论文部分内容阅读
【摘要】 在5G网络中，引入了更多IT化的新技术，从而导致5G网络在享受IT新技术便利的同时，也带来了IT技术自带的安全隐患。本文介绍了5G的安全构架，分析了NFV、网络切片等新技术带来的安全风险，并提供了对这些新技术进行安全测评的方法。这为全面认识和评估5G网络的安全，提供了一个有效的参考方案。
【关键词】 5G 安全 新特性
引言：
5G是目前最新的移動通信技术，除了满足广大用户的日常通信，还将应用到社会经济各领域，促进社会信息化和产业化的转型升级。因此，5G的安全重要性无需赘述，而要解决5G的安全问题，就需要充分了解5G网络的安全构架，建立完善的5G安全体系，保障5G业务的安全。
一、5G面临的安全风险概述
首先，传统安全风险加剧。当前网络安全事件时有发生，5G作为承载大众通信的网络，也面临相同的传统网络攻击威胁。在这一背景下，5G网络在抵御外部攻击和入侵方面面临着极大的挑战。其次，5G提供的各种新业务场景的应用，也导致5G的安全不仅是经济损失那么简单，还有可能影响到社会公共设施的正常运转和人们的生命安全。再次，5G新技术的引入对传统核心网的安全风险。NFV、网络切片等新技术在5G网络的应用，以及和传统2G、4G核心网的互联，使得移动通信网传统的安全体系受到新的挑战。
二、5G的安全构架
要分析5G网络面临的安全风险，必须先了解5G的安全构架，下面对5G的安全构架进行介绍。
2.1 3GPP的标准安全构架
5G的3GPP标准安全构架如图1所示。
2.2 5G业务的安全构架扩充
在5G 3GPP安全架构的基础上，结合5G网络结构和业务，对安全构架进行扩充，具体如图2所示。
图2的安全构架从业务的角度，说明了5G安全涵盖了业务保护安全、网络切片安全、管理系统安全等。
三、5G新的安全风险分析
在5G网络中，引入了NFV、SBA架构等IT新技术，给移动通信网络带来了IT化的灵活性和便捷性。同时，也引入了IT技术固有的安全风险，使得IT安全成为重点。
3.1 SDN/NFV安全
SDN的三层以及南北向接口均存在安全风险，包括：
1.应用层：攻击者假冒SDN控制器，获取应用层APP的敏感数据;APP之间未做好安全隔离，导致APP遭受来自其它APP的信息窃取等攻击。
2.控制层：SDN控制器易遭受来自应用层和数据层的攻击，包括APP和转发设备大量访问造成的（D）DoS攻击、使用Openflow协议大量数据报文上送造成的（D）DoS攻击，恶意APP利用流表冲突绕过安全策略或者导致信息泄露等。另外，作为集中控制点，SDN控制器易遭受渗透攻击。
3.数据层：易遭受假冒控制器获取敏感数据、流表项溢出、（D）DoS攻击等。
4.南北向接口：传输的数据遭受拦截、篡改、重放等攻击。
NFV的NFVI、业务通信系统及管理系统均面临安全安全风险，包括：
1. NFVI安全：与云计算基础设施的安全风险类似，包括硬件服务器被物理破坏等的物理安全风险，虚拟化软件漏洞、宿主机及虚机OS的漏洞利用，虚拟机逃逸，虚拟机之间相互攻击，虚拟机之间未安全隔离导致的信息泄露等。
2.业务通信系统安全：同传统业务通信系统的安全风险，包括协议的安全漏洞被利用，通信内容泄露、篡改或重放等。
3.管理安全：管理系统（MANO）网元自身的漏洞被利用，管理系统内部接口或管理系统与外部其它系统之间的接口上的数据被拦截、篡改或重放等。另外，账号、口令、日志的安全管理风险同传统网络，并且由于虚拟化、弹性扩缩容，NFV涉及的账号、口令管理会更多，变化会相对频繁，带来管理复杂度的增加。
4.组网安全：未对管理、控制和存储流量进行隔离，未划分安全域，导致风险相互影响。
3.2网络切片安全
切片之间安全域未能正确划分与隔离， 将导致数据泄露、 数据篡改、 资源侵占等风险，切片本身的技术复杂性给管理带来的难度远高于传统网络。切片安全风险包括：
1.终端接入安全风险：在同一个终端上面，可以同时跑不同的切片应用，这就存在终端接入过程中可能出现未授权 UE 访问特定切片服务、终端访问错误切片从而暴露信息等风险。
2.核心网侧切片安全风险：各切片的控制面数据使用同一安全上下文，针对安全级别要求高的切片，可能会存在机密性、完整性保护强度不够的风险;恶意用户可能会发起对共用网元的（D）Dos 攻击，以耗尽其资源影响切片的正常运作。同时，由于虚拟机逃逸等虚拟化漏洞等的存在，不同切片的 VNF 间可能存在通过统一的物理资源及虚拟化管理资源攻击、非法占用及连接的风险;切片的故障或资源使用可能会影响其他切片的运行。
