mettre votre I5 sur le Net

Sécurité : mettre votre I5 sur le net ?

Paramètres de sécurité pour connecter un system i à Internet

1/ Paramétrage IP

deuxième carte, deuxième interface (adresse IP)
voir les routes
CHGTCPA
- Enlever IP Forwarding (fonction de passerelle)
- enlever IP Source Routing (réponse aux Loose Source and Record Route[LSRR], utilisé par Traceroute)

2/ Filtrage IP

sous iSeries navigator

Autoriser ports 80 et 443

   # ----------------------------------------------------------------------
   # Instructions permettant le service HTTP entrant HTTP(80) et HTTPS(443)
   # ----------------------------------------------------------------------
   INCLUDE FILE = /QIBM/UserData/OS400/TCPIP/PacketRules/Services.i3p
   FILTER SET HTTP_INBOUND ACTION = PERMIT DIRECTION = OUTBOUND SRCADDR = 1.2.3.4 DSTADDR = * SERVICE = HTTP_80_FS JRN = OFF
   FILTER SET HTTP_INBOUND ACTION = PERMIT DIRECTION = INBOUND SRCADDR = * DSTADDR = 1.2.3.4 SERVICE = HTTP_80_FC JRN = OFF
   FILTER SET HTTP_INBOUND ACTION = PERMIT DIRECTION = OUTBOUND SRCADDR = 1.2.3.4 DSTADDR = * SERVICE = HTTP_443_FS JRN = OFF
   FILTER SET HTTP_INBOUND ACTION = PERMIT DIRECTION = INBOUND SRCADDR = * DSTADDR = 1.2.3.4 SERVICE = HTTP_443_FC JRN = OFF
   FILTER_INTERFACE LINE = ETHERNET SET = HTTP_INBOUND
   # ---------------------------------------------------------------------

Puis activez, sur la bonne interface

Retrait : en cas de problème, utiliser la commande RMVTCPTBL

EN V7 + SI47941, nouvelle commande

LODIPFTR OPTION(*LOAD | *UNLOAD)

Journaliser les rejets ? Ajouter :

   FILTER SET journal ACTION = DENY DIRECTION = INBOUND SRCADDR = * DSTADDR = 1.2.3.4 PROTOCOL = TCP DSTPORT = * SRCPORT = * JRN = FULL
   FILTER_INTERFACE LINE = ETHERNET SET = HTTP_INBOUND, journal

Journal -> QIPFILTER dans QUSRSYS

3/ Serveurs

Voir la liste des serveurs IP à démarrer

attention à :

DDM/IP sans mot de passe = CHGDDMTCPA PWDRQD(*no)

REXEC : commandes à distance

POP : permet l'énumération des profils utilisateurs

« binder » quand c'est possible (mettre le serveur à l'écoute sur la bonne adresse IP et non sur toutes)

ici SMTP, pour Apache, voyez la directive listen

Voir les points d'exit :
avec iSeries Navigator (Administration d'application avec un clic droit sur le nom de système)
ou en mode commande (WRKFCNUSG)

administration d'applications

Vous indiquez ici, quels sont les droits d'utilisation pour un utilisateur "normal", pour un utilisateur ayant tous les droits (*ALLOBJ)

- odbc

- ftp

- etc ...

bien sur, ce que vous avez dit sur un plan général, peut-être affiné par utilisateur ou par groupe

Puis choisissez l'onglet Applications et l'option concernée dans "Accès pour"

ou bien utilisez directement WRKREGINF, écrivez alors un programme et associez le par l'option 8

                       Work with Registration Information                      
                                                                               
 Type options, press Enter.                                                    
   5=Display exit point   8=Work with exit programs                            
                                                                               
