監査のコストの管理

システム資源は、監査処理によって消費されます。このため、監査記録の詳細度を管理する必要があります。監査対象は、次の 3 つのコストを考慮して決定します。

• 処理時間の増大によるコスト

• 監査データを分析するコスト

• 監査データを保存するコスト

処理時間の増大によるコストは、この 3 つの監査コストの中ではもっとも重要性が低い問題です。第 1 には、画像処理や複雑な計算など、コンピュータに負担のかかる作業の処理中には監査が行われないからです。第 2 に、シングルユーザーのワークステーションでは CPU サイクルに十分な余裕があるからです。

監査結果の分析にかかるコストは、収集する監査データの量におおよそ比例します。監査結果の分析コストには、監査レコードを 1 つにまとめて内容を評価するための時間と、レコードをアーカイブとして安全な場所に保管するための時間があります。

生成するレコードの量が少ないほど分析にかかる時間は少なくなります。次の節では、サイトのセキュリティ目標を達成するのに十分な条件を満たしながら、収集するデータ量を減らす方法について説明します。

監査データの保存によるコストが、監査コストのうちもっとも重要です。監査データの量は次の項目に影響されます。

• ユーザー数

• ワークステーション数

• 使用頻度

• 必要なセキュリティの程度

コスト要因は状況が変化するたびに変わるので、監査データを保存するためのディスク容量をあらかじめ決めておくことはできません。

完全監査 (all フラグを使用) を行うと、ディスクがすぐにいっぱいになってしまいます。たとえば、中程度のサイズのプログラム (5 つのファイルで合計 5000 行のプログラムなど) をコンパイルするなど、ごく単純なタスクでも、1 分も経過しないうちに数千もの監査レコードが生成され、何メガバイトものディスク領域を消費する恐れがあります。したがって、事前選択機能を使って、生成するレコードの量を減らすことが非常に大切です。たとえば、fr クラスを監査しないだけでも監査量を 2/3 以上減らすことができます。監査レコードを作成した後も、監査ファイル管理によって、使用するディスク領域を効率的に減らしていくことが大切です。