StorageTek Enterprise Library Software

Transcrição

1 StorageTek Enterprise Library Software Guia de Segurança E Março de 2015

2 StorageTek Enterprise Library Software Guia de Segurança E Copyright 2015, Oracle e/ou suas empresas afiliadas. Todos os direitos reservados. Este programa de computador e sua documentação são fornecidos sob um contrato de licença que contém restrições sobre seu uso e divulgação, sendo também protegidos pela legislação de propriedade intelectual. Exceto em situações expressamente permitidas no contrato de licença ou por lei, não é permitido usar, reproduzir, traduzir, divulgar, modificar, licenciar, transmitir, distribuir, expor, executar, publicar ou exibir qualquer parte deste programa de computador e de sua documentação, de qualquer forma ou através de qualquer meio. Não é permitida a engenharia reversa, a desmontagem ou a descompilação deste programa de computador, exceto se exigido por lei para obter interoperabilidade. As informações contidas neste documento estão sujeitas a alteração sem aviso prévio. A Oracle Corporation não garante que tais informações estejam isentas de erros. Se você encontrar algum erro, por favor, envie-nos uma descrição de tal problema por escrito. Se este programa de computador, ou sua documentação, for entregue/distribuído(a) ao Governo dos Estados Unidos ou a qualquer outra parte que licencie os Programas em nome daquele Governo, a seguinte nota será aplicável: U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations. As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs. No other rights are granted to the U.S. Government. Este programa de computador foi desenvolvido para uso em diversas aplicações de gerenciamento de informações. Ele não foi desenvolvido nem projetado para uso em aplicações inerentemente perigosas, incluindo aquelas que possam criar risco de lesões físicas. Se utilizar este programa em aplicações perigosas, você será responsável por tomar todas e quaisquer medidas apropriadas em termos de segurança, backup e redundância para garantir o uso seguro de tais programas de computador. A Oracle Corporation e suas afiliadas se isentam de qualquer responsabilidade por quaisquer danos causados pela utilização deste programa de computador em aplicações perigosas. Oracle e Java são marcas comerciais registradas da Oracle Corporation e/ou de suas empresas afiliadas. Outros nomes podem ser marcas comerciais de seus respectivos proprietários. Intel e Intel Xeon são marcas comerciais ou marcas comerciais registradas da Intel Corporation. Todas as marcas comerciais da SPARC são usadas sob licença e são marcas comerciais registradas da SPARC International, Inc. AMD, Opteron, a logomarca da AMD e a logomarca da AMD Opteron são marcas comerciais ou marcas comerciais registradas da Advanced Micro Devices. UNIX é uma marca comercial registrada do The Open Group. Este programa ou hardware e sua documentação podem oferecer acesso ou informações relativas a conteúdos, produtos e serviços de terceiros. A Oracle Corporation e suas empresas afiliadas não fornecem quaisquer garantias relacionadas a conteúdos, produtos e serviços de terceiros e estão isentas de quaisquer responsabilidades associadas a eles, a menos que isso tenha sido estabelecido entre você e a Oracle em um contrato vigente. A Oracle Corporation e suas empresas afiliadas não são responsáveis por quaisquer tipos de perdas, despesas ou danos incorridos em consequência do acesso ou da utilização de conteúdos, produtos ou serviços de terceiros, a menos que isso tenha sido estabelecido entre você e a Oracle em um contrato vigente.

