Säkerhet: Best practise IBM i.

Transkript

1 1 Säkerhet: Best practise IBM i. Viewer Discretion Is Advised

2 2 Agenda Säkerhet Säkerhetspolicy Hälsokontroller Riskanalys Säkerhetsansvarig Deny-All Användarprofiler Höga behörigheter Lösenord Default lösenord Kommandorad TCP/IP servrar NetServer Guest Integrerade Filsystemet Applikationssäkerhet Köbehörighet Systemvärden Granskning och loggning

3 3 Vad är säkerhet En organisation uppnår sin önskade säkerhetsnivå genom: Definiera en säkerhetspolicy Implementera policyn Övervaka policyns efterlevnad Oberoende bekräftelse på att policyn är tillräcklig och införd.

4 4 Vad är sårbarhet En sårbarhetär en svaghet som: Kan orsaka skada Är öppen för attack eller angrepp. Är svår att försvara sig emot. Ofta förbises sårbarheter som kan göra systemet mottagligt för skada.

5 5 Varför missas sårbarheter? Det finns ingen säkerhetspolicy. Brist på återkommande säkerhetskontroller. Avsaknad av expertis ingen säkerhetschef. Använder inte kvalificerade resurser för att validera säkerheten. Audit är inte påslagen. Auditloggarna konrolleras inte. Inga säkerhetstester

6 6 Intrångsstatistik 75% var det tillfälligheten som avgjorde 78% var inte avancerade 13% missbruk av rättigheter 76% utnyttjade svaga eller stulna credentials 66% tog det månader eller mer innan de upptäcktes 69% upptäcktes av någon annan än den som drabbats Verizon 2013 Data Breach Investigation Report

7 7 Säkerhetspolicy Ofta saknas en Säkerhetspolicy Det är säkerhetsprocessen som tillhandahåller säkerhet inte datasystemen. Datasystemen och dess information är säkrade som ett resultat av säkerhetsprocessen.

8 8 Säkerhetspolicy Syfte och mål att säkerställa informationens Riktighet Sekretess Tillgänglighet Spårbarhet Krav Hot Lagar och förordningar Tillsynsmyndigheter Eget regelverk SOX, EU-direktiv etc.

9 9 Säkerhetspolicy Riktighet Teknik Behörighetskontrollsystem Förändringsskydd och digitala signaturer Mjuka Avstämningsfunktioner och rimlighetskontroller Ändringshantering Separation of duties

10 10 Säkerhetspolicy Sekretess Teknik Behörighetskontrollsystem Kryptering Mjuka Sunt förnuft, manuella rutiner Sekretessavtal Kräver klassning av all information Öppen, intern, känslig eller konfidentiell

11 11 Säkerhetspolicy Tillgänglighet Teknik Hög-tillgänglighetslösningar (HA-lösningar) Backuper Mjuka Ändringshantering Kontinuitetsplanering Driftrutiner

12 12 Säkerhetspolicy Spårbarhet Loggar Åtkomstloggar ska innehålla alla säkerhetsrelaterade händelser, granskas med periodiska intervaller och bevaras under en definierad period för att efterleva legala eller jämförbara krav. Tillräcklig information ska loggas för att identifiera Individuella användaridentiteter, åtkomst till särskilda funktioner samt datum / tider Åtkomstvägar och åtkomstmönster Förändringar i parametrar för åtkomstlogg Gärna skickas och lagras på central loggserver

13 13 Hälsokontroller Regelbundna säkerhetskontroller Enda sättet att kontrollera att säkerhetspolicyn efterlevs

14 14 Riskanalys Varför Tydliga hot och säkerhetsbrister Hitta avpassad säkerhetsnivå Enas om åtgärder Utgöra ett underlag för säkerhetskraven

15 15 Riskanalys Affärsverksamheten Konsekvenser Systemets risknivå Affärs- och ITrepresentanter Hot Sårbarhet Sannolikhet Åtgärdsplan Åtgärder

16 16 Riskanalys Business Impact Assessment (BIA) Sekretess Riktightet Tillgänglighet Klassning A Mycket hög B Hög C Medium D Låg E Mycket låg

17 17 Riskanalys Threat and Vulnerability Assessment (T&VA) Hot Sårbarhet Konsekvens Sannolikhet Risk

