 |
| Bellacosa Mainframe e as 10 ferramentas para ataque hacker |
☕ Um Café no Bellacosa Mainframe
🦇 ALFRED PENNYWORTH E AS 10 FERRAMENTAS QUE NÃO PRECISAVAM INVADIR O MAINFRAME
Flipper Zero, HackRF One, USB Rubber Ducky, Wi-Fi Pineapple, O.MG Cable, Bash Bunny, Proxmark3, LAN Turtle, Raspberry Pi, adaptadores Wi-Fi, endpoints, redes, RACF, SMF, CICS, Db2, MQ, USS, Zero Trust — e o dia em que Alfred explicou ao jovem programador COBOL que proteger a Batcaverna não adianta muito quando alguém possui a chave da porta.
Sob a tutela de Alfred Pennyworth, o homem que provavelmente perguntaria primeiro quem limpou o teclado antes de deixar Batman procurar uma vulnerabilidade no RACF.
🎬 PRÓLOGO — SENHOR WAYNE, O PROBLEMA TALVEZ NÃO ESTEJA NO MAINFRAME
Era 03:17 da madrugada.
Naturalmente.
Porque incidentes importantes jamais parecem acontecer às 14:30 de uma terça-feira tranquila, quando toda a equipe está disponível, o café está fresco e ninguém está tentando entrar em uma reunião.
O jovem programador COBOL estava diante de uma tela 3270.
Na tela:
ICH408I USER(BRUCE01) GROUP(WAYNE)
NAME(BRUCE WAYNE)Ele olhou assustado para Alfred.
— Alfred! Alguém está tentando invadir o mainframe!
O mordomo colocou calmamente uma xícara de café ao lado do terminal.
— Tem certeza, senhor?
— RACF registrou uma tentativa!
— Isso significa que alguém tentou utilizar uma identidade. Não necessariamente que começou atacando o mainframe.
O jovem franziu a testa.
Alfred apontou para o notebook.
— Talvez devêssemos começar por aí.
E é exatamente aí que começa nossa história.
Porque uma das maiores armadilhas ao estudar segurança de mainframe é imaginar o ataque assim:
HACKER
│
▼
INTERNET
│
▼
MAINFRAMENa vida real, o caminho pode ser muito mais comprido:
PESSOA
│
▼
DISPOSITIVO
│
▼
ENDPOINT
│
▼
IDENTIDADE
│
▼
REDE
│
▼
VPN
│
▼
SERVIÇOS CORPORATIVOS
│
├── Git
├── Jenkins
├── APIs
├── MQ
├── SSH
└── 3270
│
▼
z/OS
│
┌─────┼─────┐
▼ ▼ ▼
CICS IMS USS
│ │ │
└─────┼──────┘
▼
COBOL
│
┌─────┼─────┐
▼ ▼ ▼
Db2 VSAM MQEssa mudança de perspectiva é fundamental.
Nosso assunto não é simplesmente:
“Como essas ferramentas atacariam um mainframe?”
A pergunta mais interessante é:
“Como o comprometimento do ecossistema que confia, administra, desenvolve ou acessa o mainframe pode finalmente atingir o mainframe?”
Pegue o café.
Alfred já abriu a Batcaverna.
🏰 CAPÍTULO 1 — O MAINFRAME NÃO É UMA ILHA
Para quem começa em COBOL, existe uma ilusão compreensível.
Você entra no TSO, abre ISPF, edita um programa, submete um JCL e começa a imaginar o mainframe como um universo independente.
Algo semelhante a:
┌─────────────────┐
│ MAINFRAME │
│ │
│ COBOL │
│ JCL │
│ CICS │
│ Db2 │
│ VSAM │
│ RACF │
└─────────────────┘Mas o mainframe empresarial moderno participa de um ecossistema enorme.
Existem conexões com aplicações web, APIs, sistemas distribuídos, mensageria, servidores Linux, cloud, pipelines DevOps, sistemas de identidade, ferramentas de observabilidade e estações administrativas.
