doca-argus

DOCA Argus サービス

例

• 「コンテナは正常なのに、検出結果が届きません。」 — これは対象範囲内です。Argus の設定／フォワーダーに留め、ここで SIEM の取り込み設定を書き換えないでください。
• 「BlueField-3 のフリートでランタイムセキュリティを実現したい。」 — Argus サービスコンテナを BlueField Arm にデプロイしてください。新たな作業で App Shield ライブラリのコードを立ち上げないでください。

手順

以下の読み込み順に従ってください。設定／転送／デバッグについてはタスク用のコンパニオンを開いてください。4 軸の設定については機能用のコンパニオンを開いてください。すべてのコンパニオンファイルを開かないでください。

現在推奨されている後継製品です。 DOCA Argus は、BlueField でのランタイム脅威検出とホストメモリフォレンジックのために、NVIDIA が現在主に推奨しているフレームワークです。Argus は、従来のライブラリベースの DOCA App Shield アプローチに取って代わります（DOCA App Shield ライブラリはこのバンドルの対象外です — 公開リリースではポリシーにより除外されています。AGENTS.md の ## Non-goals（バンドルの AGENTS.md#non-goals-questions-the-agent-should-recognize-and-refuse-politely）の項目 7 を参照し、doca-public-knowledge-map/SKILL.md を通じて公開ドキュメントに案内してください）。 「ホストプロセスを調査する／不審なアクティビティを検出する／ランタイムセキュリティ」といった依頼で、現在サポートされている選択肢を尋ねられた場合、まず Argus を回答として挙げてください。App Shield ライブラリは、Argus では表現できない、真にカスタムな DPU 側ツールを構築する場合に限る低レベルの代替手段であり、このバンドルの対象外です。

開始する場所： このスキルの対象は、DOCA Argus サービスコンテナの運用であり、ライブラリへのリンクではありません。Argus は、API／ダッシュボード／転送先の SIEM で検出結果を表示する、コンテナとして提供されるパッケージ化済みセキュリティエージェントです。ホスト側のパッケージでも、プログラミング用インターフェースでも、DOCA App Shield ライブラリ（カスタムセキュリティツールを構築するための低レベルのイントロスペクションライブラリで、このバンドルの対象外）でもありません。Argus コンテナをデプロイするには、タスク用コンパニオンの ## configure を開いてください。Argus サービスの構成や検出内容、検出結果の公開方法については、機能用コンパニオンから始めてください。BlueField に DOCA がインストールされていない場合は、まず doca-setup/SKILL.md に案内してください。*「ホストカーネルの状態を対象とするカスタムセキュリティツールの作成」*については、これは App Shield ライブラリの対象であり、このバンドルには含まれません。doca-public-knowledge-map/SKILL.md を通じて公開ドキュメントに案内してください。

このスキルの使い方。 このファイルを読んでから、必要な質問に対応する ## <name> 見出しをコンパニオンファイル内で検索し、そのセクション全体を読んでください。その内容だけに基づいて回答し、記載されたシンボルとコマンドのみを引用してください。ドキュメントを閲覧せず、doca-public-knowledge-map のエントリーポイントを使用してください。対象範囲外の依頼では、それを担当するスキルを示して終了してください。

このスキルが得意とする質問の例

このスキルが回答できるように設計された Argus に関する質問のクラスと、それぞれの具体例です。重要なのは質問のクラスであり、具体例はその一例です。

• 「本番環境の BlueField セキュリティワークフローでは、Argus をデプロイすべきですか。それとも DOCA App Shield ライブラリを使って独自に構築すべきですか？」 — 具体例：「本番データベース層を保護する BlueField-3 のフリートでランタイムセキュリティを実現したいのですが、まず何を使うべきですか？」 capabilities コンパニオンの Argus と App Shield のパス選択ルール、および tasks コンパニオンのパス選択ステップで回答します。
• 「Argus コンテナを起動する前に決めておく必要がある、4 つの設定軸は何ですか？」 — 具体例：「Argus で監視する本番ホスト、Splunk に転送する検出結果、低い誤検知予算」。capabilities コンパニオンの 4 軸設定表、および tasks コンパニオンの 4 軸ステップで回答します。
• 「Argus のコンテナは稼働していますが、検出結果が表示されません。何を見落としていますか？」 — 具体例：「コンテナは正常ですが、24 時間検出結果が届いていません」。capabilities コンパニオンの検出ポリシーとサンプリングの行、および tasks コンパニオンの段階的な手順で回答します。
• 「1 時間に何百件もの検出結果があり、ノイズのように見えます。Argus は壊れているのでしょうか？」 — 具体例：「検出結果が多すぎて、セキュリティ運用チームがチャンネルを無視し始めています」。capabilities コンパニオンのキャリブレーション期間と検出ポリシーのルール、および tasks コンパニオンの段階的な手順で回答します。
• 「既存の SIEM（Splunk／ELK／…）と Argus を連携させるにはどうすればよいですか？」 — 具体例：「セキュリティ運用チームが確認できるよう、検出結果を Splunk に転送したいです」。capabilities コンパニオンの転送軸の行、および tasks コンパニオンの転送ステップで回答します。
• 「Argus のデプロイによってワークロードのパフォーマンスに影響が出ています。何を調整すればよいですか？」 — 具体例：「Argus の起動後、本番ホストの CPU 使用率が目に見えて上昇しています」。capabilities コンパニオンのサンプリング軸の行、および tasks コンパニオンのサンプリング調整の行で回答します。

