Java-Bibliothek für z/VSE-Sicherheit

Die Diplomarbeit basiert auf der Feststellung, dass eine zentrale und automatisierte Überwachung der Systemsicherheit im IBM z/VSE Betriebssystem fehlt. Die manuelle Kontrolle der zahlreichen, dezentral verwalteten Sicherheitsparameter ist aufwendig und zeitintensiv. Dies stellt ein erhebliches Problem für z/VSE Kunden dar, insbesondere bei komplexen Systemen mit vielen Benutzern und Ressourcen. Eine effiziente und regelmäßige Überprüfung der Sicherheitseinstellungen ist unter diesen Bedingungen kaum möglich, was erhebliche Sicherheitsrisiken birgt. Die fehlende Automatisierung führt zu Ineffizienzen in der Verwaltung und erhöht das Risiko von Sicherheitslücken. Die Arbeit zielt darauf ab, diese Problematik zu lösen und eine verbesserte Sicherheitslage für z/VSE Systeme zu schaffen.

Als Lösung wird die Entwicklung einer Java-basierten Klassenbibliothek vorgeschlagen. Diese Bibliothek soll alle relevanten Sicherheitsparameter und -einstellungen des z/VSE Systems auslesen und zentral zusammenführen. Durch den Einsatz der Java-Programmiersprache wird eine Plattformunabhängigkeit und Integration in bestehende IT-Infrastrukturen gewährleistet. Die Daten werden nicht nur gesammelt, sondern auch nach objektorientierten Prinzipien strukturiert und aufbereitet, um dem Programmierer eine effiziente und übersichtliche Darstellung zu bieten. Die Bibliothek ermöglicht den automatisierten Abgleich der Parameter und liefert strukturierte Informationen über den Sicherheitsstatus des Systems. Die automatisierte Überwachung erlaubt es, Sicherheitslücken frühzeitig zu erkennen und zu beheben, wodurch das Gesamtrisiko deutlich reduziert wird. Die Lösung bietet z/VSE Kunden die Möglichkeit, den Zustand der komplexen Sicherheitseinstellungen ihrer Systeme jederzeit automatisiert zu überwachen.

Die entwickelte Java Klassenbibliothek ist darauf ausgelegt, mit dem IBM Tivoli Security Compliance Manager (TSCM) integriert zu werden. Durch die Bereitstellung einer Schnittstelle kann TSCM die Daten der Bibliothek nutzen, um regelmäßige und automatisierte Prüfungen der Sicherheitskonfiguration durchzuführen (State Monitoring). Das State Monitoring erlaubt den Vergleich der aktuellen Sicherheitseinstellungen mit firmenspezifischen Richtlinien und ermöglicht die automatisierte Erkennung von Abweichungen. Die frühzeitige Identifizierung von Sicherheitskonflikten trägt zur Verbesserung des Sicherheitsniveaus bei und hilft, den Aufwand für die manuelle Sicherheitsüberprüfung deutlich zu reduzieren. Die Integration mit TSCM stellt somit einen wichtigen Baustein für ein umfassendes Sicherheitsmanagement dar, das sowohl Automatisierung als auch Compliance berücksichtigt. Die Bibliothek ermöglicht auch interne Datenvergleiche und -zusammenführungen für eine schnelle und effiziente Sicherheitskontrolle.

Der Abschnitt beschreibt IBM Mainframes als die Hardware-Basis für z/VSE. Mainframes, insbesondere die System z Generation, sind auf die sichere und zuverlässige Verarbeitung großer Datenmengen und Transaktionen ausgelegt. Ihre Architektur ist darauf ausgerichtet, diesen hohen Anforderungen gerecht zu werden. Die Fähigkeit zur Verarbeitung enormer Datenmengen und Transaktionen mit hoher Sicherheit und Zuverlässigkeit ist ein zentrales Merkmal. Die Beschreibung umfasst die Entwicklung von Großrechner-Betriebssystemen beginnend mit OS/360 im Jahr 1964 über verschiedene Entwicklungsstufen mit Pseudomultitasking und manueller Speicherverwaltung bis hin zu modernen Systemen. Es wird zwischen Stapelverarbeitung (Batch Jobs) und Online-Prozessen unterschieden, wobei letztere kurze Antwortzeiten und parallele Transaktionen erfordern. Der Abschnitt betont die Leistungsfähigkeit und Hochverfügbarkeit von Mainframe-Systemen im Vergleich zu anderen Plattformen.