18 18 Säkerhetsansvarig Ingen dedikerad säkerhetsansvarig Delat ansvar är inget ansvar Ansvariga för: Etablera, dokumentera och distribuera policy och procedurer Övervaka och analysera säkerhetslarm, samt informera och distribuera till berörd personal Incident och eskalerings rutiner Användaradministration Övervakning och kontroll av all dataåtkomst PCI DSS krav

19 19 Deny-All Objektbehörigheten är den viktigaste delen av informationssäkerheten Kräver klassning av all information Öppen, intern, känslig, konfidentiell. Använd Deny-All ( default deny ) som standard PCI DSS krav ISF, The Standard of Good Practice for Information Security *PUBLIC *EXCLUDE

20 20 Användarprofiler Ska finnas en process för upplägg, förändring och borttag av användarprofiler. PCI DSS, ISF Standard of Good Practice, ISO/IOC Måste finnas underlag och godkännande innan profil skapas. Får endast skapas av dedicerad avdelning/personal. Aktivera spårning på profiler med höga behörigheter. Varna om användarprofil får *ALLOBJ behörighet.

21 21 Användarprofiler Inaktiva användarprofiler Slutat, bytt avdelning eller arbetsuppgifter, konsulter Avaktivera inaktiva användare DSPACTPRFL, CHGACTPRFL och ANZPRFACT Aktiveringsschema för användare DSPACTSCD, CHGACTSCDE Förfallodatum för användare DSPEXPSCD, CHGEXPSCDE Förfallodatum/intervall i användarprofilen USREXPDATE, USREXPITV QDFTOWN, ska inte äga något

22 22 Höga behörigheter Begränsa användare med höga behörigheter *ALLOBJ, ger användaren åtkomsträttigheter till alla resurser på systemet. Användaren kan titta på, ändra eller ta bort vilket objekt som helst. *JOBCTL, ger användaren bl.a. möjlighet att ändra prioritet och avsluta jobb eller ta bort utskrifter innan de har skrivits ut. Tillåter en användare att stoppa delsystem och utföra IPL. *SPLCTL, ger användaren full behörighet till alla utskrifter på systemet. Konfidentiella utskrifter kan inte skyddas mot en som har *SPLCTL

23 23 Lösenord Skickas i klartext Kryptera all nätverkstrafik (Telnet, FTPS, ODBC, Navigatorn, etc) Lösenord med anknytning till sig själv Namn på hustrun, något av barnen, hundens namn, ett bilmärke etc. Samma lösenord fast med annan ändelse, sommar1, sommar2, osv.

24 24 Lösenord Enkla lösenord kontrolleras med systemvärden QPWDRULES ger fler möjligheter Antal tecken, siffror, specialtecken, versaler och gemener, etc. QPWDVLDPGM

25 25 Lösenord Överväg att införa stark autentisering gärna med Kerberos. Autentisering sköts av AD-servern Kan ge Single sign-on Lösenordet kan tas bort på användarprofilen, Traditionell inloggning med användarprofil och lösenord från påloggningsmenyn blir då inte möjlig. Telnet och FTP servern stöder Kerberos autentisering

26 26 Default lösenord Default lösenord, samma lösenord som användar-id. Använd inte standard parametrarna i CRTUSRPRF: PASSWORD *USRPRF, använd unikt lösenord PWDEXP *NO, sätt till *YES för att framtvinga byte av lösenord Kontrolleras med ANZDFTPWD ACTION(*NONE) Åtgärda genast eventuella användare med default lösenord.

27 27 Kommandorad Vanligt att användare har åtkomst till en kommandorad LMTCPB *YES Attention program QSCATTN (startar ett gruppjobb) QUSCMDLN (Kommandorad) QCMD (Command Entry skärm) *SYSVAL QSYS/QEZMAIN (Operational Assistant, PF9 för kommandorad) FTP, remote commands, etc Ändra påloggningsmenyn till att endast fråga efter användarnamn och lösenord.

28 28 PTF PTF-grupp för säkerhet finns tillgänglig sedan Juli V6R1 SF99608 V7R1 SF99708

29 29 TCP/IP Network Servers Network Servers är troligen ditt största enskilda hot. Aktiviteter som kommer genom TCP-servrar loggas INTE till auditjournalen, du vet inte vem som hämtar eller lämnar, kör SQL-satser eller exekverar remote commands. Vissa servers tillåter kommandon och ignorerar användarprofilens 5250 kommandorestriktioner.

