Doc Technique - RACF Audit Reader V2

RACF Audit Reader V2 – Analyseur sécurité RACF / ICH / IRR / SAF

Objectif du guide

Installer, tester et exploiter racf_audit_reader_v2.py, un utilitaire autonome qui analyse des exports RACF, SYSLOG sécurité, messages ICH, IRR, violations SAF, commandes RACF, accès datasets, changements de privilèges et dérives de conformité.

Télécharger l’utilitaire RACF Audit Reader V2

Le bouton principal pointe explicitement vers /static/toolbox/racf_audit_reader_v2.py. Dépose ce script dans static/toolbox/ pour l’exposer depuis IDEO-Lab.

Download racf_audit_reader_v2.py Django static tag

RACF Audit Reader V2 est orienté audit sécurité et conformité. Il transforme des logs RACF très verbeux en timeline, findings, score de risque, dérives de groupes, commandes sensibles, datasets exposés et alertes de privilèges. L’outil ne remplace pas un audit humain, mais il accélère considérablement le triage.

Audit

Lecture ICH408I, IRR, SAF, access denied, S913, commandes RACF et traces de changements.

Compliance

Détection SPECIAL, OPERATIONS, AUDITOR, BPX.SUPERUSER, UACC, SETROPTS et groupes sensibles.

Export

Production HTML, JSON, CSV events, findings, users, datasets, groups, commands, categories et compare.

Ce que le moteur analyse

Domaine	Signaux analysés	Diagnostic produit
Violations RACF	`ICH408I`, `IRR`, `ACCESS DENIED`, `INSUFFICIENT ACCESS`, `S913`	Top users refusés, ressources sensibles, gravité, répétition, piste d’incident.
Commandes sécurité	`ALTUSER`, `ADDUSER`, `CONNECT`, `PERMIT`, `RDEFINE`, `RALTER`, `SETROPTS`, `RVARY`	Changements sensibles, élévation de privilèges, drift groupe, contrôle change-management.
Privilèges	`SPECIAL`, `OPERATIONS`, `AUDITOR`, `CLAUTH`, `BPX.SUPERUSER`, `UID(0)`	Suspicion d’escalade, utilisateurs trop puissants, revue des habilitations.
Datasets sensibles	`SYS1`, `RACF`, `SECURITY`, `PAYROLL`, `HR`, `FIN`, `PROD`, `DB2`, `CICS`	Accès refusés ou autorisés sur zones critiques, exposition potentielle.
Baseline / drift	Comparaison current vs baseline des users, groups, commands, datasets.	Nouveaux privilèges, nouvelles permissions, modifications non attendues.

Sensibilité : un export RACF peut exposer des users, groupes, datasets, privilèges et politiques sécurité. Utiliser --redact avant tout partage externe.

Téléchargement des fichiers

Cette page fournit les liens explicites vers le script Python, les samples d’audit, la policy JSON et le pack complet. Pour IDEO-Lab, les fichiers doivent être déposés sous /static/toolbox/.

Utilitaire principal

Script Python autonome, sans dépendance externe, à lancer sur un export RACF/SYSLOG sécurité texte.

Download racf_audit_reader_v2.py Static tag

Sample mixed audit

Violations, accès dataset, commandes RACF, SETROPTS et privilèges.

Download mixed

Sample baseline

Référence de comparaison pour identifier les changements et dérives.

Download baseline

Sample privilege

Focus SPECIAL, OPERATIONS, AUDITOR, BPX.SUPERUSER, CONNECT sensible.

Download privilege

Sample compliance

Focus audit compliance, SETROPTS, UACC, PERMIT et policy drift.

Download compliance

Policy JSON

Patterns sensibles, groupes privilégiés, datasets critiques et seuils.

Download policy

Pack ZIP

Script, samples, policy, exports et rapports de démonstration.

Download ZIP

Arborescence static recommandée

static/
  toolbox/
    racf_audit_reader_v2.py
    racf_audit_reader_v2_pack.zip
    sample_racf_v2_mixed.txt
    sample_racf_v2_baseline.txt
    sample_racf_v2_privilege.txt
    sample_racf_v2_compliance.txt
    sample_racf_v2_policy.json
    racf_audit_reader_v2_guide.html

Contrôle visuel : le bouton Download racf_audit_reader_v2.py est présent en haut de la page, dans l’onglet Téléchargement, dans Installation et dans Fichiers input.