Die Entwicklung der IBM Mainframe-Betriebssysteme von OS/360 bis hin zu z/OS wird skizziert. Besonders hervorgehoben werden die Entwicklungsstufen von OS/360, die Einführung des Pseudomultitaskings und der Job Control Language (JCL) zur granulareren und flexibleren Ablaufplanung. Die unterschiedlichen Anforderungen von Batch-Jobs und Online-Prozessen werden erläutert, wobei Online-Transaktionen durch kurze Antwortzeiten und parallele Bearbeitung gekennzeichnet sind. z/OS wird als das leistungsstärkste Mainframe-Betriebssystem beschrieben, dessen dynamisches Jobmanagement einen effizienten Ressourceneinsatz gewährleistet. Der Abschnitt betont den Unterschied in der Jobverarbeitung im Vergleich zu Systemen wie Windows oder Linux, die Anfragen als durchgehende Einheiten behandeln, während z/OS dynamisch auf Wartezeiten reagiert und Anfragen in kleinere, parallel bearbeitbare Teile zerlegt. Die Virtualisierungstechnologie von z/VM wird als Methode zur effizienteren Ressourcennutzung auf Mainframes erläutert.

Die Tivoli-Softwareprodukte von IBM werden als eine Sammlung von Werkzeugen zur Verwaltung, Automatisierung und Unterstützung von IT-Systemen vorgestellt. Der Fokus liegt auf den Funktionen des State Monitoring, das im Kontext der Sicherheitsüberwachung von z/VSE relevant ist. Der Tivoli Security Compliance Manager (TSCM) wird als wichtiges Tool für die Überprüfung der Systemkonfiguration auf Übereinstimmung mit Sicherheitsrichtlinien beschrieben. Im Gegensatz zum TSCM wird der Tivoli Risk Manager (TRM) als Werkzeug zur Verwaltung von Sicherheitsvorfällen, Schwachstellen und Sicherheitsereignissen verschiedener Sicherheitsprodukte (Intrusion Detection, Firewalls etc.) vorgestellt. Der Unterschied zwischen Event Monitoring (Echtzeit-Protokollierung) und State Monitoring (periodische Momentaufnahmen) wird erklärt. State Monitoring dient der regelmäßigen Überprüfung der Sicherheitsparameter und deren Vergleich mit den Sicherheitsrichtlinien. Die Tivoli-Kollektoren ermöglichen das Auslesen der notwendigen Informationen aus den Betriebssystemen.

Dieser Abschnitt beschreibt z/VSE-spezifische Aspekte wie Datenhaltung und Kommunikation. Die Verwendung von Virtual Storage Access Method (VSAM)-Dateien für die Datenverwaltung wird erläutert, inklusive der Beschreibung des Anlegens von VSAM-Dateien und des Umgangs mit VSAM-Zugriffsmethoden. Der Basic Security Manager (BSM) wird als zentrale Sicherheitskomponente von z/VSE vorgestellt, die Benutzer autorisiert und authentifiziert, die Datenintegrität sicherstellt und den Zugriff auf geschützte Systemressourcen verwaltet. Die Funktionsweise des BSM mit seinen Datenquellen wird skizziert, inklusive der Zugriffskontrolle über Ressourcenprofile und Gruppen. Der Abschnitt beleuchtet auch VSE-Connectors als Schnittstellen zwischen dem Betriebssystem und offenen Standards, sowie den VSAM Redirector Connector für den Zugriff auf externe Dateisysteme und Datenbanken. Der DB2 Server for z/VSE wird erwähnt, jedoch als nicht mehr weiterentwickelte Datenbanklösung.