                            Exit                                               
      Exit                  Point                                              
 Opt  Point                 Format    Registered  Text                         
      QIBM_QSY_RST_PROFILE  RSTP0100     *YES     Restore User Profile         
      QIBM_QSY_VLD_PASSWRD  VLDP0100     *YES     Validation de mot de passe   
      QIBM_QTF_TRANSFER     TRAN0100     *YES     Original File Transfer Function
      QIBM_QTG_DEVINIT      INIT0100     *YES     Telnet Device Initialization 
      QIBM_QTG_DEVTERM      TERM0100     *YES     Telnet Device Termination    
      QIBM_QTMF_CLIENT_REQ  VLRQ0100     *YES     FTP Client Request Validation
      QIBM_QTMF_SERVER_REQ  VLRQ0100     *YES     FTP Server Request Validation
      QIBM_QTMF_SVR_LOGON   TCPL0100     *YES     FTP Server Logon             
      QIBM_QTMF_SVR_LOGON   TCPL0200     *YES     FTP Server Logon             
      QIBM_QTMF_SVR_LOGON   TCPL0300     *YES     FTP Server Logon             
      QIBM_QTMX_SERVER_REQ  VLRQ0100     *YES     REXEC Server Request Validation

Voyez la documentation sur les points d'exit serveurs à http://publib.boulder.ibm.com/infocenter/iseries/v5r4/topic/rzaiq/rzaiqreferenceexit.htm

4/ politique générale de sécurité

Valeurs systèmes

QSECURITY
40 est la bonne valeur
politique de mot de passe
-à vous de voir ce qui est acceptable (le pire c'est le post-it sur l'écran)
-pensez à QPWDLVL(2) : mots de passe complexes.
autre paramètres (QMAXSIGN, QINACTITV, QLMTSECOFR, etc...)
-il faut désactiver les profils au bout de n tentatives d'intrusion (3 ? )
-est-ce bien utile de désactiver les terminaux depuis l'arrivée de TELNET ?
- c'est une bonne idée de limiter l'acèss QSECOFR aux écrans explicitement autorisés
(utiliser dans la vie courante un outils comme notre freeware SU )

On peut verrouiller certaines valeurs systèmes (celles liées à la sécurité), sous DST :
STRSST, option 7

                     Work with System Security                           
                                                          System:   AS400
 Type choices, press Enter.                                              
                                                                         
   Allow system value security changes . . . . .  1  1=Yes, 2=No     <---    
   Allow new digital certificates  . . . . . . .  1  1=Yes, 2=No         
   Allow a service tools user ID with a                                  
    default and expired password to change                               
    its own password . . . . . . . . . . . . . .  2  1=Yes, 2=No

Voir Sécurité/Configuration dans iSeries Navigator

clic droit sur l'option sécurité (si vous êtes QSECOFR), vous affiche un assistant.

celui-ci, après vous avoir posé quelques questions, fait la liste de vos valeurs système, affiche la valeur en cours et la valeur sugérée et vous génère un rapport expliquant en détail tout cela.

Attention, la dernière fenêtre vous propose d'appliquer immédiatement !

Gestion des profils :

profils ayant un mot de passe par défaut -> GO SECTOOLS

SECTOOLS                      Outils de sécurité                              
                                                           Système:   AS400   
Choisissez l'une des options suivantes :                                      
                                                                              
  Gestion des profils                                                         
     1. Analyser les mots de passe par défaut  <-- ANZDFTPWD                               
                                                                              
     2. Afficher la liste des profils actifs                                  
     3. Modifier la liste des profils actifs                                  
     4. Analyser l'activité des profils                                       
                                                                              
     5. Afficher le planning d'activation                                     
     6. Modifier le planning d'activation                                     
                                                                              
     7. Afficher le planning de péremption                                    
     8. Modifier le planning de péremption                                    
                                                                              
     9. Imprimer les postes internes de profil                                
                                                                  A suivre...

profils avec *ALLOBJ

passez la commande DSPUSRPRF dans un OUTFILE, par curiosité faites une jointure avec QUSRSYS/QASECPWD, généré par ANZDFTPWD
profils non connectés depuis x mois

SECTOOLS , option 4 (les profils "inactifs", sont automatiquement désactivés)
profils avec LMTCPB(*NO)

réservé aux personnel informatique, pour les autres vous pouvez autoriser des commandes particulières par
CHGCMD ALWLMTUSR(*YES) rendant cette commande disponible aux profils ayant LTMCPB(*YES)
profils IBM :
- ont-ils le mot de passe par défaut ?
  -> GO SETUP , option 11
- Sont -ils actifs ?
  -> inutile pour QSRV, QSRVBAS
- Attention aux mots de passe DST

