24 октября 2012
Многоуровневая (сквозная) виртуализация с поддержкой на уровне ОС.
Возможности применения в системах безопасности
Часть 4
Новая операционная система Касперского. Чтобы задать некоторую интригу, напомним новость, опубликованную на CNews, касающуюся новых вакансий в Лаборатории Касперского. По мнению CNews, Касперский ведет разработку новой встроенной
защищенной ОС для промышленного мониторинга. В настоящий момент безусловным лидером для промышленных SCADA является микроядерная операционная система реального времени QNX, конечно, появится множество замечаний, что ядро Linux ничем не хуже. В свою очередь повторю мнение многих экспертов, что бесплатный Linux не всегда может справляться с поставленными задачами с требуемой отказоустойчивостью, которую гарантирует QNX.
Итак, по логике Касперский решил разработать ОС, не уступающую QNX. В интернете множество комментариев о целях разработки, но все может быть гораздо проще. Напомним (см. предыдущие публикации), что по прогнозу Cisco к 2015 году количество non-PC устройств достигнет 40% от прогнозируемой численности населения. То есть рынок для будущей операционной системы практически сформирован. Дело за малым, осталось сделать, а также выйти на мировой рынок. Уникальность новой ОС Касперского, очевидно, будет состоять в ее защищенности.
Сложности реализации как обычно начинаются с наличия оригинальной технической идеи, не просматривающейся в разработках Касперского. Поиск специалистов на HeadHanter, ссылка на которых приведена CNews, если это не паразитный пиар, вызывает вопросы относительно уровня разработки. Например, аспиранты в украинском КПИ, занимавшиеся разработкой микроядерной RTOS, сразу получили предложения работы в государственном ИТ-агентстве Австралии «NISTA» и одного из университетов США. Специалисты, способные работать на уровне разработки операционных систем, не ищут работу на HeadHanter.
Но уровень ОС и наличие технической идеи может быть не главным, новая ОС Касперского может быть только маркетинговым шагом, в конце концов известно множество ОС с открытым кодом. Операционная система лейбла Касперский для защиты бытовых систем мониторинга будет вполне пользоваться спросом среди обычных пользователей, которые не предъявляют серьезных требований к защите информации, а также дедлайну процессов. Но не факт, что Касперского пустят на мировой рынок таких систем, то есть ведущих встроенных ОС.
Посмотрим на реализацию защищенности ОС в ближнем приближении. Любая защита, как и отказоустойчивость, будет предполагать избыточность, которая в свою очередь увеличит задержку и чувствительность системы к дедлайну. С нашей точки зрения защиту имеет смысл реализовывать на более высоком уровне виртуализации, как это и делает VMware, а идея Касперского даже на первый взгляд выглядит достаточно сырой.
Кроме того, отсутствие связи каких-либо продуктов Касперского с современными облачными платформами и навыков адаптации своих антивирусов – это еще один минус Касперского. Нужно развиваться в контексте мировых тенденций, о которых рассказывалось в предыдущей части. Для начала имеет смысл адаптироваться под крупнейшие облачные сервисы и получить опыт работы в современной сетевой инфраструктуре, а потом уже разрабатывать защиту устройств с поддержкой на уровне ОС, количество которых резко возрастет к 2015 году. Задача №1 для Касперского на самом деле состоит в адаптации уже имеющихся наработок под облачные сервисы.
Заметим, что антивирусы Касперского ориентированы на системы разделения времени. Как они будут работать под реальное время с технической точки зрения – это большой вопрос технической стратегии. Почему в технической стратегии Касперского происходит совершенно неадекватный бросок в неизвестную для него область без привлечения групп, имеющих хоть какой-то опыт в данной области, остается загадкой.
В российской практике имеется достаточно большой опыт разработки систем реального времени специального назначения для военной и аэрокосмической промышленности. Можно предположить, что Касперский пытается разработать защищенную ОС для обслуживания устройств российских производителей, обычно используемых в различных системах безопасности, включая правительственные, для защиты, в том числе, от интерфейса метаданных. Возможно, даже пытается получить государственный заказ, не имея достаточного опыта разработки.
Видеокамеры «Germikom» и видеосерверы Ewclid компании КомКом. Во время анализа перспектив ОС, разрабатываемой Касперским, были затронуты устройства, для которых эта операционная система предположительно создается. В продолжение приведем выводы архитектурного анализа видеокамер и видеосерверов одного из российских производителей, на которого в перспективе может быть направлена разработка ОС Касперского.
