CA ACF2 12 for z/OS (eTrust CA-ACF2 Security) предоставляет всеобъемлющую и инновационную систему обеспечения безопасности для сред бизнес-транзакций, включая z/os Unix и Mainframe Linux. Это позволяет организациям полностью реализовать надежность, масштабируемость и рентабельность мэйнфреймов. Вместе с распространяемыми компанией СА решениями для безопасности, CA ACF2 помогает защитить все предприятие.   

Основные возможности:

Всеобъемлющая безопасность CA. ACF2 обеспечивает полную безопасность ресурсов z/OS в ОС, подсистемах, программных продуктах OEM и базах данных (БД).

• Поддержка версий. ОС CA ACF2 поддерживает новые версии ОС сразу после их выхода.
• Использование новых версий. CA ACF2 использует преимущества новых возможностей и функций, чтобы обеспечить расширенную функциональность администрирования и управления безопасностью.

Полное управление пользователями. Индивидуальное управление учетными записями - это ключ к эффективной информационной безопасности. Многие правительственные законы и корпоративные политики требуют разделения функций или обязанностей. CA ACF2 позволяет реализовать такие структуры и решить, какие политики применять.

• ПользователиCA ACF2 предоставляет удобные функции администрирования, которые адаптируются к организационной структуре и процедурам, чтобы поддерживать соответствие нормам и законам.
• Использование ролей в системе безопасности Строка идентификации пользователя (UID) в CA ACF2 упрощает реализацию системы безопасности на базе ролей. Это гибкий механизм, который позволяет адаптировать систему к организационным изменениям.
• Индивидуальный учет Каждый идентификатор пользователя защищен паролем. Единые политики паролей вводятся во всей организации, что укрепляет эффективность системы защиты паролями и повышает безопасность информации.
• Вход в систему CA ACF2 управляет входом практически во все подсистемы z/OS и приложения VTAM/TCPIP, включая TSO, пакетные задания, z/OS UNIX, mainframe Linux, CICS, IMS, DB2 UDB for z/OS и др.
• Создание цифровых сертификатов Чтобы помочь вам сократить время и силы при администрировании, необходимые для поддержки цифровых сертификатов, CA ACF2 позволяет генерировать, администрировать и обрабатывать запросы на сертификаты, а также экспортировать ключи.

Управление данными и ресурсами. Руководители центра данных отвечают за обеспечение целостности всех данных и программ, которые хранятся в их компьютерных системах. Любые потери данных потенциально могут привести к финансовым убыткам.

• Защита по умолчанию. CA ACF2 защищает от потери данных или неправильного обращения с ними, по умолчанию обеспечивая безопасность всей информации. При правильном внедрении CA ACF2 для обеспечения безопасности данных не требуется никаких действий.
• Управление совместным использованием данных. CA ACF2 требует предоставления разрешений, которые дают доступ к ресурсам. Этот процесс позволяет знать и контролировать, кто и к чему имеет доступ.

Аудит и мониторинг. Во многих странах законы требуют от организаций установления внутренних средств контроля за хранящимися на компьютерах данными. CA ACF2 содержит различные функции аудита, которые предоставляют информацию и возможности, необходимые для контроля доступа и оценки прав доступа.

• Аудит. CA ACF2 создает записи для аудита практически любого события, относящегося к безопасности. Это может быть запуск или остановка системы безопасности, любая команда на изменение работающей системы безопасности, успешный или неуспешный вход пользователя в систему или выход из нее, удачный или неудачный доступ к контролируемым данным или ресурсам, а также изменения в БД системы безопасности и любые события, связанные с безопасностью в z/OS UNIX. Кроме того, CA ACF2 предоставляет команду ACCESS. Она выполняет задачу быстрого просмотра сведений о доступе к данным или ресурсам.
• Отчеты. CA ACF2 предоставляет широкий набор генераторов отчетов, который позволяет просматривать и анализировать информацию о событиях системы безопасности. Кроме того, продукт позволяет ограничивать вывод определенной записи в соответствии с привилегиями и ограничениями конкретного пользователя, который запускает отчет.

