Wenn Sie in den 1990er-Jahren das Gehäuse Ihres Desktop-Computers geöffnet hätten, wäre Ihnen als eine der ersten Komponenten eine Netzwerkkarte (Network Interface Card, NIC) aufgefallen – die Komponente, über die Ihr Computer mit einem Ethernet-Kabel verbunden wurde.
So unwahrscheinlich es auch klingen mag: Die unscheinbare NIC soll nun der Telekommunikationsbranche und ihren Kunden dabei helfen, den weltweit enormen Anstieg von Distributed-Denial-of-Service-Angriffen (DDoS) zu bekämpfen. Neben vielen weiteren Aufgaben.
Moderne NICs können weit mehr als nur den Datenverkehr weiterleiten. Diese heute als SmartNICs bezeichnete Spezialhardware kann Telekommunikationsunternehmen dabei helfen, eine ihrer größten Herausforderungen zu bewältigen: den Umstieg auf eine virtualisierte Architektur, die auf branchenüblichen, von CPUs (Central Processing Units) gesteuerten Servern basiert. Diese virtuellen Maschinen wurden zur Unterstützung von Netzwerkfunktionen in der Cloud entwickelt, sind jedoch häufig nicht ausreichend für große DDoS-Angriffe gerüstet, bei denen zahlreiche Geräte gleichzeitig Netzwerkressourcen anfordern. Die CPUs wären schnell überlastet.
Derzeit benötigen diese CPUs mehr Schutz denn je. Laut einer aktuellen Analyse von Security Incident Report (SIRT)-Daten durch F5 Labs machten DDoS-Angriffe im Januar nur ein Zehntel aller gemeldeten Kundenvorfälle aus. Bis März war ihre Zahl auf das Dreifache der Zahl aller Vorfälle gestiegen. Darüber hinaus richteten sich 4,2 % der im vergangenen Jahr an das F5 SIRT gemeldeten DDoS-Angriffe gegen Webanwendungen. Dieser Anteil stieg 2020 um das Sechsfache auf 26 %. Zahlreiche weitere Studien bestätigen diese Trends, und die Gründe dafür liegen auf der Hand. Die Arbeit im Homeoffice und die Tatsache, dass Menschen mehr Zeit online verbringen, haben sowohl das Risikoniveau als auch die verfügbaren Angriffsflächen erheblich vergrößert.
Eine Möglichkeit zum Schutz besteht darin, dem virtuellen Netzwerk eine dedizierte Hardware vorzuschalten, die speziell für die Erkennung und Abwehr von DDoS-Angriffen entwickelt wurde. Dies ist zwar nach wie vor eine praktikable Option, schmälert jedoch einige der Kostenvorteile eines vollständig virtualisierten Netzwerks. Zudem würden die dedizierten Appliances wertvollen Platz in den kompakten Edge-Rechenzentren beanspruchen, die Telekommunikationsanbieter derzeit zur Verringerung der Netzwerklatenz bereitstellen.
Hardware leistet Unterstützung
Bei F5 haben wir erkannt, dass die Verlagerung von Funktionen zur Abwehr volumetrischer DDoS-Angriffe auf eine SmartNIC mit spezialisierten Prozessoren – sogenannten Field Programmable Gate Arrays (FPGA) – in einer zunehmend virtualisierten und Cloud-zentrierten Welt einen großen Unterschied machen kann. Entscheidend ist, dass die spezialisierten Prozessoren einen Großteil der rechenintensiven Aufgaben übernehmen und den eingehenden Datenverkehr wesentlich schneller filtern können als eine herkömmliche, auf CPUs ausgeführte Softwareimplementierung.
Diese Erkenntnis veranlasste uns, als erstes Softwareunternehmen eine speziell für Intels programmierbare FPGA-Beschleunigerkarte entwickelte Anwendung zu erstellen (N3000 SmartNIC). Sie wurde von einigen der weltweit führenden Serviceprovider validiert und getestet.
Um unsere Vision zu verwirklichen, haben wir die FPGAs der Intel SmartNIC genauso programmiert wie die FPGAs in unserer eigenen Hardware, um die BIG-IP Advanced Firewall Manager (AFM) Virtual Edition-Lösung zu unterstützen, die eingehende DDoS-Angriffe in Cloud-Umgebungen mithilfe von Hardwarebeschleunigung effizient abwehren soll.