3 Índice Prefácio... 5 Público-alvo... 5 Acessibilidade da Documentação Visão Geral Visão Geral do Produto Princípios Gerais de Segurança Manter o Software Atualizado Restringir o Acesso à Rede Manter-se Atualizado com as Informações Mais Recentes de Segurança Instalação Segura Instalando o ELS Configuração Pós-Instalação do ELS Recursos de Segurança Proteção do ELS com AT-TLS Somente z/os Uso do Recurso de Segurança ELS XAPI Considerações de Segurança para Desenvolvedores A. Lista de Verificação para Implantação Segura B. Referências

4 4

5 Prefácio Público-alvo Este documento descreve os recursos de segurança do StorageTek Enterprise Library Software (ELS) da Oracle. Este guia destina-se a qualquer pessoa envolvida com o uso dos recursos de segurança e com uma instalação e configuração seguras do StorageTek Enterprise Library Software (ELS). Acessibilidade da Documentação Para obter informações sobre o comprometimento da Oracle com a acessibilidade, visite o site do Oracle Accessibility Program em ctx=acc&id=docacc. Acesso ao Oracle Support Os clientes da Oracle que adquiriram serviços de suporte têm acesso a suporte eletrônico por meio do My Oracle Support. Para obter informações, visite pls/topic/lookup?ctx=acc&id=info ou lookup?ctx=acc&id=trs se você for portador de deficiência auditiva. Prefácio 5

6 6

7 1 Visão Geral Esta seção oferece uma visão geral da suíte de software ELS e explica os princípios gerais de segurança de aplicativo Visão Geral do Produto O ELS fornece suporte a automação de fitas para ambientes de mainframe de fitas Oracle StorageTek das seguintes plataformas: Plataforma IBM z/os. O ELS suporta uma arquitetura de automação de fitas cliente/ servidor TCP/IP permitindo que o software cliente SMC que está sendo executado em um LPAR z/os se comunique com o software servidor HSC/VTCS executado em outro LPAR z/os. Plataforma IBM z/vm. O software ELS VM Client para sistemas z/vm comunica-se com o software de servidor HSC/VTCS que está sendo executado em um LPAR z/os para automatizar o processamento de fita virtual e física para o z/vm. Plataforma Fujitsu MSP/EX. O SMC deve ser executado em cada host onde ocorre o processamento da fita. O componente de servidor do ELS (HSC/VTCS) pode ser executado no mesmo host MSP/EX que o SMC, ou pode executar em um host remoto separado. Quando o SMC e o HSC/VTCS residem em hosts MSP/EX diferentes, o TCP/ IP é usado para enviar solicitações do host do cliente para o host do servidor. Para receber solicitações HTTP de um cliente SMC remoto, o componente HTTP deve estar ativado no SMC que está sendo executado no host do servidor. A comunicação cliente/servidor do ELS é usada para enviar solicitações do caminho de controle, principalmente solicitações de montagem/desmontagem, para volumes de fita físicos e virtuais. As informações contidas nessas solicitações do caminho de controle consistem em informações de política e configuração do TapePlex, endereços da unidade de transporte de fitas físicas/virtuais e números de série do volume de fitas físicas/virtuais. Mais importante, a comunicação cliente/servidor do ELS nunca contém dados de cliente; ela sempre percorre interfaces de caminho de dados IBM FICON/ESCON conectando LPARs do host a transportes de fita Oracle StorageTek ou dispositivos de fita virtuais VSM. As informações contidas neste Guia de Segurança se aplicam a todas as releases do ELS. Conforme discutido na Parte 3 deste guia, é possível proteger as comunicações do caminho de controle do cliente/servidor do ELS quando tal proteção é desejada ou solicitada. Além disso, este documento discute os aspectos de segurança de várias atividades de instalação e pós-instalação do ELS. Capítulo 1. Visão Geral 7