3.切片管理风险：包括切片模板可能存在缺陷带来的隐患，以及切片在运行周期中可能受到的攥改、数据泄露等。
3.3边缘计算安全
NFV环境中部署的MEC安全风险包括来自NFV系统、MEC平台、MEC编排管理系统、UPF以及ME App的安全风险：1. NFV系统安全风险：包括NFVI、业务通信系统和管理系统安全风险。2. MEC平台安全风险：MEC平台软件本身的漏洞被利用、MEC平台软件或者其镜像被篡改、MEC平台存储的敏感数据泄露，MEC平台被ME App非法访问，导致DoS攻击、数据泄露等。3. MEC编排管理系统安全风险：编排管理系统，包括MEC平台管理器、MEC应用编排器、虚拟基础设施管理，如果平台管理系统使用不当，会引起较大的安全风险。4. UPF安全风险：UPF遭受物理接触攻击，篡改分流策略，导致数据传输错误。攻击者有可能借助受破坏的UPF进一步攻击核心网;恶意APP也可能向UPF发起（D）DoS攻击。5. ME App安全风险：ME App软件本身的漏洞被利用、ME App软件或者镜像被篡改、敏感数据泄露，用户非法访问App等。6. MEC物理环境安全风险：MEC设备是下沉到诸如园区的核心网边缘，设备环境比不上核心机房的安全，受到物理攻击的可能性增加。 3.4 SBA安全
在SBA中，攻击者可能构建虚假的合法网元来进行攻击。由于任意网元均可以访问其它网元，攻击者可利用一个受控网元向目标网元发起攻击。SBA通过HTTP/2协议承载，相对于SS7和Diameter，HTTP/2的协议灵活性更大，可能会引入一些未知风险。
四、5G新特性的安全测评
4.1 NFV隔离与访问控制
评估要点：1.同一物理机上的不同虚拟化网络资源具有安全隔离能力。2.多台物理机上的大量虚拟化网络资源具有安全隔离能力。
评估方法：1.在同一台物理主机上同时创建多个虚拟机;2.在其中某一虚拟机运行类似nping软件查看网络可通、网络流量情况;3.在多台物理机上创建独立的虚拟机;4.进行安全域划分，并测试互通情况。
评估预期结果：1.同一物理机的不同虚拟机的虚拟化网络资源实现隔离。2.不同物理机的大量虚拟化资源可划分不同安全域进行隔离。
4.2网络切片安全
评估要点：1.网络切片认证的能力。
评估方法：1.查看网管系统或者登录网元查看相关配置，核实是否具备网络切片认证能力;2.针对特定切片S，配置切片接入认证策略为支持切片认证;3.使用测试终端签约切片（类型为S）;4.测试终端开机附着网络;5.跟踪信令流程，确定测试终端是否成功附着切片S。
评估预期结果：1.网络启用并具备网络切片认证能力。
4.3边缘计算安全
评估要点：1.MEC平台具备应对DoS攻击的能力。2.MEC具备入侵检测能力。
评估方法：1.了解MEC平台安全防护方案，查看是否部署抗攻击、入侵检测手段;2.通过测试评估：测试终端附着此平台，使用该终端发送大量TCP链接报文（SYN报文），查看平台是否依然稳定运行;3.进行安全漏洞扫描等操作，查看平台是否检测到攻击。
评估预期结果：1.MEC平台具备入侵检测和DoS攻击防护能力。
4.4 SBA安全
评估要点：1.验证NF间服务化接口传输层进行TLS认证;2.MEC具备入侵检测能力。
评估方法：1.网络中硬件平台、MANO平台工作状态正常，各功能网元系统及操作维护平台正常;2.按照TLS配置文件要求配置NF1和NF2的服务化接口，观察 NF1和NF2服务化接口的TLS连接;3.不满足TLS配置文件要求配置NF1和NF2的服务化接口（配置缺少協议版本或者密码算法）;观察NF1和NF2服务化接口的TLS 连接。
评估预期结果：1.TLS配置文件符合3GPP TS 33.310要求，则NF1和NF2可成功建立TLSA连接;否则，NF1和NF2无法建立TLS连接。
五、结束语
网络的安全是一个攻击和防御不断互相提升的动态过程，因此，需要网络维护人员增强安全意识，不断跟进新技术的发展，才能保障网络的安全。
参 考 文 献
[1] 华为技术有限公司，《5G安全架构白皮书》，[EB]，2017年11月。
[2] 中华人民共和国工业和信息化部，《5G移动通信网-安全技术要求》，[S] ，2019年12月。
