[論文レビュー] Programmable In-Network Security for Context-aware BYOD Policies

Qiao Kang, Lei Xue+4 more|arXiv (Cornell University)|Aug 4, 2019

Software-Defined Networks and 5G参考文献 53被引用数 14

ひとこと要約

Poiseは、P4プログラマブルデータプレーンを用いてスイッチハードウェア内で直接コンテキスト対応のBYODポリシーを強制する、プログラム可能なインフラネットワークセキュリティフレームワークを提案する。高レベルのポリシーをハードウェアレベルのパケット処理プリミティブにコンパイルすることにより、コンテキスト変更への応答が500ナノ秒未塔に達し、中央集権型SDNよりも3〜7桁速く、コントロールプレーンの過負荷攻撃に対しても完全な耐性を示し、100Gbpsでラインスピード性能を達成する。

ABSTRACT

Bring Your Own Device (BYOD) has become the new norm in enterprise networks, but BYOD security remains a top concern. Context-aware security, which enforces access control based on dynamic runtime context, holds much promise. Recent work has developed SDN solutions to collect device context for network-wide access control in a central controller. However, the central controller poses a bottleneck that can become an attack target, and processing context changes at remote software has low agility. We present a new paradigm, programmable in-network security (Poise), which is enabled by the emergence of programmable switches. At the heart of Poise is a novel switch primitive, which can be programmed to support a wide range of context-aware policies in hardware. Users of Poise specify concise policies, and Poise compiles them into different instantiations of the security primitive in P4. Compared to centralized SDN defenses, Poise is resilient to control plane saturation attacks, and it dramatically increases defense agility.

研究の動機と目的

• 中央集権型SDNコントローラーが動的でコンテキスト対応のBYODセキュリティポリシーを強制する際の制限を解消すること。
• 実行時コンテキスト変更への応答におけるコントロールプレーンのボトルネックと遅延を排除すること。
• プログラマブルデータプレーンを用いて、ハードウェアレベルでセキュリティポリシーを強制すること。
• 企業ネットワークにおけるソフトウェアベースのポリシー強制に対するスケーラブルで、迅速かつ耐性のある代替手段を提供すること。
• インフラネットワークセキュリティを実現するフルスタックシステム（ポリシーランゲージ、コンパイラ、オ케ストレーションフレームワーク）を設計すること。

提案手法

• 最新のスイッチに実装されたP4プログラマブルハードウェアモジュールとしての新規インフラネットワークセキュリティプリミティブ、Poiseを導入する。
• 高レベルのコンテキスト対応ポリシーを最適化されたP4コードに変換するための宣言的ポリシーランゲージとコンパイラを採用する。
• 実行時コンテキスト信号（例：デバイスの位置、TLSバージョン、管理者ステータス）をカスタムパケットヘッダーやプロトコルフィールドにエンコードする。
• ハードウェアレベルのステートマシンとルックアップテーブルを用いて、リモートコントローラーの介入なしにラインレート（100Gbps）でアクセス制御を決定する。
• 軽量なオーケストレーションサービスとデバイスマoduleを展開し、ネットワーク全体でポリシー更新とコンテキスト収集を調整する。
• プログラマブルデータプレーン（例：Barefoot Tofino、Intel FlexPipe）を活用し、低遅延かつ高スループットのポリシー強制を実現する。

実験結果

リサーチクエスチョン

• RQ1 インフラネットワークハードウェアベースのコンテキスト対応ポリシー強制は、中央集権型SDNコントローラーよりも著しく低い遅延を達成できるか？
• RQ2 プログラマブルデータプレーンを用いて、BYOD環境向けの細粒度で動的なアクセス制御ポリシーを効果的に実装できるか？
• RQ3 コントロールプレーンの過負荷攻撃下でPoiseは、従来のSDNベースの防御と比較してどのように動作するか？
• RQ4 P4ベースのスイッチプログラムにコンテキスト対応ポリシーをコンパイル・デプロイする際のパフォーマンスオーバーヘッドはどの程度か？
• RQ5 複雑でコンテキスト依存のセキュリティポリシーを強制しながら、システムは常にラインスピード処理を維持できるか？

主な発見

• Poiseはコンテキスト変更への応答遅延を500ナノ秒未塔に抑え、OpenFlowベースのSDNソリューションよりも3〜7桁速い。
• コントロールプレーンの過負荷攻撃中でもPoiseはすべての悪意あるリクエストをブロックするが、OpenFlowベースのシステムはルール伝搬の遅延により不正アクセスを許可してしまう。
• すべてのスイッチポートで100Gbpsのラインレート性能を維持しており、ハードウェアレベルのスケーラビリティと効率性を示している。
• ポリシーコンパイラは最適化されたP4コードを生成し、パフォーマンス劣化を伴わずに多様なコンテキスト対応ポリシーの効率的インスタンス化を可能にする。
• 評価により、Poiseはコントロールプレーンの過負荷攻撃に対して非常に耐性があり、中央集権型システムに存在する脆弱性の窓を排除していることが確認された。
• ポリシーランゲージ、コンパイラ、オーケストレーションを含むエンドツーエンドのフレームワークにより、企業ネットワークにおける細粒度で動的なセキュリティポリシーの実用的導入が可能になった。