punto (PPP), protocolo consideraciones sobre seguridad 176 puntos de salida TCP/IP 10 puntos de salida TELNET 7 puntos de salida V4R2, TELNET 7
Q
QALWOBJRST 5
268
QALWOBJRST (permitir restauracin de objeto), valor del sistema utilizacin sugerida 118 valor establecido por el mandato CFGSYSSEC 53 QAUDCTL (control de auditora), valor del sistema cambio 44 visualizacin 44 QAUDJRN, diario de auditora cambio del receptor 72 daado 70 desconexin del receptor 70, 72 entradas del sistema 70 gestin 69 limpieza automtica 70 umbral de almacenamiento de receptor 70 QAUDLVL (nivel de auditora), valor del sistema cambio 44 visualizacin 44 QAUTOCFG (configuracin automtica), valor del sistema valor establecido por el mandato CFGSYSSEC 53 valor recomendado 34 QAUTOVRT (configuracin automtica del dispositivo virtual), valor del sistema TELNET 179 valor establecido por el mandato CFGSYSSEC 53 valor recomendado 34 QCONSOLE contrasea por omisin 105 QDCRDEVD (Recuperar descripcin de dispositivo), API 181 QDEVRCYACN (accin de recuperacin de dispositivo), valor del sistema evitar riesgos en la seguridad 155 valor establecido por el mandato CFGSYSSEC 53 valor recomendado 34 QDSCJOBITV (intervalo de tiempo de espera de trabajo desconectado), valor del sistema valor establecido por el mandato CFGSYSSEC 53 valor recomendado 34 QDSPSGNINF (visualizar informacin de inicio de sesin), valor del sistema valor establecido por el mandato CFGSYSSEC 53 valor recomendado 34 QFileSvr.400, sistema de archivos 143 QINACTITV (intervalo de tiempo de espera de trabajo inactivo), valor del sistema valor establecido por el mandato CFGSYSSEC 53 valor recomendado 34 QINACTMSGQ (cola de mensajes de trabajo inactivo), valor del sistema valor establecido por el mandato CFGSYSSEC 53 valor recomendado 34
QLANSrv y QNetWare, sistemas de archivos 143 QLMTSECOFR (responsable de seguridad de lmites), valor del sistema TELNET 181 valor establecido por el mandato CFGSYSSEC 53 valor recomendado 34 QMAXSGNACN (accin al llegar al lmite de intentos de inicio de sesin), valor del sistema valor establecido por el mandato CFGSYSSEC 53 valor recomendado 34 QMAXSIGN (nmero mximo de intentos de inicio de sesin) valor recomendado 34 QMAXSIGN (nmero mximo de intentos de inicio de sesin), valor del sistema FTP (protocolo de transferencia de archivos) 184 TELNET 179 valor establecido por el mandato CFGSYSSEC 53 QPGMR (programador), perfil de usuario contrasea establecida con el mandato CFGSYSSEC 54 QPWDEXPITV (intervalo de caducidad de contrasea), valor del sistema valor establecido por el mandato CFGSYSSEC 53 valor recomendado 25 QPWDLMTAJC (restriccin de caracteres adyacentes en contrasea), valor del sistema valor establecido por el mandato CFGSYSSEC 53 valor recomendado 25 QPWDLMTCHR (restriccin de caracteres en contrasea), valor del sistema valor establecido por el mandato CFGSYSSEC 53 valor recomendado 25 QPWDMAXLEN (longitud mxima de contrasea), valor del sistema valor establecido por el mandato CFGSYSSEC 53 valor recomendado 25 QPWDMINLEN (longitud mnima de contrasea), valor del sistema valor establecido por el mandato CFGSYSSEC 53 valor recomendado 25 QPWDPOSDIF (necesidad de diferente posicin en contrasea), valor establecido por el mandato CFGSYSSEC 53 valor recomendado 25 QPWDRQDDGT (necesidad de carcter numrico en contrasea), valor del sistema valor establecido por el mandato CFGSYSSEC 53 valor recomendado 25
