インタビュー

セキュリティ機器の“デル”を目指す

ビヴィオネットワークス社長兵頭弘一氏

2008/04/28
松元　英樹＝日経コミュニケーション

記事一覧へ >>

　米ビヴィオネットワークスは，OEMメーカーとして，イスラエルのチェックポイントなどセキュリティ関連会社に機器を納入してきた。その一方で，独自開発したハードウエアの販売も手がけている。2008年4月23日には，パケット処理プラットフォーム「Bivio7000」シリーズの投入を日本法人が発表した。OSにはLinuxを採用しており，パケット検査の処理を高速に実行するための標準プラットフォームとして浸透させることを狙う。RSA Conference Japan 2008の会場で，兵頭弘一社長に新製品のポイントや市場の状況を聞いた。（聞き手は松元英樹＝日経コミュニケーション）

Bivio7000が備えている機能の概要は。

写真1●ビヴィオネットワークス社長兵頭弘一氏
[画像のクリックで拡大表示]

　Bivio7000は従来のルーターやスイッチが見ていたヘッダー情報だけでなく，データの中身まで検査できるネットワーク機器だ。アプリケーションの種類，コンテンツタイプ，ユーザーの特定までできる。このアプリケーション層まで検査する機能は，DPI（Deep Packet Inspection）と呼ばれる。

　内部の構造は，ハードウエア処理とソフトウエア処理のいいとこ取りをしている。IPやTCPヘッダーに関する処理はハードウエアで，柔軟性が必要とされるアプリケーション層の検査はソフトウエアで処理する。ソフトウエア処理は，Linuxベースの実行環境の上で動作する。処理能力を高めるために，プロセッサは複数搭載でき，最大で6プロセッサ，12コアとなる。プロセッサのほかに，複雑な正規表現を解くなど繰り返し処理を得意とするアクセラレータも搭載している。

OSにLinuxを採用した理由は。

　インテグレーターやアプリケーションベンダーはLinuxの上で動作するアプリケーションを自由に実装できる。例えば，インテグレーターの手元にLinuxで動いているアプリケーションがあるとする。これをネットワーク上でもっと高速に動かしたいという要望があるときに，我々がプラットフォームを提供するのだ。アプリケーションベンダーやインテグレーターと協業し，従来の機器ベンダーとは違った方向性を切り開きたい。例えが必ずしも適切ではないかもしれないが，当社の米国本社CEO（最高経営責任者）は「ネットワーク界のデルを目指す」と話すこともある。

どのような用途で使われると想定しているか。

　ファイアウォール，侵入検知，コンテンツフィルタリング，スパムフィルターなど，ネット上を流れるパケットの中身を深く検査しなければいけないアプリケーションが増えている。ネットワークの高速化が進んでいるため，処理性能の向上も求められている。

　セキュリティとは異なるが，ISPなどの事業者がトラフィックの中身を精査したいという要望も増えている。昨今，PtoP（peer to peer）やストリーミング系のサービスが大量のトラフィックを生んでいる。これらがどの程度の帯域を消費しているのかを正確に知りたいというニーズがある。

従来のセキュリティ機器と何が違うのか。

写真2●パケット処理プラットフォームの「Bivio7000」
[画像のクリックで拡大表示]

　これまでサーバーベースのセキュリティアプライアンスといえば，インテルアーキテクチャのホワイトボックスで構成した製品が多かったが，その構成では限界もある。限界の理由の一つはインターフェースで，ホワイトボックスのサーバー内部ではネットワークとの接続部分が6～8Gビット/秒しか出ないということがある。もう一つは信頼性。ネットワークのインライン上にドンとサーバーを設置した場合，障害が起きたら通信を寸断してしまう。

　Bivio7000では，そうしたボトルネックがないように，ハードウエア処理とソフトウエア処理をするユニットをつなぐ独自のインタフェースを搭載しており，データ転送速度は40Gビット/秒とした。電源が落ちたときに通信をバイパスする機能を備えているほか，冗長性を持たせるためにネットワークのユニットも追加できる。ネットワーク機器が備えるべき信頼性を持ちつつ，サーバーのように柔軟性のあるものを提供しようという考え方だ。

既存のセキュリティアプライアンス用ソフトウエアをBivio7000で動作させるための修正は難しくはないのか。

　あるアプリケーションベンダーでは，Bivio7000を渡したその日のうちに，既存のソフトウエアを動かすことができた。ハードウエア的な実行環境の違いは，我々が開発したBiviOSというソフトウエアが吸収する。ユーザー側から見ると，通常のLinuxを運用しているかのように見える。パケットをキャプチャするAPIも標準的なものを採用しており，同じAPIを使っているアプリケーションでは，ほとんど修正を加える必要がない。ただし，CPUがPowerPCなので，インテルアーキテクチャで稼働していたソフトウエアでは再コンパイルが必要となる。

[発表資料へ]