添加IBM iSeries（AS/400）设备

    最后更新于：

    在事件日志分析器中保持端口446-449、8470-8476、9470-9476开放状态，以便接收IBM AS/400机器日志。

    在“管理设备”页面，导航至“其他设备”选项卡并点击“添加设备”按钮。这将打开“添加设备”窗口。

    IBM AS/400
    1. 选择设备类型为IBM AS/400。
    2. 在设备名称框中输入单个设备名称，或输入以逗号分隔的设备名称列表。
    3. 指定监控间隔以配置EventLog Analyzer从IBM AS/400机器获取日志的频率。默认（且最小）监控间隔为10分钟。
    4. 输入具有50级权限的凭据（登录名 和密码）。通过密码文本框旁的"验证凭据"链接确认详细信息。
    5. 选择日期格式和分隔符。此设置将决定从IBM AS/400设备收集日志时采用的日期格式。
    6. 点击“添加并关闭”可添加该设备并返回监控设备列表，或点击“添加”继续添加更多设备。

    导入SSL证书请按以下步骤操作：

    1. 将SSL证书保存至路径 C:\test.cer
    2. 在命令提示符中导航至 <安装文件夹>
    3. 运行命令keytool -importcert -alias myprivateroot -keystore ..\lib\security\cacerts -file C:\test.cer
    4. 现在按提示输入密码。默认密码为Changeit
    5. 若要信任该证书，请按Y
    6. 重启事件日志分析器服务器。证书将成功添加。

    IBM AS/400

    IBM AS/400

    IBM AS/400历史日志采集

    EventLog Analyzer现支持按时间段收集IBM AS/400设备的日志。按时间收集日志操作如下：

    1. 点击设备选项旁边的历史日志收集图标。
    2. 在"收集最近日志"选项下，选择需要收集日志的时间范围（小时/天/周/月）。
    3. 点击应用。

    注意：提供的凭据必须具有50级权限。否则，EventLog Analyzer将无法登录以获取这些设备的历史记录日志。

    接收日志的配置

    要分析 IBM AS400/iSeries 设备的日志，需在这些系统中启用审计功能。

    启用AS400/iSeries日志审计需执行以下步骤：

    1. 创建日志接收器。
    2. 将日志接收器关联至日志。
    3. 指定要存储在日志接收器中的审核日志。

    日志接收器创建完成且指定日志被收集后，EventLog Analyzer将获取这些日志用于监控、报表生成和告警通知。

    注意：在AS400/iSeries机器上设置安全审计时，必须拥有*AUDIT特殊权限。

    创建日志接收器

    可通过以下命令在任意库中创建日志接收器：

    复制到剪贴板

    CRTJRNRCV JRNRCV(JRNLIB/AUDRCV0001) + THRESHOLD(100000) AUT(*EXCLUDE) + TEXT('审计日志接收器')

    注意：本示例使用名为JRNLIB的库存储日志接收器。
    • 将日志接收器放置在任意目标库中。请确保其未放置在系统库QSYS库内。
    • 输入日志接收器的名称。
    • 若需将命名规则应用于所有日志接收器，请使用*GEN选项。
    • 根据系统规模和活动量设定合适的阈值。阈值大小应基于系统事务量及需审计的操作数量确定。若需支持系统变更日志管理，阈值必须至少为5000KB。
    • 若需限制对日志信息的访问权限，请在AUT参数中指定*EXCLUDE。

    将日志接收器附加到日志

    • 使用以下命令创建QSYS/QAUDJRN日志：
    复制到剪贴板

    CCRTJRN JRN(QSYS/QAUDJRN)+

    JRNRCV(JRNLIB/AUDRCV0001)+

    MNGRCV(*SYSTEM) DLTRCV(*NO)+

    AUT(*EXCLUDE) TEXT('审计日志')

    • 必须使用日志名称QSYS/QAUDJRN。
      注意：创建此日志需具备向 QSYS 添加对象的权限。

    • 使用JRNRCV参数指定您创建的日志接收器名称。

    • 在AUT参数上指定*EXCLUDE以限制对日志中存储信息的访问。

    • (*SYSTEM)作为管理接收器(MNGRCV)的参数传递。因此当附加的日志接收器达到阈值大小时，系统将自动分离该接收器，并创建及附加新的日志接收器。

    • 避免手动使用CHGJRN命令分离接收器并创建/附加新接收器。

    • 若需保留已分离的日志接收器，请将DLTRCV参数值设为(*NO)。此操作可防止系统自动删除分离接收器。

    • QAUDJRN接收器是您的安全审计跟踪记录。因此，请确保其得到充分归档。

    指定日志接收器需捕获的日志

    • 使用以下命令指定要存储在创建的日志接收器中的日志：
    复制到剪贴板

    CHGSECAUD QAUDCTL(*ALL) QAUDLVL(*ALL)

    • 要为系统所有用户指定应记录到审计日志中的操作，需使用WRKSYSVAL命令将审计级别设置为系统值QAUDLVL。

    • 若需为特定用户设置操作和对象审计，请使用CHGUSRAUD命令。

    • 您还可通过CHGOBJAUD和CHGDLOAUD命令，根据需求为特定对象设置对象审计。

    • 设置QAUDENDACN系统值可帮助您确定系统在无法向审计日志写入条目时的处理方式。

    • 通过QAUDFRCLVL系统值参数，可控制审计记录从内存向辅助存储的转移过程。

    • 启动审计时，需将QAUDCTL系统值设置为除*NONE外的任意值。

    完成此安全审计配置后，EventLog Analyzer将自动获取已添加至监控的AS400/iSeries设备日志接收器中收集的日志。若AS400/iSeries机器未添加至EventLog Analyzer服务器，请先添加该设备以开始收集其日志。