35
© 2011 IBM Corporation Sicheres Cloud Computing mit Linux on System z Sicheres Cloud Computing mit Linux on System z Siegfried Langer Business Development Manager z/VSE & Linux on System z 2011 Nürnberg, 17. November 2011

Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

Embed Size (px)

Citation preview

Page 1: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

© 2011 IBM Corporation

Sicheres Cloud Computing mit Linux on System z

Sicheres Cloud Computing mit Linux on System z

Siegfried LangerBusiness Development Manager z/VSE & Linux on System z

2011Nürnberg, 17. November 2011

Page 2: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

© 2011 IBM Corporation

Linux on System z

06.08.102

Lassen Sie uns Cloud Computing einführen, damit ich bei unserem

Vorstandsmeeting darüber reden kann.

Sagen Sie ihnen: „Wir untersuchen es“. Dann muss keiner von uns

wirklich daran arbeiten.

Entschuldigung! Ich dachte, Sie

würden als Vorbild agieren.

Ich mag es, wenn Sie

richtig arbeiten.

Ist dies Ihre Cloud Strategie?

… dann ist Sicherheit kein Problem!

Page 3: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

3 © 2011 IBM Corporation

Linux on System z

§ Sicherheitsbedenken in der Cloud

§ Beste Praktiken und Empfehlungen

§ Anwendungsbeispiel - Integrierte Sicherheit mit Linux on System z

– Linux on System z

– Mehrdimensionale Virtualisierung

– Kryptographie

– Mandantenfähigkeit

§ Empfehlungen für Sicherheitsmaßnahmen in einer virtualisierten Umgebung

Diskussionspunkte

Page 4: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

© 2011 IBM Corporation

Linux on System z

„Ich ziehe die private Cloud vor. Wenn der Service intern ist, kann

ich die Sicherheit besser kontrollieren.“

Sicherheitsbedenken sind das größte Hindernis

80%aller Unternehmen nennen Sicherheit als das größte Hindernis für die Cloud-Einführung

48%der Unternehmen haben Verfügbarkeitsbedenken

33%sehen Probleme bei der Einhaltung von gesetzlichen Bestimmungen und regulatorischer Standards

… Verfügbarkeit, Zuverlässigkeit, Datensicherung…

„Wie können wir sicherstellen, dass unsere Daten nicht angezapft

werden und dass der Serviceanbieter die Technologie

und Kontrolle hat, um den Diebstahl der Daten durch seine

Angestellten zu verhindern?“

Quelle: Studie – Oliver Wyman für IBM

Page 5: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

5 © 2011 IBM Corporation

Linux on System z

Warum wird Sicherheit in der Cloud als so großes Problem angesehen?

?Wir haben die KontrolleOrt x,auf Servern y, z, wir machen Backups,wir kontrollieren den Zugriff,unsere die Verfügbarkeit ist ausreichend, Audits sind zufriedenstellend,unser Sicherheitsteam ist involviert.

Wer hat die Kontrolle?Wo ist die Cloud?Wo sind die Daten gespeichert?Wer macht Backup?Wer hat Zugriff?Wie gut ist der Schutz?Wie wird auditiert?Wie ist unser Sicherheits-team eingebunden?

?

?

?

??Data Center

Public Cloud

l Kontrollverlust (angenommen oder real)l keine Erfahrungenl keine etablierten Standardsl Unsicherheit wie Regularien und

Standards anzuwenden sind

l Resultatl Public Cloud wird kaum für unternehmenskritische

Anwendungen eingesetztl Präferenz für private oder hybride Cloud

Page 6: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

© 2011 IBM Corporation

Linux on System z

Sicherheit wird durch das schwächste Glied bestimmt

Sind meine Daten in der Cloud sicher?

Klar, bis es regnet.

Page 7: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

7 © 2011 IBM Corporation

Linux on System z

Ziel der Informationssicherheit

§ Sicherstellen, dass die IT-Risiken für alle Beteiligten auf ein akzeptables Maßgesenkt werden

Mittel und Werkzeuge:l Risiko-Management Prozesse:

l Kenntnis Ihrer Werte und Sicherheitszielel Kenntnis Ihrer Risiken (und Früherkennung wachsender Risiken!)l Vorkehrungen zur Risikoabwehr und Risikobegrenzungl Akzeptanz bestimmter Risiken

l Sicherheitsmaßnahmen zur Risikoreduktion:l Vorsorge (z.B. „Stopp“, Vermeidung oder Blockierung)l Überwachung (z.B. Beobachtung oder Audit)l Kompensation (z.B. Wiederanlauf oder Umschalten im Fehlerfall)

Beispiel: Eine Cloud kann nicht sicherer sein, als das physische Rechenzentrum.

