SUPER COMPUTING 2022 - איך אתה מרחיק את הרעים מכמה מהמחשבים המהירים בעולם המאחסנים חלק מהנתונים הרגישים ביותר?
זה היה חשש גובר בכנס Supercomputing 2022 בחודש שעבר. השגת ביצועי המערכת המהירים ביותר הייתה נושא חם, כמו בכל שנה. אבל החתירה למהירות באה במחיר של אבטחת חלק מהמערכות הללו, המפעילות עומסי עבודה קריטיים במדע, מודלים של מזג אוויר, תחזיות כלכליות וביטחון לאומי.
הטמעת אבטחה בצורה של חומרה או תוכנה כרוכה בדרך כלל בקנס ביצועים, אשר מאט את ביצועי המערכת הכוללים ואת תפוקת החישובים. הדחיפה ליותר כוחות סוס במחשוב-על הפכה את האבטחה למחשבה שלאחר מכן.
"לרוב, מדובר במחשוב בעל ביצועים גבוהים. ולפעמים חלק ממנגנוני האבטחה הללו יפחיתו את הביצועים שלך מכיוון שאתה עושה איזונים מסוימים", אומר ג'ף מקווי, סגן נשיא ומנהל כללי של Super Compute Group באינטל.
"יש גם 'אני רוצה לוודא שאני מקבל את הביצועים הטובים ביותר האפשריים, ואם אני יכול להכניס מנגנונים אחרים כדי לשלוט כיצד זה מבוצע בצורה מאובטחת, אני אעשה את זה'", אומר מקווי.
אבטחה זקוקה לתמריץ
ביצועים ואבטחת נתונים הם התגוששות מתמדת בין הספקים המוכרים את המערכות בעלות הביצועים הגבוהים לבין המפעילים שמפעילים את ההתקנה.
"ספקים רבים אינם ששים לבצע את השינויים הללו אם השינוי משפיע לרעה על ביצועי המערכת", אמר יאנג גואו, מדען מחשבים במכון הלאומי לתקנים וטכנולוגיה (NIST), במהלך מושב הפאנל בסופר מחשוב 2022.
חוסר ההתלהבות לאבטחת מערכות מחשוב בעלות ביצועים גבוהים הניע את ממשלת ארה"ב להתערב, כאשר ה-NIST יצר קבוצת עבודה שתטפל בבעיה. Guo מוביל את קבוצת העבודה של NIST HPC, המתמקדת בפיתוח קווים מנחים, שרטוטים ואמצעי הגנה לאבטחת מערכת ונתונים.
קבוצת העבודה של HPC הוקמה בינואר 2016 בהתבסס על זה של הנשיא דאז ברק אובמה הנהלת הצו 13702, שהשיקה את יוזמת המחשוב הלאומי האסטרטגי. פעילות הקבוצה עלתה לאחר שפע של התקפות על מחשבי-על באירופה, שחלקם היו מעורבים במחקר COVID-19.
אבטחת HPC היא מסובכת
אבטחה במחשוב בעל ביצועים גבוהים אינה פשוטה כמו התקנת אנטי וירוס וסריקת מיילים, אמר גואו.
מחשבים בעלי ביצועים גבוהים הם משאבים משותפים, כאשר חוקרים מזמינים זמן ומתחברים למערכות כדי לבצע חישובים וסימולציות. דרישות האבטחה ישתנו בהתאם לארכיטקטורות HPC, שחלקן עשויות לתעדף בקרת גישה, או חומרה כמו אחסון, מעבדים מהירים יותר או יותר זיכרון לחישובים. הפוקוס העליון הוא באבטחת המכולה וחיטוי צמתי מחשוב הנוגעים לפרויקטים ב-HPC, אמר גואו.
סוכנויות ממשלתיות העוסקות בנתונים סודיים ביותר נוקטות בגישה בסגנון פורט נוקס למערכות מאובטחות על ידי ניתוק רשת או גישה אלחוטית רגילה. גישת ה-"air-gapped" עוזרת להבטיח שתוכנות זדוניות לא יפלשו למערכת, ושרק למשתמשים מורשים עם אישור יש גישה למערכות כאלה.
אוניברסיטאות מארחות גם מחשבי-על, הנגישים לסטודנטים ואנשי אקדמיה המבצעים מחקר מדעי. למנהלי מערכות אלו יש במקרים רבים שליטה מוגבלת על האבטחה, המנוהלת על ידי ספקי מערכות שרוצים זכויות התרברבות לבניית המחשבים המהירים בעולם.
כאשר אתה מציב את ניהול המערכות בידי הספקים, הם יתנו עדיפות להבטיח יכולות ביצועים מסוימות, אמר ריקי גרג, מנהל תוכנית אבטחת סייבר במשרד ההגנה האמריקאי. תוכנית מודרניזציה למחשוב עם ביצועים גבוהים, במהלך הפאנל.
