[“GÓI AN NINH” (SECURITY PACKAGES): CA-ACF2, CA-TOP SECRET]
ĐẠI HỌC CÔNG NGHỆ - ĐẠI HỌC QUỐC GIA HÀ NỘI
KHOA CÔNG NGHỆ THÔNG TIN
Đề tài
!"#$%&'()*)+,-)*.)/.
Học viên thực hiện : % #012 3
Mã số học viên : 12025068
Lớp : K19HTTT
Giáo viên hướng dẫn : PGS.TS !45"6
HÀ NỘI 4 - 2014
1
*
1
[“GÓI AN NINH” (SECURITY PACKAGES): CA-ACF2, CA-TOP SECRET]
7)7)
2
2
89:;
Ngày nay, mạng máy tính là một khái niệm đã trở nên quen thuộc với hầu
hết tất cả mọi người, đặc biệt chiếm vị trí hết sức quan trọng với các doanh nghiệp.
Với xu thế phát triển mạnh mẽ của hệ thống mạng như: mạng internet, hệ thống
thương mại điện tử, hệ thống thông tin trong các cơ quan, doanh nghiệp,… vấn đề
quản trị và bảo mật hệ thống trở nên hết sức cần thiết.
Đó có thể là virus, sâu máy tính, các chương trình do thám, ăn cắp thông tin,
thư rác, các hành động tấn công hay xâm nhập trái phép. Tác giả của những cuộc
tấn công cũng muôn hình vạn trạng, từ các cậu thanh niên lấy tấn công, phá hoại là
cơ hội thể hiện mình, đến các hacker chuyên nghiệp, gián điệp công nghiệp, chính
phủ nước ngoài, thậm chí người bên trong công ty… Thiệt hại không chỉ về tài sản,
dữ liệu, mà lớn hơn là sự thất thoát niềm tin vào hệ thống mạng, vào chất lượng
được biết đến cho đến khi trở thành một sản phẩm của Computer Associates (CA).
CA-ACF2 sử dụng các thuật toán, được gọi là tập các quy định, để xác định xem
một người dùng được có được phép truy cập vào một tập dữ liệu hoặc một số tài
nguyên khác. Một bộ quy định bao gồm các quy định để truy cập tài nguyên được
thiết lập bởi một người dùng có thẩm quyền (quản trị hệ thống) . Bộ các quy định
này được đưa vào bên trong bản ghi các đối tượng được lưu trữ trong Quy tắc
ACF2 (ACF2 Rule) hoặc cơ sở dữ liệu lưu thông tin (Infostorage database). Khi
một người dùng truy cập vào một tập dữ liệu xác định, ACF2 sẽcho phép quyền để
xem dữ liệu nếu người dùng có quyền truy cập vào tập dữ liệu.
Các tính năng kiểm soát khác của ACF2 gồm các chức năng đặc biệt như lệnh lựa
chọn việc chia sẻ thời gian (Time Sharing Option – TSO). TSO là một môi trường
lập trình/hệ điều hành chung cho phép nhiều người dùng chia sẻ một máy chủ để
hoạt động một cách độc lập. Bên cạnh đó, ACF2 cung cấp rất nhiều hồ sơ báo cáo
để hỗ trợ việc kiểm tra an ninh và quản lý chung trong hệ thống
Nguyễn Kỷ Tuấn –12025068 - K19HTTT
5
Tóm lại, CA-ACF2 như một phần mở rộng của hệ điều hành của mainframe bảo vệ
các tập dữ liệu và các tài nguyên để chỉ những người thích hợp có thể tiếp cận với
chúng, đồng thời báo cáo về bất kì nỗ lực nào truy cập trái phép vào hệ thống.
,=E)FGH%I)+,
ACF2 hoạt động như là một phần mở rộng cho hệ điều hành đã được cài đặt
sẵn cho mainframe (ví dụ OS/390, z/OS). Mặc định, người dùng ACF2 chỉ có
thể truy cập vào dữ liệu nếu đã được phân quyền bởi quản trị hoặc chủ sở hữu
của dữ liệu đó. ACF2 được thiết kế riêng cho người dùng cá nhân và tài
nguyên bằng cách sử dụng các quy định và các bản ghi sau đây:
Quy định (rules):
• Quy định truy cập: Quyết định xem khi nào quyền truy cập dữ liệu được
cung cấp cho người dùng hoặc nhóm người dùng .
• Quy định về tài nguyên: Quyết định việc người dùng truy cập tới các tài
nguyên cụ thể (ví dụ: lưu trữ tạm thời, các tài nguyên của site, các
• Shift và Zone Records: Xác định khoảng thời gian truy cập được cho
phép hoặc bị ngăn chặn. Zone records chỉ áp dụng khi truy cập lần đầu
tiên vào hệ thống.
