Mi az az IBM i rendszer?

Az IBM i, korábbi nevén AS/400, egy vállalati szintű, megbízható és rendkívül robusztus operációs rendszer, amelyet előszeretettel alkalmaznak kritikus üzleti folyamatokat kiszolgáló környezetekben – például banki, egészségügyi vagy kormányzati rendszerekben. Noha gyakran "biztonságosnak" tekintik zárt architektúrája és régóta fennálló stabilitása miatt, a valóságban az IBM i rendszerek is rejtenek súlyos konfigurációs, felhasználói vagy szolgáltatási szintű sebezhetőségeket, különösen ha nem megfelelően karbantartottak.

A penetration testing (sérülékenység vizsgálat) olyan szimulált támadás, amelynek során egy szakértői csapat – a megrendelő engedélyével – megpróbál azonosítani és kihasználni az adott rendszer biztonsági gyengeségeit. IBM i rendszerek esetén ez különösen indokolt, hiszen ezek gyakran évtizedek óta működnek egyre rétegesebb jogosultsági és szolgáltatási beállításokkal, amelyek között könnyen megbújhatnak kritikus kockázatok.

• Rendszerkonfigurációs hibák - alacsony QSECURITY szint, gyenge objektumvisszaállítási szabályok (QVFYOBJRST, QALWOBJRST) gyakran lehetővé teszik nem megbízható kódok vagy programok futtatását.
• Felhasználó- és jelszókezelési problémák - nem megfelelő QPWDRULES beállítások, túlzott jogosultságú (*ALLOBJ) fiókok, inaktív vagy elfelejtett felhasználói profilok aktívan jelen lehetnek a rendszerben.
• Szolgáltatásokon keresztüli információszivárgás - például a Telnet, FTP vagy POP3 portokon elérhető hibakódok vagy banner információk révén.

1. Előkészítés és célmeghatározás - pontosan meghatározzuk a scope-ot, tesztelési időablakot és dokumentált engedélyt szerzünk.
2. Információgyűjtés - hálózati szolgáltatások, futó portok, felhasználók és rendszerbeállítások feltérképezése.
3. Sebezhetőségek azonosítása és exploitálás - például TN5250 protokollal a CL parancssor elérése, QSH manipulálása vagy *ALLOBJ jogosultság megszerzése.
4. Jogosultség kiterjesztése - cél a magasabb szintű rendszerhozzáférés megszerzése és annak validálása.
5. Poszt-exploit lépések - loggyűjtés, bizonyítékmentés, ajánlások kialakítása, a rendszer sérülékenységeinek javítása vagy megszüntetése.

A tesztelést nemzetközileg elfogadott keretrendszerek mentén végezzük, mint például:

• PTES (Penetration Testing Execution Standard)
• OSSTMM (Open Source Security Testing Methodology Manual)

A használt eszközök közé tartoznak:

• Hack400Tool, TN5250 emulators, Metasploit, Burp Suite, QSH, Nmap
• Saját fejlesztésű és testreszabott audit szkriptek az IBM i környezetre

A pentest során feltárt hibák kijavítása mellett javasoljuk az alábbiakat:

• QSECURITY szint minimum 40 vagy 50
• QVFYOBJRST, QFRCCVNRST és más kritikus paraméterek szigorú beállítása
• Erős, szabályalapú jelszavak (QPWDRULES), valamint MFA bevezetése
• *ALLOBJ jogosultság minimalizálása, role-based access control (RBAC) alkalmazása
• Inaktív fiókok automatikus törlése vagy deaktiválása
• FTP, POP3, Telnet szolgáltatások leállítása vagy szigorú kontroll alá vonása
• QSH hozzáférés csak adminisztrátoroknak, naplózott módon

A penetration test végén minden esetben átfogó, auditálható jelentést készítünk, amely tartalmazza:

• Executive Summary - közérthető összefoglaló döntéshozóknak
• Részletes technikai elemzés - minden talált sebezhetőségről
• Prioritási mátrix és javítási roadmap
• Képernyőkép, bizonyítékok, valamint megfelelésvizsgálat például a PCI DSS követelményeinek megfelelően