1 / 11

セキュリティ機構のオフロードを考慮した 仮想マシンのスケジューリング

セキュリティ機構のオフロードを考慮した 仮想マシンのスケジューリング. 理学部　情報科学科 05-01080 　新井　昇鎬 指導教員　千葉 滋　教授. セキュリティ機構のオフロード. 仮想マシンを利用 セキュリティの向上 攻撃対象からセキュリティ機構を外へ出す 例、 Livewire ( Garfinkel et al 、 ’03) IDS ( 侵入探知システム ) のオフロード SAccessor ( 滝澤ら、 ’08) アクセス制御のオフロード. 攻撃対象 ( 一般ドメイン ). 特権ドメイン. オフロード. セキュリティ 機構.

morrie
Download Presentation

セキュリティ機構のオフロードを考慮した 仮想マシンのスケジューリング

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript

  1. セキュリティ機構のオフロードを考慮した仮想マシンのスケジューリングセキュリティ機構のオフロードを考慮した仮想マシンのスケジューリング 理学部　情報科学科 05-01080　新井　昇鎬 指導教員　千葉 滋　教授

  2. セキュリティ機構のオフロード • 仮想マシンを利用 • セキュリティの向上 • 攻撃対象からセキュリティ機構を外へ出す • 例、 • Livewire (Garfinkel et al、’03) • IDS(侵入探知システム) のオフロード • SAccessor (滝澤ら、’08) • アクセス制御のオフロード 攻撃対象 (一般ドメイン) 特権ドメイン オフロード セキュリティ 機構 攻撃されにくい Xen hardware

  3. パフォーマンスの分離が困難 • オフロードした場合、計算資源がうまく分配できない • 管理者の設定した分配を超える可能性がある • オフロード元が攻撃されたときなど オフロード元に 指定された分配 セキュリティ 機構 ＞ ＋ 特権ドメイン オフロード元 CPU使用量は オフロード元に カウントされない セキュリティ 機構

  4. 提案:セキュリティ機構のオフロードを考慮した仮想マシンのスケジューリング提案:セキュリティ機構のオフロードを考慮した仮想マシンのスケジューリング • 仮想マシン間のパフォーマンスの分離を実現 • 仮想マシンのスケジューラを改良 • セキュリティ機構の CPU使用量 をオフロード元の仮想マシンに含める • 実装 • Credit Scheduler-OC • XenのCredit Schedulerを改良 • OC-Monitor • オフロードしたセキュリティ機構を監視

  5. (既存)Credit Scheduler • 各ドメインに weight と cap を定め、credit を定期的に計算 • weight…各ドメインと比較する相対的な値 • cap…CPU の最大使用率を表す絶対的な値 • credit…各ドメインが使用できる CPUの量 • 例、AとBに割り当てられる CPU時間は１対１ Aの最大CPU使用率は40% Bの最大CPU使用率は60%

  6. OC-Monitor オフロード元 (一般ドメイン) 特権ドメイン 一般ドメイン • 一定時間ごとに、1,2を繰り返す • CPU使用率を計測 • /procから計算 • Credit Scheduler-OC に通知(debtに保存) • hypercallを追加 OC-Monitor 2. 1. セキュリティ 機構 cap:- weight:256 debt:0 cap:40 weight:256 debt:X% cap:60 weight:256 debt:0 Credit Scheduler-OC Xen

  7. Credit Scheduler-OC オフロード元 (一般ドメイン) 特権ドメイン 一般ドメイン • debt メンバーの追加 • OC-Monitor からの情報(CPU使用率)を保存 • debtに応じて cap/weight の値を減らしてから、credit を計算 OC-Monitor セキュリティ 機構 credit credit credit cap:- weight:256 debt:0 cap:40 weight:256 debt:X% cap:60 weight:256 debt:0 Credit Scheduler-OC Xen

  8. 実験:パフォーマンスの分離の度合 • Webサーバのパフォーマンスを比較 • オフロードなし、Credit Scheduler • オフロードあり 、Credit Scheduler • オフロードあり、Credit Scheduler-OC • httperfを使用して Webサーバに負荷 • オフロード元は cap40 特権ドメイン web IDS オフロード元 web: apache (2.2.8) IDS: snort (2.8.3.1) 1. 2. 3.

  9. 結論 本システム • オフロードが考慮されたスケジューリング • オフロードしたIDSのCPU使用量をオフロード元にカウント • 実験環境 • CPU：Athlon™64Processor 3500+(コア１) • Mem：2Gbyte (Dom0/DomU1Gbyte/512Mbyte) • VMM:Xen3.3.0(x86_64) • OS：Linux Kernel 2.6.18 request/second

  10. 関連研究 • SEDF-DC (Guptaet al、’06) • Xenのスプリットドライバを考慮してパフォーマンスの分離を実現 • Livewire (Garfinkelet al、’03) • 仮想マシンを利用してIDSのオフロード • SAccessor (滝澤ら、 ‘08) • 仮想マシンを利用してアクセス制御のオフロード

  11. まとめと今後の課題 • セキュリティ機構をオフロードしてもパフォーマンスの分離を実現する仮想マシンスケジューラの提案 • オフロードしたセキュリティ機構の CPU使用量を、オフロード元の仮想マシンにカウント • 今後の課題 • より実用的な設定で実験 • マルチプロセッサに対応

More Related