Xeon-SPサーバーの第一弾、ファームウェア改竄を検知／自動復旧するiLO 5を搭載
HPEが「Gen10」サーバー群発売、独自セキュリティ機能を搭載
2017年07月24日 07時00分更新
日本ヒューレット・パッカード（HPE）は7月20日、インテルXeonスケーラブルプロセッサー（Xeon-SP）を搭載する新世代のx86サーバー製品群「HPE Generation10（Gen10）サーバープラットフォーム」を発表した。同日の発表会では特に、今後増加が予想される「ファームウェアの改竄」攻撃に対抗するための、独自のセキュリティ機能が搭載されていることがアピールされた。
ラックマウントサーバーのProLiant DLシリーズのほか、ブレードサーバー、Synergyサーバー、Apolloサーバーなどで、新しい「Gen10」サーバーが発売された
HPE データセンター・ハイブリッドクラウド事業統括 DCHC製品統括本部 統括本部長の本田昌和氏
HPE データセンター・ハイブリッドクラウド事業統括 DCHC製品統括本部 サーバー製品本部 カテゴリーマネージャーの阿部敬則氏
Xeon-SPでコア数／メモリ容量増強、NVDIMMモジュールも16GBへ
今回発表されたのは、1U／2ソケットサーバーの「ProLiant DL360 Gen10」、2U／2ソケットサーバーの「同 DL380 Gen10」、2U／4ソケットサーバーの「同 DL560 Gen10」、12Uシャーシに24ノードを搭載できる高密度サーバー「Apollo 6000 Gen10 System」向けのサーバーノード「同 XL230k Gen10」、統合インフラ製品「HPE Synergy」向けサーバーノード「Synergy 480 Gen10」および「Synergy 660 Gen10」、「HPE Blade System」向けのサーバーブレード「ProLiant BL460c Gen10」の7モデル。いずれも同日より国内販売を開始している（XL230kのみ8月下旬の販売開始）。
2U／2ソケットサーバーの「ProLiant DL380 Gen10」
Gen10サーバー群では、いずれも新世代（Skylakeアーキテクチャ）のXeon-SPを搭載しており、パフォーマンスやメモリ搭載容量などが強化されている。たとえば1U／2ソケットサーバーのDL360 Gen10でも、最大で56コア（28コア×2CPU）、3TB DDR4メモリ（前世代比2倍）を搭載できる。
HPE特有の機能としては、インテルと共同開発した新しいサーバーチューニング技術セット「HPE Intelligent System Tuning（ワークロード自働設定機能）」がある。これはワークロードごとにサーバーリソースを自動的に最適化し、パフォーマンスを向上させるというもので、ワークロード最適設定（ワークロードマッチング）／CPU安定化（ジッタースムージング）／CPUブースト（コアブースティング）の機能が含まれる。
「ワークロード最適設定機能」の概要。HPEが開発した十種類以上のプロファイルが提供される
また、従来8GBだったNVDIMM（不揮発性メモリ、DRAM＋NANDフラッシュ）モジュールに16GBモデルが新登場し、たとえば2ソケットサーバーでは最大192GBの搭載に対応している。加えて、新たにテラバイト規模の高速メモリ環境を実現する「HPE Scalable Persistent Memory」ソリューションも発表されている。Scalable Persistent Memoryは、DRAM（DIMM）＋SSD（フラッシュメモリ）によるデータ保持をサーバーBIOSレベルでコントロールすることで、NVDIMMでは実現できなかった規模の大容量不揮発性メモリ環境（2ソケットサーバーで1TB）を実現し、インメモリデータベースやリアルタイム分析環境などの大幅な高速化に寄与するという。Scalable Persistent Memoryはまず、DL380 Gen10で今秋サポート予定。
「Scalable Persistent Memory」の概要。インメモリDBやアナリティクスなどで大幅な高速化が見込める
そのほか、保守期間を5年から7年に延長した「7年長期保守パッケージ」と、Gen9からGen10へのアップグレードをコスト面でサポートするリースプログラムを新たに提供するほか、従来から提供している従量課金モデル「HPEフレキシブルキャパシティサービス」など、経済性の面でも優位性を強調している。
