Herunterladen
Teilen
Diese Seite drucken
Fujitsu BS2000 SE Serie Sicherheitshandbuch
  1. Anleitungen
  2. Marken
  3. Fujitsu Anleitungen
  4. Server
  5. BS2000 SE Serie
  6. Sicherheitshandbuch
Fujitsu BS2000 SE Serie Sicherheitshandbuch

Fujitsu BS2000 SE Serie Sicherheitshandbuch

Vorschau ausblenden Andere Handbücher für BS2000 SE Serie:

Werbung

Quicklinks

Diese Anleitung herunterladen
Deutsch
Fujitsu Server BS2000 SE Serie
Sicherheitshandbuch
Benutzerhandbuch
Stand der Beschreibung:
M2000 V6.5A
X2000 V6.5A
HNC V6.5A
Ausgabe Mai 2023

Werbung

loading

Verwandte Anleitungen für Fujitsu BS2000 SE Serie

Inhaltszusammenfassung für Fujitsu BS2000 SE Serie

  • Seite 1 Deutsch Fujitsu Server BS2000 SE Serie Sicherheitshandbuch Benutzerhandbuch Stand der Beschreibung: M2000 V6.5A X2000 V6.5A HNC V6.5A Ausgabe Mai 2023...
  • Seite 2 Copyright und Handelsmarken Copyright © 2023 Fujitsu Technology Solutions GmbH. Alle Rechte vorbehalten. Liefermöglichkeiten und technische Änderungen vorbehalten. Alle verwendeten Hard- und Softwarenamen sind Handelsnamen und/oder Warenzeichen der jeweiligen Hersteller. The Xen® mark is a trademark of Citrix Systems, Inc., which manages the mark on behalf of the Xen open source community.
  • Seite 3 Inhaltsverzeichnis Sicherheitshandbuch ..........5 1 Einleitung .
  • Seite 4 4.1.1 Sicherheit im BS2000-Betriebssystem ......51 4.1.2 KVP-Logging-Dateien herunterladen ....... 52 4.1.3 Alternativer Zugang zum BS2000-Betriebssystem mit PuTTY .
  • Seite 5 SE Server - Sicherheitshandbuch - Benutzerhandbuch Sicherheitshandbuch...
  • Seite 6 SE Server - Sicherheitshandbuch - Benutzerhandbuch 1 Einleitung Das vorliegende Benutzerhandbuch beschreibt die Sicherheitsmerkmale des SE Servers ausgehend von dessen Bedien- und Servicekonzept. Eine allgemeine Beschreibung des SE Servers finden Sie im Benutzerhandbuch "Bedienen und Verwalten" Die Beschreibung der Sicherheitsmerkmale des SE Servers bezieht sich im Wesentlichen auf die Ebene des Basisbetriebssystems M2000 an der von außen zugänglichen Management Unit (MU).
  • Seite 7 Handbuch gelten deshalb im Allgemeinen nur für Management Unit, HNC und Server Unit x86. Wenn Aussagen auch für Application Units gelten, so ist dies besonders erwähnt. Bei Management Unit, HNC und Server Unit x86 handelt es sich um speziell durch Fujitsu konfigurierte und gehärtete Systeme.
  • Seite 8 SE Server - Sicherheitshandbuch - Benutzerhandbuch 1.2 Änderungen gegenüber dem Vorgänger-Handbuch Das vorliegende Handbuch beschreibt die Funktionalität des SE Managers mit Einsatz der Basis-Software M2000 /X2000/HNC V6.5A. Funktionale Erweiterungen Die funktionalen Erweiterungen mit der Basis-Software M2000/X2000/HNC V6.5A sind vollständig im Benutzerhandbuch „Bedienen und Verwalten“...
  • Seite 9 SE Server - Sicherheitshandbuch - Benutzerhandbuch 1.3 Darstellungsmittel In diesem Handbuch werden folgende Darstellungsmittel verwendet: Dieses Symbol kennzeichnet wichtige Informationen und Tipps, die Sie beachten sollten, insbesondere den Abschnitt Sicherheitsrelevante Aktionen Dieses Symbol steht mit dem Signalwort ACHTUNG! vor Warnhinweisen, die Sie im Interesse der System- und Betriebssicherheit unbedingt beachten müssen.
  • Seite 10 SE Server - Sicherheitshandbuch - Benutzerhandbuch 2 Architektur der SE Server und der Netzwerke Die Beschreibung gliedert sich in die folgenden Abschnitte: Hardware Architektur der SE Server Netzwerke Cluster...
  • Seite 11 SE Server - Sicherheitshandbuch - Benutzerhandbuch 2.1 Hardware Server der Fujitsu Server BS2000 SE Serie (kurz: SE Server) kann aus folgenden Komponenten bestehen: Management Unit (MU) mit SE Manager Der Betrieb des SE Servers mit einer Management Unit wird als Single-MU-Konfiguration bezeichnet. Es ist möglich, die Management Unit redundant auszulegen.
  • Seite 12 SE Server - Sicherheitshandbuch - Benutzerhandbuch 2.2 Architektur der SE Server Bild 1: Architektur der SE Server Mit dem SE Manager jeder MU können Sie alle Komponenten des SE Servers zentral bedienen und verwalten. Der SE Manager bietet dazu eine komfortable, Web-basierte Benutzeroberfläche. Die Net Unit bietet höchste Performance und Sicherheit für die interne Kommunikation in einem SE Server und für die Anbindung an Kundennetzwerke (IP Netzwerke).
  • Seite 13 SE Server - Sicherheitshandbuch - Benutzerhandbuch Sicherheitsrelevante Aktionen Die folgenden sicherheitsrelevanten Einstellungen und Maßnahmen müssen nur an einer MU der SE Server-Konfiguration vorgenommen werden: Sie können Benutzerkennungen einrichten und für Operatorkennungen individuelle Berechtigungen vergeben. Siehe Abschnitt „Rollenkonzept und Benutzerkennungen" Für die Verwendung von zentral verwalteten Kennungen (LDAP-Kennungen) müssen Sie einen LDAP- Zugang einrichten und aktivieren, siehe Abschnitt „Zugang zu einem LDAP-Server konfigurieren".