Câu lệnh TSO, batch utilities, và Interactive System Production Facility
(ISPF) có thể được sử dụng để cập nhật các thành phần này. ACF2 chứa 3 cơ
sở dữ liệu để lưu những bản ghi này bao gồm :
• Inforstorage database chứa : resource rules, entry records, field records,
cross-reference records, scope records, shift and zone records, global
system option records, identity records, and fields records.
• Logonid database chứa :logonid records cho tất cả người dùng hệ thống
• Rule database: Chứa tất cả các tập dữ liệu thiết lập các quy định
Thêm vào đó, một số trường logonid record có thể cho phép các quyền/truy
cập đặc biệt vào dữ liệu và tài nguyên của hệ thống
Nguyễn Kỷ Tuấn –12025068 - K19HTTT
7
,=,JA #C"!K%)+,
Logonids có thể được cấp nhiều hơn một quyền. Các quyền cơ bản có thể
được cung cấp cho người dùng hệ thống bao gồm :
• ACCOUNT : Cho phép một người dùng tạo, xóa, chỉnh sửa và hiển thị
các logonid recods trong giới hạn được xác định bởi phạm vi của mình.
• AUDIT : Hiển thị loginid records, inforstorage records ( ví dụ một cơ sở
dữ liệu ACF2),các quy định về tài nguyên và việc truy cập. Quyền này
cho phép một người dùng có thể hiện thị các điều khiển của hệ thống
ACF2, nhưng không cho phép chỉnh sửa những điều khiển này. Một
người dùng không thể chỉnh sửa bất kì logonid records hoặc truy cập bất
kì tài nguyên nào trừ khi người đã đó được phân quyền.
• CONSULT: Xem được hầu hết các trường của loginid records, nhưng
chỉ cập nhật các trường không bảo mật liên quan đến TSO, vị trí mà hệ
thống được lưu xác định có thể cho phép các trường được chỉnh sửa và
hiển thị bởi người dùng.
Mật khẩu xác thực danh tính của loginids và giống loginid, ACF2 cho phép
mật khẩu từ 1- 8 kí tự. Mật khẩu có thể gồm bất kì các kí tự, chữ số hoặc các
kí hiệu ( ví dụ @,#,$,% ). Khi người dùng đăng nhập ACF2 xây dựng một
chuỗi nhận dạng người dùng hoặc nhóm người dùng để giảm số lượng tài
nguyên hoặc các quy định truy cập phải được xác định.
Bên cạnh việc sử dụng các loginid và mật khẩu, có nhiều tùy chọn việc nhận
dạng và truy cập có thể được thiết lập diện rộng với người dùng. Các thiết lập
sau nằm trong phần “OPTIONS IN EFFECT” với các tùy chọn GSO control
có thể đã được cấu hình :
Nguyễn Kỷ Tuấn –12025068 - K19HTTT
9
• JOBCK hoặc JOB CHECK: Biểu thị rằng các loginid gửi các batch job
đã được xác thực thông qua các thuộc tính JOB khi đã được cấu hình là
YES.
• MAXVIO hoặc MAX VIO PER JOB:Chỉ ra số account tối đa đã vi
phạm việc truy cập trước khi ACF2 chấm dứt phiên làm việc. Giá trị mặc
định của tham số là 10 và giá trị tối đa cho tham số là 32767.
• UADS (User Attribute Data Set) : cho phép ACF2 chỉ xác nhận tính hợp
lệ cho logonid, mật khẩu và nhóm lúc đăng nhập. tất các tham số khác
(ví dụ ACCT) bình thường được kiểm soát bằng việc xử lý TSO. Điều
này xảy nếu UADS được kích hoạt và được cấu hình là USE. Nếu việc
thiết lập này là BYPASS, ACF2 kiểm soát tất cả các thông số đăng nhập
và kết quả các thuộc tính TSO. Đó là một thực tế, nói chung tốt nhất
không sử dụng các tùy chọn UADS và cho phép ACF2 xác thực một
người dùng đăng nhập trong các loginid recỏds
Các lựa chọn GSO khác có thể được cấu hình để xác thực và truy cập nằm
trong phần “PASSWORD OPTIONS IN EFFECT”/ Các tùy chọn này bao
gồm :
• LOGON RETRY COUNT: Cho biết tối đa số lần cố gắng truy cập
không thành công đã được cho phép trước khi một phiên được chấm dứt.