Installation de RACF Audit Reader V2

Le script est autonome. Il suffit d’une version Python moderne et d’un fichier texte exporté depuis SYSLOG, OPERLOG, SMF/RACF converti, ou une extraction sécurité contenant des messages ICH/IRR/RACF/SAF.

1. Arborescence locale recommandée

racf_audit_lab/
  bin/
    racf_audit_reader_v2.py
  input/
    sample_racf_v2_mixed.txt
    sample_racf_v2_baseline.txt
    sample_racf_v2_privilege.txt
    sample_racf_v2_compliance.txt
    sample_racf_v2_policy.json
  output/
    reports/
    csv/
    json/

Lien direct du script à installer

Ce bouton pointe explicitement vers /static/toolbox/racf_audit_reader_v2.py.

Download racf_audit_reader_v2.py Django static tag

2. Installation Linux / macOS

mkdir -p racf_audit_lab/bin racf_audit_lab/input racf_audit_lab/output/reports racf_audit_lab/output/csv racf_audit_lab/output/json
cp racf_audit_reader_v2.py racf_audit_lab/bin/
cp sample_racf_v2_*.txt racf_audit_lab/input/
cp sample_racf_v2_policy.json racf_audit_lab/input/
cd racf_audit_lab
python3 bin/racf_audit_reader_v2.py --demo mixed

3. Installation Windows PowerShell

New-Item -ItemType Directory -Force racf_audit_lab\bin, racf_audit_lab\input, racf_audit_lab\output\reports, racf_audit_lab\output\csv, racf_audit_lab\output\json
Copy-Item .\racf_audit_reader_v2.py .\racf_audit_lab\bin\
Copy-Item .\sample_racf_v2_*.txt .\racf_audit_lab\input\
Copy-Item .\sample_racf_v2_policy.json .\racf_audit_lab\input\
Set-Location .\racf_audit_lab
python .\bin\racf_audit_reader_v2.py --demo mixed

4. Test de validation

python bin/racf_audit_reader_v2.py input/sample_racf_v2_mixed.txt \
  --baseline input/sample_racf_v2_baseline.txt \
  --policy input/sample_racf_v2_policy.json \
  --profile security \
  --html output/reports/sample_racf_v2_mixed_report.html \
  --json output/json/sample_racf_v2_mixed_analysis.json \
  --csv-events output/csv/sample_racf_v2_mixed_events.csv \
  --csv-findings output/csv/sample_racf_v2_mixed_findings.csv \
  --csv-users output/csv/sample_racf_v2_mixed_users.csv \
  --csv-datasets output/csv/sample_racf_v2_mixed_datasets.csv \
  --csv-groups output/csv/sample_racf_v2_mixed_groups.csv \
  --csv-commands output/csv/sample_racf_v2_mixed_commands.csv \
  --csv-categories output/csv/sample_racf_v2_mixed_categories.csv \
  --csv-compare output/csv/sample_racf_v2_mixed_compare.csv

Résultat attendu : le sample mixed doit produire plusieurs findings critiques, un score élevé, des users, datasets, groupes, commandes RACF et un tableau de comparaison baseline.

Fichiers input attendus

RACF Audit Reader V2 attend un fichier texte brut. L’extension peut être .txt, .log, .syslog, .operlog, .racf ou .lst. Les lignes peuvent provenir de SYSLOG, OPERLOG, extracts SMF/RACF déjà convertis, ou de traces de commandes sécurité.

Utilitaire nécessaire pour analyser les inputs

Télécharger d’abord le script Python, puis lancer l’analyse sur un export RACF/SYSLOG sécurité.

Download racf_audit_reader_v2.py

1. Sources acceptées

Source	Contenu typique	Usage
`SYSLOG / OPERLOG`	Messages ICH/IRR/RACF/SAF, access denied, S913, violations.	Timeline d’incident sécurité et triage opérationnel.
SMF/RACF converti	Événements d’audit, access attempts, allowed/denied, user/group/resource.	Audit compliance, historisation et reporting sécurité.
Commandes RACF	`ALTUSER`, `CONNECT`, `PERMIT`, `SETROPTS`, `RDEFINE`, `RALTER`.	Détection changements sensibles et drift d’habilitations.
Baseline	Snapshot précédent des événements ou permissions.	Comparaison des nouveaux privilèges, groupes, datasets, commandes.
Policy JSON	Patterns sensibles, groupes privilégiés, datasets critiques, seuils.	Adaptation aux conventions sécurité de l’entreprise.

