В эпоху новых платформ, когда даже HPC-задачи могут выполняться в облаке, значение технологий, обеспечивающих информационную безопасность как никогда велико. Однако и сами технологии ИТ-безопасности можно не просто ускорить с помощью сопроцессоров, но и предлагать их в качестве услуги.
Сама по себе изоляция сетевого стека от ОС и приложений не нова — ещё в 2006 году Bigfoot Networks представила первые адаптеры Killer NIC, где обработка трафика выполнялась на набортном процессоре с архитектурой PowerPС, который позволял также запускать и специфический набор приложений, полностью независимый от ЦП и не подверженный, таким образом, вирусным атакам со стороны заражённой хост-системы.
На тот момент идея особой популярности не снискала, однако за прошедшие 15 лет возможности и производительность современных «умных» сетевых карт выросли на порядки и в настоящее время мы видим ренессанс идеи на новом уровне. DPU/IPU уже никого не удивить, однако NVIDIA предлагает для них не просто реализацию подхода «нулевого доверия» (Zero Trust), но и значительное упрощение его внедрения с помощью SDK DOCA 1.2.
В качестве аппаратной основы для DOCA используются DPU серии BlueField, благо уже второе поколение этих решений обеспечивает линейные скорости 200 Гбит/с, поддержку RoCE, GPUDirect Storage и обработку трафика на уровне десятков миллионов пакетов в секунду. Новое, третье поколение BlueField будет ещё мощнее и поднимет скорость до 400 Гбит/с на порт — и это с полноценным шифрованием, аппаратным брандмауэром, продвинутой телеметрией, а также с поддержкой изоляции и контейнеризации микросервисов.
В DOCA NVIDIA унифицировала стандарты разработки ПО для собственных DPU, подобно тому, как она сделала это для CUDA. Разработка безопасных сетевых сред на базe BlueField стала не просто доступной, но и сделала возможным предоставление таких сред в качестве услуги. Такая услуга может полностью управлять доступом к ресурсам ЦОД, осуществлять валидацию всех пользователей и любых приложений + изолировать потенциально уязвимые системы и не давать возникшей ИТ-угрозе распространиться за пределы «карантинной зоны».
Релиз DOCA 1.2 дополняет обновлённый фреймворк NVIDIA Morpheus, предназначенный для разработки средств кибербезопасности с элементами машинного обучения. Благодаря этому комплексу ПО, DPU и EGX поведенческий анализ и детектирование угроз происходит в 600 раз быстрее, чем при исполнении на CPU. Инициативу уже поддержали такие крупные игроки на рынке сетевых средств безопасности, как Juniper Networks и Palo Alto Networks. Ранний доступ к NVIDIA DOCA 1.2 будет открыт 30 ноября, а Morpheus доступна уже сейчас.