QPWDRQDDIF (diferencia necesaria en contrasea), valor del sistema valor establecido por el mandato CFGSYSSEC 53 valor recomendado 25 QPWDVLDPGM (programa de validacin de contrasea), valor del sistema fuente del programa de salida de ejemplo 233 utilizacin de programa de salida 114 valor establecido por el mandato CFGSYSSEC 53 valor recomendado 25 QPWFSERVER 140 QRETSVRSEC (Retener datos de seguridad del servidor), valor del sistema descripcin 40 utilizacin para la marcacin de salida de SLIP 176 QRMTSIGN (inicio de sesin remoto), valor del sistema TELNET 181 QRMTSIGN (permitir inicio de sesin remoto), valor del sistema efecto del valor *FRCSIGNON 150 fuente del programa de salida de ejemplo 233 utilizacin de programa de salida 114 valor establecido por el mandato CFGSYSSEC 53 QSECURITY (nivel de seguridad), valor del sistema descripcin 13 valor establecido por el mandato CFGSYSSEC 53 QSRV (servicio), perfil de usuario contrasea establecida con el mandato CFGSYSSEC 54 QSRVBAS (servicio bsico), perfil de usuario contrasea establecida con el mandato CFGSYSSEC 54 QSYS.LIB, sistema de archivos, restriccin del acceso 140 QSYS38 (Sistema/38), biblioteca restringir mandatos 64 QSYSCHID (Cambiar el uid) API 145 QSYSLIBL (lista de bibliotecas del sistema), valor del sistema proteccin 118 QSYSMSG (mensaje del sistema), cola de mensajes fuente del programa de salida de ejemplo 233 utilizacin sugerida 130 QSYSOPR (operador del sistema), perfil de usuario contrasea establecida con el mandato CFGSYSSEC 54 QUSEADPAUT (utilizar autorizacin adoptada), valor del sistema 112 QUSER (usuario), perfil de usuario contrasea establecida con el mandato CFGSYSSEC 54 ndice
269
QVFYOBJRST (Verificar restauracin de objeto) valor del sistema 122 QVFYOBJRST (verificar restauracin de objeto), valor del sistema utilizacin sugerida 118
R
Raz (/), QOpenSys y definidos por usuario, sistemas de archivos 135 Rastrear trabajo (TRCJOB), mandato programa de salida 114 RCVJRNE (Recibir entradas de diario) programa de salida 114 receptor cambio 72 desconexin 70, 72 salvar 72 supresin 72 receptor de diario cambio 72 desconexin 70, 72 gestin 70 supresin 72 receptor de diario de auditora salvar 72 supresin 72 recibir entradas de diario programa de salida 114 Recibir entradas de diario (RCVJRNE) programa de salida 114 recogida de rendimiento programa de salida 114 recomendacin valores del sistema de contrasea 25 valores del sistema de inicio de sesin 34 recuperacin diario de auditora daado 70 red, sistema de archivos 144 red (SNMP), protocolo simple de gestin 216 Red privada virtual (VPN) 5 referencias, Autorizacin 7 relacionadas, publicaciones 255 responsable de seguridad de lmites (QLMTSECOFR), valor del sistema TELNET 181 valor establecido por el mandato CFGSYSSEC 53 valor recomendado 34 respuesta automtica (AUTOANS), campo 160 Restaurar perfil de usuario (RSTUSRPRF), mandato 6 Restriccin del acceso al sistema de archivos QSYS.LIB 140 restringir las sesiones APPC 149 Retener datos de seguridad del servidor (QRETSVRSEC), valor del sistema descripcin 40 utilizacin para la marcacin de salida de SLIP 176 revocar autorizacin de uso pblico 52