Разделение административных функций. Администрирование системы безопасности не менее важно, чем реализация самой этой системы. Ограничение круга людей, которые могут предоставлять доступ и определять пользователей, - это краеугольный камень эффективной системы безопасности. CA ACF2 обеспечивает разделение функций и обязанностей по администрированию системы безопасности. Это дополнительная степень контроля, которая защищает системы и сохраняет целостность системы безопасности.

• Децентрализованное или централизованное администрирование CA ACF2 предоставляет несколько способов разделения функций администрирования системы безопасности. Во-первых, этот продукт обеспечивает несколько различных уровней административных привилегий над пользователями и/или ресурсами. Кроме того, привилегии можно ограничивать определенными функциями безопасности, областями или ресурсами.
• Изменения в безопасности Стандартные отчеты показывают обновления, добавления, изменения или удаления любых пользователей или правил в CA ACF2, а также других объектов системы безопасности.

Различное администрирование. Без правильного администрирования нельзя дать никакой гарантии, что система безопасности структурирована правильно. Чтобы помочь добиться соответствия бизнес-требованиям и облегчить процесс администрирования, в CA ACF2 включены гибкие и мощные административные средства.

• Обработка команд CA ACF2 позволяет администрировать безопасность различными способами, например, с помощью TSO, пакетных заданий, CICS, IMS и CA Identity Manager.
• Администрирование системы безопасности при наличии нескольких образов В среде с несколькими образами системы можно посылать команды CA ACF2 с одного узла на другой, либо сразу на несколько узлов. Это выполняется с помощью средства CA ACF2, которое называется Command Propagation Facility (CPF).

Совместное использование информации системы безопасности. Чтобы сократить объем администрирования безопасности, количество человеческих ошибок и затраты, необходимо с помощью сетевой среды организовать совместное использование информации, относящейся к безопасности. CA ACF2 работает с другими решениями и обеспечивает безопасность информации при работе с ней в сети.

• CA LDAP Server. Этот компонент предоставляет единый интерфейс для запроса приложениями служб безопасности, включая добавление, обновление и извлечение данных. Продукт можно использовать для безопасного выполнения аутентификации пользователей от имени бизнес-приложений, работающий на z/OS и других платформах, подключенных через TCP/IP. Вы можете эффективно использовать существующую информацию, хранящуюся в решении для обеспечения безопасности в z/OS. Также можно создать систему авторизации пользователей во всем предприятии, столь же мощную, как на мэйнфреймах. Для этого надо организовать соединение с CA ACF2 через CA LDAP Server.
• Службы каталогов LDAP Службы каталогов (LDAP Directory Services, LDS) обеспечивают гибкую интеграцию с существующими определениями схемы. При этом специализированные интерфейсы для организации доступа к данным системы безопасности становятся не нужны.
• CA Distributed Security Integration (CA DSI) Эта отдельная программа-"демон" работает в среде z/OS UNIX, независимо от CA LDAP Server. Кроме того, CA DSI позволяет приложениям, работающим на платформе Windows, выполнять вызовы к CA ACF2.
• Поддержка Linux на системах z/Series Подключаемый модуль аутентификации (Pluggable Authentication Module, PAM) - это архитектура с открытым исходным кодом. Она позволяет компоненту CA ACF2 действовать в качестве сервера аутентификации для одной или более Linux-систем. При этом исключается необходимость дублирования администрирования системы безопасности и определения пользователей отдельно для каждой системы.
• IBM Policy Director (PDAS) CA ACF2 использует общий интерфейс SAF для поддержки использования клиентами компонента IBM Policy Director.
• Новый компонент CA Web Administrator for ACF2 Раньше у пользователей CA ACF2 были лишь ограниченные варианты сопровождения информации о безопасности в z/OS, связанные с использованием текстовой командной строки. С уходом опытных администраторов безопасности пользователи пытаются обслуживать свои системы с привлечением менее опытного персонала, возможно, не работавшего на мэйнфреймах. Нужно что-то, что поможет этим новым администраторам выполнять свои задачи. Это что-то должно быть легче и быстрее, чем чтение руководства администратора на 1000 страниц и попытки понять правильный синтаксис команды. Web Administrator поможет этим новым администраторам. Этот продукт предоставляет графический интерфейс пользователя на базе Интернет-браузера.

Ключевые характеристики:

- CA Web Administrator предназначен для того, чтобы предоставить общее административное решение для CA ACF2 с использованием графического интерфейса пользователя на базе браузера.

