Integration von IBM RACF mit IBM QRadar mithilfe von Prüfscripts

IBM® RACF® DSM erfasst Ereignisse und Prüftransaktionen auf dem IBM Mainframe mit dem Protokolldateiprotokoll.

QRadar zeichnet alle relevanten und verfügbaren Informationen aus dem Ereignis auf.

Hinweis: Die zSecure -Integration ist die einzige Integration, die angepasste Ereignisse für die Protokollquelle bereitstellt. Angepasste Ereignisse können auch dann angezeigt werden, wenn Sie Ereignisse mithilfe der nativen QEXRACF-Integration erfassen.

Verwenden Sie die folgende Prozedur, um IBM RACF -Ereignisse in QRadarzu integrieren:

  1. Das IBM Mainframesystem zeichnet alle Sicherheitsereignisse als SMF-Datensätze ( Service Management Framework ) in einem Live-Repository auf.
  2. Um Mitternacht werden die IBM RACF -Daten aus dem Live-Repository mithilfe des SMF-Speicherauszugsdienstprogramms extrahiert. Das RACFICE-Dienstprogramm IRRADU00 (ein IBM Dienstprogramm) erstellt eine Protokolldatei, die alle Ereignisse und Felder des Vortags in einem SMF-Satzformat enthält.
  3. Das Programm QEXRACF extrahiert Daten aus der SMF-formatierten Datei. Das Programm extrahiert nur die relevanten Ereignisse und Felder für QRadar und schreibt diese Informationen aus Kompatibilitätsgründen in ein komprimiertes Format. Die Informationen werden auch an einer Position gespeichert, auf die QRadarzugreifen kann.
  4. QRadar verwendet die Protokollquelle Log File, um die QEXRACF-Ausgabedatei zu extrahieren, und ruft die Informationen auf einer geplanten Basis ab. QRadar importiert und verarbeitet dann diese Datei.