Revocar autorizacin de uso pblico (RVKPUBAUT), mandato descripcin 52 detalles 55 utilizacin sugerida 123 REXECD (servidor de EXECution remoto) consejos de seguridad 191 restriccin de puerto 191 RouteD (Daemon de ruta) consejos de seguridad 192 RUNRMTCMD (Ejecutar mandato remoto), mandato restringir 229 RVKPUBAUT (Revocar autorizacin de uso pblico), mandato descripcin 52 detalles 55 utilizacin sugerida 123
S
salida registrada evaluacin 116 salvar herramientas de seguridad 42 receptor de diario de auditora 72 Salvar objeto (SAVOBJ), mandato 72 SAVOBJ (Salvar objeto), mandato salvar receptor de diario de auditora 72 SBMJOB (Someter trabajo), mandato SECBATCH, men 45 SBMRMTCMD (Someter mandato remoto), mandato restringir 155 SECBATCH (Someter informes de proceso por lotes), men operacin de someter informes 45 planificacin de informes 46 SECTOOLS (Herramientas de seguridad), men 42 SECURE(NONE) descripcin 150 SECURE(PROGRAM) descripcin 150 SECURE(SAME) descripcin 150 SECURELOC (proteger ubicacin), parmetro 157 *VFYENCPWD (verificar contrasea cifrada), valor 151, 157 descripcin 151 diagrama 148 SecureWay 253 SECURITY(NONE) con el valor *FRCSIGNON para el valor del sistema QRMTSIGN 150 seguridad comunicaciones TCP/IP 167 herramientas de seguridad 41 seguridad, auditora sugerencias para la utilizacin auditora de objetos 167 CP (Cambiar perfil), entrada de diario 36, 37 entrada de diario SV (valor del sistema) 118
seguridad, auditora (continuacin) sugerencias para la utilizacin (continuacin) nivel de auditora *PGMADP 110 valor *PGMFAIL 108 valor *SAVRST 108 valor *SECURITY 108 visin general 130 seguridad, auditora de funciones de 64 seguridad, iSeries 400 Asesor 23 seguridad, iSeries 400 Asistente 21 seguridad, Mejoras para la V4R1 9 Seguridad, mtodo del Sistema de archivos integrado 133 seguridad, particiones lgicas 100 Seguridad, uso de programas de salida 233 seguridad C2 descripcin 247 seguridad de bibliotecas 63 seguridad de inicio de sesin definicin 13 seguridad de instalacin del sistema operativo cambio 96 no protegido 96 protegido 96 seguridad de las comunicaciones APPC 147 Seguridad de los directorios 141 seguridad de men.control de acceso a mens complementar con autorizacin sobre objetos 61 descripcin 60 entorno de transicin 61 limitaciones 60 parmetros de perfil de usuario 60 seguridad de recursos acceso limitado introduccin 16 definicin 13 Seguridad en LP 99 seguridad fsica 121 Seguridad para los sistemas de archivos raz (/), QOpenSys y los definidos por el usuario 137 Seguridad para nuevos objetos 141 seguridad por recursos introduccin 15 Seguridad y Operations Navigator 225 Server, Internet Connection 9 Service Tools Server (STS) configuracin DST 85 OS/400 86 DST (herramientas de servicio) 85 gestin de disco 85 parmetros 86 particiones lgicas 85, 100 tabla de servicios configuracin 86 Servicios de revisin de seguridad 253 servidor definicin 147 servidor de EXECution remoto (REXECD) consejos de seguridad 191
270
servidor de EXECution remoto (REXECD) (continuacin) restriccin de puerto 191 servidor de pasarela elementos de seguridad 230 Servidor HTTP para iSeries 400 4, 7 Servidor proxy HTTP 7 Servlets Java 236 Sesin APPC, conceptos bsicos 148 sesin preestablecida (PREESTSSN), parmetro 158 sesiones APPC, restriccin 149 sesiones de punto de control (CPSSN), parmetro 159 SETATNPGM (Establecer programa de atencin), mandato programa de salida 114 Sistema/38 (QSYS38), biblioteca restringir mandatos 64 sistema basado en objetos