Integre IBM RACF com IBM QRadar usando scripts de auditoria

O DSM IBM® RACF® coleta eventos e transações de auditoria no mainframe IBM com o protocolo de Arquivo de Log.

QRadar registra todas as informações relevantes e disponíveis do evento.

A integração do Nota: zSecure é a única integração que fornece eventos customizados para a origem de log Os eventos customizados podem ser exibidos mesmo quando você coleta eventos usando a integração do QEXRACF nativo.

Use o procedimento a seguir para integrar os eventos IBM RACF no QRadar:

  1. O sistema de mainframe IBM registra todos os eventos de segurança como registros do Service Management Framework (SMF) em um repositório ativo.
  2. À meia-noite, os dados IBM RACF são extraídos do repositório em tempo real usando o utilitário de dump SMF. O utilitário RACFICE IRRADU00 (um utilitário IBM ) cria um arquivo de log que contém todos os eventos e campos do dia anterior em um formato de registro SMF.
  3. O programa QEXRACF extrai os dados do arquivo formatado SMF. O programa puxa apenas os eventos e campos relevantes para o QRadar e grava essas informações em um formato condensado para compatibilidade As informações também são salvas em um local acessível por QRadar
  4. O QRadar usa a origem do protocolo Arquivo de Log para extrair o arquivo de saída QEXRACF e recuperar as informações em uma base planejada. QRadar então importa e processa esse arquivo.