  • Seite 14 SE Server - Sicherheitshandbuch - Benutzerhandbuch 2.3 Netzwerke Die Net Unit realisiert den Anschluss der Units an die Netzwerke des SE Servers und an Kunden-Netzwerke. Zusätzlich stehen private Netzwerke zur internen Kommunikation im SE Server bereit. Die folgenden logischen Netzwerke werden unterstützt: Öffentliche Management-Netzwerke Management Admin Network Public (MANPU) Management Optional Admin Network Public (MONPU): bei Bedarf kann das additive Administrations-...
  • Seite 15 SE Server - Sicherheitshandbuch - Benutzerhandbuch Weiter können in der Net Unit Konfiguration mittels ACL die Dienste (TCP/UDP Ports) der Netzwerke DANPU<xx>, MANPU, MONPU, DANPR<xx> und MONPR<xx> eingeschränkt werden (siehe Abschnitt „Sicherheit auf der Ebene der Net Unit" Die Basisbetriebssysteme von HNC und SU x86 sind nur über die internen Netzwerke erreichbar und sind damit gegenüber den Kundennetzwerken abgeschottet.
  • Seite 16 SE Server - Sicherheitshandbuch - Benutzerhandbuch 2.4 Cluster In einer SE Server-Konfiguration sind zwei Arten von Clustern möglich. Management Cluster Werden zwei oder mehrere SE Server miteinander zu einer Management-Einheit verbunden, wird von einem „Management Cluster“ (auch „SE Cluster“) gesprochen. Ein Management Cluster wird auf Kundenwunsch vom Service konfiguriert und dient der gemeinsamen Bedienung und Verwaltung aller SE Server des Clusters.
  • Seite 17 SE Server - Sicherheitshandbuch - Benutzerhandbuch 3 Sicherer Zugang zu Management-Funktionen Die Beschreibung gliedert sich in die folgenden Abschnitte: Rollenkonzept und Benutzerkennungen Rollenkonzept und Rollenrechte Benutzerkennungen Zentral verwaltete Kennungen (LDAP-Kennungen) Berechtigung zur Kennungsverwaltung Weitere Kennungen des Basis-Systems Kennungen für Add-on Packs Authentisierung Passwortverwaltung für lokale Kennungen Zugang zu einem LDAP-Server konfigurieren...
  • Seite 18 SE Server - Sicherheitshandbuch - Benutzerhandbuch 3.1 Rollenkonzept und Benutzerkennungen Kennungen und Berechtigungen sind global, d.h. MU-übergreifend. In einer Multi-MU-Konfiguration muss jede Maßnahme nur einmal an einer der MUs durchgeführt werden. Im Falle eines Management Clusters gilt jede Rolle bzw. Kennung im gesamten Cluster. Näheres dazu finden Sie in folgenden Abschnitten: Rollenkonzept und Rollenrechte Benutzerkennungen...
  • Seite 19 SE Server - Sicherheitshandbuch - Benutzerhandbuch 3.1.1 Rollenkonzept und Rollenrechte Ein wesentlicher Bestandteil des Sicherheitskonzepts ist das Rollenkonzept mit folgenden Eigenschaften: Die Rollen sind abgestuft: Jeder Rolle stehen nur die notwendigen Oberflächen und Funktionen zur Verfügung. Jede Benutzerkennung ist einer Rolle fest zugeordnet. Eine Rechte-Eskalation ist nicht möglich, d.h.
  • Seite 20 SE Server - Sicherheitshandbuch - Benutzerhandbuch Security-Administrator Ein Security-Administrator besitzt die vollständige Berechtigung für die Fenster und Funktionen des SE Managers unter den Kategorien Berechtigungen und Logging. Hardware-Administrator Ein Hardware-Administrator besitzt die vollständige Berechtigung für die Fenster und Funktionen des SE Managers unter den Kategorien Hardware ->...
  • Seite 21 SE Server - Sicherheitshandbuch - Benutzerhandbuch Add-on-spezifische Rollen OPENSM2 OPENSM2-Administrator Ein OPENSM2-Administrator besitzt die Berechtigung zum Zugang zum Add-on OPENSM2 und zu dessen Administration auf allen Management Units. OPENSM2-Information Ein Benutzer mit der Rolle OPENSM2-Information besitzt die Berechtigung zum Zugang zum Add-on OPENSM2.
  • Seite 22 SE Server - Sicherheitshandbuch - Benutzerhandbuch Individuelle Berechtigungen für BS2000-Operatoren Ein Administrator oder Security-Administrator kann einer BS2000-Operator-Kennung für bestimmte Funktionen des SE Managers individuelle Berechtigungen erteilen oder entziehen. Konsol-Zugang zu einzelnen BS2000-Systemen Dialog-Zugang zu einzelnen BS2000-Systemen SVP-Zugang zu einzelnen SU /390 Sicherheitsrelevante Aktionen Folgende Funktionen des SE Managers kann ein Administrator oder Security-Administrator für das Operating freigeben oder sperren (siehe Hauptmenü...
  • Seite 23 SE Server - Sicherheitshandbuch - Benutzerhandbuch 3.1.2 Benutzerkennungen (Benutzer-)Kennungen sind den Rollen und Verwendungen eindeutig zugeordnet. Die Kennungen haben folgende rollenspezifischen Eigenschaften: Administration Es gibt die vordefinierte, nicht löschbare lokale Administratorkennung admin Es können beliebig viele weitere Administratorkennungen angelegt werden. Diese Kennungen können wieder gelöscht werden.
  • Seite 24 SE Server - Sicherheitshandbuch - Benutzerhandbuch 3.1.2.1 Zentral verwaltete Kennungen (LDAP-Kennungen) Neben lokalen Kennungen kann ein Administrator oder Security-Administrator auch LDAP-Kennungen für die verschiedenen Rollen zulassen. Diese Kennungen werden zentral auf einem LDAP-Server verwaltet (insbesondere auch die Passwörter). Um LDAP-Kennungen zu nutzen, muss der Zugang zu einem LDAP-Server konfiguriert sein. Im Management Cluster kann der Zugang zum LDAP-Server SE-Server-spezifisch konfiguriert sein.