30 30 Stäng det som inte används. Vad startas med STRTCPSVR? Apache Tomcat Server (ASFTOMCAT) Bootstrap Protocol (*BOOTP) Common Information Model Object Manager (*CIMOM) Debug Server (*DBG) DDM Server (*DDM) Dynamic Host Configuration Protocol (*DHCP) LDAP (*DIRSRV) DataLink File Manager (*DLFM) Domain Name Server (*DNS) Domino (*DOMINO) Extended Dynamic Remote SQL (*EDRSQL) File Transfer Protocol (*FTP) Host on Demand (*HOD) HTTP Server (*HTTP) Integrated Web Application (*IAS) Internet Daemon (*INETD) Line Printer Daemon (*LPD) Management Central (*MGTC) Net Server (*NETSVR) Network Station Login Daemon (*NSLD) Simple Network Time Protocol (*NTP) On Demand Platform Authentication (*ODPA) OMPROUTE Daemon (*OMPROUTED) On Demand Server (*ONDMD) Post Office Protocol (*POP) Quality of Service Server (*QOS) Remote Execution Servers (*REXEC) Router Daemon (*ROUTED) Service Location Protocol (*SLP) Simple Mail Transfer Protocol (*SMTP) Simple Network Management Protocol (*SNMP) Server and Support Proxy (*SRVSPTPRX) Secure Shell (*SSHD) Trigger Cache Manager (*TCM) Telnet (*TELNET) Trivial FTP (*TFTP) Virtual Private Networking (*VPN) Webfacing Server (*WEBFACING)

31 31 TCP/IP Network Servers Objektsäkerheten är oerhört viktig för att skydda applikationerna och dess data. Som standard kan inte Network Servers få åtkomst till objekt om användaren eller den publika behörigheten inte är behörig till objektet. Det är en säkerhetsexponering om du inte kan kontrollera behörigheten på dina köpta applikationer eller inte har kontroll över den egna applikationsutvecklingen. Network Servers kan vara en säkerhetsexponering för dina applikationers tillgänglighet, integritet och konfidentialitet.

32 32 TCP/IP Network Servers Till skillnad från applikationer som körs på IBM i systemet, så kanske du inte har kontroll över program som är installerade på dina klienters datorer. Exempel: Om ODBC (eller JDBC) är aktivt och lyssnar efter inkommande förbindelser så kan ett ODBC kompatibelt program ansluta sig till IBM i systemets resurser om användaren har access till resurserna. Om du inte noggrant kontrollerar klienternas anslutningsmöjligheter till ditt nätverk kan leverantörer eller anställda ta med datorer med program som kan få åtkomst till ditt systems resurser.

33 33 TCP/IP Network Servers Klient program kan ge funktionalitet som inte tillhandahålls med IBM i-kommandon Objektbehörigheten är alltid aktiv, går inte att komma förbi. En användares och/eller grupprofilers behörighet följs alltid. Men ett klientprogram kanske inte uppfyller User Profile Limit Capabilities, Inital Program and Initial Menu parametrarna.

34 34 Stänga ingångar VPN, brandväggar, etc. är ideala strategier för att säkra nätverk, kräver mycket tid och planering att införa. Använd Exit Points (WRKREGINF) för att säkra nätverksingångarna, IBM levererar inga färdiga Exit program så du får själv programmera hur de skall fungera (accept/reject/audit). Exit Point är ett komplement till objektsäkerheten och inte en ersättning. Det finns över 30 exit points som hanterar nätverksåtkomst OpenSSH har ingen Exit Point.

35 35 Stänga ingångar Det är inte svårt att skriva Exit Point program, det finns många bra exempel i InfoCenter. Min rekommendation är att köpa in ett kommersiellt program som är beprövat och har bred funktionalitet. Exit Point program är ett komplement till objektsäkerheten och inte en ersättning. Objektbehörighet måste alltid finnas i botten. Exit Point program kan däremot användas som ett extra säkerhetsskikt. Exit program som är registrerade till dina Exit Points kontrollerar inkommande förfrågningar på servernivå och en användare kan inte åsidosätta de begränsningarna från sin klient.

36 36 NetServer Guest Profile NetServer tillhandahåller stöd för Windows Network Neighborhood fil- och skrivardelning. NetServer kan konfigureras att tillåta ett Guest ID. Om det används tillåts användare att anonymt dela på systemets resurser. Ett NetServer Guest användar-id är en säkerhetsexponering. Eftersom objektbehörigheten alltid följs så är det viktigt hur den publika behörigheten ser ut. Användandet av Guest ID är förbjudet i många regelverk. ISO/IEC 27001, PCI DSS, etc.

