Integrar IBM RACF con IBM QRadar utilizando scripts de auditoría

IBM® RACF® DSM recopila sucesos y transacciones de auditoría en el mainframe de IBM con el protocolo de archivo de registro.

QRadar registra toda la información relevante y disponible del suceso.

Nota: La integración de zSecure es la única integración que proporciona sucesos personalizados al origen de registro. Los sucesos personalizados se pueden visualizar incluso cuando recopile sucesos utilizando la integración QEXRACF nativa.

Utilice el procedimiento siguiente para integrar los sucesos de IBM RACF en QRadar:

  1. El sistema principal IBM registra todos los sucesos de seguridad como registros de Service Management Framework (SMF) en un repositorio activo.
  2. A medianoche, los datos de IBM RACF se extraen del repositorio activo utilizando el programa de utilidad de volcado SMF. El programa de utilidad RACFICE IRRADU00 (un programa de utilidad IBM ) crea un archivo de registro que contiene todos los sucesos y campos del día anterior en un formato de registro SMF.
  3. El programa QEXRACF extrae datos del archivo con formato SMF. El programa sólo extrae los sucesos y campos relevantes para QRadar y escribe esa información en un formato condensado para la compatibilidad. La información también se guarda en una ubicación a la que QRadarpuede acceder.
  4. QRadar utiliza el origen de protocolo de archivo de registro para extraer el archivo de salida QEXRACF y recupera la información de forma planificada. A continuación, QRadar importa y procesa este archivo.