Portanto, precisamos desenhar outra arquitetura:
INTERNET
│
FIREWALL/WAF
│
REDE CORPORATIVA
│
┌────────────┼─────────────┐
│ │ │
▼ ▼ ▼
Windows Linux Kubernetes
│ │ │
├────────────┼─────────────┤
│
API / MQ
│
▼
IBM Z
│
z/OS
┌─────────┼─────────┐
▼ ▼ ▼
CICS IMS USS
│ │ │
└─────────┼─────────┘
▼
COBOL / PL/I
│
┌─────────┼─────────┐
▼ ▼ ▼
Db2 VSAM MQAlfred provavelmente resumiria:
“Senhor, um castelo com cinquenta pontes levadiças continua sendo um castelo. Mas agora temos cinquenta pontes para vigiar.”
🐬 CAPÍTULO 2 — FLIPPER ZERO: O ATAQUE PODE COMEÇAR NO CRACHÁ
O Flipper Zero é uma plataforma portátil para experimentação com diferentes tecnologias de hardware e radiofrequência.
O erro seria olhar para ele e perguntar:
“Como conecto isso ao z/OS?”
Não é essa a principal lição.
Pense no profissional que possui acesso ao mainframe.
Ele pode possuir:
CRACHÁ
│
NOTEBOOK
│
MFA
│
VPN
│
USERID
│
RACF
│
z/OSPercebeu?
A segurança do mainframe pode começar na porta do prédio.
Isso cria três níveis interessantes:
IDENTIDADE FÍSICA
│
▼
IDENTIDADE CORPORATIVA
│
▼
IDENTIDADE MAINFRAMEUm ambiente maduro não deveria simplesmente presumir que as três são automaticamente equivalentes.
O fato de alguém possuir acesso físico não deveria significar automaticamente acesso lógico.
O fato de estar na rede corporativa não deveria significar confiança irrestrita.
E possuir um USERID não deveria significar acesso a qualquer recurso.
Esse princípio será importante durante todo nosso passeio pela Batcaverna.
📻 CAPÍTULO 3 — HACKRF ONE: O MAINFRAME NÃO PRECISA TER UMA ANTENA
O HackRF One nos leva ao universo de software-defined radio.
Mas nosso programador COBOL pergunta:
— Alfred, onde conectamos isso no CICS?
— Em lugar nenhum, espero.
Essa é precisamente a questão.
O risco não precisa existir diretamente no IBM Z.
Pode existir em uma infraestrutura da qual outro sistema depende.
Pense em camadas:
MUNDO FÍSICO
│
RADIOFREQUÊNCIA
│
DISPOSITIVO
│
ENDPOINT
│
REDE
│
APLICAÇÃO
│
MAINFRAMESegurança moderna é uma disciplina de dependências.
Seu COBOL pode ser perfeito.
Seu CICS pode estar corretamente configurado.
Seu RACF pode aplicar regras rigorosas.
Mesmo assim, existe uma pergunta:
o que existe antes deles?
🦆 CAPÍTULO 4 — USB RUBBER DUCKY: QUANDO O TECLADO NÃO TEM DEDOS
Dispositivos USB voltados a testes de segurança demonstram uma ideia fascinante: um computador não sabe necessariamente que existe uma pessoa legítima do outro lado de cada interação com um periférico.
Para nós, entretanto, o importante é o endpoint.
Imagine a estação de um administrador:
┌──────────────────────────────┐
│ NOTEBOOK ADMINISTRATIVO │
│ │
│ VPN │
│ Emulador 3270 │
│ Cliente SSH │
│ Git │
│ Jenkins │
│ Ferramentas administrativas │
│ Navegador │
└──────────────┬───────────────┘
│
▼
z/OSAgora surge uma pergunta maravilhosa para um exercício de segurança:
O que acontece se considerarmos esse notebook não confiável?
Esse é um exercício mental muito melhor do que simplesmente perguntar se RACF é seguro.
Se o endpoint for comprometido, o sistema ainda possui outras barreiras?