Page 8: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

8 © 2011 IBM Corporation

Linux on System z

§ Sicherheitsbedenken in der Cloud

§ Beste Praktiken und Empfehlungen

§ Anwendungsbeispiel - Integrierte Sicherheit mit Linux on System z

– Linux on System z

– Mehrdimensionale Virtualisierung

– Kryptographie

– Mandantenfähigkeit

§ Empfehlungen für Sicherheitsmaßnahmen in einer virtualisierten Umgebung

Diskussionspunkte

Page 9: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

© 2011 IBM Corporation

Linux on System z

06.08.109

Cloud Computing – auf dem Weg zur Standardisierung National Institute of Standards and Technology (NIST)

http://csrc.nist.gov/publications/PubsDrafts.html

Page 10: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

© 2011 IBM Corporation

Linux on System z

1010

Überblick Detail-orientiert

Hilfestellung

IBM Angebote

Produkte, Serviceangebote und Lösungen

IBM CloudSecurity Guidance

Beschreibt Technologie-Bedingungen

IBM Security Framework

Beschreibt Sicherheit in Geschäftskategorien

Page 11: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

© 2011 IBM Corporation

Linux on System z

11

IBM Security Framework – Geschäftsorientierter Rahmen um Sicherheitsbedenken zu strukturieren und zu klassifizieren

Adressiert vier Kernanforderungen:

§ Absicherung§ Kenntnis & Einblick§ Prozessautomatisierung§ Verbesserter Schutz

Introducing the IBM Security Framework and IBM Security Blueprint to Realize Business-Driven Security;IBM RedGuide REDP-4528-00, July 2009

Page 12: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

© 2011 IBM Corporation

Linux on System z

12

IBM Cloud Security Guidance

Ø Basiert auf IBM Forschung und Kundeninteraktion zu Cloud-Sicherheit

Ø Zeigt Kontrollmaßnahmen (best practices) auf, die implementiert werden sollten

Ø Gegliedert in 7 kritische Infrastrukturkomponenten:

• Aufstellen eines Sicherheitsprogramms

• Schutz vertraulicher Daten

• Implementierung starker Zugriffs- und Identitätskontrollen

• Bereitstellung von Anwendungen und deren Rücknahme (provisioning und de-provisioning)

• Governance und Audit-Management

• Vorbeugung und Schadensmanagement

• Test und Validierung

Page 13: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

13 © 2011 IBM Corporation

Linux on System z

IBM Security Framework: Business Security Reference Model

Arc

hite

ctur

al P

rinci

ples

Application & Process

People & Identity

IT Infrastructure:Network, Server,

End PointPhysical Infrastructure

Data & InformationGovernance, Risk, Compliance (GRC)

Security Services and InfrastructureSecurity PolicyInfrastructure

Identity, Access & Entitlement Infrastructure

Security Info and Event Infrastructure

Cryptography, Key & Certificate Infrastructure

Host and End-point SecurityStorage SecurityNetwork Security Application Security

Physical SecurityService Management and Process Automation IT Security Services and Mechanisms

Designs Configuration Info and Registry Resources Data

Code & Images Policies Identities & Attributes Contexts

Knowledge

Security Events & LogsSecurityService Level

Objectives

Foundational Security ManagementIdentity, Access & Entitlement Mgmt

Threat & Vulnerability Management

Data & Information Protection Mgmt

Software, System & Service Assurance

Security Policy Management

Risk & Compliance Assessment

Command and Control Mgmt

Physical Asset Management

IT Service Management

IBM Sicherheitsarchitektur-Blaupause

Page 14: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

14 © 2011 IBM Corporation

Linux on System z

Sicherheitsmaßnahmen – die Werkzeuge

Vorbeugung(Vermeidung,

Kontrolle)

Überwachung(Monitoring,

Audit)

