NIC一髪

Bart Salaetsフィールド最高技術責任者 | F5

1990年代当時、デスクトップコンピューターのケースを外すと、まず目に入るものの1つがネットワークインターフェースカード（NIC）でした。これは、コンピューターをEthernetケーブルに接続するためのコンポーネントです。

意外に思われるかもしれませんが、今やこの目立たないNICが、通信業界とその顧客による分散型サービス拒否（DDoS）攻撃の世界的な急増への対抗を支援しようとしています。しかも、その役割はこれだけではありません。

現在のNICは、トラフィックを転送するだけではありません。SmartNICと呼ばれるようになったこの専用ハードウェアは、通信事業者が抱える最大の課題の1つ、すなわちCPU（中央処理装置）で制御される業界標準サーバーを基盤とした仮想化アーキテクチャへの移行に役立ちます。クラウド上でネットワーク機能を提供するよう設計されたこれらの仮想マシンは、多数のデバイスが同時にネットワークリソースを要求する大規模なDDoS攻撃への対応には、十分な能力を備えていないことが少なくありません。CPUはすぐに処理能力の限界に達してしまいます。

現在、これらのCPUにはこれまで以上の保護が必要です。F5 Labsによる最近のSecurity Incident Report（SIRT）データの分析によると、1月に報告された顧客インシデント全体のうち、DDoS攻撃はわずか10分の1でした。3月までには、全インシデントの3倍に増加しました。さらに、昨年F5 SIRTに報告されたDDoS攻撃のうち、Webアプリを標的とするものは4.2%でした。2020年には6倍の26%に増加しました。同様の傾向を示す調査はほかにも数多くあり、その理由は明らかです。リモートワークの普及とオンラインで過ごす時間の増加により、リスクレベルと攻撃対象領域の両方が大幅に拡大しました。

保護対策の1つは、DDoS攻撃の検知と緩和に特化した専用機器を仮想ネットワークの前段に配置することです。これは現在も有効な選択肢ですが、ネットワークを完全に仮想化することで得られるコスト面のメリットが一部損なわれます。また、通信事業者がネットワーク遅延を低減するために展開を進めている小規模なエッジコンピューティングセンターでは、専用アプライアンスが貴重なスペースを占有することになります。

ハードウェアによる支援

F5は、専用プロセッサ、すなわちフィールドプログラマブルゲートアレイ（FPGA）を搭載したSmartNICにボリューム型DDoS攻撃の緩和機能を移植することで、仮想化とクラウド中心の傾向が強まる環境に大きな変化をもたらせると考えました。特に、専用プロセッサが負荷の高い処理の多くを担い、CPU上で動作する従来のソフトウェア実装よりもはるかに高速に受信トラフィックをフィルタリングできます。

この知見をきっかけに、F5は初めてIntelのFPGAプログラマブル・アクセラレーション・カード専用アプリケーションを開発したソフトウェア企業となりました（N3000 SmartNIC）。このアプリケーションは、世界有数のサービスプロバイダーによる検証とテストを受けています。

このビジョンを実現するため、F5は自社ハードウェアのFPGAと同じ方法でIntel SmartNICのFPGAをプログラミングし、BIG-IP Advanced Firewall Manager (AFM) Virtual Editionソリューションに対応させました。このソリューションは、ハードウェアアクセラレーションを使用して、クラウド環境へのDDoS攻撃を効率的にブロックするよう設計されています。

SmartNICでネットワーク脅威インテリジェンス、パケットベースの分析、許可リスト、その他のDDoS緩和策を処理することで、CPUサイクルをほかの機能に利用できるようにします。これにより、ネットワークは通常どおり稼働し続けることができます。さらに、SmartNICは極めて高速です。SmartNIC内で悪意のあるパケットを検査して除去する処理はラインレートで行われるため、レイテンシーにもユーザーエクスペリエンスにも影響しません。実際、DDoS対策などの特定の機能をSmartNICに移行することで、ネットワークコアとネットワークエッジの両方でパフォーマンスを向上させ、レイテンシーを低減できます。

これは単なる段階的な改善にとどまるものではなく、SmartNICの活用によって非常に大きなメリットが得られる可能性があります。たとえば、F5 BIG-IP VEソリューションは、総所有コストを約47%削減しながら、ソフトウェアのみの実装と比べて最大300倍規模のDDoS攻撃に対応できます。

SmartNICベースのソリューションにより、通信事業者グレードのネットワークのセキュリティと可用性を維持できます。これにより、高価な高性能カスタムハードウェアに頼ることなく、厳しいサービスレベル契約を満たし、超低遅延の接続を提供できます。

同時に、FPGAはニーズに合わせて再プログラミングできるため、通信事業者はアーキテクチャの柔軟性と俊敏性を高められます。また、標準サーバーをクラウドネイティブなネットワーク機能の処理という中核業務に専念させることもできます。

エッジを活用した防御

通信業界がますます複雑化する企業や消費者のニーズへの対応を急速に進める中、IntelのSmartNICはまさに絶好のタイミングで登場したと言えます。

従来の通信事業者ネットワークでは、少数の大規模データセンターにすべてが集約されていた場合があります。その前段に大型の機器を数台導入すれば、DDoS攻撃からデータセンターを保護できました。しかし、それは過去の話です。

現在では、コンピューティングがネットワーク全体に広く分散するようになり、特定用途向けの物理アプライアンスは時代遅れになりつつあります。通信事業者も、オンラインゲームや仮想現実など、高い処理能力を必要とするアプリやサービスの応答性を向上させるため、インフラストラクチャのエッジにデータセンターを展開しています。

エッジコンピューティングの普及に伴い、SmartNICsは分散ネットワークにおける主要な防御手段の1つとして、特に重要な役割を果たすようになります。F5ではすでに、複数の大手通信事業者と、DDoS緩和システムを専用ハードウェアからSmartNICsへ移行することについて協議しています。

クラウドネイティブネットワークのセキュリティとパフォーマンスを革新的かつコスト効率に優れた方法で強化できるSmartNICsには、明るい未来が期待できます。F5による画期的なDDoS実装は、その可能性を強く裏付けるものであり、今後はほかにも多くのユースケースが登場すると考えられます。

長年信頼されてきたネットワークインターフェースカードは、まだまだ現役です。よりスマートな新世代へと進化したことで、その真価（そして生産性）が最大限に発揮されるのは、むしろこれからです。今後の展開にご注目ください。

詳しく知りたい方は、オンデマンドウェビナー（Intel SmartNICを使用した仮想化インフラストラクチャにおけるDDoS緩和）をご覧ください。

著者について

Bart Salaetsフィールド最高技術責任者 | F5

Bart Salaetsのその他のブログ記事