2. Exemple minimal de trace RACF

08:11:03 ICH408I USER(PAYUSR1) GROUP(PAYROLL) NAME(PAYROLL USER) DATASET(PAYROLL.PROD.MASTER) CL(DATASET)
08:11:03 ICH408I USER(PAYUSR1) INSUFFICIENT ACCESS AUTHORITY ACCESS INTENT(READ) ACCESS ALLOWED(NONE)
08:12:44 RACF COMMAND: ALTUSER PAYADM SPECIAL OPERATIONS BY SECADM1
08:13:02 RACF COMMAND: CONNECT PAYUSR1 GROUP(SYS1ADM) AUTHORITY(JOIN) BY SECADM1
08:14:33 RACF COMMAND: SETROPTS NOAUDIT NOWARNING BY SECADM1
08:15:18 IEF450I PAYJOB01 STEP010 - ABEND=S913 REASON=00000004

3. Samples disponibles

Mixed audit

Violations, privilege escalation, SETROPTS, groups et datasets sensibles.

Download

Baseline

Référence de comparaison pour drift et changements non attendus.

Download

Privilege

Cas concentré sur SPECIAL, OPERATIONS, AUDITOR, BPX.SUPERUSER.

Download

Compliance

Cas orienté audit : UACC, SETROPTS, PERMIT, policy drift.

Download

Règle de sécurité : ne jamais exposer un export RACF brut hors périmètre autorisé. Utiliser --redact, puis contrôler manuellement les evidence lines.

Utilisation quotidienne

1. Modes démo intégrés

python racf_audit_reader_v2.py --demo mixed
python racf_audit_reader_v2.py --demo privilege
python racf_audit_reader_v2.py --demo compliance

2. Analyse simple d’un fichier

python racf_audit_reader_v2.py input/sample_racf_v2_mixed.txt

3. Analyse complète avec exports

python racf_audit_reader_v2.py input/sample_racf_v2_mixed.txt \
  --baseline input/sample_racf_v2_baseline.txt \
  --policy input/sample_racf_v2_policy.json \
  --profile security \
  --json output/json/racf_analysis.json \
  --html output/reports/racf_report.html \
  --csv-events output/csv/racf_events.csv \
  --csv-findings output/csv/racf_findings.csv \
  --csv-users output/csv/racf_users.csv \
  --csv-datasets output/csv/racf_datasets.csv \
  --csv-groups output/csv/racf_groups.csv \
  --csv-commands output/csv/racf_commands.csv \
  --csv-categories output/csv/racf_categories.csv \
  --csv-compare output/csv/racf_compare.csv

4. Mode anonymisé

python racf_audit_reader_v2.py input/production_racf_log.txt \
  --policy input/site_security_policy.json \
  --profile audit \
  --redact \
  --html output/reports/production_racf_redacted.html \
  --json output/json/production_racf_redacted.json

5. Mode batch strict

python racf_audit_reader_v2.py input/nightly_racf_extract.txt \
  --profile compliance \
  --policy input/site_security_policy.json \
  --html output/reports/nightly_racf_report.html \
  --csv-findings output/csv/nightly_racf_findings.csv \
  --fail-on CRITICAL

Lecture recommandée : ouvrir d’abord le rapport HTML, puis exploiter les CSV pour tri par user, dataset, groupe, commande, catégorie ou comparaison baseline.

Paramètres de ligne de commande

1. Paramètres d’entrée et de sortie

Paramètre	Description	Exemple
`input_file`	Fichier RACF/SYSLOG sécurité texte à analyser.	`input/racf_log.txt`
`--demo`	Lance un sample intégré : `mixed`, `privilege`, `compliance`.	`--demo mixed`
`--policy`	Charge une policy JSON : patterns, groupes, datasets sensibles, seuils.	`--policy site_security_policy.json`
`--baseline`	Compare l’état actuel à une référence précédente.	`--baseline baseline.txt`
`--json`	Exporte l’analyse complète en JSON.	`--json output/analysis.json`
`--html`	Génère le rapport HTML.	`--html output/report.html`
`--csv-events`	Exporte les événements normalisés.	`--csv-events output/events.csv`
`--csv-findings`	Exporte les anomalies et recommandations.	`--csv-findings output/findings.csv`
`--csv-users`	Exporte la synthèse par user.	`--csv-users output/users.csv`
`--csv-datasets`	Exporte la synthèse par dataset.	`--csv-datasets output/datasets.csv`
`--csv-groups`	Exporte la synthèse par groupe.	`--csv-groups output/groups.csv`
`--csv-commands`	Exporte les commandes RACF détectées.	`--csv-commands output/commands.csv`
`--csv-categories`	Exporte le scoring par catégorie.	`--csv-categories output/categories.csv`
`--csv-compare`	Exporte les différences baseline/current.	`--csv-compare output/compare.csv`