Der Abschnitt definiert die Anforderungen an die zu entwickelnde Java Klassenbibliothek. Ausgehend von den Bedürfnissen eines z/VSE Kunden, der eine automatisierte Sicherheitsüberwachung benötigt, werden die Anforderungen formuliert. Diese umfassen die Erfassung aller relevanten Sicherheitsparameter und -einstellungen von z/VSE (Version 4.1 oder höher). Die Bibliothek soll eine umfassende Abdeckung aller sicherheitsrelevanten Parameter gewährleisten und für alle z/VSE Kunden einen Mehrwert bieten. Die Anforderungen gehen über die ursprünglichen Kundenwünsche hinaus und zielen auf eine möglichst vollständige und generische Lösung ab. Die Anforderungen beinhalten die zentrale Erfassung von Daten, eine klare Datenstruktur und die Möglichkeit der Integration in bestehende Sicherheitsmanagement-Systeme wie den Tivoli Security Compliance Manager (TSCM). Die Anforderungen dienen als Grundlage für das Design und die Implementierung der Klassenbibliothek.

Der Designprozess der VSESecurity Bibliothek fokussiert auf eine klar strukturierte, objektorientierte Architektur, die sich nahtlos in die bestehende Systemlandschaft von z/VSE integriert. Die Wahl der Datenzugriffsmethoden wird sorgfältig abgewogen. Es wird entschieden, die Sicherheitsdaten aus verschiedenen VSE-Quellen zu extrahieren und erst in der Java-Bibliothek zu zentralisieren, anstatt einen separaten VSE-Prozess zu implementieren, was die Anforderungen der Kunden besser erfüllt. Die verschiedenen Möglichkeiten des Auslesens der Daten aus den VSE-Quellen werden diskutiert und bewertet. Die Architektur legt den Grundstein für die spätere Datenzusammenführung und -aufbereitung. Die zentrale Datenhaltung in der Bibliothek erlaubt eine übersichtliche und effiziente Verwaltung aller Sicherheitsinformationen. Die objektorientierte Gestaltung ermöglicht eine skalierbare und wartungsfreundliche Architektur. Der Abschnitt beschreibt die Herausforderungen bei der Datenextraktion und die gewählte zentrale Architektur.

Das Design umfasst ein Datenmodell, das die verschiedenen Sicherheitsinformationen von z/VSE (Benutzer, Ressourcen, Gruppen, Bibliothekszugriffsrechte) repräsentiert. Die Klasse PrepareMergedData ist für die Auswertung und Zusammenführung dieser Daten zuständig. Sie vergleicht Benutzer- und Gruppenzugehörigkeiten mit Ressourcenzugriffsrechten und stellt die Ergebnisse übersichtlich dar. Die Daten werden aus verschiedenen Quellen wie dem Basic Security Manager (BSM) und den Connector-Konfigurationsdateien gewonnen. Die Implementierung berücksichtigt die heterogenen Datenformate innerhalb von z/VSE und deren Transformation in ein für die Bibliothek verarbeitbares Format. Die Zusammenführung der Daten aus verschiedenen Quellen ermöglicht einen umfassenden Überblick über den Sicherheitszustand des Systems. Die Bibliothek bietet Schnittstellen, um auf die aufbereiteten Daten zuzugreifen und diese in anderen Anwendungen, wie dem Tivoli Security Compliance Manager (TSCM), zu verwenden. Die Berücksichtigung von verschiedenen Datenquellen und deren Zusammenführung ist zentral für die Funktionalität.

Die Implementierung der VSESecurity Java Klassenbibliothek erfolgte nach den zuvor definierten Anforderungen und dem festgelegten Design. Die Bibliothek wurde objektorientiert strukturiert, um eine klare und leicht verständliche Architektur zu gewährleisten. Die Implementierung beinhaltet die Funktionalität zum Auslesen der relevanten Sicherheitsparameter aus verschiedenen z/VSE Quellen. Dabei wurden die verschiedenen Möglichkeiten des Datenzugriffs evaluiert und die effizientesten Methoden gewählt. Ein besonderes Augenmerk lag auf der robusten Handhabung der heterogenen Datenformate innerhalb von z/VSE. Die Bibliothek beinhaltet eine Klasse namens PrepareMergedData, die für die Zusammenführung und Aufbereitung der ausgelesenen Daten zuständig ist. Diese Klasse führt Vergleiche durch, um Beziehungen zwischen Benutzern, Gruppen und Ressourcenzugriffsrechten herzustellen und die Informationen übersichtlich darzustellen. Die Implementierung zielte auf eine möglichst umfassende und robuste Lösung ab, die verschiedene Szenarien und Datenkonstellationen berücksichtigt.

