Transcript slide - KSL
IDSオフロードを考慮した 仮想マシンへの動的メモリ割当 内田昂志* 岡崎正剛* * 九州工業大学 ** CREST 光来健一*,** IDSへの攻撃 侵入検知システム(IDS)を攻撃してから本来の攻 撃を行うことが増えてきた 例：Tripwire Tripwire プロセスを停止 ポリシーファイルの書き換え 改ざんしたファイルのチェックを回避 DBへの再登録 改ざん後のファイルの内容を正しいと判定 レポートの改ざん 検出結果が管理者に通知されない ディスク IDSオフロード 仮想マシン(VM)を用いてIDSだけを別のVMで動 かす手法が提案されている IDSが攻撃を受ける可能性を減らす Xenの場合、ドメイン0でIDSを動かす プロセス、ポリシーファイル、DB、レポート ドメインUのディスクイメージをマウントして監視 Tripwire ディスク ドメイン0 ドメインU メモリに関する問題 IDSがドメイン0のメモリを使うことになる VM間の公平性が失われる IDSをオフロードしたVMは割り当てられたサイズ以 上のメモリを使える システム全体の性能が低下する恐れがある IDSがドメイン0のメモリを使いすぎた場合 IDS ドメイン0 1GB 1GB ドメインU ドメインU 静的なメモリ割り当ての問題 VMとIDSのメモリサイズを静的に分割するとメ モリの有効活用ができない IDS分として固定メモリ量をドメインUから減らす IDSは増えたドメイン0のメモリを使う IDSが動いていない間もドメインUはそのメモリを 使えない IDS 0.3 ドメイン0 0.7GB 1GB ドメインU ドメインU Balloon Performer オフロードしたIDSが使用するメモリを考慮して VMのメモリを動的に割り当て直す ドメイン0で実行されているIDSのメモリ使用量を 測定 その分をドメインUのメモリ割り当てから減らす ドメイン0のメモリ割り当てを増やす IDS 1GB ドメイン0 ドメインU 0.3 ドメイン0 0.7GB ドメインU Balloon Performerの効果 IDSのメモリ使用量とドメインUのメモリ割り当 ての合計を一定に保つ VM間のメモリ割り当ての公平性を確保 IDSのオフロードの有無に関わらず ドメイン0のメモリの圧迫を防止 システム全体の性能低下を防ぐ メモリを有効活用できる IDSが動作していない間はドメインUが使える IDSが使用するメモリ 大きく分けて2種類のメモリを使用 プロセス自身が使用するメモリ テキスト領域、ヒープ ファイルの読み書きによって作られるファイル キャッシュ OSカーネル内に作られる Tripwireの場合 メモリの種類 使用量 プロセスメモリ 121MB ファイルキャッシュ 407MB (27,752個のファイルをスキャン) Tripwire OS ドメイン0 プロセスのメモリ消費量の測定 ドメイン0のLinuxカーネルが記録している /proc/<プロセスID>/status から情報を取得 pidofコマンドでIDSのプロセス名からプロセスIDを 取得 VmRSS欄の値が メモリ消費量 プロセスが使っているファイル キャッシュはどれ？ ファイルキャッシュをプロセスに対応づける必 要がある 従来のLinuxでは対応づけられていない 複数のプロセスで共有されることがあるため どのプロセスが使っているか判断できない プロセスが終了しても残されるため 対応づけるべきプロセスがなくなる プロセス ファイル キャッシュ プロセス ファイル キャッシュ プロセスとファイルキャッシュ の対応づけ ファイルキャッシュを確保したプロセスが使用 しているとみなす IDSだけがドメインU上のファイルにアクセス IDSプロセスに一対一に対応づけられる IDS終了時には仮想ディスクをアンマウント ファイルキャッシュが消去される IDS ドメイン0 マウント ドメインU ファイルキャッシュの使用量の 測定 ドメイン0のLinuxがページキャッシュを確保す る際にプロセスIDを記録 ページキャッシュはメモリページ単位で管理 page構造体にpidメンバを追加 ページキャッシュを破棄したら0に初期化 使用量を調べるシステムコールを追加 すべてのpage構造体を調べ、 pidが一致するページ数を返す IDS pid pid ドメイン0 VMへの動的メモリ割り当て Xen APIを用いてドメインUのメモリサイズを変 更する Xen APIとは？ Xenの管理をプログラムから行うためのAPI ドメインUの元々のメモリサイズからIDSのメモリ 使用量を引いたサイズを割り当て直す しきい値よりサイズが小さくならないようにする ドメインUの動作に影響する場合があるため 現在の実装では元の半分のサイズ Xen APIの動作 xendとの間にセッションを確立してXML-RPCで 通信 ドメイン名を指定してメモリサイズを設定 ゲストOSに組み込まれたバルーンドライバがメモ リサイズを調整 メモリを確保して Xenに返却 Xenからメモリを 取得して解放 ドメイン0 ドメインU xend Balloon Performer VMM balloon driver 実験 Balloon PerformerがVMのメモリ割り当てをう まく調整できているかどうか調べた プロセスのメモリ消費量を変化させた場合 Tripwireを動かした場合 実験環境 Intel Core 2 Quad 2.83GHz, 4GBメモリ Xen 3.4.0, Linux 2.6.18 ドメイン0、ドメインUに1.5GBを割り当て プロセスのメモリ消費量に応じ たメモリ割り当て 5秒おきにランダムにメモリの確保・解放を行う プログラムをドメイン0で実行 プロセスのメモリ消費量とドメインUのメモリサイ ズの変化を測定 実験結果 これらの合計は ほぼ1.5GBになった メモリ量(MB) 合計 ドメインU プロセス 時刻(秒) ファイルキャッシュの使用量に 応じたメモリ割り当て 27,752個のファイルをスキャンするTripwireをド メイン0で実行 ファイルキャッシュの使用量とドメインUのメモリ サイズの変化を測定 実験結果 これらの合計は ほぼ1.5GBになった メモリ量(MB) 合計 ドメインU ファイルキャッシュ 時刻(秒) 関連研究 OffloadCage [新井ら’10] IDSオフロードを考慮したCPUスケジューリング IDSのCPU使用分をVMのCPU割り当てから減らす SEDF-DC [Gupta et al.’06] Xenのスプリットドライバを考慮したCPUスケ ジューリング netbackのCPU使用量をパケット数から推定 まとめ Balloon Performerを提案 IDSオフロードを考慮してVMへの動的なメモリ割 り当てを実現 プロセスのメモリ消費量とファイルキャッシュ使用 量を測定 メモリ使用量に応じてVMのメモリ割り当てを増減 IDSのメモリ使用量とVMのメモリ割り当ての合計 を一定に保てることを確認 IDSのメモリ使用量が実行時に変化する場合 今後の課題 システム全体を考慮してVMにメモリを動的割り 当てできるようにする ドメインUが正常に動作できるかどうかや性能を測 定しながらメモリ割り当てを減らす オフロードしたIDSのメモリ使用を制御できるよ うにする Tripwireの場合、ファイルキャッシュは小さくても 性能に影響しない ほとんどのファイルには１回しかアクセスしない 今後の課題：Cgroupsの利用 プロセスグループの単位でページキャッシュも 含めたメモリ使用量を取得できる IDSだけが所属するプロセスグループを作る プロセスグループに割り当てるメモリ量の制限も できる IDSによるメモリの使い過ぎを 抑制 Xen 4.0以降のLinuxカーネル (2.6.32)で利用可能 実装に用いた2.6.18では 未サポート プロセス グループ IDS メモリ ドメイン0