対象読者

このスキルの対象は、DOCA Argus Service コンテナをデプロイする外部のセキュリティ運用担当者およびプラットフォームチームです。BlueField とホストのペアでランタイムセキュリティを実現し、検出結果をチーム既存の SIEM に送ることを目的としています。具体的には、BlueField Arm で Argus コンテナを実行し、公開されている Argus ガイドに基づいて検出ポリシー、転送先、サンプリング、ホストの対象範囲を選択し、検出結果がセキュリティ運用チームに届くよう SIEM 側の取り込みを設定して、本番環境での判断にこのチャネルを信頼する前に、エンドツーエンドのパイプラインを検証する担当者です。

Argus 自体に貢献する NVIDIA の開発者を対象とするものではなく、DOCA ライブラリ上でセキュリティツールを開発するためのプログラミングガイドでもありません（doca-programming-guide/SKILL.md を参照してください。App Shield ライブラリについては公開ドキュメントを参照してください。このバンドルでは App Shield を扱いません）。Argus はライブラリではなくサービスです。運用担当者はコンテナを実行し、API／ダッシュボード／SIEM フォワーダー経由で検出結果を利用します。リンクする libargus.so はありません。

最初にパスを選択してください（重要）。 ユーザーがパッケージ化されたワークフローとして BlueField 上で本番環境向けのランタイムセキュリティを実現したい場合は Argus を使用してください。ほとんどの運用担当者は、App Shield ライブラリ上で独自に構築するより Argus を選ぶべきです。開発者が App Shield を必要とするのは、Argus では本当に要件を満たせない場合（たとえば、独自の判断ロジックを持つセキュリティ製品を出荷する場合）に限られます。（a）セキュリティ態勢への懸念がない場合（何も得られないのに Argus の大きなオーバーヘッドが発生します）、（b）ユーザーがセキュリティではなく可観測性／メトリクスを求めている場合（doca-public-knowledge-map ## DOCA services（doca-public-knowledge-map/SKILL.md#doca-services）を参照し、DOCA Telemetry Service に案内してください）、（c）ユーザーが DPU 側のカスタムセキュリティツールを開発している場合（このバンドルでは扱わない App Shield ライブラリを参照し、doca-public-knowledge-map/SKILL.md を通じて案内してください）は Argus を選ばないでください。

このスキルを読み込むタイミング

DOCA がすでにインストールされている BlueField で、ユーザーがArgus の実際のデプロイ作業を行っているときに、このスキルを読み込んでください。具体的には、以下の場合です。

• ユーザーのセキュリティ態勢に Argus が適切かどうかを判断する場合（このバンドルでは扱わない App Shield ライブラリ上のカスタムツール、セキュリティではなく可観測性、何もデプロイしない場合との比較）。
• BlueField Arm に Argus コンテナをデプロイする場合（公開されている Argus Service Guide に基づくイメージの入手元、設定のマウント、公開されている Container Deployment Guide に基づく起動／停止）。
• デプロイにおける4つの設定軸、すなわち検出ポリシー、転送先（ローカルログ／Splunk／ELK／Sentinel）、サンプリング／感度、ホストの対象範囲を選択する場合。
• 検出結果が実際にセキュリティ運用チームの確認環境に届くよう SIEM 側の取り込みを設定する場合。この設定がなければ、Argus が検出結果を生成しても行き場がありません。
• エンドツーエンドのパイプライン（コンテナ → 検出結果 → フォワーダー → SIEM への取り込み → 運用チームの確認）を検証し、このチャネルを信頼する前に調整期間を設ける場合。
• デプロイが設定どおりに機能していることを確認するため、コンテナのログまたは文書化された検出結果フィードを確認する場合。
• コンテナは正常なのに検出結果が届かない、検出結果が大量に発生する、検出結果が SIEM に届かない、または Argus がワークロードのパフォーマンスを低下させるといったデプロイの問題をデバッグする場合。

