プロセッサ設計がますます複雑化する中、ハードウェア資源間の意図しない相互作用を悪用する攻撃者の機会も増えています。その中で、**マイクロアーキテクチャ的サービス拒否（DoS）**という、1つのプロセスが別のプロセスの性能をハードウェアレベルで阻害する、微妙でありながら強力な攻撃クラスがあります。これらの攻撃はシステムをクラッシュさせたり、サービスを完全に停止させたりするわけではなく、データ処理を遅らせたり、サイクルを奪ったり、品質を低下させたりするものです。
この包括的なブログ投稿では、マイクロアーキテクチャDoSの理論、実践、そして防御について探求します。基本的な原則から始め、徐々に防御の相互作用や現実の検出スクリプトのような高度なトピックへと進んでいきます。
マイクロアーキテクチャは、コンピュータの命令セットアーキテクチャ（ISA）をハードウェア上で実装することを指します。アーキテクチャ（例：x86やARM）は見える動作の契約を定義していますが、マイクロアーキテクチャは実際にどのように動作するかを決定するもので、リソースをパイプライン、レジスタ、キャッシュ、実行ユニットなどに分割します。
主要なマイクロアーキテクチャのコンポーネントには以下のものがあります：
これらのリソースは効率のためにプロセスやスレッド間で共有されます。
SMT—IntelのCPUではハイパースレッディングとして知られています—は、複数のハードウェアスレッドが単一の物理コアで実行されることを許可します。例えば、クアッドコア/8スレッドのCPUは、各コアが2つのハードウェアスレッドを持っていることを意味します。
重要な事実： スレッドは重要なリソースを共有します：キャッシュ、パイプラインステージ、実行ユニット。
マイクロアーキテクチャ的サービス拒否（DoS）攻撃は、一つの（悪意のあるまたはバグのある）スレッドが被害者スレッドと同じSMTコアやキャッシュを共有することで、過剰なハードウェア資源を消費し、共走するプロセスを著しく餓死させたり、遅くしたりする時に発生します。
マイクロアーキテクチャDoSは、性能に向けられた非伝統的なDoS攻撃であり、明白なサービスの不利用性というよりは。主要な脅威モデルは、強力な攻撃者が被害者と共有されたハードウェアで共存することを前提としています。
この基礎研究は、IntelのSMTプロセッサで、悪意のあるスレッドがリソースを独占することにより、被害者のスレッドを5倍以上遅くすることが示されました。
実験設定： あるスレッドがno-opや軽量ループを実行し、攻撃者スレッドがキャッシュラインを継続的に削除したり、特定のALUを使用するコードをスケジュールして実行します。
結果： ソフトウェアレベルでのセキュリティ隔離は、ハードウェアリソースの飢餓によって無効化されました。
クラウドプロバイダは、複数の顧客を1つのCPUにバーチャルマシン（VM）やコンテナを通じて詰め込むことがあります。リソースの競合は避けられませんが、SMTでは問題は増幅されます：
マイクロアーキテクチャ的サービス拒否のプロアクティブな検出は困難です。なぜなら、症状が通常のリソース競合に似ているからです。それでも、パフォーマンスカウンタ監視とワークロードフィンガープリンティングの組み合わせで可能性のある攻撃を知らせることができます。
現代のCPUは、様々なイベントのためのハードウェアパフォーマンスカウンタを公開しています：
これらはLinuxのperfなどのコマンドラインツールで調べることができます。
perf stat -e L1-dcache-load-misses sleep 10
以下は、特定のプロセス（PID）について複数のカウンタを監視するためのbashスクリプトです：
#!/bin/bash
if [ -z "$1" ]; then
echo "Usage: $0 <pid>"
exit 1
fi
PID=$1
echo "Monitoring PID $PID for resource contention..."
echo "Time,L1-dcache-load-misses,LLC-load-misses,branch-misses"
while true; do
PERFDATA=$(perf stat -p $PID -e L1-dcache-load-misses,LLC-load-misses,branch-misses --interval-print 1000 2>&1 | grep -E "L1|LLC|branch")
TIMESTAMP=$(date '+%Y-%m-%d %H:%M:%S')
L1=$(echo "$PERFDATA" | grep 'L1-dcache-load-misses' | awk '{print $1}')
LLC=$(echo "$PERFDATA" | grep 'LLC-load-misses' | awk '{print $1}')
BRANCH=$(echo "$PERFDATA" | grep 'branch-misses' | awk '{print $1}')
echo "$TIMESTAMP,$L1,$LLC,$BRANCH"
sleep 1
done
使用方法：
monitor.shとして保存bash monitor.sh <pid_of_victim_process>Pythonでプロセスを自動化し、疑わしいイベントにアラートを生成します：
import subprocess
import re
import time
PID = 12345 # 目標のプロセスIDに置き換える
pattern = re.compile(
r"(?P<count>\d+).*\s+(?P<event>L1-dcache-load-misses|LLC-load-misses|branch-misses)"
)
def read_perf(pid):
cmd = [
"perf", "stat", "-p", str(pid),
"-e", "L1-dcache-load-misses,LLC-load-misses,branch-misses",
"sleep", "1"
]
result = subprocess.run(cmd, stderr=subprocess.PIPE, stdout=subprocess.PIPE, text=True)
metrics = {}
for line in result.stderr.split('\n'):
match = pattern.search(line)
if match:
metrics[match.group('event')] = int(match.group('count').replace(',', ''))
return metrics
def detect_anomaly(prev_metrics, curr_metrics, threshold=2.0):
for event in prev_metrics:
ratio = curr_metrics[event] / (prev_metrics[event] + 1)
if ratio > threshold:
print(f"ALERT: {event} spiked by {ratio:.1f}x")
prev = read_perf(PID)
while True:
time.sleep(1)
curr = read_perf(PID)
detect_anomaly(prev, curr)
prev = curr
注意： root権限とperfのインストールが必要です。
リソースのパーティショニング：
QoSとフェアスケジューリング：
SMTの無効化：
スケジューラの認識：
共同テナントの隔離ポリシー：
検出時の終了または移動：
最近の研究によると：
現代のハードウェアセキュリティ機構は時に互いに干渉することがある。例えば、Meltdown/Spectreの緩和策がバッファの挙動を変更し、新たなDoSのルートを開く可能性があります。防御の統合を支える には、一つの攻撃クラスに対する防御を追加する際に、それが他の微妙なマイクロアーキテクチャ的危険を生み出さないことを検証する必要があります。
マイクロアーキテクチャ的サービス拒否は、高性能およびマルチテナント環境での懸念の増大する問題です。公平なスケジューリングを確保し、微妙でありながら破壊的な攻撃に対する防御には、ハードウェア、オペレーティングシステム、クラウドプロバイダの共同の努力が求められています。CPUがますます高度化するにつれ、エコシステムはこれらの脅威を追跡し、検出し、防御するために進化しなければならず、相互作用する防御策の罠を避けるために構成的セキュリティをサポートする必要があります。
このコンテンツが価値あるものだと感じたなら、私たちの包括的な47週間のエリートトレーニングプログラムで何が達成できるか想像してみてください。ユニット8200の技術でキャリアを transformed した1,200人以上の学生に参加しましょう。