37 37 Integrerade filsystemet IFS root levereras med en behörighet motsvarande en publikbehörighet på *ALL (data behörighet *RWX och objektbehörighet *ALL). Det medför att vem som helst kan: Skapa en katalog direkt under / (root) Spara vad som helst i den katalogen Begränsa behörigheten till / (root), tillåt inte mer än databehörighet *RX och ingen objektbehörighet Begränsa även åtkomsten till kommandon som kan skapa kataloger (CRTDIR och MKDIR). Tillåt inte fildelning till / (root). Om root delas så är hela IFS tillgängligt på nätverket. I de flesta fall har delningen skett utan tanke på vad som då blir tillgängligt för hela nätverket.

38 38 Integrerade filsystemet När en katalog skapas ärver den normalt behörigheten från den katalogen som den skapas i. Undantag är när IFS objekt skapas med UNIX-typ APIer som mkdir(), open() eller creat(). Samma gäller för stream files, textfiler och andra objekt som skapas i en katalog. Behörigheten ärvs från katalogen den skapas i. Med COPY görs en kopia av objektet och behörigheterna behålls förutom att den som kopierar objektet som standard blir ägare till objektet. Med CPYTOSTMF kopieras datat och behörigheterna på det nya objektet kontrolleras av användaren, som standard får den som kopierar databehörigheten *RWX medans grupp- och publikbehörighet sätts till *EXCLUDE.

39 39 Integrerade filsystemet Använd behörighetslistan QPWFSERVER för att kontrollera åtkomsten till QSYS.LIB filsystemet från kataloggränssnitt som Windows Explorer och IBM i access. Behörighetslistan skyddar inte mot åtkomst med FTP, ODBC, etc. då kan Exit Program användas. Som alltid är det objektsäkerheten som är grunden. QPWFSERVER levereras med den publika behörigheten satt till *USE Ändra QPWFSERVER till *EXCLUDE för att begränsa åtkomst till QSYS.LIB Även om en användare har mappat en enhet och delningen inkluderar QSYS.LIB filsystemet så förhindras användaren att komma åt QSYS.LIB genom Windows Explorer. Det krävs att användaren har minst *USE behörighet till QPWFSERVER behörighetslistan för att få åtkomst till QSYS.LIB.

40 40 Integrerade filsystemet Överväg att även ändra behörigheten för: /home /www /QDLS /QFileSvr.400 /QIBM /QOpenSys Glöm inte att göra noggranna tester innan behörighetsförändringar genomförs.

41 41 Applikationssäkerhet En av de absolut största problemen avseende applikationssäkerhet är systemvärdet QCRTAUT. Det är inte systemvärdet självt utan vad IBM har satt som standard värde (*CHANGE) Om det inte sätts till något annat så får alla objekt som skapas den publika behörigheten *CHANGE. Försök att ändra den publika behörigheten till *EXCLUDE Se IBM i Security Guide for IBM I5/OS Version 5 Release 4, SG för en metod att ändra och begränsa den publika behörigheten. Metoden för att få Exclusionary access control finns beskriven i kapitel 4 under punkten Protecting Strategies.

42 42 Applikationssäkerhet Skilj på utveckling, test och produktion Produktionssystem behöver inte ha källkod. Kompilatorer och andra utvecklingsverktyg hör hemma i en utvecklingsmiljö och inte i produktion. Program testas och verifieras i testmiljön och lyfts över till produktion med versionshanteringsverktyg. Utvecklare behöver normalt inte åtkomst till produktionsmiljön.

43 43 Klassificering av data Objektbehörighet är den i särklass den viktigaste delen för att säkra informationen på IBM i systemet. Som en del av din säkerhetspolicy skall hänsyn tas till hur informationen är klassificerad. De flesta regelverk har krav på att informationen är klassificerad. Klassificeringen är en sätt för organisationen att tilldela en känslighetsnivå, en ägare och förvaltare av informationen. Publik kräver inget skydd mot läsning. Skall naturligtvis skyddas mot obehörig förändring och radering. Intern Kräver autentisering. Information endast avsedd för anställda. Känslig Begränsad åtkomst och granskning. Affärs-, finans- och tekniskinformation. Får inte fritt spridas utom eller till annan avdelning. Konfidentiell Begränsad åtkomst och full granskning. Information som endast får hanteras av ett fåtal direkt berörda.