Droits pas défaut sur les objets
- opter pour l'une des deux solutions pour *PUBLIC
  - *USE : tout le monde peut voir, pas de confidentialité
  - *EXCLUDE : droits explicites nécessaires
- vérifier les droits du(des) profils « WEB »(celui utilisé dans vos pages php, par exemple), sur la base particulièrement.
- n'oubliez pas les droits d'IFS, dans votre politique générale
profil de groupe/PGP
- un profil peut appartenir à 16 groupes
  un groupe représentant alors un besoin sur une application
- la notion de Primary Group Profil, permet de gagner en performance
  - les droits de *PUBLIC et du PGP sont stockés avec l'objet
  - les droits privés, eux, sont dans le profil concerné, doù le besoin de SAVSECDTA
  - le PGP doit être un profil de groupe
  - le PGP ne doit pas être le propriétaire
    (la notion de propriété doit être réservé à un profil spécifique, sans mot de passe)
  - il est fixé par CHGOBJPGP
- listes d'autorisation
  - l'OS fait du cache sur les 16 dernières utilisées
  - la gestion de n objets protégés par une liste d'autorisation est beacoup plus simple, puisque qu'une manipulation va impacter n objets.
  - assigner une liste d'autorisation peut se faire
    - en masse par la commande GRTOBJAUT, penser alors au paramètre REPLACE(*YES)
    - pour les objets à venir, par CHGLIB xxx CRTAUT(nom-de-la-liste)
    - CHGAUT pour IFS, le paramètre SUBTREE permet de répercuter en cascade
Compilez les programes en *OWNER pour les cas particuliers, qui doivent rester des cas particuliers

Audit
- Audit au niveau objet (fichiers DRH)
  - CHGOBJAUD OBJAUD(*NONE | *CHANGE | *ALL)
  - *USRPRF: ca dépend de l'utilisateur
- Audit pour les utilisateurs sensibles
  - CHGUSRAUD OBJAUD(si l'utilisateur manipule un objet avec OBJAUD(*USRPRF)
  - AUDLVL(actions à tracer)
    - *CMD : toutes les commandes passées
    - *CREATE : les créations d'objets
    - *DELETE : les destructions d'objets
    - *SECURITY : actions système ayant triat à la sécurité
- Audit de certaines actions systèmes (QAUDLVL)
  - *AUTFAIL : manque de droits
  - *NETFAIL : défaillance réseau
  - *PGMFAIL : programes "plantés"
- Mise en place :
  - création d'un récepteur et d'un journal QAUDJRN dans QSYS
  - renseignement de la valeur système QAUDCTL
  - QAUDLVL, QAUDLVL2 concernent tous les profils, Attention aux volumes.

5/ authentification HTTP

liste de validation (notion d'"utilisateur internet")
- CRTVLDL
- Passer par l'administration HTTP (sur le port 2001) pour gérer les entrées
authentification applicative (par N° d'adhérent, de client, etc...)
- mettre en place HTTPS (config Apache uniquement, sans incidence sur la codification java/php)
  avec l'authentification, sinon les mots de passe circulent en clair
- on peut aussi configurer FTPS, pour ceux qui veulent monter un Serveur FTP
  voyez alors les points d'exit pour :
  - configurer une entrée "anonymous"
  - limiter l'utilisation de commandes CL, etc...
  - voyez si vous ne devez pas préférer HTTP et les fonctions upload (transfert de fichier depuis le client)
différencier les profils pour différencier les applications java/php si elles se multiplient.
vérifier alors :
- que ce profil ne peux pas ouvrir de session 5250, ni passer de commandes
- voyez l'audit (*DELETE par exemple) pour ce profil particulièrement.

