1. SMF e registros RACF
O SMF é o mecanismo de logging do z/OS. Cada subsistema grava registros SMF com tipo numérico. O RACF usa principalmente:
| Tipo SMF | Conteúdo |
|---|---|
80 | Eventos RACF — acessos a datasets e recursos, logins, mudanças de perfil |
83 | Atividade de administração RACF — ADDUSER, ADDSD, PERMIT, etc. |
O SMF tipo 80 tem subtipos que identificam o tipo de evento:
| Subtipo | Evento |
|---|---|
1 | Verificação de acesso a dataset |
2 | Verificação de acesso a recurso geral |
3 | RACHECK — verificação genérica por programa |
4 | Autenticação — tentativa de login (TSO, batch, CICS) |
5 | Mudança de senha |
6 | Perfil RACF criado/alterado/deletado |
2. Configurando auditoria nos perfis
Cada perfil RACF tem configurações de auditoria independentes. As opções de AUDIT que vimos nos artigos anteriores definem o que é gravado no SMF para aquele recurso específico:
Os níveis de auditoria seguem a hierarquia UACC: especificar READ audita qualquer acesso (READ, UPDATE, CONTROL, ALTER). Especificar UPDATE audita apenas UPDATE, CONTROL e ALTER — não leitura.
💡 GLOBALAUDIT — auditoria que o dono não pode remover
Além do campo AUDIT (controlado pelo owner do perfil), existe o campo GLOBALAUDIT, que só pode ser definido por um usuário com atributo AUDITOR. Isso permite que a equipe de auditoria ative logging em perfis sem depender do owner e sem que o owner possa desativar.
3. Auditoria global com SETROPTS
Além da auditoria por perfil, o SETROPTS permite ativar auditoria globalmente para categorias inteiras:
4. Extraindo e processando SMF
Os dados SMF são gravados em datasets especiais (SYS1.MAN1, SYS1.MAN2, etc. — ou o nome configurado pela instalação). Para processar esses dados, o utilitário padrão é o IFASMFDP:
Esse JCL extrai apenas registros SMF tipo 80 e 83 (eventos RACF) de todo o ano de 2026. O dataset de saída pode então ser processado por ferramentas como o RACF Report Writer ou soluções de SIEM.
5. Relatórios com RACF Report Writer
O RACF Report Writer (programa ICHREACT) processa registros SMF tipo 80 e gera relatórios legíveis. Ele usa cards de controle no SYSIN:
Cards de controle mais usados:
| Card | Filtra por |
|---|---|
DATE(início,fim) | Período no formato AAAAMMDD |
USER(id,...) | Usuários específicos |
RESOURCE(classe,nome) | Recurso ou dataset |
EVENT(ACCESS/ADMIN/AUTH) | Tipo de evento |
SUMMARY | Relatório resumido (vs DETAIL para cada evento) |
VIOLATIONS | Apenas acessos negados |
6. Investigando incidentes
Cenário: o time de segurança precisa investigar acesso suspeito ao dataset PRODUCAO.CLIENTES.DADOS ontem.
💡 Retenção de logs SMF
Em ambientes bancários regulados (BACEN, PCI-DSS, SOX), os registros SMF devem ser retidos por pelo menos 12 meses e, em alguns casos, 5 a 7 anos. A política de retenção é normativa — confirme com a equipe de compliance antes de definir o ciclo de vida dos datasets SMF.