Accenture MDR Quick Start Guide for IBM System i Audit (FTP)

This quick start guide will help Accenture MDR customers configure IBM System i Audit to allow log collection from the Log Collection Platform (LCP).

The document includes the following topics:

Supported Versions

A list of supported versions is available in the Accenture MDR Supported Products List document

(Accenture_MDR_Supported_Products_List.xlsx) which can be found in Accenture MDR Portal.

Port Requirements

Table 1-1: Port requirements for LCP communication.

Configuring IBM System i Audit

To configure the System i Audit, follow the below steps.

1. Export audit events to an ASCII file.

2. Transfer the event data in ASCII file.

Note : IBM System i Audit should record the auditing events and export the events to an ASCII file. 

• You can enter commands at a command prompt, or create a CL script.

• If you have create a CL script, you have to schedule the CL script to run on at a set time.

To export audit events to an ASCII file

1. On the IBM System i Audit computer, to get to a command prompt, type the following command:

CALL QCMD

2. At the command prompt, type the following commands:
  IAUDITPJE:  PGM                                                      
/* Define the variables */                                            
             DCL        VAR(&FDATE) TYPE(*CHAR) LEN(6)                
             DCL        VAR(&FTIME) TYPE(*CHAR) LEN(6)                
             DCL        VAR(&TDATE) TYPE(*CHAR) LEN(6)                
             DCL        VAR(&TTIME) TYPE(*CHAR) LEN(6)                
             DCL        VAR(&NAME) TYPE(*CHAR) LEN(10)                
             DCL        VAR(&FTPIP) TYPE(*CHAR) LEN(15)              
/* Add the working library */                                        
             ADDLIBLE   LIB(IBMTSDTA)                                
             MONMSG     MSGID(CPF2103)                                
             RTVDTAARA  DTAARA(AUDLOG (13 15)) RTNVAR(&FTPIP)        
/* Retrieve the current date & time */                                
 REPEAT:     RTVSYSVAL  SYSVAL(QDATE) RTNVAR(&TDATE)                  
             RTVSYSVAL  SYSVAL(QTIME) RTNVAR(&TTIME)                  
             RTVDTAARA  DTAARA(AUDLOG (1 6)) RTNVAR(&FDATE)          
             RTVDTAARA  DTAARA(AUDLOG (7 6)) RTNVAR(&FTIME)          
/* Clear the temp file */                                            
             CLRPFM     FILE(QTEMP/SOXAUDJRN)                        
             MONMSG     MSGID(CPF3142)                                
/* Generate the from date - today date audit entries */                
             DSPJRN     JRN(QSYS/QAUDJRN) RCVRNG(*CURCHAIN) +          
                          FROMTIME(&FDATE &FTIME) TOTIME(&TDATE +      
                          &TTIME) JRNCDE(*ALL) ENTTYP(*ALL) +          
                          OUTPUT(*OUTFILE) OUTFILFMT(*TYPE5) +        
                          OUTFILE(QTEMP/SOXAUDJRN) OUTMBR(*FIRST +    
                          *REPLACE) ENTDTALEN(*VARLEN *CALC) +        
                          NULLINDLEN(*VARLEN *CALC)                    
             MONMSG     MSGID(CPF7062)                                
/* Delete the JRN_* file in /HOME */                                  
             RMVLNK     OBJLNK('/HOME/JRN_*')                          
             MONMSG     MSGID(CPFA0A9)                                
/* Copy the audit file to home folder */                              
             CPYTOIMPF  FROMFILE(QTEMP/SOXAUDJRN) +                    
                          TOSTMF('/HOME/JRN_' *CAT &TDATE *CAT +      
                          '.LOG') RCDDLM(*CRLF) STRDLM(*NONE)          
/* Clear the FTP output log file */                                    
             CLRPFM     FILE(IBMTSDTA/FTPLOG) MBR(FTP_OUT)            
             OVRDBF     FILE(INPUT) TOFILE(IBMTSDTA/FTPLOG) MBR(FTP_IN)
             OVRDBF     FILE(OUTPUT) TOFILE(IBMTSDTA/FTPLOG) +    
                          MBR(FTP_OUT)                            
/* Start the FTP to transfer file */                              
             STRTCPFTP  RMTSYS(FTP_ServerIP)                            
/* Print the FTP log file */                                      
             RUNQRY     QRYFILE((OUTPUT)) OUTTYPE(*PRINTER) +      
                          PRTDFN(*NO) FORMSIZE(*RUNOPT 378)        
/* Update the from date to current date */                        
             CHGDTAARA  DTAARA(AUDLOG (1 6)) VALUE(&TDATE)        
             CHGDTAARA  DTAARA(AUDLOG (7 6)) VALUE(&TTIME)        
/* Wait 15 mins */                                                
             DLYJOB     DLY(900)                                  
/* Back to beginning */                                            
             GOTO       CMDLBL(REPEAT)                            
                                                                   
 EXIT:       ENDPGM     

3. To exit from QCMD, press F3.

To transfer the event data in ASCII file

1. At the command prompt, type the following commands:
   FTPUsername FTPpassword

   ASCII NAMEFMT 1

   LCD /home

   CD TargetFTPdirectoryname

   MPUT JRN_*

   QUIT

Note: FTPUsername should be ibmsysiftp and the leave the FTPPassword as blank or empty

LCP Configuration Parameters

Table 1-2: The IBM System i Audit event collector (FTP - 3946) properties to be configured by MDR are shown in the table.