[論文レビュー] Snort Intrusion Detection System with Intel Software Guard Extension (Intel SGX)

Dmitrii Kuvaiskii, Somnath Chakrabarti+1 more|arXiv (Cornell University)|Feb 1, 2018

Network Security and Intrusion Detection参考文献 4被引用数 15

ひとこと要約

本稿では、Intel Software Guard Extensions (Intel SGX) を用いて保護された Snort 3 ベースのインライン検出システムである SEC-IDS を提案する。Snort のすべての論理処理を SGX エンクロージャ内での実行により、信頼できないホストにネットワーク I/O をオフロードすることで、Snort にわずか 27 行、Graphene-SGX に 178 行のコード変更を加えるだけで 10Gbps のラインレート性能を達成し、ネイティブ性能に非常に近い性能と強固な計算整合性を実現した。

ABSTRACT

Network Function Virtualization (NFV) promises the benefits of reduced infrastructure, personnel, and management costs by outsourcing network middleboxes to the public or private cloud. Unfortunately, running network functions in the cloud entails security challenges, especially for complex stateful services. In this paper, we describe our experiences with hardening the king of middleboxes - Intrusion Detection Systems (IDS) - using Intel Software Guard Extensions (Intel SGX) technology. Our IDS secured using Intel SGX, called SEC-IDS, is an unmodified Snort 3 with a DPDK network layer that achieves 10Gbps line rate. SEC-IDS guarantees computational integrity by running all Snort code inside an Intel SGX enclave. At the same time, SEC-IDS achieves near-native performance, with throughput close to 100 percent of vanilla Snort 3, by retaining network I/O outside of the enclave. Our experiments indicate that performance is only constrained by the modest Enclave Page Cache size available on current Intel SGX Skylake based E3 Xeon platforms. Finally, we kept the porting effort minimal by using the Graphene-SGX library OS. Only 27 Lines of Code (LoC) were modified in Snort and 178 LoC in Graphene-SGX itself.

研究の動機と目的

• 信頼できないクラウド環境に配置される状態保持型ネットワーク機能（例：IDS）のセキュリティリスクを軽減すること。
• Intel SGX のハードウェア強制隔離機能を活用して、Snort インライン検出システムの改ざんや漏洩に対する耐性を高めること。
• 信頼性の高い実行環境で高い性能を維持するため、信頼されるコンピューティングベース（TCB）を最小限に抑えること。
• Snort のような複雑な状態保持型ネットワーク機能に Intel SGX を統合する際の実現可能性と性能オーバーヘッドを評価すること。
• SGX とライブラリオペレーティングシステム（Graphene-SGX）を組み合わせることで、最小限のコード変更で生産環境向け IDS を安全に保護できることを実証すること。

提案手法

• 著者らは、Snort 3 を Graphene-SGX ライブラリオペレーティングシステムと統合することで、エングロージャ実行を可能にする SEC-IDS を実装した。
• ルール評価や状態管理を含むすべての Snort 処理論理が、Intel SGX エンクロージャ内での実行により機密性と整合性が保証される。
• ネットワーク I/O は、高速パケット処理を実現する DPDK を用いてエンクロージャ外で処理することで、エンクロージャ境界のオーバーヘッドを低減した。
• システムは Intel SGX のメモリ暗号化とアクセス制御機能を活用し、ホスト OS やハイパーバイザーからも機密コードとデータを隔離した。
• Snort にわずか 27 行、Graphene-SGX に 178 行のコード変更しか加えておらず、信頼されるコード表面を最小限に抑えた。
• 性能評価は、10Gbps のラインレートトラフィック下でのスループットとレイテンシに注目し、Intel Skylake ベースの E3 Xeon プラットフォームで実施した。

実験結果

リサーチクエスチョン

• RQ1 生産環境向けの状態保持型 IDS としての Snort を、Intel SGX を用いてクラウド上に安全に仮想化できるか？
• RQ2 ラインレートスループットを維持しつつ、Snort を SGX エンクロージャ内で実行する際の性能オーバーヘッドはどの程度か？
• RQ3 SGX とライブラリオペレーティングシステムを用いて、Snort のような複雑なネットワーク機能を保護するために必要なコード変更量はどの程度か？
• RQ4 現在の SGX プラットフォームにおけるエンクロージャページキャッシュサイズの制限が、性能にどの程度影響を及えるか？
• RQ5 セキュリティや性能を損なわずに、ネットワーク I/O をエンクロージャから安全にオフロードできるか？

主な発見

• SEC-IDS は 10Gbps のラインレート性能を達成し、10Gbps テストベッド上では、オリジナルの Snort 3 の 98% のスループットに到達した。
• 性能のボトルネックは、現在の Intel SGX Skylake プラットフォームにおける限られたエンクロージャページキャッシュサイズに起因している。
• Snort にわずか 27 行、Graphene-SGX に 178 行のコード変更しか加えておらず、移植作業が最小限であることが示された。
• ルール処理や状態追跡を含むすべての Snort 論理処理が、SGX エンクロージャ内で安全に隔離されており、計算整合性が保証された。
• ホスト OS やクラウドインfraストラクチャからも機密データとコードが暗号化され、隔離されているため、強固なセキュリティ保証が得られた。
• DPDK を用いてエンクロージャ外でネットワーク I/O をオフロードすることで、エンクロージャのエントリ/エグジットのオーバーヘッドが顕著に低減され、性能が維持された。