"אחד הדברים שעליהם התחנכתי לפני שנים רבות היה שככל שאנו מוציאים יותר כסף על אבטחה, כך יש לנו פחות כסף לביצועים. אנחנו מנסים לוודא שיש לנו את האיזון הזה", אמר גרג.
במהלך פגישת שאלות ותשובות בעקבות הפאנל, חלק ממנהלי המערכת הביעו תסכול מחוזי ספקים שמתעדפים את הביצועים במערכת ומפחיתים עדיפות לאבטחה. מנהלי המערכת אמרו כי הטמעת טכנולוגיות אבטחה מתוצרת בית תסתכם בהפרת חוזה עם הספק. זה החזיק את המערכת שלהם חשופה.
חלק מחברי הפאנל אמרו שניתן לשנות חוזים בשפה שבה ספקים מעבירים את האבטחה לצוות באתר לאחר פרק זמן מסוים.
גישות שונות לאבטחה
קומת התצוגה של SC אירחה סוכנויות ממשלתיות, אוניברסיטאות וספקים שדיברו על מחשוב-על. השיחות על אבטחה היו בעיקר בדלתיים סגורות, אך אופי התקנות מחשוב העל סיפק מבט ממעוף הציפור על הגישות השונות לאבטחת מערכות.
בדוכן של אוניברסיטת טקסס במרכז המחשוב המתקדם של טקסס של אוסטין (TACC), המארח מספר מחשבי-על ב- רשימת Top500 ממחשבי העל המהירים בעולם, ההתמקדות הייתה בביצועים ובתוכנה. מחשבי העל של TACC נסרקים באופן קבוע, ולמרכז יש כלים למניעת פלישות ואימות דו-גורמי כדי לאשר משתמשים חוקיים, אמרו נציגים.
למשרד ההגנה יש יותר גישת "גן מוקף חומה", עם משתמשים, עומסי עבודה ומשאבי מחשוב-על מפולחים לאזור גבול DMZ-stye עם הגנות כבדות וניטור של כל התקשורת.
המכון הטכנולוגי של מסצ'וסטס (MIT) נוקט בגישה אפס אמון לאבטחת מערכת על ידי ביטול גישת שורש. במקום זאת הוא משתמש בערך שורת פקודה בשם sudo לספק הרשאות שורש למהנדסי HPC. פקודת הסודו מספקת שובל של פעילויות שמהנדסי HPC מבצעים במערכת, אמר אלברט רויטר, חבר צוות בכיר במרכז מחשוב העל של מעבדת MIT לינקולן, במהלך דיון הפאנל.
"מה שאנחנו באמת מחפשים זה אודיטינג של מי נמצא ליד המקלדת, מי היה האדם הזה", אמר רויטר.
שיפור האבטחה ברמת הספק
הגישה הכללית למחשוב בעל ביצועים גבוהים לא השתנתה במשך עשרות שנים, עם הסתמכות רבה על התקנות ענק באתר עם מתלים מחוברים. זה בניגוד חד לשוק המחשוב המסחרי, שזז מחוץ לאתר ו לענן. המשתתפים בתערוכה הביעו דאגה לגבי אבטחת מידע ברגע שהיא עוזבת מערכות מקומיות.
AWS מנסה לחדש את HPC על ידי הבאתו לענן, שיכול להגדיל את הביצועים לפי דרישה תוך שמירה על רמת אבטחה גבוהה יותר. בנובמבר הציגה החברה את HPC7g, קבוצה של מופעי ענן עבור מחשוב בעל ביצועים גבוהים על Elastic Compute Cloud (EC2). EC2 משתמש בבקר מיוחד בשם Nitro V5 המספק שכבת מחשוב סודית כדי להגן על נתונים בזמן שהם מאוחסנים, מעובדים או במעבר.
"אנחנו משתמשים בתוספות חומרה שונות לפלטפורמות טיפוסיות כדי לנהל דברים כמו אבטחה, בקרות גישה, עטיית רשת והצפנה", אמר לואל וופורד, ארכיטקט פתרונות מומחה ראשי של AWS למחשוב ביצועים גבוהים, במהלך הפאנל. הוא הוסיף את זה טכניקות חומרה לספק גם את האבטחה וגם את ביצועי מתכת חשופה במכונות וירטואליות.
אינטל בונה תכונות מחשוב סודיות כמו Software Guard Extensions (SGX), מובלעת נעולה לביצוע תוכניות, לתוך שבבי השרת המהירים ביותר שלה. לפי McVeigh של אינטל, גישה חסרת תקדים מצד המפעילים גורמת ליצרנית השבבים לקפוץ קדימה באבטחת מערכות בעלות ביצועים גבוהים.
"אני זוכר כשאבטחה לא הייתה חשובה ב-Windows. ואז הם הבינו 'אם נחשוף את זה ובכל פעם שמישהו יעשה משהו, הם ידאגו שפרטי כרטיס האשראי שלהם ייגנבו'", אמר מקווי. "אז יש שם הרבה מאמץ. אני חושב שאותם דברים צריכים לחול [ב-HPC]."