Kompensation(Wiederanlauf,

Umschalten im Fehlerfall)Sicherheits-politik• Unternehmen, Identität, Zugriff, Speicherung,…• Idealerweise vorgegeben• Zustimmung/ Verweigerung, Mandat/ Verantwortungen• Abstrakt, Rollen-basierend, Klassenbasierend

Zugriffskontrolle•Referenz-Monitor•Autorisierung•Data / proc tagging•Hypervisor•Speicherschutz•Filesystem-Schutz•Virtual LAN

Intrusion / Extrusion Vermeidung•Firewall•Anti-virus, anti-malware•Intrusion prevention•Data leak prevention•Virtual patching

Kryptographie•Encryption•Schlüsselmanagement•Channel security, VPN

•MAC, Hash•Digitale Signaturen•Message security

Intrusion & Fraud Detection•Signatur-basierend•Verhaltens-basierend•Server, Netzwerk-basierend

Logging & Auditing•Immutable Logs•Zeitstempel

Trusted Computing•Sicherstellung durch (gegenseitig) vertrauensvolle Hardware

Identität•Authentication•Identity Management

Asset ManagementChange and Configuration ManagementPhysical and Organizational Security

Redundanz•Fault tolerance•Backup & recovery•Fail-over, graceful degradation

Entwicklung • Methoden• Sicherheitstests• z.B. OWASP

(www.owasp.org)

Page 15: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

15 © 2011 IBM Corporation

Linux on System z

§ Sicherheitsbedenken in der Cloud

§ Beste Praktiken und Empfehlungen

§ Anwendungsbeispiel - Integrierte Sicherheit mit Linux on System z

– Linux on System z

– Mehrdimensionale Virtualisierung

– Kryptographie

– Mandantenfähigkeit

§ Empfehlungen für Sicherheitsmaßnahmen in einer virtualisierten Umgebung

Diskussionspunkte

Page 16: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

16 © 2011 IBM Corporation

Linux on System z

Informationssicherheits-Prozesse und Managementsysteme

§ Informationsicherheits-Risikomanagement verlangt

l Policy und Prozessel Service-Management und IT Governancel Menschen und Organisationenl Schulung und Anreizel Überwachung und Berichte

l und SicherheitstechnologieUnser Fokus:

Page 17: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

© 2011 IBM Corporation

Linux on System z

§ Oracle 11g Release 2 (11.2.0.2) Database für Linux on System z

§ Oracle liefert Datenbank-Lösungen für Linux on System z Server seit 2002

- (9i, 10gR2, 11gR2)

§ Zahlreiche Kunden haben große und kleine Datenbanken auf Linux on System z implementiert und konsolidiert

• Oracle Database 11g Release 2 Linux unterstützte Distributionen sind:– SLES10 SP3 und SLES11 SP1

– RHEL5 (5.4 und höher)

• E-Business Suite auf Oracle Database 11g Release 2 ist verfügbar

Linux on System z – Oracle auf dem Mainframe

zEnterprise 114

zEnterprise 196

Page 18: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

18 © 2011 IBM Corporation

Linux on System z

Struktur von Linux on System z

Linux Applications

ELS Instruction Set and I/O Hardware

Linux Kernel

HW Dependent Drivers

Linux Applications

Generic Drivers

Network Protocols Filesystems

Platform Dependent Code

BackendGNU Runtime Environment

ProcessManagement

MemoryManagement

ArchitectureIndependentCode

Bac

kend

GN

U C

ompl

ier S

uite

1.81 % platform specific code in Linux Kernel 2.6.25

0.55 % of platform specific code in Glibc 2.5

0.28 % platform specific code in GCC 4.1

Page 19: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

19 © 2011 IBM Corporation

Linux on System z

Sehr großer hoch-skalierbarer ServerErlaubt die Konsolidierung und

Integration großer Server-Farmenin

VIRTUELLEN “BLADES”VIRTUELLEN “RACKS”

VITUALLEN NETZWERKEN

in einem Gehäuse

Hochgeschwindigkeits-Verbindungen (Speicher zu Speicher)

mit geringer LatenzIntegration mit höchster Integrität und

gegenseitiger Isolation

Hardware Hypervisor

Software Hypervisor

Virtualisierung ist unsichtbar für OS/AnwendungHW-gestützte Isolation

z/VM HW support

(EAL 4+)Hunderte von

virtuellen Linux-Servern

Bis zu 60logische Partitionen (LPAR)

PR/SMHW support

(EAL 5)

