[논문 리뷰] SICS: Secure In-Cloud Service Function Chaining

Huazhe Wang, Xin Li외 4명|arXiv (Cornell University)|2016. 06. 22.

Network Security and Intrusion Detection참고 문헌 20인용 수 9

한 줄 요약

SICS는 패킷 헤더를 암호화하고 레이블을 사용해 규칙 매칭을 수행하는 클라우드 내 서비스 기능 체인 프레임워크로, 최소한의 성능 오버헤드로 프라이버시를 보존하는 중간 박스 외주화를 가능하게 한다. 새로운 AP 분류기 데이터 구조와 레이블 기반 전달을 활용해 고처리량, 빠른 규칙 업데이트, 영역 외부 오버헤드 없음을 달성하며, 기존 솔루션인 Embark보다 속도, 메모리 사용량, 확장성 면에서 뛰어나다.

ABSTRACT

There is an increasing trend that enterprises outsource their network functions to the cloud for lower cost and ease of management. However, network function outsourcing brings threats to the privacy of enterprises since the cloud is able to access the traffic and rules of in-cloud network functions. Current tools for secure network function outsourcing either incur large performance overhead or do not support real-time updates. In this paper, we present SICS, a secure service function chain outsourcing framework. SICS encrypts each packet header and use a label for in-cloud rule matching, which enables the cloud to perform its functionalities correctly with minimum header information leakage. Evaluation results show that SICS achieves higher throughput, faster construction and update speed, and lower resource overhead at both enterprise and cloud sides, compared to existing solutions.

연구 동기 및 목표

• 클라우드에 네트워크 기능을 외주할 경우 패킷 헤더와 규칙 세트가 신뢰할 수 없는 클라우드 제공자에게 노출되는 문제를 해결하기 위해.
• 높은 계산 또는 대역폭 오버헤드 없이도 안전하고 실시간으로 규칙 업데이트를 지원하기 위해.
• 직접 헤더 검사를 대체해 레이블 기반 규칙 매칭을 사용함으로써 정보 泄露를 최소화하고 최소한의 행동 메타데이터만 유지하기 위해.
• 강력한 보안 보장을 유지하면서도 동적 클라우드 스케일링과 장애 내성 기능을 지원하기 위해.
• 패킷 크기를 늘리지 않고도 엔터프라이즈 및 클라우드 양측에서 고처리량과 낮은 자원 소비를 달성하기 위해.

제안 방법

• SICS는 패킷 헤더를 암호화하고, 각 패킷에 서비스 체인 내 규칙 매칭 행동을 나타내는 16비트 레이블을 할당하여 헤더 정보 폭로를 최소화한다.
• 레이블 할당 및 동적 규칙 업데이트를 효율적으로 계산하고 유지하기 위해 이진 결정 다이어그램(BDDs) 기반의 새로운 AP 분류기 데이터 구조를 사용한다.
• 클라우드에서 빠른 레이블 기반 규칙 매칭을 위해 (2,4)-쿠코 테이블을 활용하여 고속도의 룩업 처리를 달성한다.
• 규칙은 BDD를 사용해 조건문으로 조합되며, 포인터 기반 표현을 통해 동치 클래스를 추적함으로써 메모리 사용량을 감소시킨다.
• SICS는 IPv4 옵션 필드에 레이블과 헤더 식별자를 인코딩하여 패킷 크기를 늘리지 않고도 추가 대역폭 오버헤드 없이 구현한다. 각 패킷에 32비트만 사용된다.
• 시스템은 중간 박스 장애나 트래픽 과부하 상황에서 상태를 이관하고 분류기를 업데이트하는 방식으로 밀리초 단위 내에 동적 재구성 기능을 지원한다.

실험 결과

연구 질문

• RQ1 네트워크 기능 외주화를 어떻게 보다 안전하게 할 수 있을까? 이는 프라이버시 유출을 방지하면서도 고성능과 낮은 오버헤드를 유지하는 데 초점이 맞춰져야 한다.
• RQ2 안전하고 레이블 기반의 서비스 기능 체인 환경에서 실시간 규칙 업데이트를 효율적으로 지원할 수 있는가?
• RQ3 클라우드 환경에서 전통적인 헤더 기반 매칭 대비 레이블 기반 규칙 매칭의 성능 오버헤드는 얼마나 되는가?
• RQ4 규칙 수와 서비스 체인 복잡성이 증가함에 따라 시스템은 어떻게 확장되는가?
• RQ5 패킷 크기를 늘리지 않거나 상당한 지연을 유발하지 않으면서도 강력한 보안 보장을 달성할 수 있는가?

주요 결과

• SICS는 클라우드에서 약 800만 룩업/초의 쿼리 처리량을 달성하여, Click Classifier와 Click Filter보다 두 자리 수 빠르다.
• 모든 규칙 세트에서 SICS의 엔터프라이즈 게이트웨이가 Embark보다 20% 더 빠르게 쿼리를 처리하며, 처리량은 5Mqps를 초과한다.
• 게이트웨이에서의 메모리 사용량은 매우 낮으며, 10만 개 규칙일 경우 0.267MB, 100만 개 규칙일 경우 0.349MB로 증가하며, 낮은 프로파일로 인해 캐시 가능하다.
• SICS는 패킷 크기를 늘리지 않아도 되므로 대역폭 오버헤드가 없다. 레이블과 헤더 식별자는 IPv4 옵션 필드에 인코딩되어 있으며, 각 패킷에 32비트만 사용된다.
• 중간 박스 장애나 과부하에 대한 반응 시간은 10밀리초 이내로, 효율적인 동적 재구성 능력을 입증한다.
• 시스템은 네트워크 전체 행동을 위한 최대 65,536개의 동치 클래스를 지원하며, 중소형에서 대규모 기업 네트워크에 충분하다.