- CA Web Administrator обменивается данными с CA ACF2 через CA LDAP Server.

- Все администрирование делается в реальном масштабе времени для "живых" данных CA ACF2.

- Возможность администрировать CA ACF2 откуда угодно: нужен лишь браузер. Это совершенно безопасно, поскольку используется SSL.

- Позволяет администратору вводить собственные команды из графической оболочки и получать ответ.

- Ограничивает доступ к данным с использованием собственных зон безопасности.

- Возможность выполнять команды с консоли во время предварительной и последующей обработки любой записи.

- Упрощает администрирование, так что нет необходимости запоминать команды текстовой консоли или сотни полей. Это сокращает кривую обучения для администраторов-новичков.

- Все действия можно регистрировать в журнале для последующего аудита (в собственных записях SMF).

CA WEB ADMINISTATOR

Рисунок А

Закладки Logon ID и Profile в CA ACF2 при использовании CA Web Administrator.

Что нового в CA ACF2 12 for z/OS 

   

ФУНКЦИЯ/ВОЗМОЖНОСТЬ	ПРЕИМУЩЕСТВА
Сompliance Information Analysis	Compliance Information Analysis ("Анализ информации о соответствии требованиям") - это новая возможность в CA ACF2. Она предоставляет возможность реплицировать информацию о соответствии нормам безопасности из БД системы безопасности в репозиторий реляционной БД DB2. Для получения отчетов о соответствии требованиям регулирующих органов требуется следующая информация: учетная запись (пользователь) и политика (правила или разрешения). Другие виды информации, хранящейся в БД системы безопасности, в репозиторий данных не включаются. Информация в репозитории DB2 используется для набора отчетов о соответствии требованиям, которые распространяются с продуктом для обеспечения безопасности. Кроме того, можно использовать информацию в репозитории для выполнения произвольных запросов на языке SQL, включая запросы, влияющие на производительность при их применении к БД системы безопасности мэйнфрейма. Также можно разрабатывать специализированные приложения для системы безопасности и отчеты, которые используют информацию из репозитория, относящуюся к безопасности.
Новый графический интерфейс пользователя на базе браузера	CA Web Administrator - это новая возможность в CA ACF2. Этот инструмент предназначен для того, чтобы предоставить общее административное решение с использованием графического интерфейса пользователя на базе браузера. Все администрирование делается в реальном масштабе времени для "живых" данных CA ACF2.
Улучшенный CA LDAP Server	Компонент CA LDAP Server был улучшен и теперь полностью поддерживает все управляемые объекты системы безопасности. Теперь также включена поддержка IPv6.
Утилита для идентификации и создания схемы использования сертификатов	Появилась новая утилита, которая помогает управлять цифровыми сертификатами в вашей среде. Функция SAFCRRPT отображает все выбранные сертификаты, какие сертификаты подписали каждый сертификат, какие сертификаты были подписаны текущим сертификатом, список регистрации сертификата в одной зоне, информацию о сертификатах в определенном кольце ключей, а также все сертификаты, срок действия которых истекает через заданное количество дней.
Улучшенный CA PAM Client ограниченный доступ к файлу unixpriv	Компонент CA PAM Client улучшен и теперь поддерживает NSS для извлечения пользовательской информации. Улучшения в CA ACF2 включают поддержку для ограниченного доступа пользователей к файлам и каталогам UNIX. Биты разрешений OWNER, GROUP и OTHER назначаются владельцем каталога UNIX или файла при его создании. Если пользователь не является владельцем файла или не состоит в группе, которая имеет право на доступ к файлу, то возможность доступа проверяется по другим битам доступа.
Улучшения в статистическом анализе	Управляющая опция STATREC дает администраторам возможность указывать определенные функции, для которых собирается статистика. Это позволяет администратору управлять объемом реальной статистики, которая собирается в любой данный момент времени. Управляющая опция STATSLOG позволяет администратору выбирать вывод в набор данных SMF или MVS. Это предоставляет администратору альтернативные варианты в отношении хранения статистических данных.
