StorageTek Enterprise Library Software

Guia de Segurança

E63470-01

Março de 2015

Guia de Segurança do StorageTek Enterprise Library Software,

E63470-01

Copyright © 2015, Oracle e/ou suas empresas afiliadas. Todos os direitos reservados.

Este programa de computador e sua documentação são fornecidos sob um contrato de licença que contém restrições sobre seu uso e divulgação, sendo também protegidos pela legislação de propriedade intelectual. Exceto em situações expressamente permitidas no contrato de licença ou por lei, não é permitido usar, reproduzir, traduzir, divulgar, modificar, licenciar, transmitir, distribuir, expor, executar, publicar ou exibir qualquer parte deste programa de computador e de sua documentação, de qualquer forma ou através de qualquer meio. Não é permitida a engenharia reversa, a desmontagem ou a descompilação deste programa de computador, exceto se exigido por lei para obter interoperabilidade.

As informações contidas neste documento estão sujeitas a alteração sem aviso prévio. A Oracle Corporation não garante que tais informações estejam isentas de erros. Se você encontrar algum erro, por favor, envie-nos uma descrição de tal problema por escrito.

Se este programa de computador, ou sua documentação, for entregue/distribuído(a) ao Governo dos Estados Unidos ou a qualquer outra parte que licencie os Programas em nome daquele Governo, a seguinte nota será aplicável:

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations. As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs. No other rights are granted to the U.S. Government.

Este programa de computador foi desenvolvido para uso em diversas aplicações de gerenciamento de informações. Ele não foi desenvolvido nem projetado para uso em aplicações inerentemente perigosas, incluindo aquelas que possam criar risco de lesões físicas. Se utilizar este programa em aplicações perigosas, você será responsável por tomar todas e quaisquer medidas apropriadas em termos de segurança, backup e redundância para garantir o uso seguro de tais programas de computador. A Oracle Corporation e suas afiliadas se isentam de qualquer responsabilidade por quaisquer danos causados pela utilização deste programa de computador em aplicações perigosas.

Oracle e Java são marcas comerciais registradas da Oracle Corporation e/ou de suas empresas afiliadas. Outros nomes podem ser marcas comerciais de seus respectivos proprietários.

Intel e Intel Xeon são marcas comerciais ou marcas comerciais registradas da Intel Corporation. Todas as marcas comerciais da SPARC são usadas sob licença e são marcas comerciais registradas da SPARC International, Inc. AMD, Opteron, a logomarca da AMD e a logomarca da AMD Opteron são marcas comerciais ou marcas comerciais registradas da Advanced Micro Devices. UNIX é uma marca comercial registrada do The Open Group.

Este programa ou hardware e sua documentação podem oferecer acesso ou informações relativas a conteúdos, produtos e serviços de terceiros. A Oracle Corporation e suas empresas afiliadas não fornecem quaisquer garantias relacionadas a conteúdos, produtos e serviços de terceiros e estão isentas de quaisquer responsabilidades associadas a eles, a menos que isso tenha sido estabelecido entre você e a Oracle em um contrato vigente. A Oracle Corporation e suas empresas afiliadas não são responsáveis por quaisquer tipos de perdas, despesas ou danos incorridos em consequência do acesso ou da utilização de conteúdos, produtos ou serviços de terceiros, a menos que isso tenha sido estabelecido entre você e a Oracle em um contrato vigente.

Conteúdo

Título e Informações de Copyright

Prefácio

- Público-alvo

- Acessibilidade da Documentação

1 Visão Geral

- Visão Geral do Produto

- Princípios Gerais de Segurança

- Manter o Software Atualizado

- Restringir o Acesso à Rede

- Manter-se Atualizado com as Informações Mais Recentes de Segurança

2 Instalação Segura

- Instalando o ELS

- Configuração Pós-Instalação do ELS

3 Recursos de Segurança

- Proteção do ELS com AT-TLS – Somente z/OS

- Uso do Recurso de Segurança ELS XAPI

4 Considerações de Segurança para Desenvolvedores

A Lista de Verificação para Implantação Segura

B Referências

Prefácio

Este documento descreve os recursos de segurança do StorageTek Enterprise Library Software (ELS) da Oracle.

Público-alvo

Este guia destina-se a qualquer pessoa envolvida com o uso dos recursos de segurança e com uma instalação e configuração seguras do StorageTek Enterprise Library Software (ELS).