implicaciones de seguridad 59 proteccin contra los virus informticos 107 sistema cliente definicin 147 sistema de archivos, QFileSvr.400 143 Sistema de archivos, restriccin del acceso a QSYS.LIB 140 sistema de archivos de red 144 sistema de archivos integrado implicaciones de seguridad 222 Sistema de archivos integrado 133 Sistema de archivos integrado, seguridad 133 sistema de destino definicin 147 sistema de nombres de dominio (DNS) consejos de seguridad 193 restriccin de puerto 193 sistema de origen definicin 147 sistema local definicin 147 sistema remoto definicin 147 sistemas de archivos, QLANSrv y QNetWare 143 Sistemas de archivos, seguridad para raz (/), QOpenSys y definidos por usuario 137 Sistemas de archivos raz (/), QOpenSys y definidos por usuario 135 sitio Web seguro 206 SLIP (Protocolo de Lnea de Interfaz Serie) control 172 descripcin 172 seguridad de marcacin 175 seguridad de marcacin de entrada 173 SMTP (protocolo simple de transferencia de correo) consejos de seguridad 194 descripcin 194 evitar autoarranque del servidor 194 inundacin 195 restriccin de puerto 194
SNDJRNE (Enviar entrada de diario), mandato 69 SNGSSN (una sola sesin), parmetro 158 SNMP (protocolo simple de gestin de red) consejos de seguridad 216, 217 evitar autoarranque del servidor 216 restriccin de puerto 216 someter informes de seguridad 45 Someter mandato remoto (SBMRMTCMD) restringir 155 Someter trabajo (SBMJOB), mandato SECBATCH, men 45 soporte de gestin de cambio de diario del sistema 70 soporte de idioma nacional autorizacin sobre objeto 64 Soporte de servidor de archivos TCP/IP para OS/400, programa bajo licencia 219 SSL utilizacin con Client Access Express 224 STRPFRMON (Arrancar supervisin del rendimiento), mandato programa de salida 114 STRTCP (Arrancar TCP/IP), mandato restringir 167 STS (Service Tools Server) configuracin DST 85 OS/400 86 DST (herramientas de servicio) 85 gestin de disco 85 parmetros 86 particiones lgicas 85, 100 tabla de servicios configuracin 86 subir autorizacin necesaria 223 supervisin actividad de contrasea 39 actividad de inicio de sesin 39 anomala de programa 68 autorizacin 73 autorizacin adoptada 109, 110 autorizacin de uso pblico 73 autorizacin especial 82 autorizacin privada 80 autorizacin sobre objeto 67 autorizacin sobre objetos nuevos 74 colas de salida 81 colas de trabajos 81 descripcin de subsistema 123 entorno de usuario 83 integridad de objetos 67, 68 listas de autorizaciones 74 perfil de usuario modificaciones 121 posibilidad de restaurar 108, 117 posibilidad de salvar 108, 117 programas desencadenantes 113 programas planificados 117
supresin receptor de diario de auditora Suprimir receptor de diario (DLTJRNRCV), mandato 72
72
T
TCP/IP punto a punto (PPP), protocolo consideraciones sobre seguridad 176 TCP/IP, puntos de salida 10 TELNET consejos de seguridad 178 contraseas no cifradas 179 descripcin 178 evitar autoarranque del servidor 178 inicio de sesin automtico 181 programa de salida 180 QAUTOVRT (configuracin automtica del dispositivo virtual), valor del sistema 179 QLMTSECOFR (responsable de seguridad de lmites), valor del sistema 181 QMAXSIGN (nmero mximo de intentos de inicio de sesin), valor del sistema 179 QRMTSIGN (inicio de sesin remoto), valor del sistema 181 restriccin de puerto 178 TELNET, puntos de salida 7 temporizador de desconexin, parmetro 