При достаточно серьезном функционале камеры «Germikom» не являются embedded-устройствами, релизы компании КомКом не содержат предпосылок появления камер с встроенной ОС, поддерживающих перепрограммирование. Не существует ОС их объединяющей, что возможно в будущем в рамках протокола OnVif, но пока речи об этом не идет.
Компания КомКом решила не использовать embedded-устройства и не объединять их на уровне операционной системы и специального протокола передачи данных, а пошла более простым путем. Был выпущен видеосервер Ewclid, ориентированный на специализированную сервисную задачу, включающую в себя прием, воспроизведение, хранение, ретрансляцию, усиление и хранение видео и аудиосигнала, а также данных с вспомогательных датчиков. Видеосервер Ewclid снабжен платами видеоввода, аудиоввода, управления и платой датчиков и реле, поддерживает подключение неограниченного количества рабочих мест в концепции «тонких клиентов». По праву Ewclid можно считать высокотехнологичным полнофункциональным программно-аппаратным решением, которое позволяет решать целый спектр задач, связанных с видеонаблюдением и телеметрией. Единственный и огромный минус, это полная инкапсуляция функций и непригодность в данном виде для подключения к ткани устройств. Сервер существует, но для серьезных целей использовать его функциональность нельзя. Перечислю список характеристик Ewclid.
В Ewclid'e используется скоростная шина данных PCI-Express, которая обеспечивает гарантированную полосу пропускания и целостность передаваемых данных при высокой скорости передачи, причем осуществляется прямой экспорт данных на базе собственного ядра ПЛИС в видеопамять, минуя процессор, что обеспечивает исключительное быстродействие. Такое аппаратное решение гарантирует обработку до 1200 кадров с секунду и подключение до 48 видеокамер, используемый протокол передачи данных по сети Ethernet 2x1 Гбит/с. Платы видеоввода имеют следующие характеристики:
- IP-видеосерверы «Эвклид» позволяют получить до 25 к/с полноразмерных изображений (до 2560*1920 пикселей) и поддерживают до 32-х видеокамер;
- Система «Эвклид» совместима с камерами Axis, Arecont Vision, Beward, Acti, eVidence, J2000IP, Brickcom и, конечно, своими Germikom;
- Поддерживает наиболее известные видеоформаты MJPEG, MPEG4 и H.264;
Ewclid поддерживает высококачественную (студийную) оцифровку аудиосигнала от 2 до 16 источников при поддержке 100% синхронизации аудио и видеосигнала. Функциональность аудиоплаты при возрастании нагрузки обеспечивается за счет буферной памяти. Также Ewclid может быть укомплектован платой управления, поддерживающей подключение до 12 датчиков и исполнительных устройств через шину PCI-33. Платы включают АЦП и позволяют подключить любое аналоговое сенсорное или исполнительное устройство.
Особого внимания заслуживает набор логических и аппаратных детекторов, часть из которых имеют сервисный характер, например: детектор потери сигнала, засветки, потери фокуса, поворота, изменения фона, движения, которые контролируют 16(!) зон детектирования. Также реализованы событийные детекторы на базе платы аудиоввода: отслеживание голоса, разбитие стекла, звонок телефона, логический детектор дыма. Кроме того, имеется собственный видеокодек EFC (Ewclid Frame Compressor), рассчитанный на реализованную в видеосервере многопоточную передачу данных с фильтрацией шумов и запись 48 видеоканалов со скоростью «живого видео» 25 к/с.
При этом функциональном наборе Ewclid является полностью инкапсулированной системой на базе одной рабочей станции с несколькими «тонкими клиентами», на наш взгляд, не поддающейся реинжинирингу. Зачем было создавать такой полностью инкапсулированный функционал особенно разработчикам, участвовавшим ранее в разработке одного интерфейсов I/O, непонятно. Вопросы архитектуры и ее эволюции должны обязательно учитываться.
Это особенно очевидно в контексте развития систем виртуализации, приведенных ранее в этой публикации. Единственно возможным применением в облаке видеосерверов Ewclid может быть использование в рамках стандарта М2М для обслуживания целой сети видеосерверов, но опять же возникают вопросы с организацией интерфейса и его многоуровневой поддержки. С какой бы точки зрения не анализировать архитектуру, узким местом Ewclid будет отсутствие ОС для устройств в одном из доступных решений или встроенной системы виртуализации, позволяющей интегрироваться в современную инфраструктуру глобальной сети.
