IBM QRadar と統合するために監査スクリプトを使用するように Broadcom CA ACF2 を構成

IBM QRadar は、ログ・ファイル・プロトコルを使用して収集された Broadcom CA ACF2 インストール済み環境からのイベントを監査するためにスクリプトを使用します。

手順

  1. IBM® サポート Web サイト (http://www.ibm.com/support) から、次の圧縮ファイルをダウンロードします:

    qexacf2_bundled.tar.gz

  2. Linux® オペレーティング・システムの場合は、以下のファイルを解凍します。

    tar -zxvf qexacf2_bundled.tar.gz

    アーカイブには、以下のファイルが含まれています。
    • QexACF2.JCL.txt - ジョブ制御言語ファイル
    • QexACF2.load.trs -圧縮プログラム・ライブラリー ( IBM TRSMAIN が必要)
    • trsmain sample JCL.txt - TRSMAIN が .trs ファイルを圧縮解除するためのジョブ制御言語
  3. 以下の方法を使用して、ファイルを IBM メインフレームにロードします。

    TEXT プロトコルを使用して、サンプルの QexACF2_trsmain_JCL.txt ファイルおよび QexACF2.JCL.txt ファイルをアップロードします。

  4. BINARY モード転送を使用して QexACF2.load.trs ファイルをアップロードし、事前割り振りデータ・セットに追加します。 QexACF2.load.trs ファイルは、実行可能ファイル (メインフレーム・プログラム QexACF2) が含まれている簡潔なファイルです。 .trs ファイルをワークステーションからアップロードするときに、DCB 属性 DSORG=PS、RECFM=FB、LRECL=1024、BLKSIZE=6144 を使用して、メインフレーム上でファイルを事前割り振りします。 ファイル転送タイプは、テキストではなくバイナリー・モードでなければなりません。
    注: QexACF2 は、TSSUTIL (EARLOUT データ) の出力を 1 行ずつ読み取る小さな C メインフレーム・プログラムです。 QexACF2 は、イベント情報 (例えば、レコード記述子、日付、時刻) が含まれているヘッダーを各レコードに追加します。 このプログラムは各フィールドを出力レコードに書き込み、末尾ブランク文字を抑止し、各フィールドをパイプ文字で区切ります。 この出力ファイルは QRadar 用にフォーマットされ、ブランク抑止によって QRadarへのネットワーク・トラフィックが削減されます。 このプログラムは、CPU や I/O ディスクのリソースを消費しません。
  5. ご使用のシステム固有のパラメーターに従って、 trsmain sample_JCL.txt ファイルをカスタマイズします。
    例: ジョブ・カード、データ・セット命名規則、出力宛先、保存期間、およびスペース所要量。

    trsmain sample_JCL.txt ファイルは、 IBM ユーティリティー TRSMAIN を使用して、 QexACF2.load.trs ファイルに保管されているプログラムを抽出します。

    QexACF2_trsmain_JCL.txt ファイルの例として、以下の情報が含まれています。

    //TRSMAIN JOB (yourvalidjobcard),Q1labs,
// MSGCLASS=V
//DEL EXEC PGM=IEFBR14
//D1 DD DISP=(MOD,DELETE),DSN=<yourhlq>.QEXACF2.LOAD.TRS
// UNIT=SYSDA,
// SPACE=(CYL,(10,10))
//TRSMAIN EXEC PGM=TRSMAIN,PARM='UNPACK'
//SYSPRINT DD SYSOUT=*,DCB=(LRECL=133,BLKSIZE=12901,RECFM=FBA)
//INFILE DD DISP=SHR,DSN=<yourhlq>.QEXACF2.LOAD.TRS
//OUTFILE DD DISP=(NEW,CATLG,DELETE),
// DSN=<yourhlq>.LOAD,
// SPACE=(CYL,(10,10,5),RLSE),UNIT=SYSDA
//

    .trs 入力ファイルは IBM TERSE 形式のライブラリーであり、TRSMAIN を呼び出す JCL を実行することによって抽出されます。 この簡潔なファイルは抽出時に、QexACF2 プログラムをメンバーとして持つ PDS LINKLIB を作成します。

  6. STEPLIB をこのライブラリーに対して実行するか、または LINKLST 内にある LINKLIB の 1 つにこのプログラムを移動することを選択できます。 このプログラムには許可は必要ありません。
  7. アップロード後に、プログラムを既存のリンク・リスト・ライブラリーにコピーするか、またはプログラムを含むことになるライブラリーの、正しいデータ・セット名を持つ STEPLIB DD ステートメントを追加します。
  8. QexACF2_jcl.txt ファイルは、サンプル JCL を含むテキスト・ファイルです。 構成を満たすようにジョブ・カードを構成する必要があります。