44 44 Roller och ansvar Definiera användarnas behörighetsroller En användarbehörighetsroll anger vilka uppgifter en användare behöver utföra och vilken åtkomst han/hon behöver till objekt. Försök att hålla antalet roller lågt, d.v.s. två till tre roller per organisation. Undvik extra/privata behörigheter En grupprofil per roll. Rensa bort *SECOFR profiler Ingen programmerare behöver *ALLOBJ Programmerare behöver normalt inte tillgång till produktionsmiljön. Skapa helst program för funktioner som kräver högre behörigheter. Dokumentera kraven

45 45 Tips - Applikationssäkerhet Aldrig Låta programobjekt ägas av IBM levererade användarprofiler. Låta användarprofilen som äger applikationen vara grupprofil. Tillåta *ALL behörighet på program eller DB tabeller. Alltid Använd behörighetslistor för att säkra objekt. Adressera bibliotek och objekt direkt istället för att använda bibliotekslistor. Validera input parametrar.

46 46 Tips - Applikationssäkerhet Säkerhetsnivå 50 Säkra konfidentiell information med publikbehörighet satt till *EXCLUDE Privata behörigheter bör undvikas bl.a. för att det påverkar prestandan. Använd adopterad behörighet för att kontrollera dataåtkomsten för applikationen. Vem som kan får skapa program som adopterar behörighet kontrolleras med behörighetslistan QUSEADPAUT. Sätt ägarskapet för objektet till den användarprofil som skall adopteras. Sätt den publika behörigheten till *EXCLUDE för alla programobjekt. Tilldela inga privata behörigheter för bästa prestanda. Lita på ägarbehörigheten för åtkomst. Användare som kör program som adopterar behörighet skall aldrig ha tillgång till en kommandorad.

47 47 Köbehörighet Jobb- och utköer har unika säkerhetsattribut, där tre är gemensamma för både jobboch utköer: OPRCTL, bestämmer om användare med *JOBCTL behörighet kan kontrollera kön och hantera filer på en utkö. AUTCHK, specificerar vilka behörigheter som tillåter en användare att hålla eller släppa kön samt vilka som kan hantera filer på en utkö. AUT, den publika behörigheten på själva kö-objektet. En parameter som är unik för utköer. DSPDTA, avgör om en användare som har behörighet att läsa en utkö bara kan titta på informationen i sina egna spoolfiler eller även kan titta i andra spoolfiler på utkön. Användare med *SPLCTL kan alltid titta, kopiera, skicka eller flytta filer.

48 48 Systemvärden Integritet QSECURITY, - Säkerhetsnivå Direkt åtkomst till systemobjekt är inte tillåtet för användarprogram (50) QVFYOBJRST, - Verifiering av signaturer vid restore. Verifiera signatur vid återställning. Tillåt inte återställning av osignerade user- state objekt. Återställ endast signerade user-state objekt om signaturen är valid. Lita inte på något. (5) QFRCCVNRST, - Definierar om ett program ska läsas ner, konverteras eller nekas nedläsning. QALWOBJRST, - Definierar vad som är tillåtet att återställa. Endast PTF:er (*ALWPTF)

49 49 Systemvärden Granskning QAUDCTL, - aktiverar / avaktiverar audit Skriv till audit journalen (*AUDLVL, *NOQTEMP och *OBJAUD) QAUDLVL och QAUDLVL2 - här väljs vad som ska skrivas i auditjournalen. QCRTOBJAUD, - anger standardvärde för objekt som skapas Ha alltid audit påslagen och spara journalmottagarna. Du kan behöva dem. Spåra även ALLA aktiviteter som användare med *ALLOBJ behörighet samt externa partner och konsulter utför.

50 50 Systemvärden Påloggningskontroll QINACTITV, - tid som session får vara inaktiv Det finns regelverk som har krav på 15 minuter (PCI/DSS) QINACTMSGQ, - Åtgärd när ett interaktivt jobb har varit inaktivt under den tid som är definierat i systemvärdet QINACTITV. (*ENDJOB/*DSCJOB) QLMTDEVSSN, - antalet tillåtna sessioner. QLMTSECOFR, - användare med *ALLOBJ eller *SERVICE kan bara logga på specifika enheter QMAXSIGN, - Maximalt tillåtna inloggningsförsök. (3) QMAXSGNACN, - Åtgärd när maximalt antal inloggningsförsök har uppnåtts. Inaktivera enheten och användarprofilen. (3)