Thêm vào đó các lựa chọn kiểm soát có thể được cấu hình và vị trí của chúng
bên trong các lựa chọn kiểm soát GSO là :
- LOGON WAIT TIME : nằm trong “TSO RELATED DEFAULT
ACTIVE”, nó cho biết số giây trước khi ACF2 hủy bỏ đăng nhập nếu
người dùng không trả lời
- NOTIFY : Nằm trong phần “OTHER” của “SYSTEM PARAMETERS
IN EFFECT”, nó cho thấy rằng ngày tháng và thời gian đăng nhập cuối
Nguyễn Kỷ Tuấn –12025068 - K19HTTT
11
cùng của người dùng được hiển thị khi người dùng vào hệ thống nếu nó
được cấu hình là YES.
- Các lựa chọn bên trọng “NJE OPTIONS IN EFFECT” nếu Entry Job
Network (NJE) sử dụng.
Các thông số khác thực thi các thuộc tính xác thực và truy cập (I&A) nằm
trong logonid records của người dùng cụ thể. Một trong những tham số là
MAXDAYS thực hiện việc mã hóa mật khẩu. Nó quy định số ngày tối đã
được phép giữa các lần thay đổi mật khẩu trước khi mật khẩu hết hạn. Nếu
trường này được cấu hình là 0, thì sẽ thiết lập là không giới hạn. Sử dụng lệnh
LIST hoặc báo cáo ACFRPTSL sẽ hiển thị lựa chọn. Logonid records phải
được xem lại một cách thường xuyên để xác định logonid không hoạt động
hoặc không cần thiết đã được xóa bỏ khỏi hệ thống.
,=R1ST&KF""! #5U
Bên cạnh việc có thể cấu hình các tính năng nhận dạng và xác thực của ACF2,
nó cũng cung cấp rất nhiều tính năng kiểm soát việc truy cập như đã được đề
cập trong phần phân quyền (vd SECURITY,AUDIT,NON-CNCL), được giới
hạn chỉ cho những người dùng có quyền được sử dụng. Ngoài ra, một số
chương trình cũng cần được xem xét bao gồm :
• MAINTENANCE (Bảo trì)LOGONIDS/PROGRAMS/LIBRARIES:
Xác định logonids của người dùng được phép vượt qua quy định truy cập
khi thực hiện chương trình từ một thư viện xác định. Logonid được xác
truy cập các tập dữ liệu không được phép trừ khi đã được xác định rõ ràng và
lưu lại tất cả các truy cập vi phạm.
Nguyễn Kỷ Tuấn –12025068 - K19HTTT
13
Ngoài ra, trong phần lựa chọn GSO Control cũng có các lựa chọn về việc
kiểm soát truy cập bao gồm:
• DECOMP AUTHORITY: Nằm ở phần “RULES/DIRECTORY
RESIDENCY OPTIONS”,thiết lập này xác định các loại quyền, người
dùng cần phải sắp xếp để hiển thị các quy định truy cập và tài nguyên,
mặc dù phạm vi bị hạn chế.
• DSNAME PROTECTED VOLUMES : Nằm ở phần
“RULES/DIRECTORY RESIDENCY OPTIONS”, phần này xem xét lại
để đảm bảo các tập dữ liệu Direct Access Storage Device (DASA) và
dung lượng được bảo vệ bởi RESVOLS. RESVOL record xác định dung
lượng lưu trữ và DASD để cung cấp việc bảo vệ tại mức tên tập dữ liệu.
,=VF&WMX%YZ"[\%
Ngoài I&A và các tính năng kiểm soát việc truy cập, ACF2 cung cấp một khả
năng cấu hình để bỏ đi tất cả các tập dữ liệu và dung lượng trong hệ thống.
Chức năng tự động xóa (AUTOERAS) của ACF2 xác định khi mà ACF2 có
thể được sử dụng để lạo bỏ đi các tập dữ liệu và dung lượng khi người dùng
xóa chúng. Việc thiết lập này có thể làm trong phần “OPTION IN EFFECT”
của GSO control.
,=]1ST"!^N
ACF2 có khả nang cấu hình để thực hiện việc kiểm tra lại và ghi lại những
thông tin vào log. Như trình bày ở phần trước câu lệnh SHOW PROGRAMS
sẽ cho biết danh sách các chương trình đang chạy trong hệ thống. Danh sách
này bao gồm “LOGGED PROGRAMS” lưu lại các chương trình và thư viện
bao gồm :
• MAINTENANCE LOGONIDS/PROGRAMS/LIBRARIES
• RESTRICTED PROGRAM NAMES
• Một thiết bị đầu cuối cụ thể hoặc CPU.
