セキュリティ強化された現代において見放された”SYS1.UADS”

By 岡田 - Posted: 2016/03/11 Last updated: 2016/12/04 - Leave a Comment
印刷用ページの表示 印刷用ページの表示
MVS互換機でTSO(TSS)を使う場合、以前はSYS1.UADSが必須でした。
しかし、セキュリティ強化されたシステムが一般的である現代において、SYS1.UADSは見放された存在となってしまいました

その理由をこれから説明します

※以下の文章で「TRUST」という言葉が出ますが、これは日立における「統合利用者管理機能」を指しており、RACFと同様セキュリティ管理をします。
私が日立に関わった際、TRUSTという名称で仕事をしていましたので、この名称で書かせてください。


SYS1.UADS(区分データセット)の目的はシステムに登録される個々のユーザ情報を管理することです。

OSを新規にインストールした際、日立(VOS3)ではSYSUSERというIDが標準提供され、IBM(Z/OS等)ではIBMUSERが登録されていると思います

OS(SYS1.UADS)にユーザを登録する際、昔(IBM=RACFや日立=TRUSTが無く、SAFEで運用していた時代)はACCOUNTコマンドを使いました。
ACCOUNTコマンドでユーザ登録することで、SYS1.UADSに新規登録したユーザ名で始まる名称のメンバ名が作成され、個々の情報が管理されるようになります
※ACCOUNTでSYS1.UADSにユーザを登録する場合、VOS3では”SYSUADS”というDD名でALLOCしておくことが登録の条件です

従って、SYS1.UADSのメンバ一覧を出すと、システムに登録されている全ユーザが判ってしまうという脆弱性を持っていたのです


しかし、それも昔の話です。強固なセキュリティ環境が標準の現代社会ではもうACCOUNTコマンドは使いません
Z/OSではRACF(ADDUSERコマンド)ですし、日立VOS3ではTRUST(DEFINE USERコマンド)を用います


RACF、TRUSTでは「セキュリティ監視」を行うことが出来ます。
セキュリティ強化をシステムに対して施すのが標準となり、システムが関わる各種リソース(ユーザ、データセット、DISKボリュームなど)にアクセス権限を与えます

アクセス権限を与えたリソースに対して不正なアクセスがあった場合、RACF(TRUST)はSMF(SMS)に情報を残します。
その情報を後日SMF(SMS)データセットから特定のレコード番号でフィルタリングすると、不正アクセスの情報などを抽出することができます。

この抽出情報を活用することで、各リソースに対する攻撃の頻度がわかるため、今後のセキュリティ強化の度合いの検討材料にする事ができます


これらのセキュリティ強化をするためには、ユーザ情報をSYS1.UADSに登録するのではなく、RACF(TRUST)に登録する必要があります

SYS1.UADSを残しているシステムは未だに多いとは思いますが、上記のこともありSYS1.UADSに登録されている情報はOSが標準提供しているユーザ(VOS3=SYSUSER、IBM=IBMUSER)だけというのが実情です
Posted in つぶやき・雑感 • • Top Of Page