Temos MFA?
Privilégio mínimo?
Segmentação?
Sessões administrativas separadas?
Monitoramento?
Expiração?
Auditoria?
Detecção de comportamento anormal?
Alfred anotaria:
“Uma chave excelente continua sendo uma chave, senhor. Convém saber quem está segurando-a.”
🍍 CAPÍTULO 5 — WI-FI PINEAPPLE: NÃO PRECISA EXISTIR WI-FI NO z/OS
Aqui aparece outro erro comum.
— Mainframe não usa Wi-Fi. Portanto, ataques Wi-Fi não são problema de mainframe.
Alfred ergueria uma sobrancelha.
O mainframe pode não utilizar Wi-Fi.
O profissional que acessa o mainframe utiliza.
Considere:
CASA / HOTEL / AEROPORTO
│
Wi-Fi
│
Internet
│
VPN
│
Rede corporativa
│
TN3270/SSH
│
z/OSA superfície de ataque não termina naquilo que está fisicamente conectado ao IBM Z.
Esse conceito é fundamental para Zero Trust.
Em vez de:
DENTRO = CONFIÁVEL
FORA = PERIGOSOpensamos continuamente em identidade, dispositivo, contexto, privilégio e autorização.
🔌 CAPÍTULO 6 — O.MG CABLE: QUANDO ATÉ O CABO ENTRA NO MODELO DE AMEAÇA
Um cabo parece ser um componente passivo.
E exatamente por isso essa categoria de ferramenta é didaticamente maravilhosa.
Ela ensina:
Não confunda aparência física com função lógica.
No ambiente mainframe isso produz perguntas excelentes.
Quem pode conectar dispositivos às estações administrativas?
As portas USB são controladas?
Existem equipamentos pessoais?
Há inventário?
Estações privilegiadas possuem políticas diferentes?
Administradores utilizam a mesma máquina para navegar pela internet e administrar sistemas críticos?
Veja como nosso assunto deixou rapidamente de ser COBOL.
Mas continuará afetando COBOL.
Porque aquela estação pode ser utilizada para alterar código que posteriormente entra em um pipeline:
WORKSTATION
│
▼
Git
│
▼
BUILD
│
▼
TESTES
│
▼
DEPLOY
│
▼
CICS/BATCHEntão surge uma questão ainda mais interessante:
quem alterou o programa?
E depois:
quem aprovou a alteração?
E finalmente:
o código implantado corresponde exatamente ao código aprovado?
Bem-vindo ao DevSecOps no mainframe.
🐇 CAPÍTULO 7 — BASH BUNNY E O PROBLEMA DO ENDPOINT PRIVILEGIADO
Outra classe de dispositivo USB voltada a testes de segurança reforça nossa investigação do endpoint.
O notebook de um desenvolvedor comum pode ter acesso limitado.
Já uma estação administrativa pode concentrar:
VPN
3270
SSH
z/OSMF
Git
Jenkins
Documentação
Scripts
Credenciais
Tokens
Logs
Ferramentas de suporteIsso cria uma concentração de confiança.
Nosso modelo original:
ATACANTE → MAINFRAMEcomeça a parecer ingênuo.
Um modelo mais útil seria:
ATACANTE
│
▼
ENDPOINT
│
▼
IDENTIDADE
│
▼
RELAÇÃO DE CONFIANÇA
│
▼
SERVIÇO AUTORIZADO
│
▼
MAINFRAMEPerceba uma coisa importantíssima:
o objetivo de uma arquitetura segura não é simplesmente impedir a primeira falha.
Devemos presumir que alguma barreira pode falhar.
A pergunta passa a ser:
Se uma camada falhar, quantas outras precisam falhar antes de chegarmos ao dado crítico?
Isso é defesa em profundidade.
📡 CAPÍTULO 8 — PROXMARK3: QUEM É BRUCE WAYNE?
Ferramentas de pesquisa RFID são particularmente interessantes porque nos obrigam a discutir identidade.