8 Princípios Gerais de Segurança 1.2. Princípios Gerais de Segurança Os princípios a seguir são essenciais para o uso seguro de qualquer produto Manter o Software Atualizado Um dos princípios da boa prática de segurança é manter todas as versões e patches do software atualizados. O último pacote de manutenção cumulativo do ELS, juntamente com PTFs e HOLDDATA individuais, estão disponíveis em My Oracle Support (MOS). Os pacotes de manutenção cumulativos são atualizados mensalmente para incluir todos os PTFs do último ciclo de testes de regressão mensal do ELS. Todos os PTFs em um pacote cumulativo foram testados juntos como um pacote completo. A notificação de PTF HIPER está disponível através da inscrição nos documentos Hot Topics Alert do MOS para produtos ELS. Os clientes são orientados a permanecerem nos níveis de manutenção atuais, manterem o HOLDDATA atualizado e cadastrarem-se no Hot Topics Alerts para o recebimento de notificações HIPER Restringir o Acesso à Rede Para obter desempenho e segurança, direcione as comunicações do caminho de controle do ELS para uma rede isolada protegida por um firewall. Ao usar um firewall, você garante que o acesso aos sistemas do ELS seja restrito a uma rede conhecida, a qual pode ser monitorada e restringida, se necessário. Ao usar uma rede dedicada para a comunicação cliente/servidor do ELS, você elimina o conflito da rede com outros aplicativos e otimiza o desempenho do sistema de fitas Manter-se Atualizado com as Informações Mais Recentes de Segurança A Oracle aprimora continuamente seu software e documentações relacionadas. Verifique frequentemente se há revisões para este Guia de Segurança e para as outras documentações do produto ELS. Toda a documentação do ELS referenciada neste documento está disponível no site Oracle Technical Network na seção Tape Storage Products. 8

9 2 Instalação Segura O System Authorization Facility (SAF) do IBM z/os fornece proteção básica para a maioria dos aspectos de segurança do ELS. O SAF é geralmente implementado com o pacote do IBM RACF ou equivalente. Esta seção destaca o uso de um ambiente SAF baseado no RACF para instalar e configurar com segurança o ELS Instalando o ELS O documento StorageTek Enterprise Library Software: Installing ELS da Oracle descreve como instalar e configurar sua versão do ELS usando a proteção RACF. Consulte esse documento para obter mais informações sobre os seguintes tópicos de instalação relacionados a segurança: Instalação do software base e do último pacote de manutenção cumulativo Autorização APF da biblioteca de carregamento do ELS Autorização APF da biblioteca de saída de usuário HSC Autorização APF da biblioteca de carregamento do SMC JES Configuração Pós-Instalação do ELS Estes documentos da Oracle descrevem as tarefas de configuração pós-instalação para a sua versão do ELS: StorageTek Enterprise Library Software: Configuring HSC and VTCS StorageTek Enterprise Library Software: Configuring and Managing SMC StorageTek Enterprise Library Software: ELS Programming Reference Consulte esses documentos para obter mais informações sobre os seguintes tópicos de pósinstalação relacionados à segurança: Definição da proteção RACF para segurança do conjunto de dados CDS Definição da autoridade de comando e a autoridade de interface programática usando a saída de usuário HSC, SLSUX15 Definição da autoridade do acesso ao volume para montagem e ejeção de volumes usando a saída de usuário HSC, SLSUX14 Definição da autoridade volser do pool MVC e do subpool transitório Capítulo 2. Instalação Segura 9

10 Configuração Pós-Instalação do ELS Definição de um segmento SMC OMVS RACF para comunicação com um subsistema HSC remoto Definição de um segmento SMC OMVS RACF para comunicação com um appliance VLE 10

