[論文レビュー] Securing Edge Networks with Securebox

Ibbad Hafeez, Aaron Yi Ding+1 more|arXiv (Cornell University)|Dec 20, 2017

Software-Defined Networks and 5G参考文献 35被引用数 6

ひとこと要約

本論文では、ソフトウェア定義ネットワーク（SDN）と仮想化されたミドルボックスを活用して、SOHO（小規模事務所／家庭）および小規模企業ネットワークにおける自動的でリモート制御可能なネットワークセキュリティ管理を実現する、低コストでクラウド駆動型のセキュリティ・アズ・ア・サービス（Security-as-a-Service）ソリューション「Securebox」を提案する。SDNと中央集権的なクラウドセキュリティサービス（CSS）を統合することで、協働型の脅威検出、迅速なポリシー配布、低遅延かつ最小限のユーザー介入を伴うスケーラブルなトラフィック分析を実現し、Raspberry Piなどの低コストハードウェアを用いたプロトタイプにより実証された。

ABSTRACT

The number of mobile and IoT devices connected to home and enterprise networks is growing fast. These devices offer new services and experiences for the users; however, they also present new classes of security threats pertaining to data and device safety and user privacy. In this article, we first analyze the potential threats presented by these devices connected to edge networks. We then propose Securebox: a new cloud-driven, low cost Security-as-a-Service solution that applies Software-Defined Networking (SDN) to improve network monitoring, security and management. Securebox enables remote management of networks through a cloud security service (CSS) with minimal user intervention required. To reduce costs and improve the scalability, Securebox is based on virtualized middleboxes provided by CSS. Our proposal differs from the existing solutions by integrating the SDN and cloud into a unified edge security solution, and by offering a collaborative protection mechanism that enables rapid security policy dissemination across all connected networks in mitigating new threats or attacks detected by the system. We have implemented two Securebox prototypes, using a low-cost Raspberry-PI and off-the-shelf fanless PC. Our system evaluation has shown that Securebox can achieve automatic network security and be deployed incrementally to the infrastructure with low management overhead.

研究の動機と目的

• 家庭および小規模企業ネットワークにおけるIoTデバイスやBYODデバイスの増加に伴うセキュリティ課題に対処すること。
• 非エンタープライズユーザー向けの従来のエンタープライズグレードのセキュリティソリューションの高コストと管理負荷を低減すること。
• 最小限のユーザー介入で、自動的かつリモートでスケーラブルなネットワークセキュリティを実現するクラウドベースのセキュリティサービス（CSS）を通じて、セキュリティを提供すること。
• SDNとクラウドベースの仮想化ミドルボックスを統合し、統一されたエッジセキュリティアーキテクチャを構築することで、監視とポリシー実行の向上を図ること。
• Raspberry Piなどの低コストハードウェアプロトタイプを用いて、本ソリューションの実現可能性と低遅延性能を実証すること。

提案手法

• 中央集権的なクラウドセキュリティサービス（CSS）がSDNの原則に従い、複数のエッジSecureboxゲートウェイを管理するクラウド駆動型アーキテクチャを設計すること。
• Raspberry Pi やファンレスPC などの低コストハードウェアを用いて、軽量でリモートで管理可能なゲートウェイとしてSecureboxを実装すること。
• SDNを活用して、クラウドにホストされた仮想化ミドルボックス（例：ファイアウォール、DPI）を介してトラフィックを動的に制御し、リアルタイムでの脅威分析を実現すること。
• CSS経由ですべての接続されたSecurebox間で攻撃インジケーターやセキュリティポリシーを共有することで、協働型の脅威検出を可能にすること。
• クラウドに仮想化ミドルボックスをデプロイし、トラフィック監視や異常検出といったリソース集約型タスクをエッジデバイスからオフロードすること。
• 親子コントロール、D2D通信制限、QoS最適化といった機能をSecureboxアーキテクチャに統合すること。

実験結果

リサーチクエスチョン

• RQ1 SDNとクラウドベースの仮想化ミドルボックスは、低コストのSOHOネットワークに企業グレードのセキュリティを効果的に提供できるか？
• RQ2 協働的でクラウド管理型のセキュリティモデルは、分散的かつ異種のエッジネットワークにおいて、脅威検出と応答時間をどのように改善できるか？
• RQ3 Raspberry Pi などの低コストハードウェアにSecureboxゲートウェイを実装する場合、ネットワーク性能やセキュリティが著しく低下することなく実現できる範囲はどの程度か？
• RQ4 SDNとリモート管理、仮想化セキュリティサービスの統合は、家庭および小規模企業ネットワークにおける運用負荷をどの程度低減できるか？
• RQ5 本ソリューションは、実世界の展開においてネットワーク遅延とユーザーのプライバシーにどのような影響を与えるか？

主な発見

• SecureboxはRaspberry Pi などの低コストハードウェアに成功裏にデプロイ可能であり、高いポータビリティと低コストのエッジセキュリティソリューションを実現できる。
• システムはネットワーク遅延にほとんど影響を与えず、わずかな増加に留まり、ユーザー体験を損なわない。
• クラウドセキュリティサービス（CSS）により、複数のネットワークにまたがる集中型のトラフィック分析と脅威検出が可能となり、スケーラビリティと検出精度が向上する。
• Securebox間での協働的脅威共有により、セキュリティポリシーの迅速な配布が可能となり、新規脅威への対応時間が顕著に短縮される。
• 最小限のユーザー介入で段階的展開が可能であり、実世界のSOHOおよび小規模企業環境に適している。
• 評価結果から、提案アーキテクチャがIoTおよびBYOD関連の脅威を効果的に緩和でき、サブスクリプションベースのデータ処理モデルによりプライバシーを維持していることが確認された。