• Chỉ truy cập và một ngày trong tuần hoặc trong một số giờ nhất định.
• Truy cập thông qua một facility cụ thể như TSO hay CICS.
3.1 .1 Cấu trúc ACID
Một ACID có thể dài 8 ký tự, tương ứng với user ID của người dụng trong
hệ thống. bạn có thể sử dụng cùng ACID cho tất cả các facility hoặc sử
rụng ACID khác nhau cho từng facility (như là TSO, CICS, hay z/VM)
CA – Top Secrect chấp nhận các kiểu khác nhau của ACID, từ một người
dùng cho tới một entire zone. Những loại này bao gồm các tầng lớp cấu
trúc cơ bản của cơ sở dữ liệu CA – Top Secrect của bạn.Từng kiểu ACID
được kết hợp với một tập các quyền truy cập tài nguyên.
3.1.2 Chức năng của ACID
Chức năng của ACID cho phép bạn thực hiện các nhiệm vụ cụ thể và “báo
cáo” về tổ chức ACID. Các chức năng của ACID có sẵn :
* User ACID : Người dùng là một người. Các cá nhân liên quan đến
ACID của người dùng và kiểm soát ACID. Một ACID người dùng chỉ định
một nhân viên cụ thể trong một bộ phận nhưng có thể được hiểu như bất kì
kiểu ACID nào ( chức năng và tổ chức).
Mỗi một ACID người dùng phải kết hợp với một ACID bộ phận
Khi một nhóm người dùng cần sử dụng một tập các tài nguyên giống nhau
theo cùng một cách ( người dùng thực hiện cùng hoặc có liên quan đến
chức năng job), định nghĩa này thiết lập một quyền truy cập và kết hợp tòan
Nguyễn Kỷ Tuấn –12025068 - K19HTTT
16
bộ với từng người dùng trong nhóm.Trong CA – Top Secrect, tập hợp các
đặc điểm truy cập tài nguyên được gọi là một hồ hơ. Mỗi một hồ sơ được
gán một hồ sơ ACID duy nhất.
Khi bạn xác định một hồ sơ, bạn có thể kết hợp nó với bất kì số lượng
người dùng ( cùng hoặc khác trong cấp bậc), do đó loại bỏ sự cần thiết phải
xác định từng quyền truy cập tài nguyên cho từng người dùng.
vực được gán cho zone ACID duy nhất. Tài nguyên có thể được gán với
một khu vực. Một Department ACID không thể trực tiếp đi kèm tới một
Zone, nhưng nó có thể đi kèm với một Division ACID đã đi kèm với một
Zone ACID. Một khu vực có thể có một hay nhiều ZCA adminstrative
ACID được gán cho quản lý các quyền khác nhau cho những ACID khác
được gán tới khu vực
Bạn có thể gán tài nguyên tới các khu vực, nhưng CA khuyến khích bạn
làm điều đó.
3.1.4 Control ACID – Kiểm soát ACID
Control ACID định nghĩa các quản trị an tòan thông tin được tổ chức với
các mức khác nhau bên trong cơ sở dữ liệu CA- Top Secrect. Một control
ACID có thể là một người dùng hệ thống cơ sở. Một control ACID có thể
Nguyễn Kỷ Tuấn –12025068 - K19HTTT
18
kiểm soát câu lệnh của hệ thống con và thực hiện các chức năng khác như
việc truy cập các tập dữ liệu và submit các công việc.
Ban đầu CA- Top Secrect chỉ được biết đến với một control ACID –
MSCA ACID – cho quản trị an tòan hệ thống. Bạn xác định ACID này của
CA – Top Secrect trong lúc cài đặt. Bạn tạo các control ACID khác sau đó.
Mỗi kiểu control ACID thực hiện quản lý các nhiệm vụ cho mức độ khác
nhau được gắn liền với nó. Để kích hoạt control ACID thực hiện những
nhiệm vụ này, mỗi một phạm vi phải được gán quyền và quyền quản lý bên
trong phạm vi đó.
3.1.5 Xác thực ACID – ACID Validation
CA- Top Secrect xác thực ACID theo những cách khác nhau để bảo vệ
chống lại việc sử dụng trái phép. Đầu tiêm CA – Top Secrect kiểm tra file
bảo mật để xác định khi nào một ACID được thiết kế để xác định bằng việc
thấy nếu một bản ghi bảo mật của nó xuất hiện .Thứ hai, nếu ACID không
được xác định, CA- Top Secrect phản ứng dựa vào các chết độ bảo mật và
tùy chọn khác đã được lựa chọn kiểm soát trong hệ thống.
mặc dù nó có thể được đổi tên
Một MSCA không bị giới hạn phạm vi. Chỉ duy nhất một MSCA có thẩm
quyền giới hạn quyền quản trị. Chỉ có duy nhất một MSCA có thể tạo SCA.