В заключение отмечу, что современные инфраструктурные требования к разработке программно-аппаратных решений значительно отличаются от решений, существовавших еще несколько лет назад. Подобные тенденции свидетельствуют о достаточно быстрых количественно и качественных изменениях инфраструктуры глобальной сети, диктующих свои правила программно-аппаратным решениям. Речь идет о вычислительной архитектуре пятого поколения, где виртуализация занимает одну из важнейших ролей формирования глобальной инфраструктуры, поэтому многоуровневая (сквозная) поддержка виртуализации, включая уровень ОС, в современном софте – это продуктивный универсальный принцип, который можно использовать при проектировании дизайна современных вычислительных систем любого класса.
Литература:
- Зеленцова Ж.Ю. Многоверсионный подход в рамках управления жизненным циклом в отказоустойчивых интеллектуальных системах в облаке, Sec.ru. - 2012.
- IBM Archives: History of IBM, http://www-03.ibm.com/ibm/history/history/history_intro.html
- Burks A. W., Goldstine H. H., Neumann J. Preliminary Discussion of the Logical Design of an Electronic Computing Instrument. - Institute for Advanced Study, Princeton, N. J., July 1946
- Таненбаум Э. С. Современные операционные системы. Modern Operating Systems. - 2-е изд. - СПб.: Питер, 2005..
- Олифер В. Г., Олифер Н. А. Сетевые операционные системы. - СПб.: Питер, 2002.
- Intel Architecture Software Developer’s Manual, Volume 3: System Programming.
- John F. Gantz, Christopher Chute, Alex Manfrediz, Stephen Minton, David Reinsel, Wolfgang Schlichting, Anna Toncheva, «The Diverse and Exploding Digital Universe: An Updated Forecast of Worldwide Information Growth Through 2011», IDC White Paper, 2008. –http://www.ifap.ru/library/book268.pdf, 2012-02-28.
- John Gantz, David Reinsel, «Extracting Value from Chaos», IDC 1142, 2011. – http://www.emc.com/collateral/analyst-reports/idc-extracting-value-from-chaos-ar.pdf , 2012 –02-28.
- V-INDEX, http://www.v-index.com.
- Thomas J. Bittman, Lydia Leong, Virtual Machines Will Slow in the Enterprise, Grow in the Cloud, http://www.gartner.com/DisplayDocument?id=1573914
- «Worldwide Quarterly Server Virtualization Tracker», http://www.idc.com/tracker/showproductinfo.jsp?prod_id=39
- CIO Study Reveals Need for Change in Enterprise Data Protection Strategy, http://go.veeam.com/annual-virtualization-data-protection-report-2011.html?ad=link
- Stephen Prentice, Gyanee Dewnarain, “The Future of the Internet: Fundamental Trends, Scenarios and Implications to Hee”, Gartner, 2012/ - http://www.gartner.com/technology/core/products/research/topics/emergingTrendsTechnologies.jsp, 2012.
- Unified Fabric: Benefits and Architecture of Virtual I/O, http://www.cisco.com/en/US/prod/collateral/ps6418/ps6423/ps6429/prod_white_paper0900aecd80337bb8.html
- Jon Brodkin, Windows Azure beats Amazon EC2, Google App Engine in cloud speed test, 2011 - http://arstechnica.com/business/2011/10/windows-azure-faster-than-amazon-ec2-and-google-app-engine-in-yearlong-cloud-speed-test/, 2011.
- HP ProLiant Servers, HP Virtual Desktop Infrastructure, HP. –http://h18013.www1.hp.com/products/ servers/vdi/index.html, 2012-02-28.
- IEEE launches pioneering Cloud Computing initiative, IEEE. – http://standards.ieee.org/news/2011/cloud.html, 2012-02-28.
- «NIST Cloud Computing Standards Roadmap» (NIST-SP 500-291), NIST, July, 2011. –http://www.nist.gov/manuscript-publication-search.cfm?pub_id=909024, 2012-02-28
- Platform as a service (PaaS) Reinventing application development, IBM. - http://www.ibm.com/cloud-computing/us/en/paas.html, 2012.