11 3 Recursos de Segurança Este capítulo descreve os mecanismos de segurança específicos oferecidos pelo ACSLS Proteção do ELS com AT-TLS Somente z/os O recurso AT-TLS (Application Transparent Transport Layer Security) para z/os da IBM usa criptografia de dados SSL para proteger aplicativos TCP/IP do z/os. Para obter mais informações sobre o AT-TLS, consulte o IBM publication z/os Communications Server: IP Configuration Guide e veja as informações sobre o AT-TLS Policy Agent no IBM publication z/os Communications Server: IP Configuration Reference. A proteção da comunicação cliente/servidor do ELS entre o SMC e o HSC/VTCS é descrita no white paper Using AT-TLS with HSC/SMC Client/Server z/os Solution: Implementation Example da Oracle. Esse white paper está publicado no site Oracle Technical Network na seção Tape Storage Products. Consulte essa publicação para obter informações de configuração detalhadas. Para proteger o ELS com o AT-TLS, a Oracle recomenda o uso destes algoritmos de criptografia SSL: Família de SHA-2 (SHA-256, SHA-384, SHA-512) AES >= 128 bits RSA >= 2048 bits Diffie-Hellman (DH) >= 2048 bits ECC >= 256 bits Qualquer outro algoritmo de criptografia SSL fornece um nível menor de proteção e não deve ser usado com o ELS. Observação: O appliance StorageTek Virtual Library Extension (VLE) para VSM não é compatível atualmente com comunicações AT-TLS. Não proteja comunicações ELS VLE com AT-TLS Uso do Recurso de Segurança ELS XAPI O ELS 7.3 introduz um novo recurso de segurança XAPI para comunicação entre cliente e servidor, ativado como um padrão no servidor HTTP SMC. O recurso de segurança XAPI fornece recursos adicionais de autenticação de usuário como parte do protocolo XAPI que Capítulo 3. Recursos de Segurança 11

12 Uso do Recurso de Segurança ELS XAPI são internos ao ELS e estão totalmente contidos nele. Para usar o recurso de segurança XAPI, você precisa definir credenciais de segurança (IDs de usuário e senhas) para clientes e servidores ELS. As operações TapePlex do ELS 7.3 usam estas credenciais de segurança para proteger as transações XAPI seguras (montagem, desmontagem, pesquisa de volume, transição e assim por diante). O uso de credenciais de segurança XAPI é completamente transparente e não exige intervenção adicional do usuário nem do operador. Consulte Configuring and Managing SMC 7.3 para obter mais informações sobre como configurar o recurso de segurança XAPI. O método preferido para proteger transações XAPI para TapePlexes que hospedam somente aplicativos cliente ELS (SMC e VM Client) é usar os recursos AT/TLS descritos no Seção 3.1, Proteção do ELS com AT-TLS Somente z/os. O AT/TLS é um recurso da camada de transporte que é externo e transparente para o ELS. Use o recurso de segurança ELS 7.3 XAPI para proteger TapePlexes que hospedam clientes não ELS (clientes de sistemas abertos) ou uma combinação de clientes ELS (SMC e VM Client) e clientes não ELS. O AT-TLS pode ser usado nestes ambientes além do recurso de segurança ELS 7.3 XAPI, mas ele não protegerá transações XAPI para clientes que não sejam ELS. 12

13 4 Considerações de Segurança para Desenvolvedores O documento StorageTek Enterprise Library Software: ELS Programming Reference da Oracle descreve as APIs do ELS disponíveis para os desenvolvedores de aplicativos. A interface programática do ELS usa a UUI (Unified User Interface), que utiliza a saída de segurança do comando HSC, SLSUX15, para gerenciar o acesso às suas funções com base na autorização do RACF (ou equivalente). Consulte Seção 2.2, Configuração Pós-Instalação do ELS, para obter mais informações sobre como proteger o SLSUX15 com o RACF. Capítulo 4. Considerações de Segurança para Desenvolvedores 13

14 14

15 Apêndice A Lista de Verificação para Implantação Segura 1. Use proteção RACF (ou equivalente) conforme abordado neste Guia de Segurança. 2. Restringir o acesso à rede. O ELS e as bibliotecas de fitas que ele gerencia devem estar protegidos pelo firewall corporativo. 3. Proteja o tráfego de rede do ELS com o recurso IBM AT-TLS ou com o recurso de segurança ELS XAPI, se necessário. 4. Aplique todos os PTFs e HOLDDATA do ELS. 5. Entre em contato com o suporte técnico da Oracle em caso encontre vulnerabilidades no software Oracle ELS. Apêndice A. Lista de Verificação para Implantação Segura 15

16 16

17 Apêndice B Referências A documentação do ELS é salva em bibliotecas organizadas pela release do ELS. Eles está acessível na página Tape Storage Documentation. Apêndice B. Referências 17

18 18