このページの本文へ

Xeon-SPサーバーの第一弾、ファームウェア改竄を検知/自動復旧するiLO 5を搭載

HPEが「Gen10」サーバー群発売、独自セキュリティ機能を搭載

2017年07月24日 07時00分更新

文● 大塚昭彦/TECH.ASCII.jp

  • この記事をはてなブックマークに追加
  • 本文印刷

 日本ヒューレット・パッカード(HPE)は7月20日、インテルXeonスケーラブルプロセッサー(Xeon-SP)を搭載する新世代のx86サーバー製品群「HPE Generation10(Gen10)サーバープラットフォーム」を発表した。同日の発表会では特に、今後増加が予想される「ファームウェアの改竄」攻撃に対抗するための、独自のセキュリティ機能が搭載されていることがアピールされた。

ラックマウントサーバーのProLiant DLシリーズのほか、ブレードサーバー、Synergyサーバー、Apolloサーバーなどで、新しい「Gen10」サーバーが発売された

HPE データセンター・ハイブリッドクラウド事業統括 DCHC製品統括本部 統括本部長の本田昌和氏

HPE データセンター・ハイブリッドクラウド事業統括 DCHC製品統括本部 サーバー製品本部 カテゴリーマネージャーの阿部敬則氏

Xeon-SPでコア数/メモリ容量増強、NVDIMMモジュールも16GBへ

 今回発表されたのは、1U/2ソケットサーバーの「ProLiant DL360 Gen10」、2U/2ソケットサーバーの「同 DL380 Gen10」、2U/4ソケットサーバーの「同 DL560 Gen10」、12Uシャーシに24ノードを搭載できる高密度サーバー「Apollo 6000 Gen10 System」向けのサーバーノード「同 XL230k Gen10」、統合インフラ製品「HPE Synergy」向けサーバーノード「Synergy 480 Gen10」および「Synergy 660 Gen10」、「HPE Blade System」向けのサーバーブレード「ProLiant BL460c Gen10」の7モデル。いずれも同日より国内販売を開始している(XL230kのみ8月下旬の販売開始)。

2U/2ソケットサーバーの「ProLiant DL380 Gen10」

 Gen10サーバー群では、いずれも新世代(Skylakeアーキテクチャ)のXeon-SPを搭載しており、パフォーマンスやメモリ搭載容量などが強化されている。たとえば1U/2ソケットサーバーのDL360 Gen10でも、最大で56コア(28コア×2CPU)、3TB DDR4メモリ(前世代比2倍)を搭載できる。

 HPE特有の機能としては、インテルと共同開発した新しいサーバーチューニング技術セット「HPE Intelligent System Tuning(ワークロード自働設定機能)」がある。これはワークロードごとにサーバーリソースを自動的に最適化し、パフォーマンスを向上させるというもので、ワークロード最適設定(ワークロードマッチング)/CPU安定化(ジッタースムージング)/CPUブースト(コアブースティング)の機能が含まれる。

「ワークロード最適設定機能」の概要。HPEが開発した十種類以上のプロファイルが提供される

 また、従来8GBだったNVDIMM(不揮発性メモリ、DRAM+NANDフラッシュ)モジュールに16GBモデルが新登場し、たとえば2ソケットサーバーでは最大192GBの搭載に対応している。加えて、新たにテラバイト規模の高速メモリ環境を実現する「HPE Scalable Persistent Memory」ソリューションも発表されている。Scalable Persistent Memoryは、DRAM(DIMM)+SSD(フラッシュメモリ)によるデータ保持をサーバーBIOSレベルでコントロールすることで、NVDIMMでは実現できなかった規模の大容量不揮発性メモリ環境(2ソケットサーバーで1TB)を実現し、インメモリデータベースやリアルタイム分析環境などの大幅な高速化に寄与するという。Scalable Persistent Memoryはまず、DL380 Gen10で今秋サポート予定。

「Scalable Persistent Memory」の概要。インメモリDBやアナリティクスなどで大幅な高速化が見込める

 そのほか、保守期間を5年から7年に延長した「7年長期保守パッケージ」と、Gen9からGen10へのアップグレードをコスト面でサポートするリースプログラムを新たに提供するほか、従来から提供している従量課金モデル「HPEフレキシブルキャパシティサービス」など、経済性の面でも優位性を強調している。

