Intégration d' IBM RACF à IBM QRadar à l'aide de scripts d'audit

Le DSM IBM® RACF® collecte les événements et les transactions d'audit sur le mainframe IBM avec le protocole Log File.

QRadar enregistre toutes les informations pertinentes et disponibles de l'évènement.

Remarque: l'intégration zSecure est la seule intégration qui fournit des événements personnalisés à la source de journal. Les événements personnalisés peuvent être affichés même lorsque vous collectez des événements à l'aide de l'intégration QEXRACF native.

Utilisez la procédure suivante pour intégrer les événements IBM RACF dans QRadar:

  1. Le système mainframe IBM enregistre tous les événements de sécurité en tant qu'enregistrements Service Management Framework (SMF) dans un référentiel opérationnel.
  2. A minuit, les données IBM RACF sont extraites du référentiel opérationnel à l'aide de l'utilitaire de vidage SMF. L'utilitaire RACFICE IRRADU00 (un utilitaire IBM ) crée un fichier journal contenant tous les événements et les zones du jour précédent dans un format d'enregistrement SMF.
  3. Le programme QEXRACF extrait les données du fichier au format SMF. Le programme extrait uniquement les événements et zones pertinents pour QRadar et écrit ces informations dans un format condensé à des fins de compatibilité. Les informations sont également sauvegardées dans un emplacement accessible par QRadar.
  4. QRadar utilise la source de protocole de fichier journal pour extraire le fichier de sortie QEXRACF et extrait les informations de manière planifiée. QRadar importe et traite ensuite ce fichier.