監査スクリプトを使用してIBM QRadarとの統合を行う Broadcom CA Top Secret の構成

Broadcom CA Top Secret DSM は、ログ・ファイル・プロトコルを使用して、 IBM® メインフレーム上のイベントおよび監査トランザクションを収集します。

手順

  1. IBM サポート Web サイト (http://www.ibm.com/support)から、以下の圧縮ファイルをダウンロードします。

    qextops_bundled.tar.gz

  2. Linux® オペレーティング・システムの場合は、以下のファイルを解凍します。

    tar -zxvf qextops_bundled.tar.gz

    アーカイブには、以下のファイルが含まれています。

    • qextops_jcl.txt
    • qextopsloadlib.trs
    • qextops_trsmain_JCL.txt
  3. 任意の端末エミュレーター・ファイル転送方式を使用して、ファイルを IBM メインフレームにロードします。

    TEXT プロトコルを使用して、サンプルの qextops_trsmain_JCL.txt ファイルと qextops_jcl.txt ファイルをアップロードします。

  4. BINARY モード転送を使用して qextopsloadlib.trs ファイルをアップロードします。 qextopsloadlib.trs ファイルは、実行可能ファイル (メインフレーム・プログラム qextops) が含まれている簡潔なファイルです。 .trs ファイルをワークステーションからアップロードするときに、DCB 属性 DSORG=PS、RECFM=FB、LRECL=1024、BLKSIZE=6144 を使用して、メインフレーム上でファイルを事前割り振りします。 ファイル転送タイプは、テキストではなくバイナリー・モードでなければなりません。
    注: Qextops は、TSSUTIL (EARLOUT データ) の出力を 1 行ずつ読み取る小さな C メインフレーム・プログラムです。 Qextops は、イベント情報 (例えば、レコード記述子、日付、時刻) が含まれているヘッダーを各レコードに追加します。 このプログラムは各フィールドを出力レコードに書き込み、末尾ブランク文字を抑止し、各フィールドをパイプ文字で区切ります。 この出力ファイルはQRadar用にフォーマットされており、空白の抑制はネットワークトラフィックをQRadarに減らします。 このプログラムは、CPU や I/O ディスクのリソースを消費しません。
  5. ご使用のシステム固有の要件に応じて、 qextops_trsmain_JCL.txt ファイルをカスタマイズします。

    qextops_trsmain_JCL.txt ファイルは、 IBM ユーティリティー TRSMAIN を使用して、 qextopsloadlib.trs ファイルに保管されているプログラムを抽出します。

    qextops_trsmain_JCL.txt ファイルの例を以下に示します。

    //TRSMAIN JOB (yourvalidjobcard),Q1labs,
// MSGCLASS=V
//DEL EXEC PGM=IEFBR14
//D1 DD DISP=(MOD,DELETE),DSN=<yourhlq>.QEXTOPS.TRS
// UNIT=SYSDA,
// SPACE=(CYL,(10,10))
//TRSMAIN EXEC PGM=TRSMAIN,PARM='UNPACK'
//SYSPRINT DD SYSOUT=*,DCB=(LRECL=133,BLKSIZE=12901,RECFM=FBA)
//INFILE DD DISP=SHR,DSN=<yourhlq>.QEXTOPS.TRS
//OUTFILE DD DISP=(NEW,CATLG,DELETE),
// DSN=<yourhlq>.LOAD,
// SPACE=(CYL,(10,10,5),RLSE),UNIT=SYSDA
//

    このファイルは、インストール済み環境固有のパラメーター向け情報 (ジョブカード、データ・セット命名規則、出力宛先、保存期間、スペース所要量など) で更新する必要があります。

    .trs 入力ファイルは IBM TERSE 形式のライブラリーであり、TRSMAIN を呼び出す JCL を実行することによって抽出されます。 この簡潔なファイルは抽出時に、qextops プログラムをメンバーとして持つ PDS LINKLIB を作成します。

  6. STEPLIB をこのライブラリーに対して実行するか、または LINKLST 内にある LINKLIB の 1 つにこのプログラムを移動することを選択できます。 このプログラムには許可は必要ありません。
  7. アップロード後に、プログラムを既存のリンク・リスト・ライブラリーにコピーするか、またはプログラムが含まれるライブラリーの、正しいデータ・セット名を持つ STEPLIB DD ステートメントを追加します。
  8. qextops_jcl.txt ファイルは、サンプル JCL を含むテキスト・ファイルです。 構成を満たすようにジョブ・カードを構成する必要があります。