159 TFTP (protocolo trivial de transferencia de archivos) consejos de seguridad 189 restriccin de puerto 189 trabajar con atributos de diario 72 Trabajar con atributos de diario (WRKJRNA), mandato 72 Trabajar con descripcin de subsistema (WRKSBSD), mandato 123 Trabajar con diario (WRKJRN), mandato 72 Trabajar con informacin de registro (WRKREGINF), mandato programa de salida 116 trabajo APPC asignacin de perfil de usuario 152 trabajo de paso a travs inicio 153 trabajo remoto prevencin 155 transferencia de archivos PC (personal computer) 221 restringir 64 transferencia de archivos del Sistema/36 restringir 64 TRCJOB (Rastrear trabajo), mandato programa de salida 114
ndice
271
U
uid cambio 145 una sola sesin (SNGSSN), parmetro 158 unidades correlacionadas, acceso a los directorios de iSeries 400 239 USEADPAUT (utilizar autorizacin adoptada), parmetro 111 uso del archivo programa de salida 114 usuario trabajo APPC 150 usuario, mtodos que utiliza el sistema para enviar informacin sobre un 150 usuario (RSTUSRPRF) mandato, Restaurar perfil de 6 usuario de APPC obtiene acceso al sistema destino 150 usuario por omisin entrada de comunicaciones valores posibles 152 para arquitectura TPN 127 usuario pblico definicin 73 usuarios de marcacin accediendo a otros sistemas, cmo evitarlo 175 Utilizacin de SSL con Client Access Express 224 utilizar autorizacin adoptada (QUSEADPAUT), valor del sistema 112 utilizar autorizacin adoptada (USEADPAUT), parmetro 111
V
V4R1 mejoras de seguridad 9 V4R1, (ICSS), Internet Connection Secure Server 9 V4R1, Firewall para iSeries 400 9 V4R1, Internet Connection Secure Server (ICSS) 9 V4R1, Internet Connection Server 9 V4R1, Mejoras de seguridad para 9 V4R1, Server, Internet Connection 9 V4R2, (PPP), Protocolo punto a punto 8 V4R2, actualizacin, autorizacin 7 V4R2, autorizacin de actualizacin 7 V4R2, Autorizacin de referencias 7 V4R2, clientes Windows 95, puesta de contraseas en antememoria para 8 V4R2, Mejoras de seguridad 7 V4R2, Protocolo punto a punto (PPP) 8 V4R2, Puesta de contraseas en antememoria para clientes Windows 95 8 V4R2, puntos de salida TELNET 7 V4R2, referencias, Autorizacin 7 V4R5, Mejoras de seguridad 4 V4R5, Puntos de salida, TCP/IP 10 V4R5, Puntos de salida TCP/IP 10 V5R1, Mejoras de seguridad 3 vagar, TCP/IP restringir 218
valor de seguridad definicin 52 valor de validacin 108 valor de validacin del programa 108 valor del sistema impresin relativa a la seguridad 19, 48 inicio de sesin recomendaciones 34 introduccin 14 mandato para establecer 52 QALWOBJRST (permitir restauracin de objeto) utilizacin sugerida 118 valor establecido por el mandato CFGSYSSEC 53 QAUDCTL (control de auditora) cambio 44 visualizacin 44 QAUDLVL (nivel de auditora) cambio 44 visualizacin 44 QAUTOCFG (configuracin automtica) valor establecido por el mandato CFGSYSSEC 53 valor recomendado 34 QAUTOVRT (configuracin automtica de dispositivo virtual) TELNET 179 valor establecido por el mandato CFGSYSSEC 53 valor recomendado 34 QDEVRCYACN (accin de recuperacin de dispositivo) evitar riesgos en la seguridad 155 valor establecido por el mandato CFGSYSSEC 53 valor recomendado 34 QDSCJOBITV (intervalo de tiempo de espera de trabajo desconectado) valor establecido por el mandato CFGSYSSEC 53 valor recomendado 34 QDSPSGNINF (visualizar informacin de inicio de sesin) valor establecido por el mandato CFGSYSSEC 53 valor recomendado 34 QINACTITV (intervalo de tiempo de espera de trabajo inactivo) valor establecido por el mandato CFGSYSSEC 53 valor recomendado 34 QINACTMSGQ (cola de mensajes de trabajo inactivo) valor establecido por el mandato CFGSYSSEC 53 valor recomendado 34 QLMTSECOFR (responsable de seguridad de lmites) TELNET 181 valor establecido por el mandato CFGSYSSEC 53 valor recomendado 34
