Nokia_Visibility_with_Control_White_Paper_EN

Transcription

1 IP IoT IoT 1

2 IoT DDoS

3 IoT IoT Web e Netflix 1 1 IoT 実験的インターネット 商用インターネット 2005 消費者向けインターネット 2015 産業用インターネット ARPANET 研究及び軍事用 IETF TCP/IP IGP EGP 限定的アクセス ワールド ワイド ウェブ IT バブルとその崩壊 Mosaic Netscape ダイヤルアップアクセス Web-Tone の実現 Web2.0 動画 ソーシャルメディア Facebook YouTube 高速インターネット Netflix に十分なレート クラウド IoT 5G ミッションクリティカルなアプリ Amazon Azure ユビキタスブロードバンド 遅延 パケット損失 テクノロジー志向 接続性志向 キャパシティ志向 処理能力志向 IoT 3

4 IoT IoT DDoS IP IP IP 2 4

5 2 キャリア SDN のコントロール インサイト ( インテリジェンス ) 分析 コンテキスト 制御 ( ポリシー ) 可視性 ( テレメトリ ) Netflix YouTube Facebook データパス 高度なパケットインテリジェンス及びコントロール プログラミング可能なネットワークファブリック IP YANG grpc HTTP/2 SNMP MIB CLI 3 5

6 3 従来のパフォーマンス監視 ( 分単位 ) モデル駆動型のストリーミングテレメトリ ( 秒単位 ) 収集相関処理収集相関処理 取得アクションサブスクライブパブリッシュアクション プルモデル (MIB walking, CLI scraping) プッシュモデル ( パブリッシュ / サブスクライブ型 grpc HTTP/2) DNS DHCP AAA CDN DDoS ル TB 4 6

7 4 分析 リンクのテレメトリ クラウドのテレメトリ サービスのテレメトリ ピアリングのテレメトリ Internet 加入者のアクセス 集約 エッジゲートウェイ サービス POP ピアリング ゲートウェイ 分析 リソースのヒートマップ トラフィックの基準 履歴トレンド 統計上の異常 セキュリティ脅威 集約 ポートと LSP の統計情報 IGP 統計情報 ノードの正常性 エッジゲートウェイ フロー統計情報 ポートと LSP の統計情報 IGP 統計情報 ノードの正常性 サービス POP DNS 統計情報 CDN 統計情報 AAA 統計情報 サーバ統計情報 ピアリングゲートウェイ ポートと AS の統計情報 EGP 統計情報 ノードの正常性 インターネット Whois DNSflow 認証 5 IP IP Netflix YouTube Facebook Web Whois DNS DPI インサイト SDN SDN WAN SDN WAN 7

8 NSP SDN 5 5 ReST NETCONF ReST NETCONF サービスオーケストレーション クロスドメイン経路計算 NETCONF SNMP CLI ReST/NETCONF PCEP サービス保証 フロー配置 IP/MPLS 経路計算 光経路計算 OpenFlow SNMP IPFIX OpenFlow BGP Flowspec BGP-LS IGP-TE PCEP NETCONF PCEP SNMP マネージドネットワーク SLA DDoS 100,000 FP4 5 IP DDoS SR OS Service Router Operating System SDN 8

9 Deepfield Deepfield DDoS NSP SDN WAN 6 WAN Google Amazon Facebook Netflix Web 6 加入者 WAN インターネットクラウドコンテンツやアプリ 集約 エッジ ゲートウェイ コア ピアリング ゲートウェイ ピアリング ゲートウェイ バックボーン DCI ゲートウェイ データセンター 加入者とモノを接続 コンテンツやアプリを配信 6 WAN WAN 2 WAN CDN Akamai SLA SLA 9

10 WAN Deepfield IP WAN 7 Google Google Cloud Connect Netflix Netflix Open Connect Facebook 7 Deepfield 10

11 Deepfield WAN MAN WAN IoT 8 8 加入者に関するインテリジェンス 分析 クラウドに関するインテリジェンス リソースとフローの最適化 キャリアによる SDN 制御 リソースとフローの最適化 Netflix YouTube Pandora HBO GO Facebook Twitter WhatsApp 加入者の アクセス 集約 エッジゲートウェイ IP コア ピアリングゲートウェイ インターネット 集約 セグメントルーティング トラフィックエンジニアリング エッジゲートウェイ HQoS フローステアリング IP コア セグメントルーティング トラフィックエンジニアリング ピアリングゲートウェイ CoS マーキング フローステアリング 11

