ネットワークトラフィック量が増加するにつれて、ネットワークセキュリティソリューションは、処理のボトルネックを増やすことなくパケットを検査およびフィルタリングする必要があります。従来のソフトウェアベースのネットワーク侵入防御システム（NIPS）は、パケット検査と脅威検出にホストCPUリソースに依存しているため、負荷の高いワークロードでは処理オーバーヘッドが増加する可能性があります。
iWaveは、iW-Fibre SmartNICプラットフォーム上でP4プログラマブルパケットフィルタリングを用いたFPGAベースのネットワーク侵入防御手法を実証しました。選択されたシグネチャマッチングとパケットフィルタリング処理をFPGAデータパスにオフロードすることで、設定されたセキュリティルールに一致するパケットを破棄し、一致しないトラフィックを転送することが可能になります。この手法により、選択されたネットワークセキュリティ処理におけるホストCPUの関与を軽減できます。
iWave SmartNICによるFPGAアクセラレーションを活用したネットワークセキュリティ
iWaveは、 iW-Fibre SmartNICプラットフォーム上でFPGA技術を用いたP4ベースのネットワーク侵入防御により、高性能なネットワークセキュリティ要件に対応します。Altera製FPGAを搭載したこのソリューションは、ハードウェアデータパス内でプログラム可能なパケットフィルタリングを直接実装することで、設定された悪意のあるパケットシグネチャをホストに到達する前に識別し、フィルタリングすることを可能にします。
設定されたテストシグネチャに一致するパケットは破棄され、一致しないトラフィックは転送されます。このハードウェア支援方式は、選択されたネットワーク侵入防止機能をホストCPUからFPGAベースのPCIeアクセラレータにオフロードする方法を示しています。
アーキテクチャと実装
iW -Fibre SmartNICは、FPGA SmartNIC上でP4ベースのパケットフィルタリングを実現し、プログラマブルなパケット処理とハードウェア支援によるセキュリティ強化を組み合わせました。このFPGA高速化されたパケット検査およびフィルタリング手法は、設定されたプロトコル、宛先ポート、およびペイロードパターン条件を評価し、パケットを破棄するか転送するかを判断します。
このアーキテクチャは、3つの主要な構成要素から成り立っています。
- P4ベースのパケット処理： 受信パケットは、設定されたプロトコル、宛先ポート、およびペイロードパターン条件に基づいて評価されます。
- ハードウェアによる強制： 設定された悪意のある署名に一致するパケットは破棄され、一致しないパケットは転送されます。
ホストベースの監視：ホストソフトウェアがテストトラフィックを生成し、Suricataを使用して受信パケットを監視し、フィルタリング動作を検証します。
テスト設定とパフォーマンス観察
図1：テストセットアップ
P4ベースのNIPSオフロードの影響を評価するため、iWave G51-AFibre-200G SmartNICで、P4フィルタリングを無効にした状態と有効にした状態の4つの構成でテストを実施しました。テストでは、ホストが生成したトラフィックワークロードを使用し、その中には無害なパケットと、設定されたSynful Knockテストシグネチャに一致するパケットが含まれていました。無害なパケットは、Suricataアプリケーションを介してホストにログ記録されました。
表1：テスト環境
1.P4フィルタリングなし
P4フィルタリングを無効にした状態で、ホスト側のトラフィックジェネレータは、設定されたP4マッチアクションフィルタリングを適用せずにテストパケットを送信しました。パケット送信前および送信中は、htopアプリケーションを使用してホストのCPU使用率を監視し、Suricataアプリケーションを通じてホスト上に正常なパケットをログ記録しました。
これらの測定結果は、ベースラインのトラフィック生成構成に関連するホストリソースの使用状況を示しています。
図2. P4フィルタリングを無効にした状態でのパケット送信前のホストCPU使用率 - 観測された個々のコアの最大使用率: 0.7%。
図3. P4フィルタリングを無効にした状態でのパケット送信中のホストCPU使用率- 観測された個々のコアの最大使用率: 42.4%。
図4. ホストログ記録 - Suricataアプリケーションがホストに到達するSYNful knackパケットを検出
2. P4ベースのNIPSオフロード機能を搭載したiWave PCIeアクセラレータカード
P4フィルタリングを有効にした状態で、TCPプロトコル、宛先ポート4789、およびペイロードパターンの一致を使用してSynful Knockテストシグネチャを識別するようにFPGAにパケット処理ルールが構成されました。構成されたルールに一致するパケットにはドロップアクションが割り当てられ、一致しないTCPトラフィックにはフォワードアクションが割り当てられました。
表2．P4マッチアクション構成
このテストでは、NIPSオフロード構成においてCPU使用率が1.0%を記録しました。これは報告されたテストにおける観測値であり、一般的な性能保証値ではありません。
図5：NIPSハードウェアオフロード中のCPU使用率
Suricataには、テスト対象の悪意のあるトラフィックがホストに到達した場合にアラートを発するルールが設定されていました。報告されたテスト中、設定されたシグネチャに対してアラートは発動されませんでした。
図6：ホストログ記録 - P4 NIPS有効テスト中にSuricataアプリケーションがホストに到達するSYNful knackパケットをトリガーしない
実施されたテストの概要
この比較は、iWave G51-AFibre-200G PCIeアクセラレータカードでP4ベースのNIPSオフロードを有効にした場合の影響を示しています。P4フィルタリングが無効になっている場合、設定された悪意のあるトラフィックがホストに到達し、Suricataアラートがトリガーされました。P4が有効になっている場合、FPGAは設定されたシグネチャマッチングルールを適用して一致するパケットを破棄し、一致しないTCPトラフィックを転送しました。報告されたテスト中、対応するSuricataアラートはトリガーされませんでした。P4有効構成では、NIPSオフロード中にCPU使用率が1.0%でした。
結論
データセンターやクラウドインフラストラクチャから、エンタープライズネットワーク、サイバーセキュリティ機器に至るまで、iWaveのiW-Fibre SmartNICは、インフラストラクチャプロバイダーがプログラム可能なFPGAベースの脅威フィルタリングを高速ネットワーク処理に統合することを可能にします。パケット検査におけるホストCPUの関与を減らしつつネットワークセキュリティを強化したい組織にとって、iWaveは拡張性とセキュリティ重視のネットワークソリューション構築のための柔軟なハードウェアプラットフォームを提供します。