valor del sistema (continuacin) QMAXSGNACN (accin al llegar al lmite de intentos de inicio de sesin) valor establecido por el mandato CFGSYSSEC 53 QMAXSIGN (nmero mximo de intentos de inicio de sesin) FTP (protocolo de transferencia de archivos) 184 TELNET 179 valor establecido por el mandato CFGSYSSEC 53 valor recomendado 34 QPWDEXPITV (intervalo de caducidad de contrasea) valor establecido por el mandato CFGSYSSEC 53 valor recomendado 25 QPWDLMTAJC (restriccin de caracteres adyacentes en contrasea) valor establecido por el mandato CFGSYSSEC 53 valor recomendado 25 QPWDLMTCHR (restriccin de caracteres en contrasea) valor establecido por el mandato CFGSYSSEC 53 valor recomendado 25 QPWDLMTREP (lmite de caracteres repetidos en contrasea) valor establecido por el mandato CFGSYSSEC 53 valor recomendado 25 QPWDLMTREP (necesidad de diferente posicin en contrasea) valor establecido por el mandato CFGSYSSEC 53 valor recomendado 25 QPWDLVL (nivel de contrasea) valor recomendado 25 QPWDMAXLEN (longitud mxima de contrasea) valor establecido por el mandato CFGSYSSEC 53 valor recomendado 25 QPWDMINLEN (longitud mnima de contrasea) valor establecido por el mandato CFGSYSSEC 53 valor recomendado 25 QPWDRQDDGT (necesidad de carcter numrico en contrasea) valor establecido por el mandato CFGSYSSEC 53 valor recomendado 25 QPWDRQDDIF (diferencia necesaria en contrasea) valor establecido por el mandato CFGSYSSEC 53 valor recomendado 25 QPWDVLDPGM (programa de validacin de contrasea) fuente del programa de salida de ejemplo 233 utilizacin de programa de salida 114
272
valor del sistema (continuacin) valor establecido por el mandato CFGSYSSEC 53 valor recomendado 25 QRETSVRSEC (Retener datos de seguridad del servidor) utilizacin para la marcacin de salida de SLIP 176 QRMTSIGN (inicio de sesin remoto) TELNET 181 QRMTSIGN (permitir inicio de sesin remoto) efecto del valor *FRCSIGNON 150 fuente del programa de salida de ejemplo 233 utilizacin de programa de salida 114 valor establecido por el mandato CFGSYSSEC 53 QSECURITY (nivel de seguridad) descripcin 13 valor establecido por el mandato CFGSYSSEC 53 QSYSLIBL (lista de bibliotecas del sistema) proteccin 118 QUSEADPAUT (utilizar autorizacin adoptada) 112 Retener datos de seguridad del servidor (QRETSVRSEC) descripcin 40 seguridad definicin 52 valores de seguridad con arquitectura con el parmetro SECURELOC (proteger ubicacin) 151 descripcin 150 ejemplos de aplicacin 150 valores globales 14 verificar contrasea cifrada (*VFYENCPWD), valor 151, 157 verifificar restauracin de objeto (QVFYOBJRST), valor del sistema utilizacin sugerida 118 virus definicin 107 deteccin 67, 68 deteccin de 108 exploracin 67, 68 mecanismos de proteccin del iSeries 108 proteccin contra 107 virus informtico definicin 107 deteccin de 108 mecanismos de proteccin del iSeries 108 proteccin contra 107 visualizacin auditora de seguridad 44 autorizacin sobre objeto 67 miembros de perfil de grupo 62 perfil de usuario autorizaciones privadas 127 lista de perfiles activos 43 planificacin de activacin 43
