par Sharon L. Hoffman - Mis en ligne le 30/11/2005 - Publié en Mars 2005
Par le passé, la protection des données iSeries était relativement simple. Les administrateurs système réglaient la plupart des profils utilisateur sur LMTCPB(*YES) pour empêcher les utilisateurs d’exécuter des commandes, et ils activaient la sécurité par menus pour limiter les applications accessibles à chacun. Il est vrai que ces deux mesures empêchent les utilisateurs d’écrans passifs de modifier ou de consulter des données, sauf par le biais de l’une des applications désignées. Cependant, même dans un environnement écran passif pur, cette méthode a quelques limites. Ainsi, au fil de l’évolution des responsabilités de l’utilisateur, il faut revoir les menus pour refléter les nouvelles tâches confiées à chacun. En limitant l’accès aux données via des applications, on réduit considérablement les risques.
Repenser la sécurité de l’iSeries
Et voici qu’arrivent des applications basées sur PC, flanquées de mesures de sécurité supplémentaires. Dans ce contexte, le modèle de sécurité par écran passif standard ne peut plus protéger les données contre des applications malveillantes ou des utilisateurs négligents. Ainsi, le fait de mettre un profil utilisateur à LMTCPB(*YES) n’empêche en rien celui-ci d’exécuter une commande iSeries via des outils tels que iSeries Navigator ou WebSphere Development Studio client (WDSc) pour iSeries. Ces deux outils, ainsi que beaucoup d’autres, incluent aussi des possibilités SQL ad hoc permettant de modifier des données iSeries sans subir le contrôle des applications. Les possibilités de TCP/IP, comme FTP, constituent une autre vulnérabilité.
Ces nouvelles vulnérabilités ne signifient pas que la sécurité de l’iSeries n’est pas capable de protéger les données contre les interfaces modernes. Cependant, au fur et à mesure que l’on développe de nouvelles interfaces utilisateur et que l’on adopte de nouveaux outils de développement et d’administration système, il faut aussi repenser la stratégie de sécurité et peut-être intégrer d’autres moyens. Nombreux sont les sites iSeries qui ont déjà entamé cette démarche, soit pour réagir à des menaces spécifiques, soit dans le cadre d’une évaluation plus vaste de la sécurité.
Téléchargez cette ressource
État des lieux de la réponse à incident de cybersécurité
Les experts de Palo Alto Networks, Unit 42 et Forrester Research livrent dans ce webinaire exclusif leurs éclairages et stratégies en matière de réponses aux incidents. Bénéficiez d'un panorama complet du paysage actuel de la réponse aux incidents et de sa relation avec la continuité de l'activité, des défis auxquels font face les entreprises et des tendances majeures qui modèlent ce domaine. Un état des lieux précieux pour les décideurs et professionnels IT.
Les articles les plus consultés
Les plus consultés sur iTPro.fr
- DSI en assurance : gardien du temple ou moteur de la transformation ?
- Ransomware : persistance des cyberattaques à l’échelle mondiale
- Cybersécurité : l’IA générative rebat les cartes du cybercrime
- Le World Cyber Ranking, 1er classement mondial de la cybersécurité des entreprises
- Comment le Quarter Plan permet d’aligner IT et Métiers pour délivrer
