Teknoda - Notas técnicas Tips de AS400 iseries System i Tip en detalle Nro. 16

Transcripción

1 Teknoda - Notas técnicas Tips de AS400 iseries System i Tip en detalle Nro. 16 (Lo nuevo, lo escondido, o simplemente lo de siempre pero bien explicado) "Tips en breve/tips en detalle" se envía con frecuencia variable y absolutamente sin cargo como un servicio a nuestros clientes AS/400. Contiene principalmente notas técnicas y no contiene mensajes publicitarios. Este mensaje se envía en concordancia con la nueva legislación sobre correo electrónico: Por sección 301,párrafo (a) (2) (c) de S.1618 bajo el decreto s.1618 titulo 3º aprobado por el 105 congreso base de las normativas internacionales sobre SPAM, este no podrá ser considerado SPAM mientras incluya una forma de ser removido Conteste este mail con asunto REMOVER si no desea recibir más esta publicación. Si desea suscribir otra dirección de para que comience a recibir los Tips, envíe un mensaje desde esa dirección a letter400@teknoda.com, aclarando nombre, empresa y cargo del suscriptor. Auditoría sobre objetos en AS/400 Tema: Utilidad: Nivel: Versión: Seguridad, Auditoría Poder registrar y auditar la actividad que el sistema tiene sobre determinados objetos. Intermedio y Avanzado 4.X en adelante (y en versiones anteriores con algunos features menos) Lista de Tips publicados hasta la fecha: 1. Modificación de los parámetros por default que rigen en los comandos del OS/ Restricción de comandos pesados a modalidad batch 3. Cómo generar un entorno de prueba para año Cómo salvar y restaurar spool 5. Cómo agregar pantallas de confirmación/validación para comandos delicados 6. Defragmentación del espacio en disco no utilizado : STRDSKRGZ, ENDDSKRGZ 7. Manipulación de bases de datos desde programas CL, a través de Query/ Generación de spool AS/400 en formato PDF (Adobe Acrobat Reader) para almacenar en CD s

2 9. Cómo proteger columnas de un archivo físico o lógico 10. Cómo cambiar la pantalla de signon 11. Cómo automatizar transferencias de archivos con TCP/IP desde AS/ Control de accesos sobre archivos de spool 13. Aproveche lo que ya tiene: FILE SERVING con NETSERVER/ EMULACION 5250 vía Internet con lo que ya tiene instalado 15. Editor alternativo: Comando EDTF (Edit File) Temas de próximos tips: Recuperación de archivos dañados Guía básica de PTF s e iptf s Auditoría de usuarios Resumen ejecutivo Las funciones de auditoría en OS/400 incluyen la posibilidad de registrar las operaciones que se realizan sobre un determinado objeto. A través de esta herramienta es posible seleccionar un objeto e indicar que se anote cada vez que cualquier usuario lo modifica o simplemente lo consulta o lo lee. La anotación producida incluye no sólo el tipo de operación realizada sino también qué usuario la efectuó, la fecha, la hora y el trabajo involucrado. También existe la posibilidad de registrar las tareas realizadas sobre el objeto auditado, dependiendo de quién es el autor de la operación. Todas estas funciones de auditoría se materializan activando y parametrizando adecuadamente el Journal de Seguridad. Introducción: Auditoría en AS/400 OS/400 realiza una amplia gama de anotaciones o registros de las distintas actividades que se llevan a cabo en el sistema. Las anotaciones de trabajo (job log), como también las anotaciones históricas del sistema (history log) comprenden parte de las herramientas disponibles y son aquellos tipos de registros que el sistema operativo efectúa por omisión, sin solicitar al usuario interviniente ningún tipo de parametrización. A éstos se le suman los registros específicos implementados a través de diarios (journals): base de datos, seguridad, comunicaciones, accounting que deben ser activados voluntariamente mediante objetos *JRN y *JRNRCV. Ya desde la versión 2.3, OS/400 incluyó entre sus capacidades de registración al Audit Journal o Journal de auditoría. Esta herramienta es capaz de registrar todo evento relacionado con la seguridad con un nivel de detalle muy completo, y que se fue enriqueciendo con sucesivas versiones de OS/400. Creaciones y supresiones de objetos, ABM s de perfiles de usuarios, errores en inicios de sesión, invocaciones a programas que adoptan la autorizacion de su propietario, son solamente algunas de las posibilidades de auditoría disponibles en AS/400. Las opciones de auditoría ofrecidas por el sistema operativo, permiten efectuar interesantes combinaciones trabajando en tres niveles diferentes (no excluyentes) que varían en la amplitud de la jornalización a arrancar: Auditoría del sistema registrando todo lo que ocurre para todos los usuarios. Auditoría sobre las tareas realizadas por un determinado usuario. Auditoría sobre las acciones que se realizan sobre objetos específicos. Este último es el que desarrollaremos en este tip, actualizado a Versión 4.X de OS/400. Activación de la auditoría en AS/400 Independientemente de cual de los tres casos anteriores se seleccione, deben tenerse en cuenta dos consideraciones:

3 Todos los eventos relacionados con la seguridad se anotan a través de una pareja de objetos: el diario (objeto de tipo *JRN) y el receptor de diario conectado (objeto de tipo *JRNRCV). Por lo tanto es necesario crearlos. La jornalización es de uso opcional, no viene activa por default. Es necesario cumplir ciertos pasos sencillos para que la activación sea exitosa. Los pasos a llevar a cabo son los siguientes: Teclee elecciones, pulse Intro. Cambiar auditoría de objeto (CHGOBJAUD) Objeto CLIENTES Nombre, genérico*, *ALL Biblioteca TEKEXE Nombre, *LIBL, *USRLIBL... Tipo de objeto *FILE Valor de auditoría de objeto.. *ALL F3=Salir F4=Solicitud F5=Renovar F12=Cancelar *ALL, *ALRTBL, *AUTHLR... *NONE, *USRPRF, *CHANGE, *ALL 1. Crear un receptor de diario (objeto tipo *JRNRCV) en una biblioteca determinada (comando CRTJRNRCV). Este objeto es el que contendrá todas las anotaciones relacionadas con la seguridad. 2. Crear un diario (objeto tipo *JRN) con nombre QAUDJRN en la biblioteca QSYS (comando CRTJRN) y asociarlo al receptor de diario creado en el paso anterior. 3. Este paso es el que define, según lo almacenado en los valores del sistema, cuál es el tipo de auditoría a realizar. Para activar la auditoría sobre objetos, QAUDCTL debe establecerse en *OBJAUD y seleccionar con CHGOBJAUD cuáles son los objetos a auditar. No es necesario modificar el valor del sistema QAUDLVL para activar exclusivamente la auditoría de objetos. Final Auditoría sobre objetos: Cómo seleccionar los objetos a auditar El mandato CHGOBJAUD permite indicarle a OS/400 cuáles objetos, de todos los existentes en el sistema, se desea auditar. La siguiente pantalla muestra el prompt del comando: Los dos primeros parámetros: Objeto y Tipo de objeto son los que permiten identificar el objeto a auditar. El tercer parámetro Valor de auditoría de objeto (palabra clave OBJAUD) especifica qué tipo de operaciones efectuadas sobre el objeto deben quedar registradas en el journal de seguridad. Puede tomar los siguientes valores: *NONE: utilización o cambio del objeto no produce entrada relacionada con la seguridad. *USRPRF: analiza en el perfil de usuario que hace el acceso si la operación efectuada debe quedar registrada. En este caso, el mandato CHGUSRAUD permite establecer, a través del parámetro Valor de auditoría de objeto (palabra clave OBJAUD), un valor de auditoría diferente para este usuario cuando accede al objeto en cuestión. *CHANGE: cambio del objeto realizado por cualquier usuario queda registrado. *ALL: cambio o lectura del objeto realizado por cualquier usuario queda registrado.