  • Seite 25 SE Server - Sicherheitshandbuch - Benutzerhandbuch 3.1.2.2 Berechtigung zur Kennungsverwaltung Nur unter einer Administratorkennung bzw. einer Kennung mit der Rolle Security-Administrator können andere Kennungen (unabhängig vom Typ) verwaltet werden. Im Einzelnen umfasst dies folgende Funktionen: Kennung anlegen Kennung löschen Passwort und Passworteigenschaften für lokale Kennungen verwalten Sicherheitsrelevante Aktionen Für die vordefinierte Kennung ist ein initiales Passwort voreingestellt, das Sie beim Service...
  • Seite 26 SE Server - Sicherheitshandbuch - Benutzerhandbuch 3.1.2.3 Weitere Kennungen des Basis-Systems Folgende Kennungen sind dem Service vorbehalten: service Die Kennung dient dem Service (lokal und per Remote Service) als Zugangs- und Diagnosekennung. service Die Service-Kennung (Kennung mit der Rolle Service) wird in der Benutzerverwaltung angezeigt, unterliegt aber nicht der Kennungsverwaltung durch den Administrator bzw.
  • Seite 27 SE Server - Sicherheitshandbuch - Benutzerhandbuch 3.1.2.4 Kennungen für Add-on Packs Für Add-on Packs gilt allgemein: Add-ons haben in der Regel ein eigenes Rollenkonzept. Im SE Manager werden explizite Berechtigungen für einzelne Add-ons durch Add-on-spezifische Rollen vergeben: Voraussetzung für den Zugang zu einem Add-on ist eine Kennung mit einer Add-on-spezifischen Rolle. Damit hat die Kennung Zugang zu allen Instanzen des Add-ons im SE-Verwaltungsbereich.
  • Seite 28 SE Server - Sicherheitshandbuch - Benutzerhandbuch 3.1.3 Authentisierung Der Zugang zum SE Manager einer MU ist nur mit Authentisierung über Kennung und Passwort möglich. Für Kennungen wird gegen das Passwort geprüft, das in der Datei hinterlegt ist. /etc/shadow Für die Authentisierung wird eine geeignete fest eingestellte PAM-Konfiguration (PAM = Pluggable Authentication Modules) eingesetzt.
  • Seite 29 SE Server - Sicherheitshandbuch - Benutzerhandbuch 3.1.4 Passwortverwaltung für lokale Kennungen Die Passwörter der lokalen Kennungen haben folgende Attribute: Gültigkeitsdauer Warnzeit, Mindestzeit, Inaktivzeit Während der Gültigkeitsdauer, die ab dem letzten Setzen des Passworts gilt, ist die Anmeldung unbeschränkt möglich. Während der Mindestzeit kann ein Nicht-Administrator das eigene Passwort nicht verändern. Während der Warnzeit wird eine Warnung ausgegeben, dass das Passwort bald ausläuft.
  • Seite 30 SE Server - Sicherheitshandbuch - Benutzerhandbuch Bei der Anmeldung an der Web-Oberfläche ergeben sich bezüglich des Passwortzustands und der Passwortverwaltung je nach Rolle die folgenden Situationen: Wenn sich die aktuelle Kennung in der Warnzeit befindet, wird dies in der Kopfzeile des Hauptfensters durch ein Warn-Icon angezeigt: Zusätzlich zeigt ein Tooltipp dem Anwender, nach wie vielen Tagen sein Passwort abläuft.
  • Seite 31 SE Server - Sicherheitshandbuch - Benutzerhandbuch Sicherheitsrelevante Aktionen Ein Administrator oder Security-Administrator kann die Einstellungen für die Passwortverwaltung den jeweiligen Sicherheitsrichtlinien im Data Center anpassen. Die Einstellungen können nur für einzelne Kennungen und nicht pauschal für alle Kennungen des Systems geändert werden. Jeder Anwender ist aufgefordert, sein Passwort so zu pflegen, wie es die Sicherheitsrichtlinien in seinem Data Center vorsehen.
  • Seite 32 SE Server - Sicherheitshandbuch - Benutzerhandbuch 3.1.5 Zugang zu einem LDAP-Server konfigurieren Mit der Registerkarte LDAP im Menü Berechtigungen -> Konfiguration können Sie den Zugang zu einem LDAP- Server konfigurieren und bearbeiten, auf dem die LDAP-Kennungen verwaltet werden, die für den SE Server freigegeben werden können.
  • Seite 33 SE Server - Sicherheitshandbuch - Benutzerhandbuch 3.2 Zugang zum SE Manager Die Beschreibung gliedert sich in die folgenden Abschnitte: Sicherheitseinstellungen auf dem Administrations-PC Kommunikation mit Verschlüsselung Session-Management...
  • Seite 34 SE Server - Sicherheitshandbuch - Benutzerhandbuch 3.2.1 Sicherheitseinstellungen auf dem Administrations-PC Die Software-Voraussetzungen für den Administrations-PC finden Sie im Handbuch „Bedienen und Verwalten“ [ ] bzw. in der Online-Hilfe. Von diesen Voraussetzungen sind folgende Punkte sicherheitsrelevant: Die Ausführung von JavaScript ist im Web-Browser möglich und erlaubt. Wenn die Ausführung von JavaScript auf dem Administrations-PC nicht erlaubt ist, kann der SE Manager nicht benutzt werden.
  • Seite 35 SE Server - Sicherheitshandbuch - Benutzerhandbuch 3.2.2 Kommunikation mit Verschlüsselung Die Kommunikation erfolgt grundsätzlich über HTTPS (HyperText Transfer Protocol Secure), wobei die darunter liegenden Verschlüsselungsprotokolle SSL 3.0 (Secure Sockets Layer) und TLS 1.3 (Transport Layer Security) unterstützt werden. Für die interne Kommunikation mit verwalteten AUs wird TLS 1.1 verwendet. Für HTTP-Aufrufe findet eine automatische Umlenkung nach HTTPS statt.
  • Seite 36 SE Server - Sicherheitshandbuch - Benutzerhandbuch 3.2.3 Session-Management Der SE Manager ist gegen den unbefugten Zugang sowohl durch die Authentisierung als auch durch das sogenannte Session-Management geschützt. Nach dem Login wird pro Client (Browser-Instanz des aufrufenden Web-Browsers) und System eine Sitzung (Session) aufgebaut, deren Gültigkeit permanent überwacht wird.