    qextops_jcl.txt サンプル・ファイルには、以下が含まれています。

    //QEXTOPS JOB (T,JXPO,JKSD0093),DEV,NOTIFY=Q1JACK,
// MSGCLASS=P,
// REGION=0M
//*
//*QEXTOPS JCL version 1.0 September, 2010
//*
//*************************************************************
//* Change below dataset names to sites specific datasets names*
//************************************************************
//SET1 SET TSSOUT='Q1JACK.EARLOUT.ALL',
// EARLOUT='Q1JACK.QEXTOPS.PROGRAM.OUTPUT'
//************************************************************
//* Delete old datasets *
//************************************************************//
    DEL EXEC PGM=IEFBR14
//DD1 DD DISP=(MOD,DELETE),DSN=&TSSOUT,
// UNIT=SYSDA,
// SPACE=(CYL,(10,10)),
// DCB=(RECFM=FB,LRECL=80)
//DD2 DD DISP=(MOD,DELETE),DSN=&EARLOUT,
// UNIT=SYSDA,
// SPACE=(CYL,(10,10)),
// DCB=(RECFM=FB,LRECL=80)
//************************************************************
//* Allocate new dataset *
//************************************************************
//ALLOC EXEC PGM=IEFBR14
//DD1 DD DISP=(NEW,CATLG),DSN=&EARLOUT,
// SPACE=(CYL,(100,100)),
// DCB=(RECFM=VB,LRECL=1028,BLKSIZE=6144)
//************************************************************
//* Execute Top Secret TSSUTIL utility to extract smf records*
//************************************************************
//REPORT EXEC PGM=TSSUTIL
//SMFIN DD DISP=SHR,DSN=&SMFIN1
//SMFIN1 DD DISP=SHR,DSN=&SMFIN2
//UTILOUT DD DSN=&UTILOUT,
// DISP=(,CATLG),UNIT=SYSDA,SPACE=(CYL,(50,10),RLSE),
// DCB=(RECFM=FB,LRECL=133,BLKSIZE=0)
//EARLOUT DD DSN=&TSSOUT,
// DISP=(NEW,CATLG),UNIT=SYSDA,
// SPACE=(CYL,(200,100),RLSE),
// DCB=(RECFM=VB,LRECL=456,BLKSIZE=27816)
//UTILIN DD *
NOLEGEND
REPORT EVENT(ALL) END
/*
//************************************************************
//EXTRACT EXEC PGM=QEXTOPS,DYNAMNBR=10,
// TIME=1440
//STEPLIB DD DISP=SHR,DSN=Q1JACK.C.LOAD
//SYSTSIN DD DUMMY
//SYSTSPRT DD SYSOUT=*
//SYSPRINT DD SYSOUT=*
//CFG DD DUMMY
//EARLIN DD DISP=SHR,DSN=&TSSOUT
//EARLOUT DD DISP=SHR,DSN=&EARLOUT
//************************************************************
//FTP EXEC PGM=FTP,REGION=3800K
//INPUT DD *
<IPADDR>
<USER>
<PASSWORD>
PUT '<EARLOUT>' EARL_<THEIPOFTHEMAINFRAMEDEVICE>/<QUIT
//OUTPUT DD SYSOUT=*
//SYSPRINT DD SYSOUT=*
  9. 出力ファイルを作成した後に、出力ファイルを一時 FTP サーバーに転送するジョブをスケジュールします。 出力ファイルは一時 FTP サーバーに転送されます。

    出力を一時 FTP サーバーに正常に転送するために、サンプル JCL で以下のパラメーターを構成する必要があります。

    例:
    //FTP EXEC PGM=FTP,REGION=3800K
//INPUT DD *
<IPADDR>
<USER>
<PASSWORD>
PUT '<EARLOUT>' EARL_<THEIPOFTHEMAINFRAMEDEVICE>/<EARLOUT>
QUIT
//OUTPUT DD SYSOUT=*
//SYSPRINT DD SYSOUT=*

    各項目の意味は次のとおりです。

    <IPADDR> は、出力ファイルを受信するための中間 FTP サーバーの IP アドレスまたはホスト名です。

    <USER> は、暫定 FTP サーバーにアクセスするために必要なユーザー名です。

    <PASSWORD> は、暫定 FTP サーバーにアクセスするために必要なパスワードです。

    <THEIPOFTHEMAINFRAMEDEVICE> は、出力を受信するメインフレームまたは暫定 FTP サーバーの宛先です。

    例:
    PUT 'xxxxxx.xxxxxxx.OUTPUT.C320' /<IP_address>/CA/QEXTOPS.OUTPUT.C320

    <QEXOUTDSN> は、一時 FTP サーバーに保存される出力ファイルの名前です。

    これで、ログ・ファイル・プロトコルを構成する準備ができました。

  10. CA Top Secretから出力ファイルを収集するように QRadar をスケジュールします。

    zOS プラットフォームが FTP または SFTP を介してファイルを提供するように構成されている場合、または SCP を許可するように構成されている場合、一時 FTP サーバーは不要であり、 QRadar は出力ファイルをメインフレームから直接プルできます。 以下のテキストは、 //* を使用してコメント化するか、 qextops_jcl.txt fileから削除する必要があります。

    //FTP EXEC PGM=FTP,REGION=3800K
//INPUT DD *
<IPADDR>
<USER>
<PASSWORD>
PUT '<EARLOUT>' EARL_<THEIPOFTHEMAINFRAMEDEVICE>/<EARLOUT>
QUIT
//OUTPUT DD SYSOUT=*
//SYSPRINT DD SYSOUT=*

次に実行するタスク

これで、 QRadarでログ・ソースを構成する準備ができました。