Da die SmartNIC Netzwerkbedrohungsinformationen, paketbasierte Analysen, Positivlisten und andere Maßnahmen zur DDoS-Abwehr verarbeitet, hält die Lösung CPU-Ressourcen für andere Funktionen frei. So kann das Netzwerk wie gewohnt weiterlaufen. Darüber hinaus sind SmartNICs extrem schnell. Die Überprüfung und Entfernung schädlicher Pakete innerhalb der SmartNIC erfolgt mit Leitungsgeschwindigkeit, sodass weder die Latenz noch das Benutzererlebnis beeinträchtigt werden. Tatsächlich kann die Verlagerung bestimmter Funktionen, wie etwa DDoS-Gegenmaßnahmen, auf eine SmartNIC die Leistung steigern und die Latenz sowohl im Kernnetz als auch am Netzwerkrand reduzieren.
Dabei geht es auch nicht nur um schrittweise Verbesserungen, denn die potenziellen Vorteile des Einsatzes von SmartNICs sind enorm. So kann die F5 BIG-IP VE-Lösung beispielsweise DDoS-Angriffe bewältigen, die bis zu 300-mal größer sind als bei reinen Softwareimplementierungen, und gleichzeitig die Gesamtbetriebskosten um etwa 47 % senken.
Indem eine SmartNIC-basierte Lösung ein Netz auf Carrier-Niveau sicher und jederzeit verfügbar hält, ermöglicht sie Betreibern, anspruchsvolle Service-Level-Agreements einzuhalten und Verbindungen mit extrem niedriger Latenz bereitzustellen, ohne auf kostspielige, leistungsstarke Spezialhardware zurückgreifen zu müssen.
Gleichzeitig lässt sich ein FPGA bedarfsgerecht neu programmieren, was Telekommunikationsunternehmen mehr Flexibilität und Agilität bei der Architektur bietet und es Standardservern zugleich ermöglicht, sich ausschließlich auf ihre Kernaufgabe zu konzentrieren: die Verarbeitung cloudnativer Netzwerkfunktionen.
Verteidigung mit Edge-Technologie
Da sich die Telekommunikationsbranche rasch an die immer komplexeren Anforderungen von Unternehmen und Verbrauchern anpasst, scheint Intels SmartNIC gerade noch rechtzeitig auf den Markt gekommen zu sein.
In einem herkömmlichen Telekommunikationsnetz gab es möglicherweise einige wenige große Rechenzentren, in denen alles zentralisiert war. Davor konnte man ein paar große Appliances platzieren, um sie vor DDoS-Angriffen zu schützen. Doch diese Zeiten sind vorbei.
Heutzutage verlieren speziell entwickelte physische Appliances zunehmend an Bedeutung, da die Rechenleistung immer stärker über das gesamte Netzwerk verteilt wird. Dazu gehört auch, dass Telekommunikationsanbieter Rechenzentren am Rand ihrer Infrastruktur bereitstellen, um die Reaktionszeiten anspruchsvoller Anwendungen und Dienste wie Online-Gaming und Virtual Reality zu verbessern.
SmartNICs werden mit der zunehmenden Verbreitung von Edge Computing eine besonders wichtige Rolle spielen und als eine der wichtigsten Verteidigungslinien in einem verteilten Netzwerk dienen. Bei F5 sprechen wir bereits mit mehreren großen Betreibern darüber, ihre Systeme zur DDoS-Abwehr von dedizierter Hardware auf diese Technologie zu migrieren.
Die Zukunftsaussichten für SmartNICs sind zweifellos vielversprechend, denn sie bieten eindeutig eine innovative und kosteneffiziente Möglichkeit, die Sicherheit und Leistung eines Cloud-nativen Netzwerks zu verbessern. Die wegweisende DDoS-Implementierung von F5 ist ein überzeugender Beleg dafür, und viele weitere Anwendungsfälle dürften folgen.
Die guten alten Netzwerkkarten haben noch lange nicht ausgedient! Dank ihrer neuen, intelligenteren Ausführungen stehen ihnen ihre besten (und produktivsten) Zeiten sogar noch bevor. Bleiben Sie gespannt.
Möchten Sie mehr erfahren? Sehen Sie sich unser On-Demand-Webinar an (DDoS-Abwehr in virtualisierten Infrastrukturen mit Intel SmartNIC).
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...