さくらインターネット研究所の熊谷(@kumagallium)です。2019年3月7, 8日に開催された第44回インターネットと運用技術研究発表会で、さくらインターネット研究所から3件の発表を行いましたので、論文とスライドと共に発表者が紹介します。

分散型データセンターOSを目指したリアクティブ性を持つコンテナ実行基盤技術

松本(@matsumotory)による発表です。本発表では、さくらインターネット研究所で定めたコンセプトである「超個体型データセンター」とその具体的なビジョンをどのように考えているか、さらに、そのコンセプトに基づいて松本がどういう取り組みを開始しているかについて発表しました。

超個体型データセンターとは、大規模データセンターへの集中という流れがある一方で、クラウドネイティブの時代にはデータセンター間やクライアントとデータセンター間での物理的な距離に起因するレイテンシーの増大が課題になってきています。それらを解決するためには、もっとデータセンター機能やコンピューティングリソースを社会や現場に溶け込ませる必要があり、その上でデバイス間での高度な連携や、クラウドのマシンリソースをデバイスに限りなく寄せていく必要があり、その様はまるで個体が自律的に動作しつつも、規模の違うデータセンターがハブとなって分散しながら全体として総体のように見え、その様はまるで超個体的（super-organism）であると考えられれます。そこのことから、さくらインターネット研究所のコンセプトとして「超個体型データセンター」を定めました。

これらの発表について、アカデミアで発表するのは初めてですので、少し緊張しましたが、新しいコンセプトについて興味を示しいただけたり、そこからどういうアプローチがあるかを議論できる機会となりました。

CRIUを利用したHTTPリクエスト単位でコンテナを再配置できる低コストで高速なスケジューリング手法

松本(@matsumotory)による発表です。これまで、WordPressのような一般的なWebアプリケーションが動作する前提で、HTTPリクエスト単位、すなわち、クライアントからのアクセスに起因してリアクティブにシステムが様態を変え、適切なレスポンスを返すという研究を行ってきました。これらの研究では、コンテナランタイム自体が素早く起動できても、その中で実際に起動するサーバプロセス自体の起動に時間がかかっては意味があまりない、という課題がありました。

その中で、リアクティブに様態を変えられるのであれば、可用性の面でもこれまでのように複数のインスタンスを起動させておいて、ホットスタンバイ方式のようなシステムを構築する必要なく、単一のインスタンスであっても、システムの状態によって適切なインスタンスのスケジューリングが実現できるのではないかという着想、加えて、サーバプロセスの起動状態のプロセスをそのままイメージ化できれば、サーバプロセスの実装によらず高速に起動できるのではないかというアイデアのもと、本手法を提案しました。

本手法では、インスタンスとしてコンテナを採用しており、コンテナがリアクティブに収容サーバを移動する際に時間がかかりすぎるとレスポンスタイムに大きな影響を与えるため、移動の際には非同期でプロセスであるコンテナを事前にイメージ化しておいて、移動後にそのイメージから素早く起動し、レスポンスを返せるようにしました。その結果、ApacheやRuby on Rails、djangoなど、ミドルウエアの起動処理方式や起動時間にかかわらず、概ね2秒以内で収容サーバ間を移動できることが確認できました。

侵入検知システムのためのグラフ構造に基づいた機械学習および可視化

熊谷(@kumagallium)が、グラフ構造に基づいた２種類の機械学習手法による侵入検知システムの研究を発表しました。
スマホやIoTデバイスの急速な普及により、インターネットはますます身近な存在となっています。ところが、サイバー攻撃の脅威も年々急速に増加しており、その脅威も私達にとって身近な問題となってきています。その問題を解決する手段の一つとして、サイバー攻撃が発生した際に直ちに検知することができる侵入検知システム(IDS: Intrusion Detection System)が挙げられます。
特に最近では、機械学習手法を適用したIDSの研究が盛んに行われ、攻撃に対して高い検知率が得られる手法も報告されてきています。ところがIDSの実運用を考慮する場合、高い検知率が得られる手法を利用しても誤検知は発生してしまうため、なぜ誤検知をしたのか等を検証するのに多くの時間を費やすことになります。そのため、検知結果に対する説明性を有した手法が必要になります。

本研究では、複数の要素とそれらの関係性を直感的に理解できるグラフ構造でトラフィックを表現することに着目し、定量的な数値に基づいた要因の可視化によって検知結果の説明ができる２種類の機械学習手法（教師あり学習、教師なし学習）を提案しています。グラフ構造は、ノードをトラフィックのフィールド情報（IPやプロトコル情報、フラグやパケットサイズ）、エッジを各フィールド情報間の時系列的挙動の相関関係と定義しています。グラフ構造に基づいた教師なし学習手法としてグラフ構造の崩れによる異常検知、教師あり学習手法としてグラフ畳み込みニューラルネットワーク（GCNN）をそれぞれ提案した。

実験では、パケットキャプチャ型のデータセットであるDARPA1998を利用して、トラフィックのグラフ構造化およびGCNNによる学習、攻撃を検知した際の要因の可視化を行いました。今回対象としたSYN-flood攻撃やSmurf攻撃に対しては、高い検知率が得られることを確認し、それぞれの攻撃の要因としてノードまたは部分グラフの可視化による説明ができることを確認しました。今後は、検知率の向上および検知結果に対する説明性の向上のため、グラフ構造のノードに相当する特徴量の再検討をしたいと考えています。また、最新のトラフィックデータを利用した際の有効性を検討する予定です。

まとめ

第44回インターネットと運用技術研究会では、さくらインターネット研究所から3件の研究発表を行いました。我々の研究所では、「超個体型データセンター」というコンセプトを掲げ、各研究員がそれぞれ違ったアプローチで研究を進めています。今回の研究会では、そのコンセプトの説明をはじめ、コンセプトの実現につながる研究成果を報告しました。今後も引き続き、各研究員の研究内容や成果を積極的にアウトプットしていきたいと思います。