Улучшение функций служб каталогов LDAP	В версии CA ACF2 12 к компоненту служб каталогов LDAP (LDAP Directory Services, LDS) добавлен ряд новых улучшений. Теперь можно указывать более одного элемента URL. Второе и третье значения URL будут рассматриваться как резервная копия или запасное значение в случае сбоя главного соединения. Теперь можно указывать новый тип данных (UNICODE) для поля XREF. Теперь можно активировать две новые глобальные опции. Опция PSWDLOWR используется, чтобы пересылать все изменения пароля в нижнем регистре. Опция CODEPAGE определяет двадцатибайтовое символьное поле, которое указывает, какая кодовая таблица символов должна используется для перевода символов при вводе в систему. Теперь LDS обладает возможность определять элементы NODELIST для пользователей. Эти новые записи можно использовать для указания на административные изменения в определенном наборе узлов LDAP для пользователей, не входящий в список узла по умолчанию.
Поддержка для z/os 1.8	Поддержка z/OS 1.8 включает поддержку парольной фразы, службы инфраструктуры открытых ключей (PKI), поддержку JES3 TCPIP и дополнительные улучшения в R_cacheserve. • Улучшение в механизме парольной фразы обеспечивает поддержку приложений, которые используют парольные фразы. Парольная фраза - это строка уникальных символов, состоящая из алфавитно-цифровых и специальных символов разного регистра, включая пробелы. Длина парольной фразы составляет от 14 до 100 символов. • Вызываемая служба R_PKIServ изменена. Теперь она поддерживает новые возможности z/OS 1.8, которые включают в себя несколько экземпляров PKI Server и поддержку сертификатов устройств, использующих протокол SCEP. • Теперь CA ACF2 поддерживает NJE через TCP/IP для JES3 в z/OS 1.8. • Вызываемая служба R_PKIServ изменена. Теперь она поддерживает новые возможности z/OS 1.8, которые включают в себя поддержку кэширования на чтение и запись.
Команда модификации синхронизации кэша	Добавлена новая команда ‘F ACF2,CACHESYN(START / STOP)’. Она позволяет запустить или остановить процесс синхронизации кэша.
Одинарные кавычки в logonid	Одинарные кавычки в Logonid: улучшения в CA ACF2 r12 позволяет использовать одинарные кавычки в определяемых пользователем полях Logonid. Запись CFDE улучшена и включает теперь новый бит SNGLQT во флаге поля STATUS. Он указывает, что символьное поле может содержать одинарные кавычки.
Улучшения исходной группы	В CA ACF2 r12 добавлена новая подпрограмма (ACF00SSY) для списка исходных групп (Source Group List). Эта новая функция дополняет текущую подпрограмму ACF00SSL и добавляет к ней новую функциональность. Новая подпрограмма ACF00SSY позволяет передавать SYSID в качестве входного параметра, и в качестве результата вернет только группы из этого SYSID. ACF00SSY также обладает возможностью принимать в качестве входного параметра название группы и возвращать список групп, в которых эта группа явно указана.
Новые возможности паролей	Для соответствия нормам в области безопасности в CA ACF2 r12 добавлен ряд новых средств управления паролями. Они включают в себя: хотя бы один символ в нижнем регистре, хотя бы один символ в верхнем регистре, запрет использования идентификатора пользователя в пароле и запрет использования имени пользователя в пароле.
Новые поля записи logonid	Теперь в CA ACF2 указывается время и дата создания записи logonid. CA ACF2 отображает дату в формате ММ/ДД/ГГ, ДД/ММ/ГГ или ГГ/ММ/ДД, в зависимости от поля DATE записи GSO OPTS. Кроме того, добавлено поле записи, которое указывает суммарное количество неправильных попыток ввода пароля пользователем, которые имели место после создания записи logonid.
Улучшения отчетов и утилит интеграция с ca cleanup for acf2	Ряд отчетов и утилит ACF в CA ACF2 r12 были улучшены и обновлены, чтобы обеспечить соответствие требованиям регулирующих органов. Теперь в CA ACF2 возможность обмена данными с CA Cleanup r12 for ACF2. В этой новой версии можно опционально отслеживать ресурсы DB2 и тестовые команды ACF. CA Cleanup - это полное решение, которое поможет идентифицировать и удалить устаревшие, неиспользуемые, избыточные и чрезмерные права доступа в системе безопасности мэйнфрейма.