Suponha:
BRUCE WAYNE
│
├── crachá físico
│
├── identidade corporativa
│
├── MFA
│
└── RACF USERIDSão quatro coisas relacionadas, mas não necessariamente idênticas.
O sistema precisa determinar:
QUEM É VOCÊ?
│
▼
PODE PROVAR?
│
▼
O QUE PODE FAZER?
│
▼
EM QUAL RECURSO?
│
▼
EM QUAL CONTEXTO?
│
▼
FICOU REGISTRADO?Isso nos leva à diferença essencial entre autenticação e autorização.
Autenticação responde aproximadamente:
Quem está se apresentando?
Autorização responde:
O que essa identidade pode fazer?
E auditoria acrescenta:
O que ela realmente fez?
Para quem começa em mainframe, entender essa diferença cedo evita muita confusão sobre RACF.
🐢 CAPÍTULO 9 — LAN TURTLE: “ESTÁ DENTRO DA REDE” NÃO É CERTIFICADO DE BOA CONDUTA
Durante muito tempo, arquiteturas empresariais trabalharam fortemente com perímetros.
Simplificando:
FIREWALL
│
INTERNET ──┼── EMPRESA
RUIM │ BOMO mundo ficou complicado demais para essa interpretação.
Imagine um dispositivo desconhecido dentro da rede.
A pergunta não é somente:
“Ele consegue chegar diretamente ao z/OS?”
Pergunte também:
“A quais sistemas que conversam com o z/OS ele consegue chegar?”
Por exemplo:
DISPOSITIVO
│
▼
SERVIDOR
│
▼
API
│
▼
MQ
│
▼
CICS
│
▼
COBOL
│
▼
Db2Agora temos uma cadeia de confiança.
E uma das ferramentas intelectuais mais poderosas para um Red Team é justamente desenhar essas cadeias.
🍓 CAPÍTULO 10 — RASPBERRY PI: NÃO JULGUE UMA AMEAÇA PELO TAMANHO
Um Raspberry Pi cabe praticamente na mão.
Mas é um computador.
Isso ensina uma lição simples:
TAMANHO FÍSICO
≠
CAPACIDADE LÓGICAPara defesa corporativa, surgem perguntas:
Quem colocou o equipamento ali?
Está inventariado?
Qual endereço possui?
Em qual segmento está?
Com quais sistemas conversa?
O SOC consegue identificá-lo?
Existe tráfego incomum?
Está executando um serviço autorizado?
Essa mentalidade também vale para VMs, containers, appliances e dispositivos de rede.
O que não conhecemos é difícil proteger.
📶 CAPÍTULO 11 — ALFA WI-FI ADAPTER: DISTÂNCIA NÃO É ISOLAMENTO
Adaptadores wireless especializados lembram que o perímetro físico também não é uma garantia absoluta.
Mas novamente:
não estamos imaginando uma antena conversando magicamente com um programa COBOL.
O encadeamento é mais interessante:
WIRELESS
│
▼
ENDPOINT
│
▼
IDENTIDADE
│
▼
VPN
│
▼
REDE CORPORATIVA
│
▼
GATEWAY
│
▼
z/OSUma vulnerabilidade aparentemente distante pode fazer parte de uma cadeia maior.
Essa palavra merece destaque:
CADEIA
Segurança raramente é apenas uma vulnerabilidade isolada.
🦇 CAPÍTULO 12 — ALFRED DESENHA A BATCAVERNA
Agora podemos juntar tudo.
Antes de testar qualquer coisa, desenhe.
PESSOA
│
▼
CRACHÁ
│
▼
LAPTOP
│
┌────────────┼────────────┐
▼ ▼ ▼
USB Wi-Fi VPN
│
▼
REDE CORPORATIVA
│
┌───────────────────┼─────────────┐
▼ ▼ ▼
TN3270 SSH API
│ │ │
└───────────────────┼─────────────┘
▼
z/OS
│
┌───────────────┼──────────────┐
▼ ▼ ▼
CICS IMS USS
│ │ │
└───────────────┼──────────────┘
▼
COBOL
│
┌──────────┼──────────┐
▼ ▼ ▼
Db2 VSAM MQAgora faça o exercício passo a passo.
