監査スクリプトを使用して IBM QRadar と統合する IBM RACF の構成

IBM QRadar はスクリプトを使用して、IBM® RACF® インストールからのイベントを監査し、ログファイルプロトコルを使用して収集します。

手順

  1. IBM サポート Web サイトから qexracf_bundled.tar.gz をダウンロードします。
  2. Linux®ベースのオペレーティング・システムでは、次のコマンドを使用してファイルを解凍します。

    tar -zxvf qexracf_bundled.tar.gz

    アーカイブには、以下のファイルが含まれています。

    • qexracf_jcl.txt
    • qexracfloadlib.trs
    • qexracf_trsmain_JCL.txt
  3. 任意の端末エミュレーター・ファイル転送方式を使用して、ファイルを IBM メインフレームにロードします。

    TEXT プロトコルを使用して、qexracf_trsmain_JCL.txt ファイルと qexracf_jcl.txt ファイルをアップロードします。

    バイナリー・モードを使用して QexRACF loadlib.trs ファイルをアップロードし、事前割り振りデータ・セットに追加します。 QexRACF loadlib.trs ファイルは、実行可能プログラム (メインフレーム・プログラム QEXRACF) が含まれている簡潔なファイルです。

    .trs ファイルをワークステーションからアップロードするときに、DCB 属性 DSORG=PS、RECFM=FB、LRECL=1024、BLKSIZE=6144 を使用して、メインフレーム上でファイルを事前割り振りします。 ファイル転送タイプは、テキストではなくバイナリー・モードでなければなりません。

  4. ご使用のシステム固有の要件に応じて、 qexracf_trsmain_JCL.txt ファイルをカスタマイズします。

    qexracf_trsmain_JCL.txt ファイルは、 IBM ユーティリティー Trsmain を使用して、 QexRACF loadlib.trs ファイルに保管されているプログラムを圧縮解除します。

    qexracf_trsmain_JCL.txt ファイルの例を次に示します。以下のコードが含まれています。

    //TRSMAIN JOB (yourvalidjobcard),Q1labs, 
// MSGCLASS=V //DEL EXEC PGM=IEFBR14 
//D1 DD DISP=(MOD,DELETE),DSN=<yourhlq>.QEXRACF.TRS // UNIT=SYSDA, 
// SPACE=(CYL,(10,10)) 
//TRSMAIN EXEC PGM=TRSMAIN,PARM='UNPACK' 
//SYSPRINT DD SYSOUT=*,DCB=(LRECL=133,BLKSIZE=12901,RECFM=FBA) 
//INFILE DD DISP=SHR,DSN=<yourhlq>.QEXRACF.TRS 
//OUTFILE DD DISP=(NEW,CATLG,DELETE), 
// DSN=<yourhlq>.LOAD, 
// SPACE=(CYL,(10,10,5),RLSE),UNIT=SYSDA //

    このファイルは、インストール済み環境固有のパラメーター向け情報 (ジョブ・カード、データ・セット命名規則、出力宛先、保存期間、スペース所要量など) で更新する必要があります。

    .trs 入力ファイルは IBM TERSE 形式のライブラリーであり、TRSMAIN を呼び出す JCL を実行することによって抽出されます。 この簡潔なファイルは抽出時に、QEXRACF プログラムをメンバーとして持つ PDS LINKLIB を作成します。

  5. STEPLIB をこのライブラリーに対して実行するか、または LINKLST 内にある LINKLIB の 1 つにこのプログラムを移動することを選択できます。 このプログラムには許可は必要ありません。
  6. アップロードの完了後に、プログラムを既存のリンク・リスト・ライブラリーにコピーするか、またはプログラムを含むことになるライブラリーの、正しいデータ・セット名を持つ STEPLIB DD ステートメントを追加します。
  7. qexracf_jcl.txt ファイルは、 IBM IRRADU00 ユーティリティーを実行するために必要な JCL を提供するサンプル JCL デックを含むテキスト・ファイルです。 これにより、 QRadar は必要な IBM RACF イベントを取得できます。 ローカル規格を満たすようにジョブ・カードを構成します。