4 El siguiente esquema muestra la relación entre los parámetros involucrados: Acceso al archivo CLIENTES TEKEXE/CLIENTES Valor de auditoría Auditoría de objetos *NONE *USRPRF *CHANGE *ALL Atributo visualizable con DSPOBJD JUAN *FILE Cada vez que se accede al archivo CLIENTES, OS/400 analiza el valor de auditoría del objeto. Si está establecido en *USRPRF debe buscar el valor de auditoría dentro del perfil de usuario que accedió para conocer qué tipo de acción debe registrarse en el journal de seguridad. Valor de auditoría *USRPRF *NONE *CHANGE *ALL Atributo visualizable con DSPUSRPRF El uso de los parámetros Valor de auditoría de CHGOBJAUD y también de CHGUSRAUD permiten generar combinaciones donde existan objetos para los cuales cualquier acción realizada por cualquier usuario quede registrada (ver recuadro rojo), como así también anotar sólo las operaciones sobre ese objeto que un determinado usuario realiza (ver recuadros verdes). El atributo Valor de auditoría de objeto, como se explica en los párrafos anteriores, se puede modificar con CHGOBJAUD, pero también es posible que los objetos se generen con ese atributo establecido en un determinado valor. El parámetro Crear auditoría de objeto (palabra clave CRTOBJAUD) del mandato CRTLIB, permite establecer qué Valor de auditoría de objeto se necesita para los objetos que se generen dentro de la biblioteca. Si este atributo de la biblioteca fue establecido en un valor distinto de *NONE, cada objeto creado dentro de ella será auditado (siempre que se hayan respetado los pasos de activación y sin necesidad de utilizar CHGOBJAUD). El valor de sistema QCRTOBJAUD permite seleccionar qué valor debe tener por default el parámetro Crear auditoría de objetos del mandato CRTLIB. Visualización y análisis de las entradas de auditoría generadas Para visualizar las entradas de auditoría generadas una de las opciones disponibles es el comando DSPJRN QAUDJRN. La siguiente pantalla aparece:

5 Visualizar Entradas de Diario Diario : QAUDJRN Biblioteca..... : QSYS Teclee opciones, pulse Intro. 5=Visualizar toda la entrada Opc Secuencia Cód. Tipo Objeto Biblioteca Trabajo Hora 1 J PR DSPTEKALT 13:13:12 2 J JR AUDRCV0001 QGPL DSPTEKALT 13:13:12 3 T SV DSPTEKALT 13:13:12 4 T AD DSPTEKALT 13:14:26 5 T CA DSPTEKALT 13:15:46 6 T ZR DSPTEKALT 13:16:45 7 T ZC DSPTEKALT 13:17:05 8 T ZC DSPTEKALT 13:17:05 F3=Salir F12=Cancelar Las entradas 1 y 2 están relacionadas con el arranque de la jornalización. La entrada con número de secuencia 3, de tipo SV (Cambio a valor de sistema), documenta la modificación del valor del sistema QAUDCTL al nuevo valor *OBJAUD. Si se visualiza la entrada con opción 5 aparece lo siguiente: Datos específicos entrada Columna * 'AQAUDCTL *OBJAUD ' ' ' ' Valor del sistema Valor actual ' ' alterado ' ' ' ' *NONE Valor anterior ' Pulse Intro para continuar. La entrada con número de secuencia 4, de tipo AD (Cambiar atributo de auditoría), registra la ejecución del mandato CHGOBJAUD. La opción 5 permite conocer de que objeto se trata y cuales operaciones sobre dicho objeto se registrarán: Datos específicos entrada Columna * 'OCLIENTES TEKEXE *FILE *ALL ' Pulse Intro para continuar. Identificación del objeto Tipo de operaciones que se registran