visualizacin (continuacin) perfil de usuario (continuacin) planificacin de caducidad 43 programas que adoptan 68 QAUDCTL (control de auditora), valor del sistema 44 QAUDLVL (nivel de auditora), valor del sistema 44 usuarios autorizados 65 Visualizar auditora de seguridad (DSPSECAUD), mandato descripcin 44 Visualizar autorizacin sobre objeto (DSPOBJAUT), mandato 67 Visualizar biblioteca (DSPLIB), mandato 67 Visualizar descripcin de objeto (DSPOBJD), mandato uso de archivo de salida 66 Visualizar entradas de diario de auditora (DSPAUDJRNE), mandato descripcin 48 utilizacin sugerida 130 visualizar informacin de inicio de sesin (QDSPSGNINF), valor del sistema valor establecido por el mandato CFGSYSSEC 53 valor recomendado 34 Visualizar Pantalla de descripcin de subsistema 124 Visualizar perfil de usuario (DSPUSRPRF), mandato uso de archivo de salida 66 Visualizar planificacin de activacin (DSPACTSCD), mandato descripcin 43 Visualizar planificacin de caducidad (DSPEXPSCD), mandato descripcin 43 utilizacin sugerida 38 Visualizar programas que adoptan (DSPPGMADP), mandato auditora 68 Visualizar usuarios autorizados (DSPAUTUSR), mandato auditora 65 VPN en el IBM Firewall para iSeries 400 7
WSG (Workstation Gateway Server) (continuacin) descripcin 212 evitar autoarranque del servidor 213
W
Workstation Gateway Server (WSG) consejos de seguridad 212 descripcin 212 evitar autoarranque del servidor 213 WRKJRN (Trabajar con diario), mandato utilizacin 72 WRKJRNA (Trabajar con atributos de diario), mandato utilizacin 72 WRKREGINF (Trabajar con informacin de registro), mandato programa de salida 116 WRKSBSD (Trabajar con descripcin de subsistema), mandato 123 WSG (Workstation Gateway Server) consejos de seguridad 212 ndice
273
274
Hoja de Comentarios
iSeries Consejos y herramientas para la seguridad del iSeries Versin 5 Nmero de Publicacin SC10-3122-05 Por favor, srvase facilitarnos su opinin sobre esta publicacin, tanto a nivel general (organizacin, contenido, utilidad, facilidad de lectura,...) como a nivel especfico (errores u omisiones concretos). Tenga en cuenta que los comentarios que nos enve deben estar relacionados exclusivamente con la informacin contenida en este manual y a la forma de presentacin de sta. Para realizar consultas tcnicas o solicitar informacin acerca de productos y precios, por favor dirjase a su sucursal de IBM, business partner de IBM o concesionario autorizado. Para preguntas de tipo general, llame a IBM Responde (nmero de telfono 901 300 000). Al enviar comentarios a IBM, se garantiza a IBM el derecho no exclusivo de utilizar o distribuir dichos comentarios en la forma que considere apropiada sin incurrir por ello en ninguna obligacin con el remitente. Comentarios:
Gracias por su colaboracin. Para enviar sus comentarios: v Envelos por correo a la direccin indicada en el reverso. v Envelos por fax al nmero siguiente: Espaa Desde Espaa: (93) 321 61 34 Si desea obtener respuesta de IBM, rellene la informacin siguiente:
Nombre Compaa Nmero de telfono
Direccin
Direccin de e-mail
Hoja de Comentarios
SC10-3122-05
IBM S.A. National Language Solutions Center Av. Diagonal, 571 08029 Barcelona Espaa
SC10-3122-05
Printed in Denmark by IBM Danmark A/S
SC10-3122-05

