Suggerimenti e indicazioni sulla sicurezza - HIS
Le informazioni contenute nelle sezioni seguenti illustrano in dettaglio la protezione dell'ambiente Host Integration Server, tra cui Enterprise Single Sign-On.
Per informazioni sull'accesso Single Sign-On, vedere Informazioni di base sull'accesso Single Sign-On Enterprise.
SQL Server
Quando si accede a un database di SQL Server:
Usare solo la sicurezza integrata di Windows e limitare l'accesso solo agli account Windows con privilegi.
Usare solo i gruppi di sicurezza host di Integration Server creati con la Configurazione guidata del server di integrazione host.
Considerazioni generali
Oltre alle linee guida generali in questa sezione, le raccomandazioni specifiche seguenti consentono di aumentare la sicurezza della distribuzione di Host Integration Server. Poiché tutte queste azioni vengono eseguite durante la distribuzione o la configurazione, le procedure si trovano nelle sezioni appropriate di questa documentazione. Mentre questi consigli si applicano all'intero prodotto, la sezione Mitigazione delle minacce dell'integratore di transazioni offre anche informazioni specifiche per gli utenti TI.
Quando si esegue la connessione tramite protocollo SNA:
Quando ci si connette a un computer host integration server upstream, usare la crittografia client/server.
Individuare i computer del server di integrazione host upstream all'interno del data center usando l'anello di token sicuro, Ethernet, bus e canale tag o gli allegati del canale fibre ESCON.
Quando si esegue la connessione tramite protocollo TCP/IP:
Usare computer router software Windows upstream o router hardware per crittografare il traffico TCP/IP.
Individuare il router upstream all'interno del data center usando connessioni Token Ring o Ethernet sicure all'host.
Quando si connette una rete SNA LU6.2 a un mainframe o IBM i, con il computer Host Integration Server distribuito come gateway SNA in un computer host integration server downstream, usare la crittografia dei dati da server di integrazione host a server.
Per le connessioni di rete SNA LU6.2 al mainframe, usare il servizio di collegamento IP-DLC in combinazione con IPsec.
Usare la crittografia che fa parte delle connessioni server di integrazione host da server a server e da client a server.
Quando ci si connette a un database mainframe per z/OS, usare IPsec in un DLC IP e usare anche NNS nel sistema di destinazione per utilizzare connessioni dirette alle risorse peer DLUS e APPN.
Per proteggere i dati e le credenziali non crittografati nel file com.cfg:
Implementare IPsec.
Distribuire il computer Host Integration Server in un segmento di rete isolato.
Aumentare le impostazioni di sicurezza nell'account host usato per la sicurezza della sessione.
Quando si usa il server TN3270:
Arrestare e riavviare il server TN3270 ogni volta che viene scaricato un nuovo CRL. In caso contrario, si usa una CRL non aggiornata, che potrebbe consentire l'accesso indesiderato all'host.
Sicurezza da server a host
Le azioni seguenti aumentano la sicurezza da server a host, soprattutto in una rete APPN o socket UDP per il traffico del protocollo HPR/IP:
Distribuire Host Integration Server in un segmento di rete protetto e usare la crittografia che fa parte delle connessioni server di integrazione host da server a server e client a server.
Usare IPsec nella connessione IP-DLC.
Usare NNS nel sistema di destinazione per usare connessioni dirette alle risorse peer DLUS e APPN.
Usare una connessione IP-DLC diretta a CS/390 (DLUS) e NNS oppure una connessione IP-DLC diretta a un nodo APPN peer.
Suggerimenti aggiuntivi sulla sicurezza
Infine, come nelle raccomandazioni seguenti, prestare attenzione all'accesso a ogni file, connessione o altro componente del prodotto:
Quando si usa l'integratore delle transazioni, inserire tutti gli oggetti che passano a CICS o IMS in un ambiente remoto che richiede l'accesso Single Sign-On aziendale.
Prestare attenzione all'elenco di controllo di accesso (ACL). Anche se è possibile installare Host Integration Server e ereditare un elenco di controllo di accesso precedente, è necessario rimuovere eventuali elenchi di controllo di accesso esistenti e sostituirli con quelli nuovi.
Archiviare le tabelle di definizione della stampante (PDT) e i file di definizione della stampante (PDF) in un percorso sicuro per impedire che vengano sostituiti con un file non autorizzato.
Poiché i file di traccia possono contenere dati non crittografati, archiviarli sempre in un percorso sicuro ed eliminarli non appena l'analisi della traccia è stata completata.
Ridurre al minimo l'accesso indesiderato al servizio Resync eseguendolo nello stesso computer dell'applicazione che esegue.
Abilitare la sicurezza LUA per TN3270 accesso all'host e quindi aggiungere l'account del servizio alla cartella Utenti configurati. Tra le altre cose, questa opzione fornisce la crittografia se il servizio TN3270 usa le unità UNITÀ in un altro server.
Abilitare la sicurezza LUA per LN5250 accesso all'host. Ciò aumenta la sicurezza richiedendo l'assegnazione esplicita di unità unità utente ai record utente.
Quando si usa la funzionalità di stampa associata al server TN3270, riconfigurare la visualizzazione e la stampante per usare la stessa porta. Ciò è necessario perché, poiché questi due elementi vengono configurati separatamente, spesso sono configurati inavvertitamente in porte diverse e successivamente diverse impostazioni di sicurezza.
Usare sempre IPsec quando si usano i server TN3270 o TN5250. Anche se i dati potrebbero essere sicuri tra il client e il server senza IPsec, gli stessi dati potrebbero diventare vulnerabili tra il server e l'host. L'uso di IPsec riduce la superficie di attacco, garantisce la crittografia dei dati e rende disponibile l'accesso solo agli utenti autorizzati.
Altre informazioni utili
Integrazione di rete (sicurezza)