Passo 1 — Identifique as identidades
Liste usuários humanos, IDs técnicos, aplicações, serviços e integrações.
Passo 2 — Identifique os caminhos
Quem conversa com quem?
Não olhe somente para Internet → z/OS.
Olhe lateralmente.
Passo 3 — Identifique privilégios
Pergunte:
“Se esta identidade for comprometida, até onde ela chega?”
Essa pergunta é extraordinariamente poderosa.
Passo 4 — Procure confiança implícita
Algo recebe privilégios simplesmente porque está “dentro”?
Existe aplicação confiando cegamente em outra aplicação?
Passo 5 — Procure concentração
Um único notebook possui acesso a dezenas de ambientes?
Um único ID possui privilégios demais?
Uma conta técnica é utilizada por várias aplicações?
Passo 6 — Procure evidências
Se algo acontecer, conseguimos reconstruir a história?
E aqui Alfred finalmente conhece um senhor bastante antigo.
Seu nome é SMF.
📜 CAPÍTULO 13 — SMF, O DIÁRIO SECRETO DA BATCAVERNA
Security Information and Event Management, observabilidade e análise forense dependem de evidências.
Imagine um incidente hipotético:
03:17 comportamento anormal no endpoint
03:19 autenticação VPN
03:22 conexão interna
03:24 autenticação no host
03:27 acesso incomum
03:29 transação CICS
03:31 atividade de dados
03:35 alerta de segurançaNenhum evento sozinho necessariamente explica tudo.
Mas podemos correlacionar:
EDR
│
Firewall
│
VPN
│
IDS
│
RACF
│
SMF
│
CICS
│
Db2
│
MQ
▼
TIMELINEÉ aqui que monitoramento deixa de ser simplesmente:
CPU = 35%e passa a responder:
O QUE ACONTECEU?
QUEM FEZ?
QUANDO?
DE ONDE?
USANDO QUAL IDENTIDADE?
EM QUAL RECURSO?
QUAL FOI O RESULTADO?O SMF não é apenas algo que existe para produzir relatórios que ninguém lê.
Em uma investigação, seus registros podem participar da reconstrução histórica do ambiente.
🔐 CAPÍTULO 14 — RACF NÃO É O BATMAN
RACF é extremamente importante.
Mas transformar RACF em uma espécie de super-herói mágico é um erro conceitual.
Pense:
RACF
│
┌───────┼────────┐
▼ ▼ ▼
USERID GRUPO RECURSOEle participa de autenticação, autorização e controle de acesso dentro de sua arquitetura.
Mas existe uma questão desconfortável.
Imagine que:
USERID legítimo
+
autenticação válida
+
privilégio autorizadoestejam sendo utilizados em uma situação indevida.
Do ponto de vista de um sistema isolado, isso pode parecer atividade legítima.
Por isso precisamos de várias camadas:
IDENTIDADE
+
MFA
+
ENDPOINT SECURITY
+
SEGMENTAÇÃO
+
LEAST PRIVILEGE
+
LOGGING
+
DETECÇÃO
+
CORRELAÇÃO
+
RESPOSTAA segurança emerge do conjunto.
Não de uma única ferramenta.
💻 CAPÍTULO 15 — E O QUE O PROGRAMADOR COBOL TEM A VER COM ISSO?
Tudo.
Imagine:
EXEC CICS
READ FILE('CLIENTES')
INTO(WS-CLIENTE)
END-EXEC.Para o iniciante, existe apenas:
PROGRAMA → ARQUIVOAlfred pediria que olhássemos novamente.
Quem chamou a transação?
Qual identidade?
Qual terminal ou aplicação?
De onde veio a solicitação?
A transação deveria acessar aquele registro?
Qual autorização existe?
O acesso é registrado?
Existe dado sensível?