Acessibilidade da Documentação

Para obter informações sobre o comprometimento da Oracle com a acessibilidade, visite o site do Oracle Accessibility Program em http://www.oracle.com/pls/topic/lookup?ctx=acc&id=docacc.

Acesso ao Oracle Support

Os clientes da Oracle que adquiriram serviços de suporte têm acesso a suporte eletrônico por meio do My Oracle Support. Para obter informações, visite http://www.oracle.com/pls/topic/lookup?ctx=acc&id=info ou http://www.oracle.com/pls/topic/lookup?ctx=acc&id=trs se você for portador de deficiência auditiva.

1 Visão Geral

Esta seção oferece uma visão geral da suíte de software ELS e explica os princípios gerais de segurança de aplicativo.

Visão Geral do Produto

O ELS fornece suporte a automação de fitas para ambientes de mainframe de fitas Oracle StorageTek das seguintes plataformas:

- Plataforma IBM z/OS. O ELS suporta uma arquitetura de automação de fitas cliente/servidor TCP/IP permitindo que o software cliente SMC que está sendo executado em um LPAR z/OS se comunique com o software servidor HSC/VTCS executado em outro LPAR z/OS.

- Plataforma IBM z/VM. O software ELS VM Client para sistemas z/VM comunica-se com o software de servidor HSC/VTCS que está sendo executado em um LPAR z/OS para automatizar o processamento de fita virtual e física para o z/VM.

- Plataforma Fujitsu MSP/EX. O SMC deve ser executado em cada host onde ocorre o processamento da fita. O componente de servidor do ELS (HSC/VTCS) pode ser executado no mesmo host MSP/EX que o SMC, ou pode executar em um host remoto separado. Quando o SMC e o HSC/VTCS residem em hosts MSP/EX diferentes, o TCP/IP é usado para enviar solicitações do host do cliente para o host do servidor. Para receber solicitações HTTP de um cliente SMC remoto, o componente HTTP deve estar ativado no SMC que está sendo executado no host do servidor.

A comunicação cliente/servidor do ELS é usada para enviar solicitações do caminho de controle, principalmente solicitações de montagem/desmontagem, para volumes de fita físicos e virtuais. As informações contidas nessas solicitações do caminho de controle consistem em informações de política e configuração do TapePlex, endereços da unidade de transporte de fitas físicas/virtuais e números de série do volume de fitas físicas/virtuais. Mais importante, a comunicação cliente/servidor do ELS nunca contém dados de cliente; ela sempre percorre interfaces de caminho de dados IBM FICON/ESCON conectando LPARs do host a transportes de fita Oracle StorageTek ou dispositivos de fita virtuais VSM.

As informações contidas neste Guia de Segurança se aplicam a todas as releases do ELS. Conforme discutido na Parte 3 deste guia, é possível proteger as comunicações do caminho de controle do cliente/servidor do ELS quando tal proteção é desejada ou solicitada. Além disso, este documento discute os aspectos de segurança de várias atividades de instalação e pós-instalação do ELS.

Princípios Gerais de Segurança

Os princípios a seguir são essenciais para o uso seguro de qualquer produto.

Manter o Software Atualizado

Um dos princípios da boa prática de segurança é manter todas as versões e patches do software atualizados. O último pacote de manutenção cumulativo do ELS, juntamente com PTFs e HOLDDATA individuais, estão disponíveis em My Oracle Support (MOS). Os pacotes de manutenção cumulativos são atualizados mensalmente para incluir todos os PTFs do último ciclo de testes de regressão mensal do ELS. Todos os PTFs em um pacote cumulativo foram testados juntos como um pacote completo. A notificação de e-mail PTF HIPER está disponível através da inscrição nos documentos Hot Topics Alert do MOS para produtos ELS. Os clientes são orientados a permanecerem nos níveis de manutenção atuais, manterem o HOLDDATA atualizado e cadastrarem-se no Hot Topics Alerts para o recebimento de notificações HIPER.

Restringir o Acesso à Rede

Para obter desempenho e segurança, direcione as comunicações do caminho de controle do ELS para uma rede isolada protegida por um firewall. Ao usar um firewall, você garante que o acesso aos sistemas do ELS seja restrito a uma rede conhecida, a qual pode ser monitorada e restringida, se necessário. Ao usar uma rede dedicada para a comunicação cliente/servidor do ELS, você elimina o conflito da rede com outros aplicativos e otimiza o desempenho do sistema de fitas.

