監査スクリプトを使用した IBM RACF と IBM QRadar の統合

IBM® RACF® DSM は、ログ・ファイル・プロトコルを使用して、 IBM メインフレーム上でイベントおよび監査トランザクションを収集します。

QRadar は、イベントからの入手可能な関連情報をすべて記録します。

注: zSecure 統合は、ログ・ソースにカスタム・イベントを提供する唯一の統合です。 カスタム・イベントは、ネイティブの QEXRACF 統合を使用してイベントを収集するときにも表示できます。

以下の手順を使用して、 IBM RACF イベントを QRadarに統合します。

  1. IBM メインフレーム・システムは、すべてのセキュリティー・イベントを Service Management Framework (SMF) レコードとしてライブ・リポジトリーに記録します。
  2. 深夜 12 時に、SMF ダンプ・ユーティリティーを使用して IBM RACF データがライブ・リポジトリーから抽出されます。 RACFICE ユーティリティー IRRADU00 ( IBM ユーティリティー) は、前日のすべてのイベントおよびフィールドを SMF レコード・フォーマットで含むログ・ファイルを作成します。
  3. QEXRACF プログラムが、SMF 形式ファイルからデータをプルします。 プログラムは、 QRadar の関連するイベントおよびフィールドのみをプルし、互換性のためにその情報を圧縮形式で書き込みます。 この情報は、 QRadarがアクセスできる場所にも保存されます。
  4. QRadar は、ログ・ファイル・プロトコル・ソースを使用して QEXRACF 出力ファイルをプルし、スケジュールに基づいて情報を取得します。 その後、 QRadar はこのファイルをインポートして処理します。