51 51 Systemvärden Lösenordskontroll QPWDEXPITV, - giltighetstid för lösenord QPWDLVL, - lösenordsnivå QPWDRULES *DGTLMTFST, *DGTLMTLST, *DGTMAXn, *DGTMINn, *LMTPRFNAME, *LTRLMTFST, *LTRLMTLST, *LTRMAXn, *LTRMINn, *MIXCASEn, *REQANY3, *SPCCHRLMTAJC, *SPCCHRLMTFST, *SPCCHRLMTLST, *SPCCHRMAXn och *SPCCHRMINn QPWDCHGBLK, - Tid i minuter som användarprofilen är blockerad för nytt lösenordsbyte. (30)

52 52 Vad är säkerhetsgranskning? Säkerhetsgranskning är: Dokumentera säkerhets och systemhändelser Vem ändrade en särskild användarprofil. Vem tog bort en specifik logisk fil. Vem försökte komma åt filen med kreditkorts information. Vem ändrade ett systemvärde. Vem tog bort en spool-fil.

53 53 Granskning och loggning Lagkrav kräver granskning. Interna och externa revisorer kräver det. Företagets säkerhetspolicy fordrar det. Du vill veta vad privilegierade användare gör på systemet. Ha kontroll över hur ofta olika objekt används. Logga förehavanden, uppgifter och åtkomstförsök från externa partner och konsulter. Loggning är viktig för att spåra känsliga transaktioner och förehavanden. Jobbredovisning.

54 54 Granskning och loggning Kontroll av auditjournaler Gå åtminstone igenom följande poster: Misslyckad åtkomst (AF) Aktiviteter på användarprofiler och ändring av lösenord (CP) Speciellt för QSECOFR och QSRV DST QSECOFR reset (DS) Ändring av systemvärde (SV) Användning av Service Tools (ST) Felaktigt lösenord (PW) P Felaktigt lösenord för användare med hög behörighet Y Felaktigt användar-id för Service tool användare Z Felaktigt lösenord för Service tool användare

55 55 IBM i auditing Operativsystemet loggar systemhändelser till auditjournalen. Händelser som loggas till auditjournalen kan inte ändras. Det finns olika kategorier av händelser Detaljerna i loggposterna varierar beroende på kategori. Användarapplikationer kan också skriva poster till systemets auditjournal.

56 56 Auditing av användare Aktiveras per användare: Auditing av användare kan inte definieras när användarprofilen skapas med CRTUSRPRF eller ändras med CHGUSRPRF Kommandot CHGUSRAUD används för att definiera spårning av användare. Använd aldrig opersonliga användarprofiler så som QSECOFR

57 57 Auditing av användare Alla användarprofiler som har speciella behörigheter ska ha spårning påslaget och deras förehavanden ska kontrolleras regelbundet. PCI DSS 10.1 Establish a process for linking all access to system components (especially access done with administrative privileges such as root) to each individual user. PCI DSS 10.2 Implement automated audit trails for all system components to reconstruct the following events: PCI DSS All actions taken by any individual with root or administrative privileges

58 58 Objekt auditing Objektspårning definieras efter behov på objektnivå. Audit-parametern är inte en del av något Create - kommando. För objekt i QSYS.LIB-filsystemet används kommandot CHGOBJAUD På ett liknande sätt aktiveras spårning på objekt i Integrerade Filsystemet, med kommandot CHGAUD

59 59 Objekt auditing Om du vill registrera alla OPEN som sker på en tabell öppnad i Read-only eller Update mode, sätt objektets OBJAUD värde till *ALL. Om du vill registrera alla OPEN som sker på en tabell som är i Update mode, sätt objektets OBJAUD värde till *CHANGE. Om du endast vill registrera åtkomst för en specifik grupp av användare så sätter du objektets OBJAUD värde till *USRPRF Sätt OBJAUD parametern för användarprofilerna till *ALL eller *CHANGE.

60 60 Att tänka på Vissa transaktioner som kommer via nätverket kanske inte blir registrerade i auditjournalen (ODBC, FTP) Objekt som har audit påslaget blir registrerade Överväg att använda Exit Program för att säkerställa loggning. Arkivera informationen i auditjournalen regelbundet. 30 dagar online (90 dagar enligt PCI DSS) Minst ett år offline mer om du kan. Överväg att använda ett kommersiellt program som kan tillhandahålla många mekanismer för att registrera, granska och övervaka auditjournalen.

61 61 Frågor?