6/ Surveillance

Moniteurs dans gestion centralisée
- sur la CPU utilisée par le sous système Zend
  - Moniteurs/Travail
    
    Indiquez les coordonnées des travaux à surveiller (par exemple tout le sous système Zend)
    
    indiquez ce qui constitue un évenement anormal (UC consommée à plus de xx %)
    -> associez une commande OS/400 à lancer (envoi de message, de mail, etc...)
- sur l'espace disque
  - utiliser alors Moniteurs système
V5R40 : détection d'intrusions

On peut détecter
- les problèmes de fragements IP
  datagrames trop gros ou mal numérotés
- les paquets malformés
- SYN floods (débordements)
  de multiples connections sont initialisées avec un tiers usurpé et jamais achevées
- redirections ICMP
- ECHO perpétuel
- utilisation de LSRR (voir en début de cours)
- le scannage de ports
- Mise en place
  - Mettre en place QOS
  - Activer l'audit (QAUDCTL)
  - Mettre *ATNEVT dans QAUDLVL ou QAUDLVL2
  - Copier /QIBM/PRODATA/OS400/QOS/IDSPOLICY.CONF dans /QIBM/USERATA/OS400/QOS/ETC et éditez le.
  - démarrer QOS par STRCTPSVR *QOS

7/ Coding :

Injection SQL et XSS

Injection SQL
- - un formulaire demande un N° de client
- - la requête associé est DELETE FROM CLIENTS WHERE NOCLI = $nocli
- - un malveillant saisi "1 or 0=0"
- ==> il n'y a plus rien dans le fichier client !
XSS
- On arrive à insérer du Javascript dans la base, qui s'affiche tel que et agit sur les navigateurs qui consultent (par exemple)
Parade : vérifier les données recues !

vérification de la longueur et du type des variables
  -numérique
  -date
  -email, etc...
désactiver tout ce qui peut resemble à du html ou du code
crypter les données sensibles (clé, mot de passe, etc..) avec ENCRYPT_RC2 et ENCRYPT_TDES
"Préparer" les requêtes, quand c'est possible (db2_connect sous PHP, par exemple)

les requêtes préparées s'exécutent en deux fois :
1. Préparation
  le moteur SQL calcul un plan d'accès, optimise et attend des paramètres
  
  Ex (php): $stmt = db2_prepare($db, "select * from clients where nocli = ? or depcli < ?") ;
2. Exécution
  lancement de la requête avec attribution de valeurs pour les paramètres attendus
  
  Ex (php): $rc = db2_execute($stmt, array(2222, 44) ) ;
  
  si les paramètres envoyés ne sont corrects, cela sera refusé par SQL qui attendait 2 informations numériques du fait du PREPARE

Faire les mises à jour par procédures cataloguées

Procédures cataloguées

une procédures cataloguées peut être écrite en SQL ou externe.

Dans le cas d'une procédure externe, il ne s'agit que "d'enregistrer" en tant que procédure un exécutable existant (description destinée à SQL et enregistrée dans SYSPROCS et SYSPARMS de QSYS2)

dans le cas d'un pgm ILE (RPG4 ou CLLE), cette information est aussi stockée dans l'exécutable, se faisant une simple restauration re-enregistre cet exécutable en tant que procédure.
dans le cas d'un pgm GAP3 ou CL simple(CLP), il faut redéclarer la procédure par CREATE PROCEDURE
(script SQL lancé par iSeries Navigator ou par RUNSQLSTM)

PHPet php.ini

Ne pas afficher les erreurs, mais un message générique ("logger" quand même)
- display_error dans php.ini à Off
consulter le fichier error_log générér par apache régulièrement
les procédures cataloguées ne doivent jamais "planter" (gestion d'erreur rigoureuse, voir Monitor/On-error en RPG4)
Autres paramétres :
- register_global à Off
  - création automatique des variables de formulaire, c'est vraiment dangeureux
- error_reporting = E_ALL, en dev. uniquement
  - indique les variables utilisées, non déclarées
- masquer php (ne pas montrer que c'est du php en masquant l'extension) ?
  - si oui, c'est de la configuration Apache (redéfinition des types mime, par exemple)
Voyez http://www.php.net/manual/fr/security.php