Multi-dimensionale Virtualisierung

Page 20: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

© 2011 IBM Corporation

Linux on System z

Bank ofNew Zealand

Page 21: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

21 © 2011 IBM Corporation

Linux on System z

Zertifizierungen auf System z

z/OS z/VM

Linux Linux Linux

Virtualization with partitions§ Common Criteria EAL4+ with CAPP and LSPP

• z/OS 1.9 + RACF

§ IdenTrust™certification for z/OS PKI Services

z/OS

System z Server§ Common Criteria EAL5 with specific

Target of Evaluation • Logical partitions

§ FIPS 140-2 level 4 • Crypto Express as coprocessor

§ Common Criteria EAL4+ with CAPP and LSPP

• z/VM 5.3 + RACF

z/VM

§ Common Criteria EAL4+ with CAPP and LSPP

• SUSE LES9 certified

§ Common Criteria EAL3+ with CAPP and LSPP

• Red Hat EL4 certified at EAL4+

• Red Hat EL5 EAL4+ in progress

Linux on System z

See: www.ibm.com/security/standards/st_evaluations.shtml

Das Common Criteria Programm, entwickelt von NIST und NSA, bildet ein Rahmenwerk zur Beurteilung der Vertrauenswürdigkeit von IT Produkten und Schutzmechanismen

Security Server: RACF, LDAP, Firewall - Encryption - Public Key Infrastructures - Certificate Authority

Page 22: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

22 © 2011 IBM Corporation

Linux on System z

System z Kryptographie-Hardware

System z hat zwei Methoden, kryptographische Operationen zu beschleunigen:

§ CP Assists für symmetrische Algorithmen (CPACF)– Hardware Krypto-Beschleunigung ist eine Standardfunktion auf

System z§ Krypto-Karten (Crypto Express3) für asymmetrische Algorithmen

– Bietet temper-proof Schlüsselspeicher und Sicherheitsmodul– Coprozessor und Beschleunigungsfunktionalität

Zweck:§ Entlastet den zentralen Prozessor von kryptographischer

Rechenarbeit§ Beschleunigt Verschlüsselung und Entschlüsselung§ Höhere Sicherheit§ Starke Integration – keine externen Verbindungen (Abhörsicherheit!)

CPACF:DES

TDESAES- 128, 192, 256RSA- up to 2048b

SHA-1, SHA-2:(224, 256, 384, 512)

MACECC

Crypto Express3:Public Key (PKA)RSA- up to 4096b

Page 23: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

23 © 2011 IBM Corporation

Linux on System z

Linux on System z kryptographische Unterstützung

Application

LibICA

z90crypt

CPACFCPU

CEX2C

LinuxKernel

UserspaceApplication

SharedSystemLibraries

KernelSpace

HardwareDevices

ibmcaOpenSSL

Page 24: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

24 © 2011 IBM Corporation

Linux on System z

Kryptographische Bibliotheken

Page 25: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

25 © 2011 IBM Corporation

Linux on System z

l Nutzer unterschiedlicher Vertrauensdomänen nutzen gemeinsam einen shared Poolvon Ressourcenl Netzwerk, Speicher und Server-Virtualisierungl Shared File System, Datenbanken, Middleware, Anwendungen, Desktop, Business-

services, ...l Mandantenfähigkeit kann auf unterschiedlichen Architekturschichten implementiert

werdenl Isolation ist die entscheidende Sicherheitsanforderung

l Basismechanismen sind coloring (aka tagging, labeling) und abgesicherte Isolation zwischen Domänen (aka Zonen) unterschiedlicher Farben (colors)

l Absicherung durch l Referenz-Monitor: Provisionierung, Run-time, De-provisionierung / Clean-upl Hardware abgesichertes Zoningl Kryptographie (Encryption, Key-Management)

Isolation und Integritäts-Management: Mandantenfähigkeit (Multi-tenancy)

Page 26: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

© 2011 IBM Corporation

Linux on System z

Number of Tenants

Size

of T

enan

ts

Large tenantsMedium tenantsLong tail of small tenants

Medium Tenants Small TenantsLarge Tenants

Isolation: DatabasesShared: Hardware

Isolation: TablesShared: Database

Isolation: RowsShared: Tables

MT ApplicationMT ApplicationMT Application or

non-MT application

Database-as-a-Service und Mandantenfähigkeit

§ Mandantenfähigkeit: mehrere Firmen oder Mandanten nutzen die gleiche Software mit guter Isolation zwischen ihnen

