インターネットのサバイバルには何が必要か

先日Akamaiを襲ったような障害を防ぐには、インフラの多様化が必要だ。しかし異種混在インフラは手間とコストがかかる。その代わりに必要となるのは……。（IDG）

[IDG Japan]

　先日のAkamai Technologiesのネットワーク障害を受けて、インターネットのサバイバビリティ（存続能力）が再び注目されるようになっている。ClevercactusのCTO（最高技術責任者）ディエゴ・リベラ氏は自身のブログで、パケットスイッチングファブリック自体はかなり分散化されているが、インターネットに息吹を吹き込むサービスはそうではないと指摘している。「だから、今日Akamaiがくしゃみをすれば、世界のほかの部分が風邪を引く。そして明日はほかの誰かがくしゃみをするだろう」

　Akamaiの事件の場合、脆弱だったサービスはDNSだ。BINDの設計者でInternet Systems Consortium（ISC）のプレジデントでもあるポール・ビクシー氏は、AkamaiがDNSにプロプライエタリなアプローチを取ったために、同社が単一障害点（single point of failure）になったと批判している（6月17日の記事参照）。2002年に悪質なDDoS（分散型サービス拒否）攻撃を乗り切った13台のDNSルートサーバは、当時よりもずっと防御力が増していると同氏は言い添えた。同氏は、管理者が多様性を取り入れているため、ルートサーバには弾力性があるとし、「われわれは意図的に異なる種類のOS、ネームサーバ実装、ルータ、スイッチ、CPU、それから特に運用手続きを採用している」とinternetnews.comに語った。

　ルートネームサーバのようなほかにない重要な資産を守るには、こうしたやり方をするのは当然だ。しかしAkamaiが大規模なコンテンツ配信ネットワークの実装を多様化しようとすれば、そのコストは「経理担当者を激怒させる」ほどになるだろうとビクシー氏は指摘する。もちろん、同じことが普通の企業にも言える。異種混在インフラの維持は、攻撃を仕掛けにくくするが、管理する側にとってはもっと厄介なことになる。その代わりに、ネットワークファブリック自体にもっと弾力性と順応性を持たせることが必要だ。

　私がそれを実現する手段を垣間見たのは、CloudShield Technologiesと同社が最近発表した「CS-2000」について話したときだった。同社はこの製品を、ギガビット／秒のスピードでディープパケット処理を行うアプリケーション用サーバと説明している。CS-2000は第2世代の製品で、2004年7〜9月期に一般提供される予定。この製品は「双頭の獣」のように、DPPM（Deep Packet Processing Module）でプロプライエタリなリアルタイムOSを走らせ、パケット志向アプリケーションをホスティングする一方で、PentiumベースのServer ModuleでLinuxを走らせ、「データプレーン」を制御する。DPPMは、商用のNPU（ネットワーク処理装置）とFPGA（Field-Programmable Gate Array）、TCAM（Ternary Content-Addressable Memories）、さらにCloudShield独自のSilicon-DB、数十万のステートフルフローを効率的に処理できるオンボードデータベースという変わった組み合わせで構成されている。

　同社はまたプログラマーに対し、Eclipseベースのプログラミング環境に組み込まれた、高レベルのパケット志向言語を提供している。このシステムは、DDoS攻撃の緩衝材、侵入検知器、電子メールスキャナの役目を果たしたり、そのほかにも全トラフィックをスキャンしたり、イベントを関連付けたり、複雑なルールベースの計算をオンザフライで実行するのに必要なあらゆる役割を演じるかもしれない。このようなアプリケーションは従来、専用ハードで提供されてきた。CloudShieldのCTO兼創設者のペダー・ユンク氏は、汎用プラットフォームでこうした機能を実現することで、サービス会社（ひいては大企業）がパケット検知アプリケーションを導入、維持するコストと手間が軽減され、劇的に導入が加速するだろうとしている。

　当面は、攻撃者の方が軍拡競争に勝つだろう。リアルタイムでの監視、対応、順応に必要な技術はまだ進化していないが、その方向へと向かっている。