감사 스크립트를 사용하여 IBM RACF 를 IBM QRadar 와 통합

IBM® RACF® DSM은 로그 파일 프로토콜을 사용하여 IBM 메인프레임에서 이벤트 및 감사 트랜잭션을 수집합니다.

QRadar 는 이벤트의 모든 관련 정보 및 사용 가능한 정보를 기록합니다.

참고: zSecure 통합은 로그 소스에 사용자 정의 이벤트를 제공하는 유일한 통합입니다. Native QEXRACF 통합을 사용하여 이벤트를 수집하는 경우에도 사용자 정의 이벤트를 표시할 수 있습니다.

IBM RACF 이벤트를 QRadar에 통합하려면 다음 프로시저를 사용하십시오.

  1. IBM 메인프레임 시스템은 모든 보안 이벤트를 Service Management Framework 레코드로 라이브 저장소에 기록합니다.
  2. 자정에 IBM RACF 데이터는 SMF 덤프 유틸리티를 사용하여 라이브 저장소에서 추출됩니다. RACFICE 유틸리티 IRRADU00 ( IBM 유틸리티) 은 전날의 모든 이벤트 및 필드를 SMF 레코드 형식으로 포함하는 로그 파일을 작성합니다.
  3. QEXRACF 프로그램이 SMF 형식화된 파일에서 데이터를 가져옵니다. 프로그램은 QRadar 에 대한 관련 이벤트 및 필드만 가져오고 호환성을 위해 압축된 형식으로 해당 정보를 기록합니다. 정보는 QRadar에서 액세스할 수 있는 위치에도 저장됩니다.
  4. QRadar 는 로그 파일 프로토콜 소스를 사용하여 QEXRACF 출력 파일을 가져오고 스케줄에 따라 정보를 검색합니다. 그런 다음 QRadar 는 이 파일을 가져와서 처리합니다.