  • Seite 37 SE Server - Sicherheitshandbuch - Benutzerhandbuch 3.3 Textbasierter Zugang (auf Shell-Ebene) Zugangsfunktionen im SE Manager Beim Aufruf folgender Funktionen wird ein im SE Manager integriertes Terminal in einem eigenen Fenster geladen: Zugang zur BS2000-Konsole und zum BS2000-Dialog Zugang zum SVP der SU /390 Zugang zum CLI mit Ausführrechten eines eingeschränkten Satzes von CLI-Kommandos (siehe „CLI Kommando-Referenz“...
  • Seite 38 SE Server - Sicherheitshandbuch - Benutzerhandbuch 3.4 Alternative Zugänge mit Secure Shell Zur Kommunikation auf Shell-Ebene können Sie alternativ zu dem im SE Manager integrierten Terminal den SSH- Client PuTTY (ab Version 0.63) benutzen. Siehe Abschnitt „Alternativer Zugang zum BS2000-Betriebssystem mit PuTTY"...
  • Seite 39 SE Server - Sicherheitshandbuch - Benutzerhandbuch 3.4.1 Generierung der Schlüssel Authentifizierung und Verschlüsselung basieren in SSH auf dem asymmetrischen System der öffentlichen und privaten Schlüssel. Ver- und Entschlüsselung werden mit verschiedenen Schlüsseln durchgeführt. Dabei ist es nicht möglich, den Schlüssel für die Entschlüsselung von demjenigen für die Verschlüsselung herzuleiten. Zu diesem Zweck generiert der Benutzer ein Schlüsselpaar, das aus einem öffentlichen und einem privaten Schlüssel besteht.
  • Seite 40 SE Server - Sicherheitshandbuch - Benutzerhandbuch Verteilung der öffentlichen Schlüssel an die Kommunikationspartner Im nächsten Konfigurationsschritt muss der Benutzer den öffentlichen Schlüssel in die Datei $HOME/.ssh auf allen entfernten Systemen bringen, mit denen er kommunizieren will. Dies kann man z.B. /authorized_keys erreichen, indem die lokale Identity-Datei für den öffentlichen Schlüssel zu den entfernten Systemen kopiert wird und ihr Inhalt dort an die Datei...
  • Seite 41 SE Server - Sicherheitshandbuch - Benutzerhandbuch 3.4.2 Benutzung von SSH-Agenten Die Verwendung eines SSH-Agenten macht es überflüssig, dass bei jedem Aufruf des Programms ssh die (üblicherweise lange und komplexe) Passphrase eingetippt werden muss. In einem Initialisierungsvorlauf für SSH wurden die Schlüsselpaare erzeugt, in den lokalen Dateien abgelegt und die öffentlichen Schlüssel an die Kommunikationspartner verteilt.
  • Seite 42 SE Server - Sicherheitshandbuch - Benutzerhandbuch Das Kommando sollte in die Datei ~/.bash_profile aufgenommen werden. eval `ssh-agent` Shell Scripts Wenn SSH Shell Scripts genutzt werden sollen, kann die Installation des SSH-Agenten, das Setzen der korrekten Umgebung, und die Versorgung des Agenten mit den notwendigen Schlüsseln und Passphrasen in einer Initialisierungsphase oder in einem Startup-Script gemacht werden, bevor das Script mit den -Aufrufen gestartet wird.
  • Seite 43 SE Server - Sicherheitshandbuch - Benutzerhandbuch 3.4.3 PuTTY mit PuTTYgen und Pageant In diesem Abschnitt wird die Erzeugung von Schlüsselpaaren und die Verteilung der öffentlichen Schlüssel mit Hilfe von PuTTY beschrieben (siehe http://www.chiark.greenend.org.uk/~sgtatham/putty ). PuTTY ist eine freie Implementierung von Telnet und Secure Shell für Win32 und Unix System-basierte Plattformen und ist nützlich im Dialogmodus.
  • Seite 44 SE Server - Sicherheitshandbuch - Benutzerhandbuch 3.4.3.1 Schlüsselgenerator PuTTYgen Der Schlüsselgenerator PuTTYgen (siehe http://the.earth.li/~sgtatham/putty/latest/htmldoc/Chapter8.html ) erzeugt Paare von privaten und öffentlichen Schlüsseln, die mit PuTTY, PSCP, und Plink, wie auch von PuTTY’s Authentifizierungsagent Pageant genutzt werden können. Das generelle Vorgehen bei der Erzeugung eines neuen Schlüsselpaares mittels PuTTYgen ist wie folgt: >...
  • Seite 45 SE Server - Sicherheitshandbuch - Benutzerhandbuch 3.4.3.2 Authentifizierungs-Agent Pageant PuTTY's Authentifizierungs-Agent Pageant (siehe http://the.earth.li/~sgtatham/putty/latest/htmldoc/Chapter9.html hält die entschlüsselten privaten Schlüssel im Speicher und erzeugt bei Bedarf Signaturen bzw. handelt das Authentifizierungsverfahren ab. Die von Pageant gehaltenen Schlüssel listen Sie wie folgt auf: >...
  • Seite 46 SE Server - Sicherheitshandbuch - Benutzerhandbuch 3.5 Zugang über die lokale Konsole Der Zugang zur lokalen Konsole bzw. der physikalische Zugang zum System ist in der Regel schon dadurch geschützt, dass es beim Zugang zum Data Center diverse Sperren und Restriktionen gibt. An der lokalen Konsole am SE Server (Rack-Konsole) können Sie per Hotkey-Taste den Konsol-Switch bedienen und zwischen den vorhandenen Units des Typs Management Unit, HNC, Server Unit x86 und Application Unit wechseln.
  • Seite 47 SE Server - Sicherheitshandbuch - Benutzerhandbuch 3.6 Zugang zum iRMC der Management Unit Die Nutzung des iRMC der Management Unit ist optional. Die Voraussetzung dafür ist seine Anbindung an das öffentliche Management-Netzwerk MANPU. Der Zugang zum iRMC ist über den SE Manager möglich: Im Menü...
  • Seite 48 SE Server - Sicherheitshandbuch - Benutzerhandbuch 3.7 Geschützter Zugang zum BIOS und zum Bootloader Das BIOS von Management Unit, HNC und Server Unit x86 ist durch ein Passwort geschützt, das dem Service bekannt ist. Der von Linux benutzte Bootloader GRUB (GRand Unified Bootloader) ist ebenfalls durch ein Passwort geschützt, das dem Service bekannt ist.