Manter-se Atualizado com as Informações Mais Recentes de Segurança

A Oracle aprimora continuamente seu software e documentações relacionadas. Verifique frequentemente se há revisões para este Guia de Segurança e para as outras documentações do produto ELS. Toda a documentação do ELS referenciada neste documento está disponível no site Oracle Technical Network na seção Tape Storage Products.

2 Instalação Segura

O System Authorization Facility (SAF) do IBM z/OS fornece proteção básica para a maioria dos aspectos de segurança do ELS. O SAF é geralmente implementado com o pacote do IBM RACF ou equivalente. Esta seção destaca o uso de um ambiente SAF baseado no RACF para instalar e configurar com segurança o ELS.

Instalando o ELS

O documento StorageTek Enterprise Library Software: Installing ELS da Oracle descreve como instalar e configurar sua versão do ELS usando a proteção RACF. Consulte esse documento para obter mais informações sobre os seguintes tópicos de instalação relacionados a segurança:

- Instalação do software base e do último pacote de manutenção cumulativo

- Autorização APF da biblioteca de carregamento do ELS

- Autorização APF da biblioteca de saída de usuário HSC

- Autorização APF da biblioteca de carregamento do SMC JES3

Configuração Pós-Instalação do ELS

Estes documentos da Oracle descrevem as tarefas de configuração pós-instalação para a sua versão do ELS:

- StorageTek Enterprise Library Software: Configuring HSC and VTCS

- StorageTek Enterprise Library Software: Configuring and Managing SMC

- StorageTek Enterprise Library Software: ELS Programming Reference

Consulte esses documentos para obter mais informações sobre os seguintes tópicos de pós-instalação relacionados à segurança:

- Definição da proteção RACF para segurança do conjunto de dados CDS

- Definição da autoridade de comando e a autoridade de interface programática usando a saída de usuário HSC, SLSUX15

- Definição da autoridade do acesso ao volume para montagem e ejeção de volumes usando a saída de usuário HSC, SLSUX14

- Definição da autoridade volser do pool MVC e do subpool transitório

- Definição de um segmento SMC OMVS RACF para comunicação com um subsistema HSC remoto

- Definição de um segmento SMC OMVS RACF para comunicação com um appliance VLE

3 Recursos de Segurança

Este capítulo descreve os mecanismos de segurança específicos oferecidos pelo ACSLS.

Proteção do ELS com AT-TLS – Somente z/OS

O recurso AT-TLS (Application Transparent Transport Layer Security) para z/OS da IBM usa criptografia de dados SSL para proteger aplicativos TCP/IP do z/OS. Para obter mais informações sobre o AT-TLS, consulte o IBM publication z/OS Communications Server: IP Configuration Guide e veja as informações sobre o AT-TLS Policy Agent no IBM publication z/OS Communications Server: IP Configuration Reference.

A proteção da comunicação cliente/servidor do ELS entre o SMC e o HSC/VTCS é descrita no white paper Using AT-TLS with HSC/SMC Client/Server z/OS Solution: Implementation Example da Oracle. Esse white paper está publicado no site Oracle Technical Network na seção Tape Storage Products. Consulte essa publicação para obter informações de configuração detalhadas.

Para proteger o ELS com o AT-TLS, a Oracle recomenda o uso destes algoritmos de criptografia SSL:

- Família de SHA-2 (SHA-256, SHA-384, SHA-512)

- AES >= 128 bits

- RSA >= 2048 bits

- Diffie-Hellman (DH) >= 2048 bits

- ECC >= 256 bits

Qualquer outro algoritmo de criptografia SSL fornece um nível menor de proteção e não deve ser usado com o ELS.

Observação:
O appliance StorageTek Virtual Library Extension (VLE) para VSM não é compatível atualmente com comunicações AT-TLS. Não proteja comunicações ELS VLE com AT-TLS.