– Mandanten sind Nutzer, die in der Vergangenheit eigene Instanzen der Software exklusiv genutzt haben

– Mandantenfähigkeit erlaubt es, die gleiche Software bei gegenseitiger Datentrennung (Isolation) zu nutzen

§ Mandantenfähigkeit kann Hardware und Wartungskosten von DBaaS weiter reduzieren

Page 27: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

27 © 2011 IBM Corporation

Linux on System z

§ Sicherheitsbedenken in der Cloud

§ Beste Praktiken und Empfehlungen

§ Anwendungsbeispiel - Integrierte Sicherheit mit Linux on System z

– Linux on System z

– Mehrdimensionale Virtualisierung

– Kryptographie

– Mandantenfähigkeit

§ Empfehlungen für Sicherheitsmaßnahmen in einer virtualisierten Umgebung

Diskussionspunkte

Page 28: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

© 2011 IBM Corporation

Linux on System z

Sicherheits-Checkliste für virtuelle Serverumgebungen

Mindestanforderungen:

§ Schutz der physischen IT Infrastruktur

§ Absichern des logischen Zugriffs auf den Hypervisor (z/VM)

§ Schützen Sie Ihre Daten

§ Schützen Sie das virtuelle Netzwerk

§ Schützen Sie den logischen Zugang zu den Linux-Servern

§ Schützen Sie Ihre IT Umgebung vor Ihnen durch konsistente und auditierbare System-Logs

Page 29: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

© 2011 IBM Corporation

Linux on System z

Empfehlungen für die Absicherung der virtuellen Umgebung (1)

§ Nutzung eines externen Sicherheits-Managementsystems (ESM), wie z.B. RACF– Absicherung des logischen Zugriffs auf z/VM– Absicherung der Daten– Ansicherung des Netzwerks– Auditierbarket (audit trail)

§ Auswahl der z/VM Privilegien (Privilege Classes) – ein Linuxgast sollte ausschließlich Zugriff auf die eigene virtuelle Maschine und

Ressourcen haben– ein Linuxgast sollte keine zusätzlichen Privilegien für die Definition systemweiter

Parameter des z/VM Systems oder anderer virtueller Gäste haben

§ Implementierung von zwingender Zugriffskontrolle (mandatory access control - MAC)

§ Zentralisiertes Benutzerverzeichnis, wie z/VM LDAP Server oder z/OS LDAP Server

Page 30: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

© 2011 IBM Corporation

Linux on System z

Empfehlungen für die Absicherung der virtuellen Umgebung (2)

§ Alle Netzwerkzugriffe zu z/VM (z.B. Telnet) sollten über sichere Kanäle, wie SSL, erfolgen

§ Verringerung von Angriffspunkten mit gemeinsamen Platten (shared disks)– Goldene Regel im Informationsmanagement: Informationen sollten nur an einer Stelle

existent sein– Die Möglichkeit, einzelne Geräte mit mehreren Gästen zu verbinden, innerhalb des

gleichen Systems (Minimierung von Angriffspunkten)

§ Schutz der Daten durch verschlüsselte Daten (encrypted file systems)

§ Nutzung von VLAN tagging and port isolation für Virtual Switches – Erlaubt die Trennung von Datennetzwerken und Managementnetzwerken

§ Trennung von Zuständigkeiten (separation of duties)

Page 31: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

31 © 2011 IBM Corporation

Linux on System z

Zusammenfassung

§ Sicherheit ist mehr als nur ein Schutzwall – eine Firewall allein reicht nicht aus!

§ Sicherheit fängt mit den Sicherheitsfunktionen und Möglichkeiten der Unternehmens-Infrastruktur an

§ Linux auf System z nutzt:– Einmalige Hardwarefunktionen– Unterstützung für sichere kryptographische

Algorithmen– Sichere Open Source Implementierung– Eine Softwareschicht, die die Nutzung der

HW-Funktionalität von der Anwendungs-schicht erlaubt

Application

Middleware

Operating System

Server

IT Service Management

Page 32: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

© 2011 IBM Corporation

Linux on System z

Weitere Informationen zu Sicherheitsthemen

http://www.redbooks.ibm.com/abstracts/redp4614.html

http://www.redbooks.ibm.com/abstracts/sg247728.html?Open

Page 33: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

© 2011 IBM Corporation

Linux on System z

Löst Cloud Computing Probleme?