  • Seite 49 SE Server - Sicherheitshandbuch - Benutzerhandbuch 4 Sicherer Zugang zu Systemen Das Kapitel beschreibt den sicheren Zugang zum BS2000-Betriebssystem auf den Server Units und zu den Systemen auf den Application Units. Sicherer Zugang zu BS2000-Systemen Sicherheit im BS2000-Betriebssystem KVP-Logging-Dateien herunterladen Alternativer Zugang zum BS2000-Betriebssystem mit PuTTY Sicherer Zugang zu Systemen auf Application Units Konfigurationsänderungen...
  • Seite 50 SE Server - Sicherheitshandbuch - Benutzerhandbuch 4.1 Sicherer Zugang zu BS2000-Systemen Die Beschreibung gliedert sich in die folgenden Abschnitte: Sicherheit im BS2000-Betriebssystem KVP-Logging-Dateien herunterladen Alternativer Zugang zum BS2000-Betriebssystem mit PuTTY...
  • Seite 51 SE Server - Sicherheitshandbuch - Benutzerhandbuch 4.1.1 Sicherheit im BS2000-Betriebssystem Das Betriebssystem BS2000 stellt Basisfunktionen für die Systemsicherheit bereit. Siehe dazu das Handbuch „Einführung in die Systembetreuung“ [ ]. Weitergehende Sicherheitsfunktionen in BS2000 realisiert das Softwareprodukt SECOS mit folgenden Bestandteilen: SRPM (System Resources and Privileges Management), GUARDS (Generally Usable Access contRol aDministration System) GUARDDEF (GUARDs DEFault protection)
  • Seite 52 SE Server - Sicherheitshandbuch - Benutzerhandbuch 4.1.2 KVP-Logging-Dateien herunterladen Die KVP-Logging-Dateien enthalten die Historie des BS2000-Betriebssystems auf Konsol- und KVP-Ebene. Die Historie enthält bis zu 40 KVP-Logging-Dateien pro KVP. Wenn 40 Dateien existieren, wird durch Anlegen einer neuen KVP-Logging-Datei die älteste Datei gelöscht. Wie weit die Historie zeitlich in die Vergangenheit zurückreicht, hängt im Wesentlichen davon ab, wieviele Meldungen das jeweilige System ausgibt.
  • Seite 53 SE Server - Sicherheitshandbuch - Benutzerhandbuch 4.1.3 Alternativer Zugang zum BS2000-Betriebssystem mit PuTTY Sofern Sie den im SE Manager integrierten Zugang zu BS2000-Konsole und -Dialog nutzen, findet die Datenübertragung zwischen dem Administrations-PC und der Server Unit bzw. Management Unit auf der Ebene des Basis-Systems statt und ist verschlüsselt und somit sicher.
  • Seite 54 SE Server - Sicherheitshandbuch - Benutzerhandbuch 4.2 Sicherer Zugang zu Systemen auf Application Units Als Administrator installieren Sie auf den Application Units eigene Software (z.B. Software zur Datensicherung oder Datenbanken) und führen andere Administrations- und Konfigurationsaufgaben sowohl auf Anwendungs- als auch auf Betriebssystem-Ebene durch.
  • Seite 55 SE Server - Sicherheitshandbuch - Benutzerhandbuch 4.2.1 Konfigurationsänderungen Standardmäßig sind Application Units in die Statusüberwachung und in das Remote-Service-Verfahren des SE Servers eingebunden. Dies erfordert Konfigurationsmaßnahmen in der SNMP-Konfiguration der Application Unit. SNMP-Konfiguration Die Management Unit startet Abfragen an den SNMP-Agenten auf der Application Unit, um Informationen zur Verwaltung der Application Unit zu erhalten.
  • Seite 56 SE Server - Sicherheitshandbuch - Benutzerhandbuch 4.2.2 Zugang zum iRMC / Management Board der Application Unit Bei Application Unit PY erfolgt der Zugang über den iRMC, bei Application Unit PQ über das Management Board. Die Nutzung des iRMC / Management Board einer Application Unit sieht unter anderen folgende Szenarien vor: Benutzerverwaltung an der Application Unit Sicherheitsrelevante Aktionen Die Kennung...
  • Seite 57 SE Server - Sicherheitshandbuch - Benutzerhandbuch 4.2.3 Einbindung der Application Unit in den SE Manager Zugang zum iRMC / Management Board der Application Unit Zur Einbindung der Application Unit in den SE Manager (Statusinformationen, Ein-/Ausschalten, etc.) wird ein Zugang zum iRMC / Management Board der Application Unit benötigt. Wenn der Service eine Application Unit konfiguriert, richtet er die fest vorgegebene Kennung mit den semuser...
  • Seite 58 SE Server - Sicherheitshandbuch - Benutzerhandbuch 4.2.4 Zugang über die lokale Konsole Wenn Sie den Konsol-Switch umschalten (siehe Abschnitt „Zugang über die lokale Konsole" ), erhalten Sie über die lokale Konsole Zugang zu dem Betriebssystem der Application Unit. Die Art des Zugangs (z.B. Shell oder Desktop) hängt von dem installierten Betriebssystem ab.
  • Seite 59 SE Server - Sicherheitshandbuch - Benutzerhandbuch 5 Remote-Service (via AIS Connect) Der Remote-Service stellt sicher, dass bei Auftreten einer Störung ein Service-Call vom Remote-Service-Endpunkt des Kundensystems an die Service-Zentrale gesendet wird und der Service die Möglichkeit zum Remote-Zugang erhält. Die Verbindung erfolgt über Internet. Dazu ist AIS Connect am Remote-Service-Endpunkt konfiguriert. Der Remote- Service-Endpunkt an einem SE Server ist die Management Unit.
  • Seite 60 SE Server - Sicherheitshandbuch - Benutzerhandbuch 5.1 Service-Kennung Auf einer Management Unit steht dem Service im Basis-System die Kennung zur Verfügung. Unter dieser service Kennung arbeitet der Service-Techniker sowohl vor Ort als auch remote über den Remote-Service-Zugang an allen zur Verfügung stehenden Oberflächen (Web-Oberfläche, Linux-Desktop der lokalen Konsole, Shell-Ebene). Die Kennung besitzt auch Zugang zur BS2000-Konsole.