    QexACF2_jcl.txt サンプル・ファイルには、以下が含まれています。

    //QEXACF2 JOB (T,JXPO,JKSD0093),DEV,NOTIFY=Q1JACK,
// MSGCLASS=P,
// REGION=0M
//*
//*QEXACF2 JCL VERSION 1.0 OCTOBER, 2010
//* 
//************************************************************
//* Change below dataset names to sites specific datasets names*
    //QEXACF2 JOB (T,JXPO,JKSD0093),DEV,NOTIFY=Q1JACK,
// MSGCLASS=P,
// REGION=0M
//*
//*QEXACF2 JCL VERSION 1.0 OCTOBER, 2010
//*
//************************************************************
//* Change below dataset names to sites specific datasets names*
//************************************************************
//SET1 SET SMFIN='MVS1.SMF.RECORDS(0)',
// QEXOUT='Q1JACK.QEXACF2.OUTPUT',
// SMFOUT='Q1JACK.ACF2.DATA'
//************************************************************
//* Delete old datasets *
//************************************************************
//DEL EXEC PGM=IEFBR14
//DD1 DD DISP=(MOD,DELETE),DSN=&SMFOUT,
// UNIT=SYSDA,
// SPACE=(CYL,(10,10)),
// DCB=(RECFM=FB,LRECL=80)
//DD2 DD DISP=(MOD,DELETE),DSN=&QEXOUT,
// UNIT=SYSDA,
// SPACE=(CYL,(10,10)),
// DCB=(RECFM=FB,LRECL=80)
//*************************************************************
//* Allocate new dataset *
//*************************************************************
//ALLOC EXEC PGM=IEFBR14
//DD1 DD DISP=(NEW,CATLG),DSN=&QEXOUT,
// SPACE=(CYL,(100,100)),
// DCB=(RECFM=VB,LRECL=1028,BLKSIZE=6144)
//*************************************************************
//* Execute ACFRPTPP (Report Preprocessor GRO) to extract ACF2*
//* SMF records *
//*************************************************************
//PRESCAN EXEC PGM=ACFRPTPP
//SYSPRINT DD SYSOUT=*
//SYSUDUMP DD SYSOUT=*
//RECMAN1 DD DISP=SHR,DSN=&SMFIN
//SMFFLT DD DSN=&SMFOUT,SPACE=(CYL,(100,100)),DISP=(,CATLG),
// DCB=(RECFM=FB,LRECL=8192,BLKSIZE=40960),
// UNIT=SYSALLDA
//************************************************************
//* execute QEXACF2 *
//************************************************************
//EXTRACT EXEC PGM=QEXACF2,DYNAMNBR=10,
// TIME=1440
//STEPLIB DD DISP=SHR,DSN=Q1JACK.C.LOAD
//SYSTSIN DD DUMMY
    //SYSTSPRT DD SYSOUT=*
//SYSPRINT DD SYSOUT=*
//CFG DD DUMMY
//ACFIN DD DISP=SHR,DSN=&SMFOUT
//ACFOUT DD DISP=SHR,DSN=&QEXOUT
//************************************************************
//FTP EXEC PGM=FTP,REGION=3800K
//INPUT DD *
<IPADDR>
<USER>
<PASSWORD>
PUT '<ACFOUT>' EARL_<THEIPOFTHEMAINFRAMEDEVICE>/<ACFOUT>
QUIT
//OUTPUT DD SYSOUT=*
//SYSPRINT DD SYSOUT=*
//*
  9. 出力ファイルを作成した後に、出力ファイルを一時 FTP サーバーに転送するジョブをスケジュールします。 出力ファイルは一時 FTP サーバーに転送されます。

    出力を一時 FTP サーバーに正常に転送するために、サンプル JCL で以下のパラメーターを構成する必要があります。

    例:
    //FTP EXEC PGM=FTP,REGION=3800K
//INPUT DD *
<IPADDR>
<USER>
<PASSWORD>
PUT '<ACFOUT' EARL_<THEIPOFTHEMAINFRAMEDEVICE>/<ACFOUT>
QUIT
//OUTPUT DD SYSOUT=*
//SYSPRINT DD SYSOUT=*

    各項目の意味は次のとおりです。

    <IPADDR> は、出力ファイルを受信するための中間 FTP サーバーの IP アドレスまたはホスト名です。

    <USER> は、暫定 FTP サーバーにアクセスするために必要なユーザー名です。

    <PASSWORD> は、暫定 FTP サーバーにアクセスするために必要なパスワードです。

    <THEIPOFTHEMAINFRAMEDEVICE> は、出力を受信するメインフレームまたは暫定 FTP サーバーの宛先です。

    例:
    PUT 'xxxxxx.xxxxxxx.OUTPUT.C320' /<IP_address>/ACF2/QEXACF2.OUTPUT.C320

    <QEXOUTDSN> は、一時 FTP サーバーに保存される出力ファイルの名前です。

    これで、ログ・ファイル・プロトコルを構成する準備ができました。

  10. CA ACF2から出力ファイルを取得するように QRadar をスケジュールします。

    zOS プラットフォームが FTP または SFTP を介してファイルを提供するように構成されている場合、または SCP を許可するように構成されている場合、一時 FTP サーバーは不要であり、 QRadar は出力ファイルをメインフレームから直接プルできます。 以下のテキストは、 //* を使用してコメント化するか、 QexACF2_jcl.txt fileから削除する必要があります。

    //FTP EXEC PGM=FTP,REGION=3800K
//INPUT DD *
<IPADDR>
<USER>
<PASSWORD>
PUT '<ACFOUT>' EARL_<THEIPOFTHEMAINFRAMEDEVICE>/<ACFOUT>
QUIT
//OUTPUT DD SYSOUT=*
//SYSPRINT DD SYSOUT=*

次に実行するタスク

これで、 QRadarでログ・ソースを構成する準備ができました。