Uso do Recurso de Segurança ELS XAPI

O ELS 7.3 introduz um novo recurso de segurança XAPI para comunicação entre cliente e servidor, ativado como um padrão no servidor HTTP SMC. O recurso de segurança XAPI fornece recursos adicionais de autenticação de usuário como parte do protocolo XAPI que são internos ao ELS e estão totalmente contidos nele. Para usar o recurso de segurança XAPI, você precisa definir credenciais de segurança (IDs de usuário e senhas) para clientes e servidores ELS. As operações TapePlex do ELS 7.3 usam estas credenciais de segurança para proteger as transações XAPI seguras (montagem, desmontagem, pesquisa de volume, transição e assim por diante). O uso de credenciais de segurança XAPI é completamente transparente e não exige intervenção adicional do usuário nem do operador. Consulte Configuring and Managing SMC 7.3 para obter mais informações sobre como configurar o recurso de segurança XAPI.

O método preferido para proteger transações XAPI para TapePlexes que hospedam somente aplicativos cliente ELS (SMC e VM Client) é usar os recursos AT/TLS descritos no Proteção do ELS com AT-TLS – Somente z/OS. O AT/TLS é um recurso da camada de transporte que é externo e transparente para o ELS.

Use o recurso de segurança ELS 7.3 XAPI para proteger TapePlexes que hospedam clientes não ELS (clientes de sistemas abertos) ou uma combinação de clientes ELS (SMC e VM Client) e clientes não ELS. O AT-TLS pode ser usado nestes ambientes além do recurso de segurança ELS 7.3 XAPI, mas ele não protegerá transações XAPI para clientes que não sejam ELS.

4 Considerações de Segurança para Desenvolvedores

O documento StorageTek Enterprise Library Software: ELS Programming Reference da Oracle descreve as APIs do ELS disponíveis para os desenvolvedores de aplicativos. A interface programática do ELS usa a UUI (Unified User Interface), que utiliza a saída de segurança do comando HSC, SLSUX15, para gerenciar o acesso às suas funções com base na autorização do RACF (ou equivalente). Consulte Configuração Pós-Instalação do ELS, para obter mais informações sobre como proteger o SLSUX15 com o RACF.

A Lista de Verificação para Implantação Segura

1. Use proteção RACF (ou equivalente) conforme abordado neste Guia de Segurança.

2. Restringir o acesso à rede. O ELS e as bibliotecas de fitas que ele gerencia devem estar protegidos pelo firewall corporativo.

3. Proteja o tráfego de rede do ELS com o recurso IBM AT-TLS ou com o recurso de segurança ELS XAPI, se necessário.

4. Aplique todos os PTFs e HOLDDATA do ELS.

5. Entre em contato com o suporte técnico da Oracle em http://www.myoraclesupport.com/ caso encontre vulnerabilidades no software Oracle ELS.

B Referências

A documentação do ELS é salva em bibliotecas organizadas pela release do ELS. Eles está acessível na página Tape Storage Documentation.

http://www.oracle.com/technetwork/documentation/tape-storage-curr-187744.html

Avisos Legais da Oracle

Aviso de Copyright

Copyright © 1994-2016, Oracle e/ou suas empresas afiliadas. Todos os direitos reservados.

Restrições de Licença e Isenção de Garantia/Danos Consequenciais

Este programa de computador e sua documentação são fornecidos sob um contrato de licença que contém restrições sobre seu uso e divulgação, sendo também protegidos pela legislação de propriedade intelectual. Exceto em situações expressamente permitidas no contrato de licença ou por lei, não é permitido usar, reproduzir, traduzir, divulgar, modificar, licenciar, transmitir, distribuir, expor, executar, publicar ou exibir qualquer parte deste programa de computador e de sua documentação, de qualquer forma ou através de qualquer meio. Não é permitida a engenharia reversa, a desmontagem ou a descompilação deste programa de computador, exceto se exigido por lei para obter interoperabilidade.

Isenção de Garantia

As informações contidas neste documento estão sujeitas a alteração sem aviso prévio. A Oracle Corporation não garante que tais informações estejam isentas de erros. Se você encontrar algum erro, por favor, nos envie uma descrição de tal problema por escrito.

Aviso de Direitos Restritos

Se este programa de computador, ou sua documentação, for entregue / distribuído(a) ao Governo dos Estados Unidos ou a qualquer outra parte que licencie os Programas em nome daquele Governo, a seguinte nota será aplicável:

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations. As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs. No other rights are granted to the U.S. Government.