Um die Funktionalität der VSESecurity Bibliothek zu testen, wurde eine z/VSE 4.1 Testumgebung eingerichtet. Diese Umgebung enthielt verschiedene Benutzer mit unterschiedlichen Rollen und Berechtigungen, um realitätsnahe Bedingungen zu simulieren. Es wurden diverse DTSECTAB Einträge, BSTCNTL (BSM.CONTROL.FILE) Einträge sowie Gruppen- und Benutzereintragungen mit verschiedenen Zugriffsrechten angelegt. Die Konfiguration des Testsystems erfolgte mithilfe von BSTADMIN Kommandos, um möglichst realistische Daten und Zugriffsszenarien zu erzeugen. Die Testfälle deckten verschiedene Aspekte der Bibliothek ab, insbesondere das korrekte Auslesen der Daten aus unterschiedlichen Quellen und die korrekte Verarbeitung und Aufbereitung dieser Daten durch die PrepareMergedData Klasse. Durch die Verwendung eines realitätsnahen Testsystems konnte die Robustheit und Zuverlässigkeit der Bibliothek umfassend überprüft werden. Die Ergebnisse der Tests bestätigten die Funktionalität und den korrekten Betrieb der Bibliothek.

Die implementierte VSESecurity Klassenbibliothek ist für die Bereitstellung auf der VSE Produktseite als Download vorgesehen. Dies soll die Nutzung durch z/VSE Kunden vereinfachen und eine breite Anwendung ermöglichen. Die Bibliothek wird als Ergänzung zu anderen z/VSE Connector-Komponenten bereitgestellt, was eine nahtlose Integration in die bestehende Infrastruktur der Kunden gewährleistet. Speziell für Kunden mit einer großen Anzahl an Benutzern und Ressourcen bietet die Bibliothek in Kombination mit dem Tivoli Security Compliance Manager (TSCM) eine effiziente, kostengünstige und zentrale Lösung zur Überwachung der z/VSE Systemsicherheit. Die einfache Bereitstellung und Integration zielt auf eine effiziente und breite Akzeptanz in der z/VSE Community ab. Zukünftige Erweiterungen könnten weitere Sicherheitskomponenten integrieren.

Die Diplomarbeit beschreibt die Entwicklung einer Java Klassenbibliothek (VSESecurity) zur zentralen und automatisierten Überwachung der Systemsicherheit von IBM z/VSE. Zu Beginn wurden die Anforderungen an die Bibliothek analysiert und erweitert, um eine umfassende Lösung für z/VSE Kunden zu schaffen. Die notwendigen Sicherheitsparameter wurden identifiziert und ein entsprechendes Datenmodell entworfen. Verschiedene Zugriffsmethoden auf die z/VSE Daten wurden diskutiert, und die optimalen Methoden ausgewählt und implementiert. Die Bibliothek wurde in einer objektorientierten Architektur aufgebaut und auf einem z/VSE 4.1 Testsystem mit realitätsnahen Konfigurationen getestet. Die Bibliothek ist darauf ausgelegt, mit dem Tivoli Security Compliance Manager (TSCM) zu interagieren, um ein effizientes State Monitoring zu ermöglichen. Die PrepareMergedData Klasse spielt eine Schlüsselrolle bei der Konsolidierung und Analyse der Sicherheitsdaten.

Die entwickelte VSESecurity Bibliothek erlaubt das Auslesen und Überwachen aller sicherheitsrelevanten Informationen eines z/VSE Betriebssystems. Sie bietet z/VSE Kunden, insbesondere solchen mit vielen Benutzern und Ressourcen, eine effiziente, kostengünstige und zentrale Lösung für die Überwachung der Systemsicherheit, besonders in Verbindung mit dem TSCM. Ein wichtiger Aspekt ist die geplante Verfügbarkeit der Bibliothek als Download auf der VSE Produktseite. Zukünftige Erweiterungen könnten die Integration weiterer Security Manager von Drittanbietern (z.B. ESM) umfassen, um die Funktionalität und den Funktionsumfang weiter zu verbessern. Die Arbeit stellt somit eine solide Grundlage für die Verbesserung der z/VSE Systemsicherheit dar und eröffnet Möglichkeiten für zukünftige Entwicklungen und Erweiterungen der Sicherheitsüberwachung.