DB2 v9.5 の監査データの抽出

IBM® DB2® v9.5を使用している場合、監査データを抽出できます。

手順

SYSADMIN 特権を持つ DB2 アカウントにログインします。
以下のように、データベース・インスタンスの監査レコードを監査ログに移動します。

db2audit flush

例えば、flush コマンドの応答の出力は、以下のようになります。

AUD00001 Operation succeeded.
以下のように、アクティブ・インスタンスをアーカイブし、後から抽出するために新しい場所に移動します。
db2audit archive

例えば、archive コマンドの応答の出力は、以下のようになります。
```
ノード AUD がアーカイブされました、または一時ログ・ファイル・メッセージ
(Node AUD Archived or Interim Log File Message) 
---- --- -----------------------------
- 0 AUD00001 dbsaudit.instance.log.0.20091217125028 AUD00001 操作が成功しました。
(Operation succeeded.)
```
注: DB2 v9.5 以降では、prune コマンドの代わりに archive コマンドが使用されます。
archive コマンドはアクティブ監査ログを新しい場所に移動します。結果として、すべての非アクティブ・レコードがログから除去されます。抽出を実行する前に archive コマンドが完了している必要があります。
アーカイブされた監査ログからデータを抽出し、そのデータを .del ファイルに書き込みます。

db2audit extract delasc from files db2audit.instance.log.0.200912171528

例えば、archive コマンドの応答の出力は、以下のようになります。

AUD00001 Operation succeeded.

注: ASCII ファイルでは、デフォルトのテキスト区切り文字として二重引用符 (") が使用されます。区切り文字は変更しないでください。
IBM QRadar がファイルをプルできるストレージ・ロケーションに .del ファイルを移動します。コンマ区切り (.del) ファイルの移動は、 QRadarのファイル・プル間隔と同期する必要があります。

これで、 DB2 ログ・ファイルを収集するためのログ・ソースを QRadar で作成する準備ができました。