O programa valida corretamente a entrada?
Há tratamento de erro?
Existe commit ou rollback apropriado?
O comportamento incomum seria detectado?
Agora aquele pequeno READ tornou-se parte de uma arquitetura empresarial.
Essa mudança de mentalidade diferencia:
“Eu sei COBOL.”
de:
“Eu entendo como minha aplicação COBOL participa de um sistema crítico.”
🛡️ CAPÍTULO 16 — DEFESA EM PROFUNDIDADE
Imagine dez portas entre Gotham e a Batcaverna.
Uma arquitetura frágil diz:
Ninguém conseguirá abrir a porta número 1.
Uma arquitetura resiliente pergunta:
O que acontece quando a porta número 1 inevitavelmente for aberta?
Esse é o espírito da defesa em profundidade.
ATACANTE
│
▼
[BARREIRA 1] Segurança física
│
▼
[BARREIRA 2] Endpoint
│
▼
[BARREIRA 3] Identidade/MFA
│
▼
[BARREIRA 4] Rede
│
▼
[BARREIRA 5] Segmentação
│
▼
[BARREIRA 6] RACF/SAF
│
▼
[BARREIRA 7] Aplicação
│
▼
[BARREIRA 8] Dados
│
▼
[BARREIRA 9] Logging
│
▼
[BARREIRA 10] Detecção e respostaAgora temos uma arquitetura na qual uma falha não precisa significar catástrofe.
🕵️ CAPÍTULO 17 — RED TEAM MAINFRAME: NÃO COMECE PELO EXPLOIT
Aqui está talvez a maior lição de toda a conversa.
Um exercício defensivo sério não deveria começar necessariamente com:
“Qual vulnerabilidade existe no z/OS?”
Comece desenhando:
ASSETS
↓
IDENTITIES
↓
TRUST
↓
PATHS
↓
PRIVILEGES
↓
CONTROLS
↓
LOGS
↓
DETECTIONPergunte:
Quem possui acesso privilegiado?
Como esses profissionais chegam ao ambiente?
Quais estações utilizam?
Existe acesso remoto?
Quais aplicações distribuídas conversam com o host?
Existem APIs?
MQ?
SSH?
TN3270?
USS?
Pipelines DevOps?
Contas técnicas?
Credenciais antigas?
IDs compartilhados?
Privilégios acumulados?
Ambientes DEV, TEST e PROD estão adequadamente separados?
E então faça minha pergunta favorita:
Se eu considerar um componente já comprometido, qual é a próxima barreira?
Essa pergunta transforma completamente a análise.
🧠 CAPÍTULO 18 — A DÉCIMA PRIMEIRA FERRAMENTA
Voltamos finalmente à imagem que iniciou nossa investigação.
Ela mostrava dez ferramentas.
Mas Alfred percebeu que faltava uma.
Não cabia numa mochila.
Não tinha USB.
Não tinha antena.
Não precisava de bateria.
Era:
CONHECIMENTO DA ARQUITETURA
Um especialista que compreende:
Windows
│
AD / IdP
│
VPN
│
Firewall
│
Git
│
CI/CD
│
API
│
MQ
│
z/OSMF
│
SSH
│
TN3270
│
RACF
│
CICS
│
IMS
│
USS
│
COBOL
│
Db2 / VSAMpossui algo extraordinariamente importante:
um mapa.
E Batman sabe muito bem:
não adianta possuir o melhor equipamento do mundo se você não sabe onde está.
🦇 CAPÍTULO 19 — O SEGREDO QUE ALFRED JÁ SABIA
O jovem programador terminou de examinar os logs.
Olhou para Alfred.
— Então nosso maior problema não é necessariamente alguém quebrar o RACF?
— Correto.
— Nem descobrir uma vulnerabilidade milagrosa no COBOL?
— Também não.
— Então qual é?
Alfred apontou para a arquitetura.
PESSOA
│
DISPOSITIVO
│
IDENTIDADE
│
REDE
│
APLICAÇÃO
│
MAINFRAME
│
DADOS— Confiança, senhor.
