Justo a tiempo con la NIC

Bart SalaetsDirector de Tecnología de Campo | F5

Si retirabas la carcasa de tu ordenador de sobremesa en la década de 1990, una de las primeras cosas que veías era una tarjeta de interfaz de red (NIC), el componente que se utilizaba para conectar el equipo a un cable Ethernet.

Aunque pueda parecer improbable, la modesta tarjeta de interfaz de red (NIC) está llamada a ayudar al sector de las telecomunicaciones y a sus clientes a combatir el enorme aumento mundial de los ataques distribuidos de denegación de servicio (DDoS), entre otras cosas.

Las NIC actuales hacen mucho más que dirigir el tráfico. Este hardware especializado, conocido ahora como SmartNIC, puede ayudar a resolver uno de los mayores retos de las empresas de telecomunicaciones: migrar a una arquitectura virtualizada basada en servidores estándar del sector controlados por CPU (unidades centrales de procesamiento). Estas máquinas virtuales, diseñadas para admitir funciones de red en la nube, no suelen estar bien preparadas para hacer frente a grandes ataques DDoS, en los que un gran número de dispositivos solicita recursos de red al mismo tiempo. Las CPU se verían desbordadas rápidamente.

Ahora mismo, estas CPU necesitan más protección que nunca. Según un análisis reciente de F5 Labs sobre los datos del informe de incidentes de seguridad (SIRT), los ataques DDoS representaron apenas una décima parte de todos los incidentes notificados por los clientes en enero. En marzo, ya triplicaban el número de todos los incidentes. Además, se determinó que el 4,2 % de los ataques DDoS notificados al SIRT de F5 el año pasado estaban dirigidos contra aplicaciones web. Esta cifra se multiplicó por seis en 2020, hasta alcanzar el 26 %. Muchos otros estudios reflejan estas tendencias, y no es ningún misterio por qué está ocurriendo. El trabajo a distancia y el hecho de que las personas pasen más tiempo en Internet han aumentado considerablemente tanto los niveles de riesgo como las superficies de ataque disponibles.

Una forma de protegerse consiste en colocar delante de la red virtual un equipo dedicado, diseñado específicamente para detectar y mitigar ataques DDoS. Aunque sigue siendo una opción viable, reduce algunas de las ventajas económicas de optar por una red totalmente virtual. Además, los dispositivos dedicados ocuparían un espacio valioso en los centros compactos de computación en el borde que los operadores de telecomunicaciones están desplegando para reducir la latencia de la red.

El hardware echa una mano

En F5, nos dimos cuenta de que trasladar las capacidades de mitigación de ataques DDoS volumétricos a una SmartNIC equipada con procesadores especializados —también conocidos como matrices de puertas programables en campo (FPGA)— puede marcar una gran diferencia en un mundo cada vez más virtualizado y centrado en la nube. Y lo que es más importante, los procesadores especializados pueden asumir gran parte de la carga de trabajo y filtrar el tráfico entrante mucho más rápido que una implementación de software tradicional ejecutada en CPU.

Esta idea nos impulsó a convertirnos en la primera empresa de software en crear una aplicación específica para la tarjeta de aceleración programable FPGA de Intel (SmartNIC N3000). La aplicación ha sido validada y probada por algunos de los principales proveedores de servicios del mundo.

Para hacer realidad nuestra visión, programamos las FPGA de las SmartNIC de Intel del mismo modo que programamos las FPGA de nuestro propio hardware para que fueran compatibles con la solución BIG-IP Advanced Firewall Manager (AFM) Virtual Edition, diseñada para bloquear eficazmente los ataques DDoS entrantes en entornos de nube mediante aceleración por hardware.

Al utilizar la SmartNIC para gestionar la inteligencia sobre amenazas de red, el análisis basado en paquetes, las listas de permitidos y otras medidas de mitigación de DDoS, la solución libera ciclos de CPU para otras funciones. Esto permite que la red siga funcionando con normalidad. Además, las SmartNIC son extremadamente rápidas. La inspección y eliminación de paquetes maliciosos dentro de la SmartNIC se realiza a velocidad de línea, por lo que ni la latencia ni la experiencia del usuario se ven afectadas. De hecho, trasladar funciones específicas a una SmartNIC, como las contramedidas frente a DDoS, puede mejorar el rendimiento y reducir la latencia tanto en el núcleo como en el extremo de la red.

Tampoco se trata de lograr mejoras graduales, ya que las ventajas potenciales de aprovechar las SmartNIC son enormes. Por ejemplo, la solución F5 BIG-IP VE puede hacer frente a ataques DDoS hasta 300 veces mayores que las implementaciones basadas únicamente en software, al tiempo que reduce el coste total de propiedad en aproximadamente un 47 %.

Al mantener una red de nivel operador segura y plenamente disponible, una solución basada en SmartNIC permite a los operadores cumplir exigentes acuerdos de nivel de servicio y ofrecer conexiones de latencia ultrabaja sin tener que recurrir a hardware personalizado de alto rendimiento y elevado coste.

Al mismo tiempo, una FPGA puede reprogramarse según las necesidades, lo que proporciona a los operadores de telecomunicaciones una mayor flexibilidad y agilidad arquitectónicas, a la vez que permite que los servidores estándar se centren exclusivamente en la tarea principal de gestionar las funciones de red nativas de la nube.

Defensa en el edge

Mientras el sector de las telecomunicaciones se adapta rápidamente a unas demandas empresariales y de los consumidores cada vez más complejas, la SmartNIC de Intel parece haber llegado justo a tiempo.

En una red de telecomunicaciones tradicional, podía haber unos pocos centros de datos de gran tamaño en los que todo estaba centralizado. Bastaba con instalar un par de dispositivos de gran capacidad delante de ellos para protegerlos de ataques DDoS. Pero eso era antes.

Hoy en día, los dispositivos físicos diseñados para fines específicos están quedando obsoletos a medida que la capacidad de computación se distribuye más ampliamente por la red. Esto incluye el despliegue por parte de los operadores de telecomunicaciones de centros de datos en el extremo de su infraestructura para mejorar la capacidad de respuesta de aplicaciones y servicios exigentes, como los juegos en línea y la realidad virtual.

Las SmartNIC desempeñarán un papel especialmente importante a medida que se generalice la computación en el extremo, ya que constituirán una de las principales líneas de defensa de las redes distribuidas. En F5 ya estamos hablando con varios operadores importantes sobre la migración de sus sistemas de mitigación de ataques DDoS desde hardware dedicado a esta tecnología.

El futuro de las SmartNIC parece, sin duda, prometedor, ya que ofrecen claramente una forma innovadora y rentable de reforzar la seguridad y el rendimiento de una red nativa de la nube. La innovadora implementación de mitigación de ataques DDoS de F5 es una prueba contundente de ello, y es probable que le sigan muchos otros casos de uso.

¡A esas fiables tarjetas de interfaz de red de toda la vida aún les queda mucha vida! De hecho, gracias a sus nuevas versiones más inteligentes, sus mejores (y más productivos) días están aún por llegar. Habrá que estar atentos.

¿Quieres saber más? Consulta nuestro seminario web bajo demanda (Mitigación de ataques DDoS en infraestructuras virtualizadas mediante Intel SmartNIC).

Sobre el autor

Bart SalaetsDirector de Tecnología de Campo | F5

Más artículos de Bart Salaets