ファームウェア改竄によるサーバー停止攻撃を防止する複数の機能

 Gen10サーバーでは、ハードウェアベースのセキュリティ機能の強化も図られている。セキュリティ新機能については同日の発表会で詳しく説明された。

 今回のGen10サーバーでは、「HPE Secure Compute Lifecycle」いうコンセプトに基づき、ファームウェア改竄攻撃に対する防御/検知/復旧機能、および業界最上位レベルの暗号化機能がハードウェアレベルで組み込まれている。

ハードウェアレベルでセキュリティ機能を組み込む「HPE Secure Compute Lifecycle」の概要

 まず、サーバーの起動時、OS起動前に多数のファームウェアコードの健全性をチェックする「Silicon Root of Trust」機能が、標準機能として実装されている。健全性をチェックするロジックは、HPEが独自に設計/供給するハードウェア管理モジュール最新版「iLO 5(Integrated Lights-Out 5)」のチップ内に埋め込まれており、このロジック自体の改竄は不可能。また、改竄を検知した場合はOSの起動を止めて被害拡大を防ぎ、iLOチップ内に保存されている正常なファームウェアへの復旧を促す。

 さらに、サーバー稼働中でもファームウェアの健全性を検証し、改竄があれば復旧できる「セキュアリカバリー」機能も搭載された(iLO Advanced Premium Security Editionにて対応)。手動での検証/復旧だけでなく、スケジュール設定により定期的に実行させることもできる。

OS起動前にファームウェア検証を行う「Silicon Root of Trust」機能と、サーバー稼働中のファームウェア検証/復旧のできる「セキュアリカバリー」機能の概要

セキュアリカバリー機能のデモ(iLO 5の画面)。System ROMの改竄が検知されたため、復旧(フラッシング)処理を実行している

 そして、米国のNIST(国立標準技術研究所)やNSA(国家安全保障局)が定める暗号化スイート「Commercial National Security Algorithms Suite(CNSA Suite)」をハードウェアレベルで遅延なく処理する機能も備えている(iLO Advanced Premium Security Editionにて対応)。

他社を一歩先取りした「新しいサーバーセキュリティ標準」を提供

 発表会に出席した同社 サーバー製品本部 カテゴリーマネージャーの阿部敬則氏は、今回のGen10サーバーでは、HPEが提唱する“ハイブリッドIT”実現に求められる3つの要素「アジリティ」「セキュリティ」「経済性」の実現に注力していると述べたうえで、その中でもセキュリティが最優先事項となっていると説明した。

Gen10サーバーでは「アジリティ」「セキュリティ」「経済性」の3要素に注力

 同社 セキュリティエバンジェリストの増田博史氏によると、現在の攻撃者たちは「サイバー攻撃」から「サイバー戦争」へと脅威の規模を拡大させると同時に、攻撃対象をより発見/対策の難しいレイヤーへと移行させようとしているという。そうした中で、今後、サーバーのファームウェアを破壊し、システムを再起不能にさせるような「PDoS攻撃」(Persistent Denial of Service=永続的サービス妨害攻撃)の増加も予想されている。

「PDoS」攻撃は、攻撃者視点で考えると工数が少ない一方で攻撃の成果は大きく、今後増える可能性が高いという

 そうした脅威の変化を先取りするために、Gen10サーバーではファームウェアの健全性確認や復旧の機能が組み込まれたわけだ。阿部氏は、HPEでは同社サーバーの「コアテクノロジー」としてiLOへの技術投資を続けており、従来のUEFIセキュアブートだけでは不十分な、よりローレベルでのサーバーセキュリティを実現するものだと語った。

 また、同社 DCHC製品統括本部 統括本部長の本田昌和氏は、業界初のラックマウントサーバーやブレードサーバーなど、HPEがこれまでx86サーバーにおいて常に「次の時代のサーバーの『標準』を切り開く取り組みをしてきた」と述べ、今回搭載した新しいセキュリティ機能も、他社の一歩先を見据えた、次世代の標準的な機能となるはずだという見解を示した。

カテゴリートップへ

  • 角川アスキー総合研究所
  • アスキーカード