Si vous retiriez le boîtier de votre ordinateur de bureau dans les années 1990, l’une des premières choses que vous aperceviez était une carte réseau (NIC), le composant qui permettait de connecter votre machine à un câble Ethernet.
Aussi improbable que cela puisse paraître, la modeste carte réseau s’apprête désormais à aider le secteur des télécommunications et ses clients à lutter contre la forte recrudescence mondiale des attaques par déni de service distribué (DDoS). Entre autres choses.
Les cartes réseau modernes font bien plus qu’acheminer le trafic. Désormais appelées SmartNIC, ces cartes spécialisées peuvent contribuer à relever l’un des plus grands défis des opérateurs télécoms : passer à une architecture virtualisée reposant sur des serveurs standard du marché pilotés par des processeurs (CPU). Conçues pour prendre en charge les fonctions réseau dans le cloud, ces machines virtuelles sont souvent mal équipées pour faire face à des attaques DDoS de grande ampleur, au cours desquelles un grand nombre d’appareils sollicitent simultanément les ressources du réseau. Les processeurs seraient alors rapidement saturés.
À l’heure actuelle, ces processeurs ont plus que jamais besoin d’être protégés. Selon une récente analyse des rapports d’incidents de sécurité (SIRT) menée par F5 Labs, les attaques DDoS ne représentaient qu’un dixième de tous les incidents signalés par les clients en janvier. En mars, elles étaient trois fois plus nombreuses que l’ensemble des incidents. De plus, 4,2 % des attaques DDoS signalées au SIRT de F5 l’année dernière ciblaient des applications web. Cette proportion a été multipliée par six en 2020, pour atteindre 26 %. De nombreuses autres études font état des mêmes tendances, et les raisons de cette évolution ne sont pas difficiles à comprendre. Le télétravail et le temps accru passé en ligne ont considérablement augmenté les niveaux de risque et les surfaces d’attaque disponibles.
Une façon de se protéger consiste à placer devant le réseau virtuel un équipement dédié, spécialement conçu pour détecter et atténuer les attaques DDoS. Bien que cette option reste viable, elle réduit certains des avantages économiques liés au choix d’un réseau entièrement virtuel. Les appliances dédiées occuperaient également un espace précieux dans les centres informatiques de périphérie compacts que les opérateurs télécoms déploient actuellement afin de réduire la latence du réseau.
Le matériel vient à la rescousse
Chez F5, nous avons compris que le portage des capacités d’atténuation des attaques DDoS volumétriques vers une SmartNIC équipée de processeurs spécialisés, également appelés réseaux de portes programmables sur site (FPGA), pouvait faire toute la différence dans un monde davantage virtualisé et centré sur le cloud. Surtout, ces processeurs spécialisés peuvent prendre en charge une grande partie des traitements intensifs et filtrer le trafic entrant bien plus rapidement qu’une implémentation logicielle traditionnelle exécutée sur des processeurs généralistes.
C’est cette prise de conscience qui nous a conduits à devenir la première entreprise de logiciels à créer une application spécialement conçue pour la carte d’accélération programmable FPGA d’Intel (SmartNIC N3000). Celle-ci a été validée et testée par certains des plus grands fournisseurs de services au monde.
Pour concrétiser notre vision, nous avons programmé les FPGA des SmartNIC Intel de la même manière que ceux de notre propre matériel afin de prendre en charge la solution BIG-IP Advanced Firewall Manager (AFM) Virtual Edition, conçue pour bloquer efficacement les attaques DDoS entrantes dans les environnements cloud grâce à l’accélération matérielle.
En utilisant la SmartNIC pour gérer les renseignements sur les menaces réseau, l’analyse des paquets, la création de listes d’autorisation et d’autres mesures d’atténuation des attaques DDoS, la solution libère des cycles CPU pour d’autres fonctions. Le réseau peut ainsi continuer à fonctionner normalement. Mieux encore, les SmartNIC sont extrêmement rapides. L’inspection et la suppression des paquets malveillants au sein de la SmartNIC s’effectuent à la vitesse de la ligne, sans incidence sur la latence ni sur l’expérience utilisateur. En effet, le transfert de fonctions spécifiques vers une SmartNIC, telles que les contre-mesures DDoS, peut améliorer les performances et réduire la latence aussi bien au niveau du cœur que de la périphérie du réseau.
Il ne s’agit pas non plus d’obtenir des gains marginaux : les avantages potentiels de l’exploitation des SmartNIC sont considérables. Par exemple, la solution F5 BIG-IP VE peut faire face à des attaques DDoS jusqu’à 300 fois plus importantes que les implémentations exclusivement logicielles, tout en réduisant le coût total de possession d’environ 47 %.
En assurant la sécurité et la haute disponibilité d’un réseau de classe opérateur, une solution basée sur des SmartNIC permet aux opérateurs de respecter des accords de niveau de service exigeants et de fournir des connexions à très faible latence sans recourir à du matériel sur mesure, coûteux et hautement performant.
Dans le même temps, un FPGA peut être reprogrammé en fonction des besoins, offrant ainsi aux opérateurs télécoms davantage de flexibilité et d’agilité sur le plan architectural, tout en permettant aux serveurs standard de se consacrer exclusivement à leur tâche principale : la gestion des fonctions réseau cloud natives.
Se défendre grâce à l’Edge
Alors que le secteur des télécommunications s’adapte rapidement aux exigences de plus en plus complexes des entreprises et des consommateurs, la SmartNIC d’Intel semble être arrivée à point nommé.
Dans un réseau de télécommunications traditionnel, il pouvait y avoir quelques grands centres de données où tout était centralisé. Il suffisait de déployer deux ou trois équipements de grande capacité en amont pour les protéger contre les attaques DDoS. Mais ça, c’était avant.
Aujourd’hui, les équipements physiques dédiés deviennent obsolètes à mesure que les ressources informatiques sont réparties plus largement sur le réseau. Les opérateurs télécoms déploient notamment des centres de données à la périphérie de leur infrastructure afin d’améliorer la réactivité des applications et services exigeants, tels que les jeux en ligne et la réalité virtuelle.
Les SmartNIC joueront un rôle particulièrement important à mesure que l’edge computing se généralisera, en constituant l’une des principales lignes de défense d’un réseau distribué. Chez F5, nous discutons déjà avec plusieurs grands opérateurs de la migration de leurs systèmes d’atténuation des attaques DDoS depuis du matériel dédié vers cette technologie.
L’avenir s’annonce assurément prometteur pour les SmartNIC, qui offrent clairement un moyen innovant et économique de renforcer la sécurité et les performances d’un réseau cloud natif. L’implémentation révolutionnaire de la protection contre les attaques DDoS par F5 en est une preuve convaincante, et de nombreux autres cas d’usage devraient suivre.
Ces bonnes vieilles cartes d’interface réseau ont encore de beaux jours devant elles ! En fait, grâce à leurs nouvelles versions plus intelligentes, le meilleur — et le plus productif — reste à venir. Affaire à suivre.
Vous souhaitez en savoir plus ? Regardez notre webinaire à la demande (Atténuation des attaques DDoS dans les infrastructures virtualisées à l’aide d’Intel SmartNIC).
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.