6 La entrada con número de secuencia 6, de tipo ZR (acceso lectura objeto), documenta que se realizó una operación de lectura sobre el archivo: Datos específicos entrada Columna * 'RCLIENTES TEKEXE *FILE CLIENTES ' Identificación del objeto Miembro De la misma manera, las entradas con número de secuencia 7 y 8 registran operaciones de cambio efectuadas sobre el objeto auditado. En cualquiera de las visualizaciones de entradas mostradas anteriormente puede utilizarse la tecla de función F10=Visualizar sólo detalles de entrada para conocer fecha, hora y usuario que realizó la operación, desde cuál trabajo y también desde qué programa. La siguiente pantalla muestra el resultado: Visualizar Detalles de Entrada de Diario Diario : QAUDJRN Biblioteca..... : QSYS Secuencia..... : 6 Código : T - Entrada de seguimiento de auditoría Tipo : ZR - Acceso lectura objeto Objeto : Biblioteca..... : Miembro : Distintivo..... : 0 Fecha : 08/09/00 Hora : 13:16:45 Cuenta/NRR..... : 0 Programa : QCMD Trabajo : /TEKM5/DSPTEKALT Perfil usuario... : TEKM5 Restricc. Referencial: No ID ciclo compromiso : 0 Desencadenante... : No Es importante tener en claro que la auditoría de objetos abarca la registración de las operaciones efectuadas sobre él, por ejemplo, el usuario XXX leyó el objeto o el usuario YYY modificó el objeto. El valor anterior de un atributo alterado del objeto y el valor que posteriormente quedó no son registrados por la auditoría de objetos. En el caso particular de los archivo físicos de datos el valor anterior y posterior a una modificación puede registrarse si el archivo está siendo jornalizado a través de la jornalización de archivos de

7 base de datos. Para este caso, el arranque de la jornalización debe hacerse con el comando STRJRNPF luego de haber creado un receptor de diario y un diario. Para tener en cuenta... A pesar de que OS/400 no solicita ningún tipo de parametrización con respecto a las anotaciones de la job log, existen posibilidades de controlar el nivel de detalle de la información registrada, como también la acción a tomar por el sistema con todo aquello que anotó cuando el trabajo finaliza (parámetro LOG en la descripción de trabajo utilizada por el job). Otra alternativa sencilla para arrancar la jornalización de seguridad es hacerlo desde Operations Navigator de Client Access Express. Iniciar una conexión, desde el item Base de datos se puede crear el diario y el receptor de diario. Desde Seguridad y luego Políticas de auditoría se selecciona a través de check boxes las opciones necesarias. Desde pantalla verde, puede activarse o desactivarse y también visualizarse el estado de la auditoría desde los mandatos CHGSECAUD (opción 10 del menú SECTOOLS) y DSPSECAUD (opción 11 del menú SECTOOLS) respectivamente. El comando CHGSECAUD permite arrancar la auditoría con valores *ALL (todas las posibilidades) o *DFTSET (*AUTFAIL, *CREATE, *DELETE, *SECURITY y *SAVRST). También se encarga de crear el diario QAUDJRN en QSYS y el receptor de diario con nombre AUDRCV0001 en QGPL. El mandato DSPJRN posee el parámetro Salida (palabra clave OUTPUT) para seleccionar la forma de visualización. La opción *OUTFILE permite generar un archivo, objeto de tipo *FILE PF-DTA, con las entradas del diario QAUDJRN convertidas en registros. Este archivo podrá luego ser consultado desde QUERY/400, SQL/400 o un programa HLL. Una forma amigable de visualizar las anotaciones de auditoría es a través de la opción 22 (Entradas de diario de auditoría) del menú SECTOOLS. El mandato ejecutado es DSPAUDJRNE e invoca a una batería de queries ya creados según el tipo de entrada seleccionada. Independientemente del tipo de auditoría establecida, es muy probable que se generen gran cantidad de anotaciones. Es importante establecer el valor del umbral para los receptores de diario (en el comando CRTJRNRCV), como también determinar si la creación de los nuevos receptores será tarea del sistema o del usuario (parámetro Gestionar receptores, palabra clave MNGRCV del comando CRTJRN). El default de este parámetro en pantalla verde es *USER, pero en Operations Navigator es *SYSTEM. Si se desea realizar auditoría del sistema registrando todo lo que ocurre para todos los usuarios, QAUDCTL debe establecerse en *AUDLVL y en QAUDLVL seleccionar la actividad a registrar. Esto no inhabilita de ninguna manera la auditoría sobre objetos o sobre un determinado usuario. Copyright 2000 Teknoda S.A. - AS/400 y OS/400 son marcas registradas de IBM.