一般的な DOCA の概要、DOCA 自体のインストール、ライブラリ API に関する質問、またはセキュリティ以外のトピックには、このスキルを読み込まないでください。その場合は、doca-public-knowledge-map/SKILL.md、doca-setup/SKILL.md、または該当する libs/<library> スキルを通じて案内してください（ユーザーが独自の DPU 側セキュリティツールを開発している場合は、このバンドルでは App Shield を扱わないため、DOCA App Shield ライブラリの公開ドキュメントを案内してください）。

このスキルが提供するもの

これは薄いローダーです。実質的な情報は、次の2つの関連ファイルに記載されています。

• capabilities 関連ファイル — Argus のアーキテクチャ（BlueField 上のランタイムセキュリティ監視対象領域を担う長時間稼働コンテナ）、4つの設定軸（検出ポリシー／転送／サンプリング／ホストカバレッジ）、デプロイ形態（公開されている Container Deployment Guide に基づく、BlueField Arm 上のコンテナ）、連携対象（SIEM コンシューマー — Splunk、ELK、Sentinel、…）、可観測性（コンテナログ＋検出結果フィード＋SIEM 側の取り込み確認）、エラー分類（コンテナランタイム／検出ポリシー／転送／サンプリング性能／ホストカバレッジ）、安全ポリシー（Argus と App Shield の経路選択、検出結果を決して黙って無効化しないこと、調整期間を見込むこと、一括処理の前にスモークテストを行うこと）。
• tasks 関連ファイル — 対象範囲内の Argus の操作（configure、build、modify、run、test、debug）の手順を追ったワークフローに加え、対象範囲外の質問を案内する Deferred task verbs ブロックと、繰り返し使用するコマンドをまとめた Command appendix。

このスキルは、DOCA がすでにインストールされており、公開されている Argus Service Guide が想定する、BlueField Arm 上でコンテナを取得、実行、設定するための権限をオペレーターが持つ BlueField を前提とします。DOCA のインストールは対象外です（doca-setup/SKILL.md を参照）。また、SIEM 側での取り込みの詳細も扱いません。SIEM はユーザー既存のインフラストラクチャーであり、その管理とドキュメントは SIEM 側にあります。Argus は文書化されたフォワーダー形式で検出結果を出力し、SIEM チームがそれを受信します。

このスキルに意図的に含めていないもの

このスキルはエージェント向けのガイダンスであり、テンプレートやサンプル設定をまとめたものではありません。境界を明確に保つため、意図的に次の内容を含めていません。また、プルリクエストでも追加しないでください。

• 事前作成済みの Argus 設定ファイル（検出ポリシーの一式、すぐに実行できるフォワーダー設定、サンプリングテンプレート）。検出ポリシーはワークロードに大きく依存します。ポリシーをコピーして貼り付けると、誤検知が大量に発生するか、気付かないまま検出の抜けが生じる可能性が極めて高くなります。安全な方法は、ユーザーのワークロードに合わせて公開されている Argus Service Guide から設定を導き出し、そのうえで調整期間を順に進めることです。エージェントが定めるのは手順と4軸の判断であり、ユーザーが未変更のまま実行してしまう可能性のある設定ではありません。
• コンテナイメージ名、タグ、レジストリパス。 正式なイメージソースは、doca-public-knowledge-map ## DOCA services（doca-public-knowledge-map/SKILL.md#doca-services）から参照できる公開 DOCA Argus Service Guide です。Argus のイメージタグはバージョンに紐づいており、DOCA のリリースごとに変わります。タグをでっち上げたり、記憶に頼ったりすることは、サービススキルで典型的なハルシネーションの失敗パターンです。
• SIEM 側の取り込み設定（Splunk フォワーダーのスタンザ、Logstash パイプライン定義、Sentinel データコネクターのブロック）。これらは SIEM 環境に固有で、Argus コンテナ内ではなく SIEM 側にあります。このスキルでは、転送先を接続する必要があることと、文書化されたフォワーダー形式が何であるかを示します。SIEM 側の取り込み設定の本体は、ユーザーの SIEM チームと、その SIEM のドキュメントが扱う内容です。
• あらゆる種類の検出ルールパック（「必ずアラートを出すパターン」の一覧、しきい値テーブル、CVE の名前付きマッピング）。検出ポリシーは公開されている Argus Service Guide の領域であり、ユーザーのワークロードに応じて判断するものです。ルールパックを同梱すると、その両方を迂回するうえ、次のリリースで古くなります。
• いかなる種類の samples/、templates/、reference/ サブツリーも含みません。 「reference」とラベル付けされた模擬成果物は、本番環境での使用が可能で、セキュリティ審査も通過済みであるかのように受け取られますが、このスキルではどちらも保証できません。

