Berechtigungsmanagement mit RACF:
Herausforderungen & Risiken
In rund 80 Prozent aller globalen z/OS-Installationen kommt RACF (Ressource Access Control Facility) zum Einsatz. Dabei handelt es sich um ein Sicherheitssystem von IBM für die Verwaltung der Berechtigungen im Mainframe-Umfeld. RACF sorgt dafür, dass nur diejenigen Nutzer Zugriff auf eine angefragte Ressource erhalten, die dazu autorisiert sind. Versucht ein nicht autorisierter Benutzer auf eine geschützte Ressource – das können Daten, Applikationen oder Hardware sein – zuzugreifen, so erfasst und meldet das System diesen Zugriffsversuch.
RACF erfüllt damit folgende Grundfunktionen:
Aus diesen Funktionen leiten sich für die IT-Abteilung verschiedene Tätigkeiten ab.
Pflege der Berechtigungsstrukturen Zentrale Aufgabe der IT-Abteilung ist es, dafür zu sorgen, dass jeder Nutzer genau die Berechtigungen erhält, die er benötigt. Dafür muss sie unter anderem neue Benutzer anlegen, Kennworte zurücksetzen oder Benutzern weitere Rechte zuordnen – relativ einfache Administrationsaufgaben, die sich allerdings mit RACF oft als sehr aufwändig gestalten. Dafür gibt es zwei Gründe: Zum einen sind die Berechtigungsstrukturen bei Unternehmen mit vielen Mitarbeitern und einer hohe Zahl an eingesetzten Anwendungen meist sehr komplex. Zum anderen ist die Bedienung von RACF nicht gerade userfreundlich: Das IBM-System bietet von Haus aus keine grafische Benutzeroberfläche.
Vor besonders großen Herausforderungen stehen IT-Administratoren immer dann, wenn umfangreiche Änderungen nötig sind. Das ist zum Beispiel dann der Fall, wenn Rechensysteme zusammengelegt werden oder das Rechenzentrum an einen Dienstleister ausgelagert wird und in diesem Zusammenhang die Berechtigungsstrukturen migriert werden müssen.
Neben der Pflege der Berechtigungsstrukturen gehört auch das Monitoring zu den Kernaufgaben der RACF-Administratoren. Sie müssen die Nutzerzugriffe auf die Ressourcen kontinuierlich und idealerweise in Echtzeit überwachen, damit auf Sicherheitsverstöße umgehend reagiert werden kann. Denn die Bedrohungen durch Datenmissbrauch und -diebstahl wachsen kontinuierlich: Mehr als die Hälfte aller Unternehmen in Deutschland (53 Prozent) ist in den vergangenen zwei Jahren Opfer von Wirtschaftsspionage, Sabotage oder Datendiebstahl geworden. Dadurch ist ein Schaden von rund 55 Milliarden Euro entstanden (Quelle: Bitkom Research: Wirtschaftsschutz in der digitalen Welt, Juli, 2017). Im Finanzsektor waren in einem Zeitraum von 12 Monaten sogar 93 Prozent aller Institute betroffen.
Täter sind in den meisten Fällen häufig aktuelle oder ehemalige Mitarbeiter des Unternehmens (62 Prozent, Quelle: siehe oben). Diese Angriffe verursachen zudem wesentlich größere Schäden als externe Attacken. Ein zuverlässiges Monitoring, das sicherheitsrelevante Events erfasst und eskaliert, ist daher für alle Unternehmen unverzichtbar. RACF allein bietet diese Möglichkeit nicht.
Eine immer größere Rolle im Alltag der RACF-Administratoren nimmt das Reporting ein. Denn Unternehmen müssen regelmäßig Sicherheits-Audits durchführen, um die Compliance mit gesetzlichen Vorschriften nachzuweisen. Besonders für Banken und Versicherungsdienstleister gelten hohe Anforderungen. Viele Unternehmen führen bereits im Vorfeld der verpflichtenden Zertifizierungen interne Audits durch, um eventuelle Schwachstellen aufzudecken und rechtzeitig Maßnahmen zur Erhöhung der Sicherheit ergreifen zu können.
Unabhängig davon, ob es sich um ein vorbereitendes Audit oder eine externe Prüfung handelt: Das erforderliche Reporting gestaltet sich im z/OS-Umfeld aufgrund des hohen Datenvolumens und der meist komplizierten RACF-, SMF- und Betriebssystemeinstellungen als sehr aufwändig. Durch den Einsatz plattformübergreifender Reporting-Tools kann der Aufwand nach Erfahrungen von Beta Systems um 50-80 Prozent reduziert werden.
Dieses White Paper wendet sich an Leiter von Rechenzentren, in denen RACF-Systeme im Einsatz sind. Sie erfahren hier, welche Herausforderungen bei der RACF-Administration im Alltag zu bewältigen sind und wo mögliche Sicherheitsrisiken liegen.
Das White Paper zeigt ihnen, wo sie anssetzen können, um das Berechtigungsmanagement zu optimieren und die Sicherheit im Unternehmen zu erhöhen.