Page 34: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

34 © 2011 IBM Corporation

Linux on System z

Fragen?

IBM Deutschland Research& Development GmbH Schönaicher Strasse 22071032 Böblingen, Germany

Phone: +49 7031 - 16 4228

[email protected]

Siegfried LangerBusiness Development Managerz/VSE & Linux on System z

IBM Deutschland Research& Development GmbH Schönaicher Strasse 22071032 Böblingen, Germany

Phone: +49 7031 - 16 4228

[email protected]

Siegfried LangerBusiness Development Managerz/VSE & Linux on System z

Page 35: Sicheres Cloud Computing mit Linux on System z - doag.org · Ist dies Ihre Cloud Strategie? …dann ist Sicherheit kein Problem! 3 ©2011 IBM Corporation Linux on System z §Sicherheitsbedenken

35 © 2011 IBM Corporation

Linux on System z

Trademarks

Notes: Performance is in Internal Throughput Rate (ITR) ratio based on measurements and projections using standard IBM benchmarks in a controlled environment. The actual throughput that any user will experience will vary depending upon considerations such as the amount of multiprogramming in the user's job stream, the I/O configuration, the storage configuration, and the workload processed. Therefore, no assurance can be given that an individual user will achieve throughput improvements equivalent to the performance ratios stated here. IBM hardware products are manufactured from new parts, or new and serviceable used parts. Regardless, our warranty terms apply.All customer examples cited or described in this presentation are presented as illustrations of the manner in which some customers have used IBM products and the results they may have achieved. Actual environmental costs and performance characteristics will vary depending on individual customer configurations and conditions.This publication was produced in the United States. IBM may not offer the products, services or features discussed in this document in other countries, and the information may be subject to change without notice. Consult your local IBM business contact for information on the product or services available in your area.All statements regarding IBM's future direction and intent are subject to change or withdrawal without notice, and represent goals and objectives only.Information about non-IBM products is obtained from the manufacturers of those products or their published announcements. IBM has not tested those products and cannot confirm the performance, compatibility, or any other claims related to non-IBM products. Questions on the capabilities of non-IBM products should be addressed to the suppliers of those products.Prices subject to change without notice. Contact your IBM representative or Business Partner for the most current pricing in your geography.

* Registered trademarks of IBM Corporation

The following are trademarks or registered trademarks of other companies.

* All other products may be trademarks or registered trademarks of their respective companies.

Adobe, the Adobe logo, PostScript, and the PostScript logo are either registered trademarks or trademarks of Adobe Systems Incorporated in the United States, and/or other countries.Cell Broadband Engine is a trademark of Sony Computer Entertainment, Inc. in the United States, other countries, or both and is used under license there from. Java and all Java-based trademarks are trademarks of Sun Microsystems, Inc. in the United States, other countries, or both. Microsoft, Windows, Windows NT, and the Windows logo are trademarks of Microsoft Corporation in the United States, other countries, or both.InfiniBand is a trademark and service mark of the InfiniBand Trade Association.Intel, Intel logo, Intel Inside, Intel Inside logo, Intel Centrino, Intel Centrino logo, Celeron, Intel Xeon, Intel SpeedStep, Itanium, and Pentium are trademarks or registered trademarks of Intel Corporation or its subsidiaries in the United States and other countries.UNIX is a registered trademark of The Open Group in the United States and other countries. Linux is a registered trademark of Linus Torvalds in the United States, other countries, or both. ITIL is a registered trademark, and a registered community trademark of the Office of Government Commerce, and is registered in the U.S. Patent and Trademark Office.IT Infrastructure Library is a registered trademark of the Central Computer and Telecommunications Agency, which is now part of the Office of Government Commerce.

The following are trademarks of the International Business Machines Corporation in the United States and/or other countries.

AIX*BladeCenter*CICS*Cognos*DataPower*DB2*

FICON*GDPS*IMSIBM*IBM (logo)*Parallel Sysplex*

POWER*PR/SMRACF*Storwize*System z*System z9*

System z10*Tivoli*WebSphere*z/Architecture*zEnterprisez/VSE*

z9*z10z/OS*z/VM*z/VSE*