Auditar la seguridad en AS400

La gente de PowerTech tiene colgada una guía donde nos explica los conceptos de seguridad del As400 y algunos ejemplos para comprobar nuestro estado. Recomiendo su lectura ya que puede sernos muy interesante a la vez que aprendemos mas sobre nuestro sistema:

System i Compliance Guide

Además realizando este tipo de análisis muchas veces descubrimos problemas ocultos en nuestras aplicaciones.

Trabajos QZDASOINIT

Los trabajos QZDASOINIT dan servicio a las conexiones ODBC de los usuarios y/o aplicaciones remotas realizan desde cliente (PC,o Servidor). Estos trabajos se ejecutan con el usuario QUSER.

QZDASOINIT es un trabajo de prearranque del subsistema QUSRWRK; para ver estas entradas usar el mandato DSPSBSD SBSD(QUSRWRK) y seleccionar la opción 10 "Prestart job entries". En esas entradas podemos ver, con la opción 5, la configuración de este servicio y sobre todo el numero inicial de trabajos y  numero máximo de trabajos permitidos.
Para arrancar el servicio (es necesario que este levantado el subsistema QSERVER):
STRHOSTSVR SERVER(*DATABASE)                                                     
    The database server daemon is started in the QSERVER subsystem
    The daemon job is named QZDASRVSD.  The associated server jobs
    are named QZDASOINIT, QZDASSINIT, and QTFPJTCP.

Para detener el servicio:
ENDHOSTSVR SERVER(*DATABASE)                                        

    The active connections being serviced by the        

    QZDASOINIT and QZDASSINIT server jobs will be ended.

    The server jobs servicing these connections will be 

    ended.

Si ejecutamos el mandato WRKACTJOB JOB(QZDASOINIT) vemos, rápidamente, que usuarios están conectados en ese momento al servicio, ya que desde la V5R4 del OS400 se modifico este mandato para mostrar el Current User en la columna User, si no hay nadie conectado en ese momento se muestra QUSER.

Impacto del ENDJOBABN

El comando ENDJOBABN tiene la finalidad de terminar trabajos que aparentemente no responden a una finalizacion con el mandato ENDJOB.

Es muy recomendable no utilizar normalmente este mandato, ya que tiene implicaciones ocultas.

Una vez ejecutado se activa una marca en el sistema por el cual el siguiente IPL sera considerado "anormal" y el sistema al arrancar realizara una serie de tareas de comprobación del sistema adicionales que alargaran el tiempo de IPL.

Ademas si hay alguna ptf pendiente de aplicar en IPL no se aplicará, ya que el sistema considera que no debe instalarlas en una IPL con terminación anormal.

Existe un valor de sistema para ver cual si el ultimo IPL fue anormal, para ello ejecutar el comando: DSPSYSVAL SYSVAL(QABNORMSW)

Esto nos mostrara uno de los siguientes valores:

0=Normal 
1=Abnormal

Recuperar subsistema de un trabajo

La utilidad RTVJOBSBS nos devuelve el nombre del subsistema donde se esta ejecuta un trabajo.

Esto nos puede ser de utilidad para, por ejemplo, no ejecutar un ENDSBS SBS(QINTER) si nuestro trabajo se esta ejecutándose en ese subsistema.

Podéis bajaros el código desde este enlace.

The IBM AS400 A technical introduction

He encontrado este documento, creado por Tom Van Looy en 2009, y puede servirnos para introducirnos en el fantástico mundo del AS400.  Esta colgado en el apartado Archivos del nuevo espacio de Recursos/400 en IBM MydW