Essa talvez seja a palavra mais importante deste artigo.
Toda arquitetura possui relações de confiança.
O usuário confia no notebook.
A empresa confia no dispositivo.
A VPN confia na autenticação.
A aplicação confia em uma identidade.
Um serviço confia em outro serviço.
CICS confia em determinadas condições.
O sistema de segurança aplica autorizações.
O programa processa a requisição.
O banco devolve o dado.
Segurança consiste, em grande parte, em descobrir onde essa confiança existe, por que existe e o que acontece quando ela é abusada.
🥚 EASTER EGG — 03:17
E quanto ao horário do incidente?
03:17.
O jovem finalmente perguntou:
— Alfred, por que todos esses incidentes parecem acontecer às 03:17?
Alfred terminou o café.
— Porque às 03:16 todos os dashboards ainda estavam verdes, senhor.
Silêncio.
No monitor apareceu:
ICH408IAlfred olhou para Batman.
Batman olhou para Alfred.
O programador COBOL olhou para o JCL.
E alguém finalmente perguntou aquilo que deveria ter sido perguntado no começo:
“De onde veio essa sessão?”
☕ EPÍLOGO — O MAINFRAME MAIS SEGURO DO MUNDO AINDA POSSUI UMA PORTA
As dez ferramentas da imagem são interessantes.
Mas o maior aprendizado não está nos gadgets.
Está na arquitetura.
Flipper Zero nos fez pensar em identidade física.
HackRF One nos fez pensar nas dependências externas.
USB Rubber Ducky e Bash Bunny colocaram o endpoint sob suspeita.
Wi-Fi Pineapple mostrou que o mainframe não precisa possuir Wi-Fi para que wireless faça parte do risco.
O.MG Cable mostrou que objetos aparentemente passivos podem entrar no modelo de ameaça.
Proxmark3 nos levou à identidade.
LAN Turtle colocou em dúvida a velha confiança automática na rede interna.
Raspberry Pi mostrou que tamanho físico não determina capacidade.
Adaptadores Wi-Fi nos lembraram que distância física não equivale necessariamente a isolamento.
E então chegamos ao IBM Z.
Encontramos RACF, SAF, TCP/IP, SSH, TN3270, USS, CICS, IMS, Db2, MQ e SMF.
Descobrimos que segurança de mainframe não significa construir um muro gigantesco ao redor de COBOL.
Significa compreender o ecossistema inteiro.
Para quem está começando, guarde este mapa:
SEGURANÇA MAINFRAME
PESSOA
│
▼
IDENTIDADE
│
▼
ENDPOINT
│
▼
REDE
│
▼
SERVIÇOS
│
▼
RACF / SAF
│
▼
CICS / IMS / USS
│
▼
COBOL
│
▼
Db2 / VSAM / MQ
│
▼
DADO
│
▼
SMF / AUDITORIA
│
▼
DETECÇÃO/RESPOSTAE toda vez que alguém disser:
“O mainframe é seguro.”
Não responda imediatamente que sim.
Também não responda que não.
Faça como Alfred Pennyworth.
Sirva o café.
Olhe calmamente para a arquitetura.
E pergunte:
“Seguro contra quem, senhor? Usando qual identidade, entrando por qual caminho, com qual privilégio — e quem perceberá quando alguma coisa sair do normal?”
Porque depois de décadas de evolução tecnológica, bilhões de transações, COBOL, CICS, IMS, Db2, MQ, RACF, SMF, APIs, cloud, DevOps, Zero Trust e inteligência artificial, continuamos chegando a uma verdade desconfortavelmente simples:
não basta proteger o mainframe.
É preciso proteger a confiança que leva até ele.
E talvez essa seja justamente a lição que Alfred tentaria ensinar a Batman antes de deixá-lo sair da Batcaverna com dez gadgets pendurados no cinto.
☕🦇 Bellacosa Mainframe — porque às 03:17 o problema raramente começa onde o ABEND aparece.