Seguridad

Enviado por

Dados do documento

Título original

Direitos autorais

Formatos disponíveis

Compartilhar este documento

Compartilhar ou incorporar documento

Opções de compartilhamento

Você considera este documento útil?

Este conteúdo é inapropriado?

Direitos autorais:

Formatos disponíveis

Seguridad

Enviado por

Direitos autorais:

Formatos disponíveis

iSeries

Consejos y herramientas para la seguridad del iSeries

Consejos y herramientas para la seguridad del iSeries

Sexta Edicin (Mayo 2001)

Resumen de los cambios. . . . . . . xv

Parte 1. Lea esto primero . . . . . . 1

Parte 2. Consejos para la seguridad bsica del sistema iSeries 400 . . . 11

Parte 3. Consejos para la seguridad avanzada del sistema . . . . . . . 57

Captulo 3. Asistente de seguridad y Asesor de seguridad iSeries 400 . . . 21

Captulo 4. Consejos para controlar el inicio de sesin interactivo . . . . . . 25

Captulo 7. Consejos para gestionar y supervisar la autorizacin . . . . . . 73

. 110 . 111 . . . . 113 114 116 117

Captulo 11. Consejos para evitar y detectar intentos de pirateo . . . . . 121

Captulo 8. Utilizacin de seguridad en particiones lgicas (LPAR) . . . . . . 99

Captulo 9. Consejos para la utilizacin de la Consola de operaciones de AS/400 . . . . . . . 103

Parte 4. Consejos para las aplicaciones y las comunicaciones de red . . . . . . 131

. 105 . 105 . 106

135 138 139 140 141

Captulo 10. Deteccin de programas sospechosos . . . . . . . . . . . 107

iSeries 400 Consejos y herramientas para la seguridad del iSeries V5R1

141 142 142 142 142 143 143 144

Captulo 13. Consejos para la seguridad de las comunicaciones APPC . . . . . . . . . . . . . . . 147

Captulo 14. Consejos para la seguridad de las comunicaciones TCP/IP . . . . . . . . . . . . . . 167

215 216 216 217 217 218

Aplicaciones Java . . . . Applets Java. . . . . . Servlets Java. . . . . . Autenticacin y autorizacin

235 236 236 237

Captulo 18. Consideraciones de seguridad para los navegadores . . . 239

Captulo 15. Consejos para la seguridad del PC . . . . . . . . . . 221

Captulo 19. Consejos para la seguridad de Domino para iSeries . . 241

Dnde obtener ms informacin y ayuda. . . . . . . . . . . . . . . 253

iSeries 400 Consejos y herramientas para la seguridad del iSeries V5R1

| 23. | | 24. | 25. |

30. 31. 32. 33. 34. 35. 36. 37.

14. 15. 16. 17. 18. 19. 20. 21. 22.

Copyright IBM Corp. 1996, 2001

iSeries 400 Consejos y herramientas para la seguridad del iSeries V5R1

Copyright IBM Corp. 1996, 2001

iSeries 400 Consejos y herramientas para la seguridad del iSeries V5R1

Acerca de Consejos y herramientas para la seguridad del iSeries 400 (SC41-5300)

A quin est dirigido este manual

Copyright IBM Corp. 1996, 2001

Cmo utilizar esta publicacin

Requisitos e informacin relacionada

iSeries 400 Consejos y herramientas para la seguridad del iSeries V5R1

Cmo enviar sus comentarios

Acerca de Consejos y herramientas para la seguridad del iSeries 400 (SC41-5300)

iSeries 400 Consejos y herramientas para la seguridad del iSeries V5R1

Resumen de los cambios

Copyright IBM Corp. 1996, 2001

iSeries 400 Consejos y herramientas para la seguridad del iSeries V5R1

Parte 1. Lea esto primero

Copyright IBM Corp. 1996, 2001

iSeries 400 Consejos y herramientas para la seguridad del iSeries V5R1

Captulo 1. Mejoras en la seguridad de iSeries 400

Mejoras de seguridad para la V5R1

Mejoras de seguridad para la V4R5

iSeries 400 Consejos y herramientas para la seguridad del iSeries V5R1

Mejoras de seguridad para la V4R4

Captulo 1. Mejoras en la seguridad de iSeries 400

Mejoras de seguridad para la V4R3

iSeries 400 Consejos y herramientas para la seguridad del iSeries V5R1

Mejoras de seguridad para la V4R2

iSeries 400 Consejos y herramientas para la seguridad del iSeries V5R1

0 9999 0 0 CHANGE NONE DSCMSG 120 1 60 ENDJOB 0 0 2 3

0 0 0 0 Control a nivel de biblioteca. Control a nivel de biblioteca. DSCMSG 120 1 60 ENDJOB 1 1 3 3