  • Seite 61 SE Server - Sicherheitshandbuch - Benutzerhandbuch 5.2 Service-Vorgänge protokollieren Die Sitzungen werden immer protokolliert, sowohl SSH- als auch VNC-Sitzungen. Protokolldateien von SSH- Sitzungen können Sie mit dem CLI-Kommando ansehen. Protokolldateien von VNC-Sitzungen können Sie aisLog auf Ihren PC laden und dort im Web-Browser ansehen. Siehe hierzu auch das Handbuch „Bedienen und Verwalten“...
  • Seite 62 SE Server - Sicherheitshandbuch - Benutzerhandbuch 5.3 Verschlüsselung nutzen Die Kommunikation erfolgt grundsätzlich über HTTPS (HyperText Transfer Protocol Secure). Dabei werden die darunter liegenden Verschlüsselungsprotokolle SSL 3.0 (Secure Sockets Layer) und TLS 1.2 (Transport Layer Security) unterstützt.
  • Seite 63 SE Server - Sicherheitshandbuch - Benutzerhandbuch 5.4 Funktion "Schattenterminal" nutzen Mit der Remote-Service-Standardkonfiguration ist die Service-Zentrale zu jedem Zeitpunkt in der Lage, ohne weitere Mitwirkung oder Erlaubnis des Kunden Zugang zum System zu erhalten und ihre Arbeit durchzuführen. Sie können die Remote-Service-Konfiguration Ihren Sicherheitskriterien anpassen (z.B. Service-Zugang sperren oder öffnen).
  • Seite 64 SE Server - Sicherheitshandbuch - Benutzerhandbuch 5.5 Aktuelle Nutzung des Service-Zugangs überwachen Anzeige der Remote-Service-Sessions Auf der SEM-Seite Service -> Remote Service Sessions werden AIS Connect Sessions und AIS Connect Logging- Dateien angezeigt. Die Gruppe AIS Connect Sessions zeigt die Sessions an, die die Service-Zugänge zu der Management Unit und zu den externen Assets aktuell nutzen.
  • Seite 65 SE Server - Sicherheitshandbuch - Benutzerhandbuch 5.6 Zugang zu externen Assets AIS Connect ermöglicht das Einrichten von Service-Verbindungen via Management Unit zu ausgewählten Storage- Systemen, die in diesem Kontext externe Assets genannt werden. Das Einrichten dieser Verbindungen geschieht durch den Service in Absprache mit dem Kunden. Die konfigurierten externen Assets zeigt der SE Manager in der Registerkarte Remote Service unter...
  • Seite 66 SE Server - Sicherheitshandbuch - Benutzerhandbuch 6 Konfigurations- und Diagnosedaten Die Beschreibung gliedert sich in die folgenden Abschnitte: Konfigurationsdatensicherung Diagnosedaten...
  • Seite 67 SE Server - Sicherheitshandbuch - Benutzerhandbuch 6.1 Konfigurationsdatensicherung Mit einer CSR-Sicherung (CSR = Configuration Save and Restore) sichern Sie Konfigurationsdaten einer Unit (Management Unit, HNC oder Server Unit x86) in einem Archiv. CSR-Sicherungen bleiben bei einer Neuinstallation erhalten. In einer Single-MU-Konfiguration lässt sich mit einer CSR-Sicherung die Konfiguration des betreffenden Basis- Systems zum Zeitpunkt der Sicherung wiederherstellen.
  • Seite 68 SE Server - Sicherheitshandbuch - Benutzerhandbuch 6.2 Diagnosedaten Der Administrator kann an den Units (Management Unit, HNC und Server Unit x86) Diagnosedaten erzeugen und diese dem Service zur Verfügung stellen, wenn der Service diese Unterstützung benötigt. Für die Benutzerrollen BS2000-Administrator und BS2000-Operator ist diese Funktion ebenfalls zugänglich. Sicherheitsrelevante Aktionen Als Administrator, BS2000-Administrator oder BS2000-Operator können Sie im SE Manager Diagnosedaten auf den Administrations-PC herunterladen (Download), um sie dann z.B.
  • Seite 69 SE Server - Sicherheitshandbuch - Benutzerhandbuch 7 Netzwerksicherheit Die Beschreibung gliedert sich in die folgenden Abschnitte: Netzwerkdienste IP-basierte Zugangsbeschränkung Sicherheit auf der Ebene der Net Unit Net-Storage SNMP...
  • Seite 70 SE Server - Sicherheitshandbuch - Benutzerhandbuch 7.1 Netzwerkdienste Die Tabelle beschreibt die Dienste, die im Basis-System der Management Unit freigeschaltet sind. Mittels ACL können die Dienste für einzelne Netzwerke weiter eingeschränkt werden, siehe Abschnitt „Sicherheit auf der Ebene der Net Unit" HNC und SU x86 sind standardmäßig abgeschottet und werden nicht näher beschrieben.
  • Seite 71 SE Server - Sicherheitshandbuch - Benutzerhandbuch ntp (123) Einbindung in das Network Time Protocol (NTPl) [ RFC5905 ] snmp (161) Für lesenden SNMP-Zugriff durch Management-Stationen snmptrap (162) Für Empfang von SNMP-Traps von der Hardware-Überwachung syslog (514) Für die Überwachung von Komponenten (SYSLOG) dhcpv6-client Optional: Der DHCPv6-Client-Port wird bei entsprechender Konfiguration einer LAN- (546)
  • Seite 72 SE Server - Sicherheitshandbuch - Benutzerhandbuch 7.2 IP-basierte Zugangsbeschränkung Der Administrator kann den Zugang zum SE Server und damit zum SE Manager so konfigurieren, dass der Zugang nur für explizit eingetragene IP-Adressen oder für IP-Adressen aus einem explizit eingetragenen IP-Netzwerk möglich ist.