[3] IMT-2020（5G）推进组，《5G安全试验 设备安全保障测试规范-核心网设备》，[S] ，2020年5月。
【关键词】 5G 安全 新特性
引言：
5G是目前最新的移動通信技术，除了满足广大用户的日常通信，还将应用到社会经济各领域，促进社会信息化和产业化的转型升级。因此，5G的安全重要性无需赘述，而要解决5G的安全问题，就需要充分了解5G网络的安全构架，建立完善的5G安全体系，保障5G业务的安全。
一、5G面临的安全风险概述
首先，传统安全风险加剧。当前网络安全事件时有发生，5G作为承载大众通信的网络，也面临相同的传统网络攻击威胁。在这一背景下，5G网络在抵御外部攻击和入侵方面面临着极大的挑战。其次，5G提供的各种新业务场景的应用，也导致5G的安全不仅是经济损失那么简单，还有可能影响到社会公共设施的正常运转和人们的生命安全。再次，5G新技术的引入对传统核心网的安全风险。NFV、网络切片等新技术在5G网络的应用，以及和传统2G、4G核心网的互联，使得移动通信网传统的安全体系受到新的挑战。
二、5G的安全构架
要分析5G网络面临的安全风险，必须先了解5G的安全构架，下面对5G的安全构架进行介绍。
2.1 3GPP的标准安全构架
5G的3GPP标准安全构架如图1所示。
2.2 5G业务的安全构架扩充
在5G 3GPP安全架构的基础上，结合5G网络结构和业务，对安全构架进行扩充，具体如图2所示。
图2的安全构架从业务的角度，说明了5G安全涵盖了业务保护安全、网络切片安全、管理系统安全等。
三、5G新的安全风险分析
在5G网络中，引入了NFV、SBA架构等IT新技术，给移动通信网络带来了IT化的灵活性和便捷性。同时，也引入了IT技术固有的安全风险，使得IT安全成为重点。
3.1 SDN/NFV安全
SDN的三层以及南北向接口均存在安全风险，包括：
1.应用层：攻击者假冒SDN控制器，获取应用层APP的敏感数据;APP之间未做好安全隔离，导致APP遭受来自其它APP的信息窃取等攻击。
2.控制层：SDN控制器易遭受来自应用层和数据层的攻击，包括APP和转发设备大量访问造成的（D）DoS攻击、使用Openflow协议大量数据报文上送造成的（D）DoS攻击，恶意APP利用流表冲突绕过安全策略或者导致信息泄露等。另外，作为集中控制点，SDN控制器易遭受渗透攻击。
3.数据层：易遭受假冒控制器获取敏感数据、流表项溢出、（D）DoS攻击等。
4.南北向接口：传输的数据遭受拦截、篡改、重放等攻击。
NFV的NFVI、业务通信系统及管理系统均面临安全安全风险，包括：
1. NFVI安全：与云计算基础设施的安全风险类似，包括硬件服务器被物理破坏等的物理安全风险，虚拟化软件漏洞、宿主机及虚机OS的漏洞利用，虚拟机逃逸，虚拟机之间相互攻击，虚拟机之间未安全隔离导致的信息泄露等。
2.业务通信系统安全：同传统业务通信系统的安全风险，包括协议的安全漏洞被利用，通信内容泄露、篡改或重放等。
3.管理安全：管理系统（MANO）网元自身的漏洞被利用，管理系统内部接口或管理系统与外部其它系统之间的接口上的数据被拦截、篡改或重放等。另外，账号、口令、日志的安全管理风险同传统网络，并且由于虚拟化、弹性扩缩容，NFV涉及的账号、口令管理会更多，变化会相对频繁，带来管理复杂度的增加。
4.组网安全：未对管理、控制和存储流量进行隔离，未划分安全域，导致风险相互影响。
3.2网络切片安全
切片之间安全域未能正确划分与隔离， 将导致数据泄露、 数据篡改、 资源侵占等风险，切片本身的技术复杂性给管理带来的难度远高于传统网络。切片安全风险包括：
1.终端接入安全风险：在同一个终端上面，可以同时跑不同的切片应用，这就存在终端接入过程中可能出现未授权 UE 访问特定切片服务、终端访问错误切片从而暴露信息等风险。
2.核心网侧切片安全风险：各切片的控制面数据使用同一安全上下文，针对安全级别要求高的切片，可能会存在机密性、完整性保护强度不够的风险;恶意用户可能会发起对共用网元的（D）Dos 攻击，以耗尽其资源影响切片的正常运作。同时，由于虚拟机逃逸等虚拟化漏洞等的存在，不同切片的 VNF 间可能存在通过统一的物理资源及虚拟化管理资源攻击、非法占用及连接的风险;切片的故障或资源使用可能会影响其他切片的运行。