2. Paramètres d’analyse et de gouvernance

Paramètre	Effet	Usage recommandé
`--profile`	Profil : `production`, `security`, `compliance`, `audit`, `privilege`, `training`, `strict`.	Ajuster la lecture métier et la sévérité selon le contexte.
`--redact`	Masque users, datasets et identifiants sensibles dans les sorties.	Partage externe, support, ticket ou démonstration.
`--fail-on`	Retourne un code erreur à partir d’une sévérité donnée.	`--fail-on ERROR` ou `--fail-on CRITICAL`.

3. Exemple profil compliance

python racf_audit_reader_v2.py input/sample_racf_v2_compliance.txt \
  --profile compliance \
  --policy input/sample_racf_v2_policy.json \
  --html output/reports/compliance_report.html \
  --csv-findings output/csv/compliance_findings.csv \
  --csv-categories output/csv/compliance_categories.csv

Exemples d’utilisation

Scénario 1 – Violations d’accès répétées

Un user provoque plusieurs refus sur datasets sensibles, avec risque d’usage non autorisé ou rôle mal provisionné.

python racf_audit_reader_v2.py input/sample_racf_v2_mixed.txt \
  --profile security \
  --policy input/sample_racf_v2_policy.json \
  --html output/reports/denied_access_report.html \
  --csv-users output/csv/denied_users.csv \
  --csv-datasets output/csv/denied_datasets.csv

Scénario 2 – Suspicion d’escalade de privilèges

Détection de SPECIAL, OPERATIONS, CONNECT à un groupe sensible, BPX.SUPERUSER ou UID(0).

python racf_audit_reader_v2.py input/sample_racf_v2_privilege.txt \
  --profile privilege \
  --policy input/sample_racf_v2_policy.json \
  --html output/reports/privilege_report.html \
  --csv-commands output/csv/privilege_commands.csv \
  --csv-groups output/csv/privilege_groups.csv

Scénario 3 – Audit compliance nocturne

Contrôle régulier SETROPTS, UACC, PERMIT dangereux, changements de groupes et dérives baseline.

python racf_audit_reader_v2.py input/nightly_racf_extract.txt \
  --baseline input/previous_racf_baseline.txt \
  --policy input/site_security_policy.json \
  --profile compliance \
  --html output/reports/nightly_compliance_report.html \
  --json output/json/nightly_compliance_analysis.json \
  --csv-findings output/csv/nightly_compliance_findings.csv \
  --csv-compare output/csv/nightly_compliance_compare.csv \
  --fail-on CRITICAL

Scénario 4 – Rapport anonymisé pour ticket externe

python racf_audit_reader_v2.py input/security_incident.txt \
  --profile audit \
  --redact \
  --html output/reports/security_incident_redacted.html \
  --csv-findings output/csv/security_incident_redacted_findings.csv

Compliance, drift et lecture sécurité

La V2 n’est pas seulement un lecteur de messages. Elle doit aider à distinguer un incident d’accès d’un changement de sécurité, un changement autorisé d’une dérive, et un warning isolé d’un vrai risque de privilège.

1. Catégories de risques

Catégorie	Signaux typiques	Lecture opérationnelle
Access violation	ICH408I, ACCESS DENIED, INSUFFICIENT ACCESS, S913.	Accès refusé, rôle absent, user suspect ou tentative non autorisée.
Privilege escalation	SPECIAL, OPERATIONS, AUDITOR, BPX.SUPERUSER, UID(0).	Augmentation de pouvoir à justifier par change control.
Group drift	CONNECT à SYS1ADM, RACFADM, SECURITY, DB2ADM, CICSADM.	Appartenance à groupe sensible à contrôler.
Dangerous policy	SETROPTS NOAUDIT, NOWARNING, NOPROTECTALL, UACC élevé.	Affaiblissement global de posture sécurité.
Sensitive dataset	SYS1, RACF, SECURITY, PAYROLL, HR, FIN, PROD, DB2, CICS.	Ressources à haute valeur métier ou système.