  • Seite 73 SE Server - Sicherheitshandbuch - Benutzerhandbuch 7.3 Sicherheit auf der Ebene der Net Unit Auf der Ebene der Net Unit können die Dienste für die einzelnen Netzwerke mittels ACL weiter eingeschränkt werden. Für die Netzwerke DANPU<xx>, MANPU, MONPU, DANPR<xx> und MONPR<xx> können Sie einzelne TCP/UDP Ports (Dienste) sperren oder freischalten: Entweder definiert der Administrator eine ACL-Liste vom Typ „permit“, in der alle freigeschalteten Dienste (Ports) explizit eingetragen werden.
  • Seite 74 SE Server - Sicherheitshandbuch - Benutzerhandbuch 7.4 Net-Storage Die Units HNC und Server Unit x86 unterstützen als Net-Client den Zugriff des BS2000 zu einem Net-Storage. Dabei ist der HNC der Net-Client für die BS2000-Systeme, die auf der SU /390 ablaufen, und die SU x86 ist der Net- Client für die auf ihr ablaufenden BS2000-Systeme.
  • Seite 75 Auf Application Units müssen Sie SNMP dagegen selbst konfigurieren. Um lesend zugreifen und um die Traps interpretieren zu können, müssen folgende private MIBs an der Management-Station importiert werden: /usr/share/snmp/mibs/FUJITSU-SESERVER-MIB.txt /usr/share/snmp/mibs/FUJITSU-SU390-MIB.txt An den Management Units und Server Units x86 führt ServerView RAID periodisch Prüfungen der Hardware- Komponenten durch.
  • Seite 76 SE Server - Sicherheitshandbuch - Benutzerhandbuch Sicherheitsrelevante Aktionen Achten Sie bei der Erstellung der SNMP-Konfiguration darauf, dass durch entsprechende Konfiguration der Read Community mit der Beschränkung auf die Management-Station nur vertrauenswürdige Management-Stationen auf die Management Unit bzw. die Server Units des SE Servers zugreifen können.
  • Seite 77 SE Server - Sicherheitshandbuch - Benutzerhandbuch 8 Sicherheit des Basis-Systems Die Beschreibung gliedert sich in die folgenden Abschnitte: Härtung des Basis-Systems Software-Signatur Digitale Zertifikate Zertifikat im Web-Browser bestätigen/importieren Standard-Zertifikat einsetzen Neues selbstsigniertes Zertifikat erzeugen und aktivieren Antrag auf ein SSL-Zertifikat stellen Kundeneigenes Zertifikat hochladen und aktivieren...
  • Seite 78 SE Server - Sicherheitshandbuch - Benutzerhandbuch 8.1 Härtung des Basis-Systems Die Fujitsu Server BS2000 SE Serie mit Management Unit, HNC und Server Unit x86 sind Systeme, die hohen Sicherheitsansprüchen genügen. Dabei handelt es sich um die statisch implementierte Sicherheit eines gehärteten Systems, welche durch Administrationstätigkeiten nicht beeinflusst werden kann.
  • Seite 79 SE Server - Sicherheitshandbuch - Benutzerhandbuch Eine SE-Infrastruktur ist grundsätzlich immer entsprechend den vom Bundesamt für Sicherheit in der Informationstechnik (BSI) herausgegebenen Regeln IT-Grundschutz-zertifizierbar und kann deshalb auch in Umgebungen, die KRITIS-konform betrieben werden müssen (Kritische Infrastrukturen), eingefügt werden. Die Systemkomponenten sind bei Lieferung weitestgehend so vorkonfiguriert bzw. können im Rahmen eines tatsächlichen Aufbaus einer SE-Infrastruktur so konfiguriert werden, dass die technischen Anforderungen, die sich aus den relevanten System-Bausteinen des IT-Grundschutz-Kompendiums ergeben, erfüllt werden.
  • Seite 80 Die Pakete der zugrundeliegenden Basissoftware Linux SLES 15 sind vom Hersteller signiert. Die für Management Unit, HNC und Server Unit x86 spezifischen Pakete sind von Fujitsu signiert. Anhand der Signatur wird bei der Installation überprüft, ob sich ein Paket in einem unverfälschten, d.h. der Produktion entsprechenden Zustand befindet.
  • Seite 81 SE Server - Sicherheitshandbuch - Benutzerhandbuch 8.3 Digitale Zertifikate Die Nutzung von HTTPS/SSL setzt auf der Management Unit außer einem SSL-Schlüsselpaar auch ein sogenanntes (digitales) SSL-Zertifikat voraus. Dieses Server-Zertifikat hat folgende zwei Aufgaben: Das Zertifikat ist immer systemspezifisch (beinhaltet den FQDN) und weist dem Browser auf dem Administrations-PC die Online-Identität des jeweiligen Systems nach.
  • Seite 82 SE Server - Sicherheitshandbuch - Benutzerhandbuch 8.3.1 Zertifikat im Web-Browser bestätigen/importieren Wenn die aufgerufene Web-Oberfläche ein selbstsigniertes Zertifikat verwendet (also z.B. das vorinstallierte Standard-Zertifikat), lehnen Web-Browser den Aufruf der Seite ab, da das Zertifikat aus ihrer Sicht nicht vertrauenswürdig ist. Damit Seiten des SE Managers überhaupt im Browser geladen werden, müssen Sie den Zertifikatfehler entweder temporär akzeptieren oder Sie können das CA-Zertifikat der Management Unit herunterladen und dauerhaft im Browser importieren.
  • Seite 83 SE Server - Sicherheitshandbuch - Benutzerhandbuch > Öffnen Sie die Zertifikatdatei (Standardname <mu-name>-ca.crt ) und beantworten Sie die Sicherheitswarnung, die „ Unbekannter Herausgeber “ anzeigt, mit Öffnen . Es werden die Informationen des Zertifikats angezeigt: > Wählen Sie Zertifikat installieren... Der Zertifikatsimport-Assistent des Browsers führt Sie schrittweise durch die Installation des Zertifikats.
  • Seite 84 SE Server - Sicherheitshandbuch - Benutzerhandbuch > Wählen Sie Vertrauenswürdige Stammzertifizierungsstellen als Zertifikatspeicher und klicken Sie dann Weiter > Bestätigen Sie die Rückfrage, die die von Ihnen getroffene Auswahl noch einmal anzeigt, mit einem Klick auf Fertig stellen > Bestätigen Sie die anschließende Sicherheitswarnung, die den Zertifikatnamen und den „Fingerabdruck“ anzeigt, mit .