Aviso de Aplicações de Risco

Este programa de computador foi desenvolvido para uso em diversas aplicações de gerenciamento de informações. Ele não foi desenvolvido nem projetado para uso em aplicações inerentemente perigosas, incluindo aquelas que possam criar risco de lesões físicas. Se utilizar este programa em aplicações perigosas, você será responsável por tomar todas e quaisquer medidas apropriadas em termos de segurança, backup e redundância para garantir o uso seguro de tais programas de computador. A Oracle Corporation e suas afiliadas se isentam de qualquer responsabilidade por quaisquer danos causados pela utilização deste programa de computador em aplicações perigosas.

Aviso de Marca Comercial

Oracle e Java são marcas comerciais registradas da Oracle e/ou de suas empresas afiliadas. Outros nomes podem ser marcas comerciais de seus respectivos proprietários.

Intel e Intel Xeon são marcas comerciais ou marcas comerciais registradas da Intel Corporation. Todas as marcas comerciais SPARC são usadas sob licença e são marcas comerciais ou marcas comerciais registradas da SPARC International, Inc. AMD, Opteron, o logotipo da AMD e o logotipo do AMD Opteron são marcas comerciais ou marcas comerciais registradas da Advanced Micro Devices. UNIX é uma marca comercial registrada licenciada por meio do consórcio The Open Group.

Isenção de Responsabilidade de Conteúdos, Produtos e Serviços de Terceiros

Este programa ou equipamento e sua documentação podem oferecer acesso ou informações relativas a conteúdos, produtos e serviços de terceiros. A Oracle Corporation e suas empresas afiliadas não fornecem quaisquer garantias relacionadas a conteúdos, produtos e serviços de terceiros e estão isentas de quaisquer responsabilidades associadas a eles, a menos que isso tenha sido estabelecido entre você e a Oracle em um contrato vigente. A Oracle Corporation e suas empresas afiliadas não fornecem quaisquer garantias relacionadas a conteúdos, produtos e serviços de terceiros e estão isentas de quaisquer responsabilidades associadas a eles, a menos que isso tenha sido estabelecido entre você e a Oracle em um contrato vigente.

Aviso de Documentação de Teste Alfa e Beta

Se este documento estiver em status de pré-produção:

Esta documentação está em status de pré-produção e destina-se somente a fins de demonstração e uso preliminar. Ela pode não ser específica do equipamento ("hardware") no qual você está usando o programa de computador ("software"). A Oracle Corporation e suas empresas afiliadas não fornecem quaisquer garantias relacionadas à documentação e estão isentas de qualquer responsabilidade decorrente de perdas, despesas ou danos incorridos no uso desta documentação.

Aviso de Documentação de Teste Privada Alfa e Beta

Se este documento estiver em status privado de pré-produção:

As informações contidas neste documento têm fim exclusivamente informativo e devem ser consideradas apenas na sua posição de membro do conselho consultivo do cliente ou em conformidade com o contrato de teste beta. Não representam um compromisso de entrega de qualquer tipo de material, código ou funcionalidade e não devem ser consideradas em decisões de compra. O desenvolvimento, a liberação e a data de disponibilidade de quaisquer recursos ou funcionalidades descritos neste documento são de critério exclusivo da Oracle.

Este documento, no formato eletrônico ou impresso, contém informações de propriedade exclusivas da Oracle. O acesso e o uso deste material confidencial estão sujeitos aos termos e condições do Contrato Master da Oracle, do Contrato de Licença e Serviços Oracle, do Contrato de Oracle PartnerNetwork, do contrato de distribuição Oracle ou outro contrato de licença com a Oracle que tenha sido assinado e acordado. Este documento e as informações contidas aqui não podem ser divulgados, copiados, reproduzidos ou distribuídos a qualquer pessoa fora da Oracle sem a permissão por escrito da Oracle. Este documento não faz parte do contrato de licença e não pode ser incorporado a qualquer contrato com a Oracle ou suas subsidiárias, ou afiliadas.

Acesso à Documentação

Para obter informações sobre o compromisso da Oracle com a acessibilidade, visite o site do Programa de Acessibilidade da Oracle em http://www.oracle.com/pls/topic/lookup?ctx=acc&id=docacc.

Acesso ao Oracle Support

Os clientes da Oracle que adquiriram serviços de suporte têm acesso a suporte eletrônico por meio do My Oracle Support. Para obter informações, visite http://www.oracle.com/pls/topic/lookup?ctx=acc&id=info ou visite http://www.oracle.com/pls/topic/lookup?ctx=acc&id=trs caso tenha deficiência de audição.