# 永続状態相互作用監査 ## 定義 永続状態相互作用監査(persistent-state interaction auditing)とは、アプリケーションのログ出力やAPI利用の有無に依存せず、OSレベルでアプリケーションと永続状態(PS: レジストリエントリ・ファイル・バイナリ・プロセス生成)との全ての読み取り・書き込みアクセスを非参加型(non-participatory)に記録し、その相互作用の履歴から構成変更・異常挙動・セキュリティ違反を検知するアプローチである。[[@2006__LISA__LiveOps - Systems Management as a Service]]のLiveOpsはこのアプローチをスケーラブルなサービスとして実装し、開発者やアプリケーションベンダーがあらかじめ定義したイベント・ログに依存する従来の異常検知ルールでは捕捉できない「開発者が想定しなかった問題」を検知できると主張する。(Source: [[@2006__LISA__LiveOps - Systems Management as a Service]]) ## 未解決の問い - 人手で作成した部分文字列マッチングによる変更分類ルール・known problemアサーションは、どの程度の保守コストでスケールするか。ルール自体が組織固有の知識に依存する場合、複数組織でどこまで共有可能か。 - 非参加型の全PS監視によって生じるエージェント側のオーバーヘッド(ストリーミング圧縮後で1台あたり日20MB)は、より高頻度・大規模な現代のクラウド環境でも同程度のオーダーに収まるか。 ## 未編纂の観察 - **非参加型モデルは、ログベースの異常検知が抱える「開発者が想定した障害しか捕捉できない」という構造的限界に対する解の一つである**: [[@2006__LISA__LiveOps - Systems Management as a Service]]は、アプリケーション開発者が自身のソフトウェアが他アプリケーション・OS・分散システムとどう相互作用して壊れるかを事前に網羅的に想定するのは非現実的だと指摘し、代わりにOSレベルでPSへの全アクセスを記録することで、ログに現れない構成変更(削除されたファイル、部分的にしか適用されなかったパッチ設定など)も遡及的に追跡可能にする。この設計は、ログ・メトリクス・トレースといった「アプリケーションが自ら報告するテレメトリ」に基づく現代の異常検知パイプラインとは異なる、監視対象の協力を前提としない検知の系譜として位置づけられる。(Source: [[@2006__LISA__LiveOps - Systems Management as a Service]]) - **静的なソフトウェアownership manifestは構成管理の基盤として不完全であり、実測ではファイルの31〜70%・レジストリエントリの38〜53%がどのマニフェストにも属さない「orphan」状態として残る**: [[@2006__LISA__LiveOps - Systems Management as a Service]]は、OSのインストール構成・Add/Removeプログラム・Windows Installerデータベース・パッチマニフェストを突き合わせても、8台のデスクトップ・20台のサーバ・42台のラボマシンでこの割合のPSが由来を説明できないことを実測した。この結果は、インストーラのマニフェストを信頼した構成管理・クリーンアップの前提そのものを疑わせる。(Source: [[@2006__LISA__LiveOps - Systems Management as a Service]]) ## 関連 - [[異常検知]](非参加型のPS監査とアプリケーションログ・メトリクスベースの検知手法との対比) ## 出典 - [[@2006__LISA__LiveOps - Systems Management as a Service]]