Als Schutz empfiehlt Pricewaterhouse-Coopers, den Zugang zu einzelnen FTP-Kommandos pro Benutzer zu erlauben beziehungsweise zu sperren. Eine Einschränkung gewisser Kommandos auf bestimmte Datenmengen kann ebenfalls sinnvoll sein. Nicht zuletzt sollte die IP-Adresse eines Benutzers überprüft werden. Um diese Anforderungen zu erfüllen, ist in der Regel ein Zusatzprodukt nötig.

Verbindungen vom Host nach außen

Am empfindlichsten sind naturgemäß die Verbindungen vom Host nach außerhalb. Dies schlug in der Pannenstatistik aber noch nicht stark zu Buche, weil die Anbindung von Mainframes an das Internet noch vergleichsweise selten ist. Es kommt jedoch - zum Beispiel in Banken und Versicherungen - durchaus vor, dass der Host Daten und Anwendungen beherbergt, deren Ergebnisse im Internet präsentiert werden. Worauf man bei der Sicherung dieser Verbindung achten muss, verrät Christopher Mathes, Sicherheitsbeauftragter von IZB Soft in München. (Das Informatikzentrum Bayern (IZB) erbringt IT-Dienstleistungen für die bayerischen Sparkassen.) Einen Schutz durch konventionelle Instrumente wie Firewall und Intrusion Detection hält der Experte für unerlässlich. Zusätzlich sollte auf dem Host eine logische Trennung erfolgen, so dass man nicht mit IP direkt an die Kundendaten herankommt. Eine stärkere Authentisierung flankiert diese Maßnahmen, denn auch in

Großrechnerumgebungen sind zu schwache Passworte eine Gefahr.

Ein Beispiel dafür liefert der "Domino-Go"-Web-Server. Wie Insider Malik von der Gartner Group erläutert, enthält dieser Server ein Muster-Shellscript namens "getmvs.sh", mit dessen Hilfe ein Web-Benutzer Zugang zum OS/390-Host (früher: MVS) erlangen kann. Dieser Benutzer durchläuft lediglich dieselbe Authentisierung mit User-ID und Passwort wie ein interner Nutzer. Das Protokoll TCP/IP macht es aber möglich, den Inhalt von Paketen mitzulesen, die zwischen Web-Browser und OS/390 hin- und hergeschickt werden. Diese Schwachstelle beruht nicht auf einer Sicherheitslücke im Host oder einem Missbrauch des Internet. Sie entsteht durch die Kombination der Mainframe- mit der IP-Welt, und jede der beiden Welten für sich genommen hätte die Lücke nicht. Malik empfiehlt daher, dieses Script vom Domino-Go-Web-Server zu entfernen. Kunden, die Web-Zugang zum Host benötigen, sollten lieber Virtual-Private-Network-(VPN-) oder Secure-Sockets-Layer-(SSL-)geschützte

Verbindungen verwenden. Beides beinhaltet eine Verschlüsselung der übertragenen Informationen.