  • Seite 85 SE Server - Sicherheitshandbuch - Benutzerhandbuch Zertifikatfehler temporär akzeptieren > Öffnen Sie Ihren Web-Browser. > Rufen Sie im Browser-Fenster den SE Manager des gewünschten Systems auf. Der Web-Browser meldet einen Zertifikatfehler. > Akzeptieren Sie das Laden der Web-Seite. Sie erhalten die Login-Seite. Die Adresszeile des Browsers zeigt als Warnung Zertifikatfehler Informationen über das mögliche Sicherheitsrisiko erhalten Sie, wenn Sie auf Zertifikatfehler...
  • Seite 86 SE Server - Sicherheitshandbuch - Benutzerhandbuch 8.3.2 Standard-Zertifikat einsetzen Auf der Management Unit ist jeweils ein selbstsigniertes systemspezifisches Zertifikat vorinstalliert. Dieses ist weder den Web-Browsern direkt bekannt noch ist es von einem bekannten Stammzertifikat (root-Zertifikat) abgeleitet. Ein Standard-Zertifikat wird bei jedem Umbenennen der Management Unit (Ändern des FQDN) automatisch neu erzeugt und aktiviert.
  • Seite 87 SE Server - Sicherheitshandbuch - Benutzerhandbuch Aktuelles Zertifikat anzeigen > Wählen Sie Berechtigungen -> Zertifikate -> [< mu-name > (MU)], Registerkarte Zertifikate Der Arbeitsbereich zeigt eine Übersicht der wichtigsten Eigenschaften des aktuellen Zertifikats. Zertifikat Typ des Zertifikats: Standard-Zertifikat oder Benutzerdefiniert Ausgestellt für (CN) FQDN des Servers, für den das Zertifikat ausgestellt wurde.
  • Seite 88 SE Server - Sicherheitshandbuch - Benutzerhandbuch...
  • Seite 89 SE Server - Sicherheitshandbuch - Benutzerhandbuch 8.3.3 Neues selbstsigniertes Zertifikat erzeugen und aktivieren Das vorinstallierte Standardzertifikat beinhaltet Daten, die selbstverständlich nicht kundenspezifisch sind. Wenn Sie mit einem Zertifikat mit kundenspezifischen Daten arbeiten wollen, können Sie jederzeit ein solches erzeugen und verwenden. Diese Aktion kann auch dann nötig sein, wenn Sie das Zertifikat erneuern wollen. Gehen Sie wie folgt vor: >...
  • Seite 90 SE Server - Sicherheitshandbuch - Benutzerhandbuch 8.3.4 Antrag auf ein SSL-Zertifikat stellen Wenn Sie ein systemspezifisches Zertifikat, das von einer CA (Certification Authority) signiert wurde, einsetzen wollen, unterstützt Sie der SE Manager beim Erstellen des Antrags: > Wählen Sie Berechtigungen ->...
  • Seite 91 SE Server - Sicherheitshandbuch - Benutzerhandbuch Deshalb sollte zwischen Erzeugen des Certificate Signing Request und Einbringen des signierten Zertifikats in das System keine Neuinstallation und kein Ändern des Hostnamens durchgeführt werden.
  • Seite 92 SE Server - Sicherheitshandbuch - Benutzerhandbuch 8.3.5 Kundeneigenes Zertifikat hochladen und aktivieren Statt eines im System erzeugten selbstsignierten Zertifikats (Standardzertifikat oder benutzerdefiniertes Zertifikat) können Sie für den Zugang zum SE Manager des Systems ein eigenes Zertifikat verwenden. Für das Zertifikat wurde ein Certificate Signing Request im System erzeugt (siehe Abschnitt „Antrag auf ein SSL- Zertifikat stellen"...
  • Seite 93 SE Server - Sicherheitshandbuch - Benutzerhandbuch Die angegebenen Dateien werden in das Zielsystem hochgeladen, sofort aktiviert und als aktuelles SSL-Zertifikat angezeigt. Hinweise Das Aktivieren des Zertifikats auf dem Zielsystem beinhaltet einen Neustart des Web-Servers mit dem neuen Zertifikat. Dabei kann es zu einer kurzzeitigen Unterbrechung der Verbindung des SE Managers zum System kommen.
  • Seite 94 SE Server - Sicherheitshandbuch - Benutzerhandbuch 9 Aktionen protokollieren (Audit Logging) Die interne Funktion Audit Logging protokolliert alle Aktionen, die an einer Unit (MU, SU, HNC) der SE Server- Konfiguration über den SE Manager, über ein Add-on oder über ein CLI-Kommando ausgeführt werden und die eine Konfigurationsänderung oder Zustandsänderung im System bewirken.
  • Seite 95 SE Server - Sicherheitshandbuch - Benutzerhandbuch 10 Event Logging und Alarm Management Die Funktion Event Logging protokolliert alle Ereignisse, die auftreten, und zeigt die protokollierten Ereignisse unter Logging -> Event Logging in der Registerkarte Alle Events an. Zur besseren Übersicht werden die aktuellen Ereignisse, die Sie noch nicht zur Kenntnis genommen haben, zusätzlich in der Registerkarte Aktuelle Events angezeigt.
  • Seite 96 SE Server - Sicherheitshandbuch - Benutzerhandbuch Sicherheitsrelevante Aktionen Da bei einer Benachrichtigung ggf. sensible Daten nach außen verschickt werden, sollten Sie bei der Konfiguration eines neuen SNMP-Trap- bzw. Mail-Empfängers die angegebene Adresse sorgfältig prüfen. Versenden Sie über die Funktion Testen einen Test-Trap bzw.
  • Seite 97 Die folgenden BS2000 Handbücher finden Sie im Internet auf dem Manualserver mit der BS2000 Dokumentation unter https://bs2manuals.ts.fujitsu.com Weitere Handbücher, beispielsweise Beschreibungen zu den PRIMERGY und PRIMEQUEST Servern von Fujitsu , sind auf den allgemeinen Fujitsu Support Seiten unter https://support.ts.fujitsu.com/ zu finden.
  • Seite 98 SE Server - Sicherheitshandbuch - Benutzerhandbuch [10] SECOS Security Control System - Beweissicherung Benutzerhandbuch...