読み込み順序

1. まずこのスキルを読み、ユーザーの質問が対象範囲内であること、そして Argus がそもそも適切な回答であることを確認してください（DOCA App Shield ライブラリを基盤に構築する場合――このバンドルの対象外です――、何もデプロイしない場合、または代わりにオブザーバビリティをデプロイする場合と比較してください）。
2. Argus のデプロイ形態、4 つの構成軸、SIEM との連携ポイント、エラー分類、オブザーバビリティの対象範囲、安全ポリシー（調整期間に関するルールと、決して黙って無効化しないルールを含む）については、機能の補足資料を参照してください。
3. 設定、ビルド、変更、実行、テスト、デバッグの手順を追ったワークフローについては、タスクの補足資料を参照してください。

関連スキル

• doca-public-knowledge-map/SKILL.md — 公開 DOCA Argus Service Guide およびその他の公開 DOCA ドキュメント一式への案内表です。Argus の URL は ## DOCA services（doca-public-knowledge-map/SKILL.md#doca-services）に記載されています。
• doca-setup/SKILL.md — Argus コンテナを実行する BlueField での環境準備とインストールの検証を扱います。公開 NGC DOCA コンテナを使った まだ何もインストールしていない場合 の手順も含まれます。このスキルでは、BlueField Arm で前提条件が満たされているものとします。
• doca-version/SKILL.md — DOCA のバージョン処理に関する正式なルールです。Argus のコンテナタグはバージョンに紐づいています。このスキルの ## Version compatibility では、4 方向の一致ルールを相互参照し、他のすべての DOCA サービスコンテナにも共通する「コンテナタグがホストパッケージより遅れる」補足ルールを追加しています。
• doca-structured-tools-contract/SKILL.md — このバンドルの構造化ツールに関する優先順位ルール（検出／優先／フォールバック／報告）です。タスクの補足資料にあるコマンドの付録は、この契約に従います。
• doca-programming-guide/SKILL.md — DOCA 全般のパターンを扱います。Argus はライブラリ型ではなくサービス型のため、ここにあるビルド／変更／最初のアプリのパターンはそのまま適用できませんが、ライブラリを横断するデバッグの原則（フロントエンドの確認後にバックエンドを確認、プログラムより先に環境を確認、フラグを創作しない）は、Argus がコンテナランタイムまたは呼び出した DOCA ライブラリに起因するエラーを報告した場合に役立ちます。
• DOCA App Shield library — ライブラリ相当の選択肢であり、開発者が DPU 側のカスタムツールを構築する基盤となる低レベルのイントロスペクションライブラリです。このバンドルでは扱いません（公開リリースの対象外です）。Argus では本当に不十分で、チームが独自のセキュリティ製品を構築する必要がある場合は、doca-public-knowledge-map/SKILL.md を通じて公開ドキュメントを案内してください。 本番環境のセキュリティではまず Argus を案内するという選択ルールが、機能の補足資料に記載されています。
• doca-dms/SKILL.md と doca-firefly/SKILL.md — 別の分野を扱う、同じサービススキル形式の関連スキルです（BlueField Arm 上のコンテナ、Container Deployment Guide の手順、全体展開の前のスモークテスト、環境の前提条件）。対象分野はそれぞれ異なり、DMS は gNMI／gNOI によるデバイス管理、Firefly は PTP による時刻同期、Argus は検出結果の出力によるランタイムセキュリティを扱います。
• doca-debug/SKILL.md — 分野横断的なデバッグ手順（インストール／バージョン／ビルド／リンク／ランタイム／プログラム／ドライバー）です。Argus 固有のデバッグ（検出結果が届かない、検出結果が多すぎる、転送されない、パフォーマンスへの影響）は、この手順に重ねて行います。