    qexracf_jcl.txt ファイルの例として、以下のコードが含まれています。

    //QEXRACF JOB (<your valid jobcard>),Q1LABS, 
// MSGCLASS=P, // REGION=0M //* 
//*QEXRACF JCL version 1.0 April 2009 //* 
//************************************************************* 
//* Change below dataset names to sites specific datasets names * 
//************************************************************* 
//SET1 SET SMFOUT='<your hlq>.CUSTNAME.IRRADU00.OUTPUT', 
// SMFIN='<your SMF dump ouput dataset>', 
// QRACFOUT='<your hlq>.QEXRACF.OUTPUT' 
//************************************************************* 
//* Delete old datasets * 
//************************************************************* 
//DEL EXEC PGM=IEFBR14 //DD2 DD DISP=(MOD,DELETE),DSN=&QRACFOUT, 
// UNIT=SYSDA, // SPACE=(TRK,(1,1)), // DCB=(RECFM=FB,LRECL=80) 
//************************************************************* 
//* Allocate new dataset *
    //************************************************************* 
//ALLOC EXEC PGM=IEFBR14 
//DD1 DD DISP=(NEW,CATLG),DSN=&QRACFOUT, 
// SPACE=(CYL,(1,10)),UNIT=SYSDA, 
// DCB=(RECFM=VB,LRECL=1028,BLKSIZE=6144) 
//************************************************************ 
//* Execute IBM IRRADU00 utility to extract RACF smf records * 
//************************************************************* 
//IRRADU00 EXEC PGM=IFASMFDP 
//SYSPRINT DD SYSOUT=* 
//ADUPRINT DD SYSOUT=* 
//OUTDD DD DSN=&SMFOUT,SPACE=(CYL,(100,100)),DISP=(,CATLG), 
// DCB=(RECFM=FB,LRECL=8192,BLKSIZE=40960), 
// UNIT=SYSALLDA 
//SMFDATA DD DISP=SHR,DSN=&SMFIN 
//SMFOUT DD DUMMY 
//SYSIN DD *INDD(SMFDATA,OPTIONS(DUMP)) 
OUTDD(SMFOUT,TYPE(30:83)) ABEND(NORETRY) 
USER2(IRRADU00) USER3(IRRADU86) /* 
//EXTRACT EXEC PGM=QEXRACF,DYNAMNBR=10, 
// TIME=1440 
//*STEPLIB DD DISP=SHR,DSN=
<the loadlib containing the QEXRACF program if not in LINKLST> 
//SYSTSIN DD DUMMY //SYSTSPRT DD SYSOUT=* 
//SYSPRINT DD SYSOUT=* 
//RACIN DD DISP=SHR,DSN=&SMFOUT 
//RACOUT DD DISP=SHR,DSN=&QRACFOUT // 
//************************************************************* 
//* FTP Output file from C program (Qexracf) to an FTP server * 
//* QRadar will go to that FTP Server to get file * 
//* Note you need to replace <user>, <password>,<serveripaddr>* 
//* <THEIPOFTHEMAINFRAMEDEVICE> and <QEXRACFOUTDSN> * 
//************************************************************* 
//*FTP EXEC PGM=FTP,REGION=3800K //*INPUT DD * 
//*<FTPSERVERIPADDR> 
//*<USER> 
//*<PASSWORD> 
//*ASCII //*PUT '<QEXRACFOUTDSN>' 
/<THEIPOFTHEMAINFRAMEDEVICE>/<QEXRACFOUTDSN> 
//*QUIT //*OUTPUT DD SYSOUT=* 
//*SYSPRINT DD SYSOUT=* //* //*
  8. 出力ファイルを作成した後に、このファイルを FTP サーバーに送信する必要があります。
    このアクションにより、ユーティリティーを実行するたびに、出力ファイルはスクリプトの終了時に、処理のために特定の FTP サーバーに必ず送信されます。 z/OS® プラットフォームが FTP または SFTP を介してファイルを提供するように構成されているか、SCP を許可するように構成されている場合、一時サーバーは不要であり、 QRadar はそれらのファイルをメインフレームから直接プルできます。 一時 FTP サーバーが必要な場合、 QRadar は、 IBM RACF ログ・ソースごとに固有の IP アドレスを必要とします。そうでない場合、それらのログ・ソースは 1 つのシステムとして結合されます。