2. Exemple de policy JSON

{
  "sensitive_dataset_patterns": ["SYS1", "RACF", "SECURITY", "PAYROLL", "HR", "FIN", "PROD", "DB2", "CICS"],
  "privileged_groups": ["SYS1ADM", "RACFADM", "SECURITY", "DB2ADM", "CICSADM"],
  "privileged_authorities": ["SPECIAL", "OPERATIONS", "AUDITOR", "CLAUTH", "BPX.SUPERUSER", "UID(0)"],
  "dangerous_setropts": ["NOAUDIT", "NOWARNING", "NOPROTECTALL"],
  "max_denials_per_user": 3,
  "max_denials_per_dataset": 3
}

3. Bon réflexe d’audit

Comparer systématiquement l’extraction actuelle avec une baseline validée.
Ne pas classer une violation isolée comme incident majeur sans contexte utilisateur, dataset et horaire.
Isoler les commandes RACF exécutées hors fenêtre de changement.
Vérifier les groupes privilégiés après chaque CONNECT.
Surveiller les modifications globales SETROPTS, souvent plus critiques qu’un simple accès refusé.

Important : l’outil propose des candidats de risque. La validation finale doit être faite par l’équipe sécurité, un administrateur RACF ou un auditeur habilité.

Exports et exploitation des résultats

Rapport HTML

Vue lisible : score, summary, findings, users, datasets, groups, commands, categories et baseline drift.

Analyse JSON

Format complet pour API, stockage historique, portail compliance ou dashboard sécurité.

Events CSV

Une ligne par événement sécurité normalisé : timestamp, user, dataset, groupe, commande, message.

Findings CSV

Une ligne par anomalie : sévérité, catégorie, description, recommandation et evidence.

Users / Datasets / Groups CSV

Synthèses par entité pour prioriser audit, remédiation et revue d’habilitation.

Compare CSV

Différence baseline/current pour détecter les nouvelles permissions, groupes ou commandes sensibles.

Exemple de synthèse console

RACF Audit Reader V2
Status           : BLOCKED
Highest severity : CRITICAL
Risk score       : 100/100
Profile          : security
Lines            : 15
Events           : 15
Findings         : 32
Users            : 5
Datasets         : 5
Groups           : 2
Commands         : 6

Idée de table SQL pour historisation

CREATE TABLE racf_audit_run (
    id BIGINT AUTO_INCREMENT PRIMARY KEY,
    source_name VARCHAR(255),
    profile VARCHAR(32),
    status VARCHAR(32),
    highest_severity VARCHAR(16),
    risk_score INTEGER,
    event_count INTEGER,
    finding_count INTEGER,
    user_count INTEGER,
    dataset_count INTEGER,
    group_count INTEGER,
    command_count INTEGER,
    report_path VARCHAR(500),
    created_at TIMESTAMP DEFAULT CURRENT_TIMESTAMP
);

Vision produit : la V2 peut devenir un module d’un portail compliance z/OS : recherche par user, dataset, groupe, commande, dérive baseline, indicateurs audit et workflow de remédiation.

Dépannage et bonnes pratiques

1. Le script ne détecte pas d’événements RACF

Cause possible	Correction
Le fichier n’est pas du texte brut.	Exporter depuis SYSLOG/OPERLOG/outil SMF en texte, pas en PDF image.
Les messages ICH/IRR ont été filtrés.	Récupérer une extraction sécurité plus complète.
Les commandes RACF sont dans un format site-specific.	Adapter la policy ou ajouter des patterns dédiés.
Les datasets ou users sont anonymisés en amont.	Conserver un mapping interne sécurisé pour audit réel.

2. Trop d’alertes remontées

Certains environnements ont beaucoup de refus normaux. Utiliser une policy JSON précise, isoler les groupes/datasets critiques, et comparer avec une baseline validée pour séparer le bruit des dérives réelles.

python racf_audit_reader_v2.py input/racf_extract.txt \
  --profile compliance \
  --policy input/site_security_policy.json \
  --baseline input/validated_baseline.txt \
  --fail-on CRITICAL \
  --html output/reports/focused_racf_audit.html

3. Check-list avant partage externe

Utiliser --redact pour masquer users, datasets, groupes et ressources sensibles.
Anonymiser aussi le nom du sysplex, LPAR, application, environnement et horaires si nécessaire.
Conserver une copie brute interne pour validation du diagnostic.
Contrôler manuellement les evidence lines avant diffusion hors équipe sécurité.
Ne pas automatiser une remédiation RACF sans validation humaine.

Point critique : RACF est une zone très sensible. Les rapports doivent être traités comme documents confidentiels, surtout lorsqu’ils mentionnent SPECIAL, OPERATIONS, datasets système ou changements SETROPTS.