ファームウェア改竄によるサーバー停止攻撃を防止する複数の機能
Gen10サーバーでは、ハードウェアベースのセキュリティ機能の強化も図られている。セキュリティ新機能については同日の発表会で詳しく説明された。
今回のGen10サーバーでは、「HPE Secure Compute Lifecycle」いうコンセプトに基づき、ファームウェア改竄攻撃に対する防御／検知／復旧機能、および業界最上位レベルの暗号化機能がハードウェアレベルで組み込まれている。
ハードウェアレベルでセキュリティ機能を組み込む「HPE Secure Compute Lifecycle」の概要
まず、サーバーの起動時、OS起動前に多数のファームウェアコードの健全性をチェックする「Silicon Root of Trust」機能が、標準機能として実装されている。健全性をチェックするロジックは、HPEが独自に設計／供給するハードウェア管理モジュール最新版「iLO 5（Integrated Lights-Out 5）」のチップ内に埋め込まれており、このロジック自体の改竄は不可能。また、改竄を検知した場合はOSの起動を止めて被害拡大を防ぎ、iLOチップ内に保存されている正常なファームウェアへの復旧を促す。
さらに、サーバー稼働中でもファームウェアの健全性を検証し、改竄があれば復旧できる「セキュアリカバリー」機能も搭載された（iLO Advanced Premium Security Editionにて対応）。手動での検証／復旧だけでなく、スケジュール設定により定期的に実行させることもできる。
OS起動前にファームウェア検証を行う「Silicon Root of Trust」機能と、サーバー稼働中のファームウェア検証／復旧のできる「セキュアリカバリー」機能の概要
セキュアリカバリー機能のデモ（iLO 5の画面）。System ROMの改竄が検知されたため、復旧（フラッシング）処理を実行している
そして、米国のNIST（国立標準技術研究所）やNSA（国家安全保障局）が定める暗号化スイート「Commercial National Security Algorithms Suite（CNSA Suite）」をハードウェアレベルで遅延なく処理する機能も備えている（iLO Advanced Premium Security Editionにて対応）。
他社を一歩先取りした「新しいサーバーセキュリティ標準」を提供
発表会に出席した同社 サーバー製品本部 カテゴリーマネージャーの阿部敬則氏は、今回のGen10サーバーでは、HPEが提唱する“ハイブリッドIT”実現に求められる3つの要素「アジリティ」「セキュリティ」「経済性」の実現に注力していると述べたうえで、その中でもセキュリティが最優先事項となっていると説明した。
Gen10サーバーでは「アジリティ」「セキュリティ」「経済性」の3要素に注力
同社 セキュリティエバンジェリストの増田博史氏によると、現在の攻撃者たちは「サイバー攻撃」から「サイバー戦争」へと脅威の規模を拡大させると同時に、攻撃対象をより発見／対策の難しいレイヤーへと移行させようとしているという。そうした中で、今後、サーバーのファームウェアを破壊し、システムを再起不能にさせるような「PDoS攻撃」（Persistent Denial of Service＝永続的サービス妨害攻撃）の増加も予想されている。
「PDoS」攻撃は、攻撃者視点で考えると工数が少ない一方で攻撃の成果は大きく、今後増える可能性が高いという
そうした脅威の変化を先取りするために、Gen10サーバーではファームウェアの健全性確認や復旧の機能が組み込まれたわけだ。阿部氏は、HPEでは同社サーバーの「コアテクノロジー」としてiLOへの技術投資を続けており、従来のUEFIセキュアブートだけでは不十分な、よりローレベルでのサーバーセキュリティを実現するものだと語った。
また、同社 DCHC製品統括本部 統括本部長の本田昌和氏は、業界初のラックマウントサーバーやブレードサーバーなど、HPEがこれまでx86サーバーにおいて常に「次の時代のサーバーの『標準』を切り開く取り組みをしてきた」と述べ、今回搭載した新しいセキュリティ機能も、他社の一歩先を見据えた、次世代の標準的な機能となるはずだという見解を示した。
本記事はアフィリエイトプログラムによる収益を得ている場合があります