Nguyễn Kỷ Tuấn –12025068 - K19HTTT
20
MSCA có thể đặng nhập hoặc khởi tạo với duy nhất mật khẩu kiểm tra khi
có hiệu lực; không bị hết hạn, facility, tài nguyên hay việc kiểm tra đầu
cuối được thực hiện bởi CA – Top Secrect.
• )"!^! !"#)K"!K^))'
Được hiểu như là Central Sercurity Administrator. Một SCA không được
kết hợp với bất kì bộ phận hay deparment nào nhưng không bị giới hạn
phạm vi. Hầu hết các site chỉ có một vài SCA. CA khuyến cáo rằng bạn nên
tạo một Central Sercurity thứ 2, như một cách backup cho MSCA. Một
SCA, với quyền của mình có thể làm hầu hết mọi thức trừ việc tạo SCA
khác hoặc thay đổi quyền quản trị của ACID đang tồn tại.
• T")"!^! !"#)K"!K^))'
Một LSCA không được kết hợp với bất kì zone cụ thể, bộ phận hay
deparment nào. Nó có khả năng tương tự như SCA nhưng bị kiểm tra phạm
vi bằng các quy định được áp dụng
• aK^)K"!K^)a)'
Chỉ có một Central Sercurity Administrator có thể tạo zonal administrator.
Mỗi ZCA được kết hợp với một zone cụ thể. Một ZCA có thể thực hiện các
hoạt động sau : quản trị các nhiệm vụ của bộ phận, các department, người
dùng và hồ sơ liên kết zone này. Một zone có thể có nhiều ZCA, hoặc nằm
dưới sự quản lý của hệ thống trung tâm, không có ZCA. Trong trường hợp
sau, một quản trị bảo mật trung tâm phải thực hiện các yêu cầu quản lý cho
zone.
• B&K^)K"!K^))'(
Nguyễn Kỷ Tuấn –12025068 - K19HTTT
21
truy cập nhiều hơn 1 dịch vụ.
CA-top secret cung cấp một số dịch v[, bao gồm:
• VM
• CICS
• CA ROSCOE
• IMS
• CA IDMS
• BATCH
• TSO
• STC
CA-top secret gồm những tiện ích đã được định nghĩa sẵn trong bảng định
nghĩa.
* Xác thực truy cập dịch v[:
Để được cấp quyền truy cập vào 1 tiện ích cụ thể, sử dụng từ khóa Facility
với các lệnh Create hay Add
Giải thuật quyết định truy cập Facility tìm kiếm bởi 1 nguyên tắc cho phép
theo thứ tự sau:
• Bản ghi User
• Các Profile
• Bản ghi All
Nguyễn Kỷ Tuấn –12025068 - K19HTTT
23
Nếu 1 quy tắc Facility được phát hiện không có quyền truy cập, CA-top
secret tiếp tục tìm kiếm các quy tắc con. Nếu các quy tắc sau đó cũng
không có quyền truy cập, 1 xác thực Facility không thành công sẽ xảy ra.
Hành động này được xác định là đúng nếu 1 trong các lý do sau xảy ra( ví
dụ, tod, sysid hay calendar)
Thông tin về các tiện ích được chỉ ra với tham số Parameter. Với 1 danh
sách các tiện ích mà bạn có thể truy cập vào website của bạn, kiểm tra bảng
tiện ích.
cụ thể.
3.4.3 Mối quan hệ giữa tập hợp dữ liệu và dung lượng
Khi 1 ACID yêu cầu truy cập tới 1 tập dữ liệu DASD cụ thể CA-top secret
cả hai phải được ước lượng các quyền tập dữ liệu và dung lượng, phụ thuộc
vào các tùy chọn đường vòng hoặc các xác thực liên kết với ACID này.
Trong các sự kiện mà CA-top secret phải kiểm tra mức truy cập của cả
dung lượng và tập dữ liệu, CA-top secret luôn thực hiện cấp dung lượng
trước tiên. Trong một vài trường hợp, một yêu cầu để truy cập tới 1 tập dữ
liệu là được gán quyền hoặc không thành công trên cơ sở các quyền truy
cập tới dung lượng của ACID.
Nguyễn Kỷ Tuấn –12025068 - K19HTTT
25
Copyright: Tài liệu đại học ©