IDS のオフロード

1. VMマイグレーションを可能にするIDSオフロード機構VMマイグレーションを可能にするIDSオフロード機構 宇都宮　寿仁（九工大） 光来 健一（九工大/JST CREST） IDSのオフロード マイグレーション時の受信側 • ドメインUのメモリマップ状態を保存 • ページテーブルのDomUビットを確認 • ビットが立っていればドメインUのメモリをマップ • ドメイン0がドメインUのメモリをドメインMにマップできるように修正 ホスト ホスト マイグレーションの問題 監視 サービス • IDSオフロード時マイグレーションを行えない • ドメイン0はマシン全体を管理 • ドメイン0はデバイスを仮想化できていない • セキュリティの低下 • VMを用いたIDSオフロード手法が提案されている • Xenを用いて行う • ドメイン0で監視を行う • ドメインUでそれ以外を動かす • IDSが攻撃されにくい IDS オフロード ドメイン0 ドメインU ドメインM ドメイン0 ドメインU ストレージの監視 • NFSサーバ上に仮想ディスクイメージを配置 • ドメイン0はNFSをマウントしドメインUを起動 • ドメインMも読み取り専用でマウントし監視を行う • ドメインMのIPが変わらないためマイグレーション後も監視を継続することができる ホスト１ ホスト２ ホスト 提案：ドメインM • ドメインMを提案 • オフロードしたままマイグレーション可能 • マイグレーション後も監視の継続が可能 IDS ドメイン0 ドメインU ドメインU ドメイン0 ドメインU ドメインM メモリの監視 実験 ホスト１ ホスト２ • ドメインMにドメインUへのアクセス特権を与える • スタブドメインの機能を利用 • ドメイン0からアクセス許可を与える • privcmdとdomctlハイパーコールが使えるようにOS、VMMを修正 IDS IDS • ストレージ監視時のマイグレーション • Tripwireを用いて行い、マイグレーション後も継続可能 • NFSマウントの有無ではマイグレーション時間に影響しない • メモリ監視時のマイグレーション • カーネルのハッシュのチェックを行い、マイグレーション後も継続可能 • マップの有無ではマイグレーション時間に影響しない ドメイン0 ドメインU ドメインM ドメイン0 ドメインU ドメインM マイグレーション時の送信側 • ドメインUのメモリマップ情報も保存 • ページテーブルエントリにDomUビットを追加 • マップしているならばビットを立てる • ドメインUのメモリページ番号も保存 • ページテーブルも保存することでマップ状態も保存 今後の課題 アクセス許可 • ライブマイグレーションへの対応 • ネットワーク監視の実装 監視 ドメイン0 ドメインU ドメインM