使用 IBM i2 Analyze 分析审计数据（1）

look_w

在处理可能敏感的数据时，公司常常发现必须保留有关访问数据的人和他们对数据执行的操作的审计线索。当公司和高级职员可能需要对其员工的任何欺诈活动承担法律责任时，对审计线索的需求就变得比以往更加紧迫。
最新版的 IBM i2® Analyze 包含一种针对用户与 IBM i2 Analyze Information Store                的交互的审计机制。借助此机制，i2 Analyze 用户可以记录各种活动，比如搜索和展开操作。本教程将概述 Information Store                日志框架，介绍如何使用它提供审计日志数据的分析师就绪视图。
需要做的准备工作想了解 IBM i2 Analyze？

• IBM i2 Analyze
• DB2®
• 您还需要熟悉：
  • ELP（实体、链接和属性）数据模型
  • Java™

1

Information Store                中的审计用户活动概述

Information  不会自动存储审计日志。要启用日志功能，需要编写一个类，实现                IauditLogger 接口来捕获事件并存储它们。这支持灵活地将审计日志信息存储为任何格式和存储到任何位置。
审计日志记录是通过提供 IAuditLogger 接口中的可用方法的实现来执行的，比如 logQuickSearch 和                logExpand可以在 IQuickSearchAuditEvent                类上使用各种各样的方法（比如 getUser() 和                getClientIPAddress()）来获取给定审计事件的细节。

“在 i2 中，可以查看最活跃的 IP 地址、最活跃的用户和最常见的搜索词汇。这提供了谁在对 Information                    Store 数据执行何种操作和操作来自何处的直接洞察。”

在下面的示例中，关于搜索操作的审计信息记录在部署了 i2 Analyze 应用程序的 Liberty 服务器的 console.log                文件中。

1 2 3 4 5 6 7 8 9 10 11

@Override public void logQuickSearch(final IQuickSearchAuditEvent event) {     final String logdetail =         "User: " + event.getUser() +         "IP:" + event.getClientIPAddress() +         "Method:" + event.getServiceMethodName()         "Expression: " + event.getExpression() +         "Timestamp:" + event.getTimestamp()                              System.out.println(detail) }

当用户在 Information Store 上执行快速搜索时，会生成审计日志信息，并将类似下面所示信息的日志条目记录在 console.log                文件中。

1 2 3

User:Jenny,IP:213.54.35.213,Method:search,Expression:Brian Venn,Timestamp:2016-08-05T14:14:15.379Z User:Jenny,IP:213.54.35.213,Method:search,Expressionouise Anderson,Timestamp:2016-08-05T14:15:15.430Z User:Jenny,IP:213.54.35.213,Method:search,Expression:Ethan Anderson,Timestamp:2016-08-05T14:18:17.382Z

开发人员确定审计日志信息存储到何处和记录哪些信息。例如，您可以指定将信息存储到文件、数据库或 WebSphere® MQ                队列中。有关不同日志机制的示例，请参阅 IBM i2 Analyze Developer Essentials（下面的 “相关主题”                下）中的日志示例。
2

利用审计日志建立 ELP                数据模型

尽管将数据记录到文件或数据库中很有用，但可能很难确定审计数据中的模式或潜在的欺诈活动，尤其是在审计日志包含数百乃至数千个审计日志条目的时候。
更有用的方法是将审计信息转换为 ELP 模型，该模型可摄入到另一个 Information Store                中，这样就可以对它进行分析。（您使用了一个单独的 Information                Store，因为不同的人，比如监管员或审计人员，将使用该审计数据。）
在下面的段落中，将逐步演示一个 Information Store 审计日志记录器的示例，解释如何实现该记录器来生成信息，以便在 IBM i2                Analyst Notebook 中分析它们。
首先，我使用 Analysis Repository Schema Designer 开发了一种新模式。该模式包含 5                种实体类型和一种链接类型，如下所示。
要获得此示例模式的副本，可以下载 AuditSample.zip 文件。（参见上面的 “获取代码”。）