12 NSP SDN WAN IP/ WAN 4 SDN WAN Web FP4 DDoS IoT DDoS DDoS DNS NTP DDoS DDoS DNS NTP DNS Web 9 12

13 9 DDoS 分析 DDoS 攻撃の軽減 DDoS 攻撃の軽減 フローのミラーリング フローのミラーリング フォレンジック 感染した デバイス 集約 エッジゲートウェイ ターゲット ピアリングゲートウェイ ボットネット 分析 DDoS 攻撃の検出 フローの特定 フォレンジック ミラーリングされたフローの調査 DDoS 攻撃の痕跡を検出 DDoS 攻撃の軽減 帯域幅のスロットリング DDoS フローのフィルタリング DDoS DPI DDoS IP UDP TCP DDoS DDoS DDoS IP 5 IP 10 DPI DDoS 1 13

14 図10 ネットワークフォレンジックとDDoSパターン検出 IPv4パケットの構造 サービスタイプ 識別子 IPヘッダ 生存期間 パケット長 フラグ プロトコル番号 =6 フラグメントオフセット ヘッダチェックサム 送信元IPアドレス 宛先IPアドレス パディング オプション 送信元ポート番号 宛先ポート番号 ACK Acknowledge 番号 データ オフセット ウィンドウサイズ 緊急ポインタ チェックサム TCPオプション パディング IPペイロード シーケンス番号 TCP IPヘッダ バージョン IPヘッダ長 DDoS GET_MONLIST攻撃シグネチャ TCPデータ DDoSフローを除去する従来の手法では 不正の疑いがあるトラフィックを DPIを備えた 統合ネットワークアプライアンスへリダイレクトします ただし DPIネットワークアプライア ンスの転送容量はルータと比べて桁違いに小さいわりに 1ビットあたりの転送コストは 桁違いに大きいため コスト 拡張性 遅延の点がネックとなります 現在はDDoS攻撃の 頻度と規模が増大し インターネットアクセスが高速化しているため 経路外で除去するこ の方法ではこの先対応しきれません DDoS攻撃を軽減する優れた方法 DDoS攻撃の軽減に最も効果的なのは ネットワークをソリューションの一部として サー ビスのエッジゲートウェイとピアリングゲートウェイでDDoSトラフィックをフィルタリング するやり方です ネットワークでの役割上 ゲートウェイルータは加入者とアプリケーション のフローの可視化に適しています トンネルでカプセル化されたフロー集約のスイッチン グとルーティングを担っているアクセスネットワーク 集約ネットワーク コアネットワーク の各デバイスとは役割が異なるためです FP4チップの高度なパケットインテリジェンスと制御機能を活用すれば ゲートウェイルー タの高速パスの中でDDoS攻撃を軽減できます この洗練された効率的なソリューション により 追加の機器の導入や 複雑な処理 障害点について心配することなく 有害なトラ フィックを受信ネットワークトラフィックから除去することができるのです 制御プロトコル交換全体のステートフルな DPI が必要となるアプリケーションレベルの DDoS攻撃とは異なり 大規模なDDoS攻撃は IPヘッダとUDPまたはTCPペイロードの ステートレスな検査で軽減が可能です この手法では ネットワークフォレンジック機能に よって判別されるシグネチャパターンとのマッチングを行うために パケットペイロードを 深いところまで検査する機能が必要となります マッチしたフローをゲートウェイルータで 停止すれば フローが攻撃対象に到達して害を及ぼすのを容易に阻止できます 14 ホワイトペーパー インサイトを活用した自動ネットワーキング

15 DDoS DDoS DDoS DNS AAA IP IP IP 5G IoT FP4 15

16 Deepfield Web IP AAA BGP CDN CLI CoS CSP DDoS DHCP DNS DPI EGP grpc HQoS HTTP/2 IGP IGP-TE IoT IP LSP MAN MIB NSP NTP PCEP QoS Authentication Authorization Accounting Border Gateway Protocol Contents Delivery Network Command Line Interface Class of Service Communications Service Provider Distributed Denial of Service Dynamic Host Configuration Protocol Domain Name Server Deep Packet Inspection Exterior Gateway Protocol Remote Procedure Call Google Hierarchical Quality of Service Hypertext Transfer Protocol 2 2 Interior Gateway Protocol Interior Gateway Protocol Traffic Engineering IGP Internet of Things Internet Protocol Label Switched Path Metropolitan Area Network Management Information Base Network Services Platform Network Time Protocol Path Computation Element Protocol Quality of Service 16

17 SDN SNMP TCP UDP WAN YANG Software Defined Networking Simple Network Management Protocol Transmission Control Protocol User Datagram Protocol Wide Area Network Yet Another Next Generation Nokia Nokia Corporation Nokia Oyj Karaportti 3 FI Espoo Finland SR EN 5 Nokia 2017 nokia.com