3.切片管理风险：包括切片模板可能存在缺陷带来的隐患，以及切片在运行周期中可能受到的攥改、数据泄露等。
3.3边缘计算安全
NFV环境中部署的MEC安全风险包括来自NFV系统、MEC平台、MEC编排管理系统、UPF以及ME App的安全风险：1. NFV系统安全风险：包括NFVI、业务通信系统和管理系统安全风险。2. MEC平台安全风险：MEC平台软件本身的漏洞被利用、MEC平台软件或者其镜像被篡改、MEC平台存储的敏感数据泄露，MEC平台被ME App非法访问，导致DoS攻击、数据泄露等。3. MEC编排管理系统安全风险：编排管理系统，包括MEC平台管理器、MEC应用编排器、虚拟基础设施管理，如果平台管理系统使用不当，会引起较大的安全风险。4. UPF安全风险：UPF遭受物理接触攻击，篡改分流策略，导致数据传输错误。攻击者有可能借助受破坏的UPF进一步攻击核心网;恶意APP也可能向UPF发起（D）DoS攻击。5. ME App安全风险：ME App软件本身的漏洞被利用、ME App软件或者镜像被篡改、敏感数据泄露，用户非法访问App等。6. MEC物理环境安全风险：MEC设备是下沉到诸如园区的核心网边缘，设备环境比不上核心机房的安全，受到物理攻击的可能性增加。 3.4 SBA安全
在SBA中，攻击者可能构建虚假的合法网元来进行攻击。由于任意网元均可以访问其它网元，攻击者可利用一个受控网元向目标网元发起攻击。SBA通过HTTP/2协议承载，相对于SS7和Diameter，HTTP/2的协议灵活性更大，可能会引入一些未知风险。
四、5G新特性的安全测评
4.1 NFV隔离与访问控制
评估要点：1.同一物理机上的不同虚拟化网络资源具有安全隔离能力。2.多台物理机上的大量虚拟化网络资源具有安全隔离能力。
评估方法：1.在同一台物理主机上同时创建多个虚拟机;2.在其中某一虚拟机运行类似nping软件查看网络可通、网络流量情况;3.在多台物理机上创建独立的虚拟机;4.进行安全域划分，并测试互通情况。
评估预期结果：1.同一物理机的不同虚拟机的虚拟化网络资源实现隔离。2.不同物理机的大量虚拟化资源可划分不同安全域进行隔离。
4.2网络切片安全
评估要点：1.网络切片认证的能力。
评估方法：1.查看网管系统或者登录网元查看相关配置，核实是否具备网络切片认证能力;2.针对特定切片S，配置切片接入认证策略为支持切片认证;3.使用测试终端签约切片（类型为S）;4.测试终端开机附着网络;5.跟踪信令流程，确定测试终端是否成功附着切片S。
评估预期结果：1.网络启用并具备网络切片认证能力。
4.3边缘计算安全
评估要点：1.MEC平台具备应对DoS攻击的能力。2.MEC具备入侵检测能力。
评估方法：1.了解MEC平台安全防护方案，查看是否部署抗攻击、入侵检测手段;2.通过测试评估：测试终端附着此平台，使用该终端发送大量TCP链接报文（SYN报文），查看平台是否依然稳定运行;3.进行安全漏洞扫描等操作，查看平台是否检测到攻击。
评估预期结果：1.MEC平台具备入侵检测和DoS攻击防护能力。
4.4 SBA安全
评估要点：1.验证NF间服务化接口传输层进行TLS认证;2.MEC具备入侵检测能力。
评估方法：1.网络中硬件平台、MANO平台工作状态正常，各功能网元系统及操作维护平台正常;2.按照TLS配置文件要求配置NF1和NF2的服务化接口，观察 NF1和NF2服务化接口的TLS连接;3.不满足TLS配置文件要求配置NF1和NF2的服务化接口（配置缺少協议版本或者密码算法）;观察NF1和NF2服务化接口的TLS 连接。
评估预期结果：1.TLS配置文件符合3GPP TS 33.310要求，则NF1和NF2可成功建立TLSA连接;否则，NF1和NF2无法建立TLS连接。
五、结束语
网络的安全是一个攻击和防御不断互相提升的动态过程，因此，需要网络维护人员增强安全意识，不断跟进新技术的发展，才能保障网络的安全。
参 考 文 献
[1] 华为技术有限公司，《5G安全架构白皮书》，[EB]，2017年11月。
[2] 中华人民共和国工业和信息化部，《5G移动通信网-安全技术要求》，[S] ，2019年12月。
[3] IMT-2020（5G）推进组，《5G安全试验 设备安全保障测试规范-核心网设备》，[S] ，2020年5月。