IBM QRadar と統合するための IBM i の構成

IBM i を IBM QRadarと統合できます。

1. IBM® Fix Central (http://www.ibm.com/support/fixcentral) から、次のファイルをダウンロードします:

   AJLIB.SAVF

2. IBM iに FTP でアクセスできるコンピューターまたは端末に AJLIB.SAVF ファイルをコピーします。
3. 次のコマンドを入力して、 IBM i 上に汎用オンライン SAVF ファイルを作成します。

   CRTSAVF QGPL/SAVF

4. コンピューターまたは端末で FTP を使用して、 IBM i 汎用 SAVF ファイルを、ダウンロードした AJLIB.SAVF ファイルに置き換えます。

   以下のコマンドを入力します。

   bin

   cd qgpl

   lcd c:\

   put ajlib.savf AJLIB

   quit

   SAVF ファイルを別の IBM i システムから転送する場合は、GET または PUT ステートメントの前に FTP サブコマンド・モード BINARY を配置して、ファイルを送信します。
5. 次のコマンドを入力して、 IBM i 上で AJLIB ファイルをリストアします。

   RSTLIB SAVLIB(AJLIB) DEV(*SAVF) SAVF(QGPL/AJLIB)

   AJLIB は、 IBM i 監査ジャーナル項目を QRadarに送信するために必要なマッピングおよびデータ転送サポートを提供します。

6. 実行 AJLIB/SETUP

   セットアップ画面は、処理された項目を受信するための FTP、SFTP、またはローカル・パス用に AJLIB を構成するために使用します。

   FTP や SFTP にはサーバーのユーザー ID が、FTP にはパスワードが必要です。 FTP は行区切り文字の変換を処理しますが、SFTP 転送を受信するシステムのタイプについては、改行はユーザーが予期する値に設定します。

7. SFTP を使用する場合は、 AJLIB/GENKEYを実行します。

   このコマンドにより、SFTP 認証に必要な SSH 鍵ペアが生成されます。 この鍵ペアが存在する場合、置き換えられることはありません。 新しい鍵ペアを生成する場合、このコマンドを実行する前に、/ajlib/.ssh ディレクトリーから既存の鍵ファイルを削除してください。

   IBM i での SSH 鍵ペアの構成について詳しくは、 http://www-01.ibm.com/support/docview.wss?uid=nas8N1012710 を参照してください。

8. 鍵ペアの生成後、次の手順を使用して、サーバー上での鍵ペアの使用を有効にします。
   1. id_rsa.pub ファイルを /ajlib ディレクトリーから SSH サーバーにコピーし、それを適切なフォルダーにインストールします。
   2. AJLIB/AUDITJRN コマンドを実行するユーザー・プロファイルの known_hosts ファイルに SSH サーバーが追加されていることを確認します。
9. 該当のユーザー・プロファイルを使用して、次の手順を実行します。
   1. 次のコマンドを入力することで、PASE (ポータブル・アプリケーション・ソリューション環境) シェルを開始します。

      call qp2term

   2. 次のコマンドを入力することで、SSH サーバーとのセッションを開始します。

      ssh -T <user>@<serveraddress>

   3. プロンプトが表示されたら、システム・キーを受け入れ、パスワードを入力します。
   4. exitと入力して、SSH セッションを閉じます。
   AJLIB/AUDITRN コマンドを実行するプロファイルとは異なる IBM i プロファイルでこれらのステップを実行する場合は、 .ssh ディレクトリーと known_hosts ファイルを、このコマンドを実行するために使用するプロファイルのホーム・ディレクトリーにコピーします。
10. 特定の項目タイプのフィルタリングを構成するには、 AJLIB/SETENTTYP コマンドを使用します。
11. 次のコマンドを入力することで、監査ジャーナル・ライブラリー (AJLIB) のデータ収集の開始日時をセットアップします。

    AJLIB/DATETIME

    監査ジャーナル収集プログラムを開始すると、失敗メッセージが QSYSOPR に送信されます。

    セットアップ機能により、監査ジャーナルからのデータ収集のデフォルト開始日時が、現在の日の 08:00:00 に設定されます。

    前のインストールの前の開始日時の情報を保持するには、AJLIB/DATETIME を実行する必要があります。 前の開始日時を記録し、AJLIB/SETUP を実行する際に、それらの値を入力します。 開始日時には、6 文字のシステム日付およびシステム時刻フォーマットの有効な日時が含まれていなければなりません。 終了日時は、有効な日時であるか、空白のままにする必要があります。

12. AJLIB/AUDITJRNを実行します。

    監査ジャーナルの収集プログラムが開始し、レコードをリモート FTP サーバーに送信します。FTP サーバーへの転送に失敗すると、メッセージが QSYSOPR に送信されます。 AJLIB/AUDITJRN を開始するプロセスは、通常、定期的にレコードを収集する IBM i ジョブ・スケジューラーによって自動化されます。

    FTP 転送が成功した場合、現在の日時情報が AJLIB/DATETIME の開始時刻に書き込まれて、収集時間が更新されます。終了時刻は、空白に設定されます。 FTP 転送が失敗した場合、エクスポート・ファイルが消去され、収集日時の更新は行われません。