网络安全痛点分析及需求分析思维导图

第五代移动互联网技术是对2G、3G及4G系统的扩展，它的设计目标是希望达到高数据传输速率、减少传输延时、提高传输质量、节电、降低成本。当前，以第五代移动通讯技术（以下简称5G）为代表的电子信息产业转型进展得很快，已成为全球各国经济与社会发展的关键科技基础和世界行业之间公平竞争的重要战略平台。5G技术是下一代数字技术的支柱，将对未来的国际安全和经济产生影响。5G新体系结构和新关键技术（如网络功能虚拟化（NFC））的引入极大地提高了移动网络服务的功能。5G应用开启了万物互联互通，是全球产业界普遍关注的热点，也以迅猛之势发展。在全世界5G广泛应用并规模快速扩大的背景下，5G网络安全包括终端安全、通信网络安全、行业应用安全、数据安全、网络维护安全等多个方面。虽然5G提供的安全功能比4G更完善，但随着5G融合应用的不断深入，又将面临新的网络安全威胁与风险。为了促进5G及相关产业的健康安全发展，网络安全的重要性逐渐加深，全面发挥其在全球化5G时代中的基本、规范和主导作用的意义越来越深远。本章通过分析5G在行业应用领域中的网络安全痛点来展开剖析和研究，得出5G时代网络安全领域的急切需求。

15G网络安全领域现今存在风险的分析

5G网络的业务架构可以用通用接口对外表示网络功能，并进行更灵活的网络部署与管控。随着接口的开放，通用接口在认证、访问控制、通信加密等方面都会面临潜在风险。通信安全设计中的缺陷会为泛洪攻击和资源滥用等安全隐患带来更多风险。因此5G为世界带来便利的同时也放大了通信安全设计中的缺陷，带来许多安全隐患与风险的可能性，5G网络通信领域安全的重要性不言而喻。5G网络提出了全新的网络架构，引进虚拟现实化技术（NFV）优化网络的同时也为网络带来了新的风险。相对于传统的无线通信安全、互联互通安全等需求，边缘计算安全和网络切片安全是具有5G特性的网络安全领域新风险，现今面向边缘计算安全、网络切片安全等重点问题急需开展痛点的分析。1.1虚拟化技术（NFV）痛点分析NFV技术给基础运营商带来便利和成本下降的同时，也会引入新的安全风险。NFV安全风险一般来源于两方面因素，一是传统互联网的安全风险，例如：DDoS攻击、路由安全策略问题等；二是由于NFV自身特性所引起的新的安全风险。关于后者，以下列出了由于NFV科技所产生的几个新安全风险点：NFV从架构上可以分成：硬件资源层、虚拟管理层（Hypervisor）、虚机层（VM）、虚拟化网络功能层（VNF）以及编排管理层（MANO）。NFV架构中每一层都会引入新的安全风险。

（1）针对硬件资源层，由于缺乏了传统物理界限，出现信息安全技术能力短板效应、数据信息跨域泄露等问题。

（2）针对Hypervisor，因为它对每个虚拟化网络资源都拥有相当高的读写权限，所以如果被攻陷，全部的虚拟网元对于黑客而言，将毫无秘密可言，而Hypervisor也由此而经常沦为攻击者的目标。（3）针对VM，目前主要面临问题虚机逃逸、虚机流量安全性监测难、问题虚机使用镜像文件迅速传播、敏感数据在问题虚机中保存困难极大等主要问题。

（4）针对VNF，目前一般面临与虚拟网元之间的通讯容易导致被窃听、虚拟网元的自动调试与监控等功能可以形成网络后门等风险。

（5）对于MANO，因其主要承担着对虚拟化网络资源的安排与控制、对虚拟网元的建立，以及生命周期控制等工作。编排管理层在遭到威胁后，也可能危害虚拟网元以及整个网站的完整性与可用性。

1.2边缘计算（MEC）痛点分析由于边界节点作为边缘计算基础设施，在地理上最接近于用户的工作领域，而且缺少了有效的数据备份、恢复和审计等措施，使得攻击者能够更改或清除边界节点上的用户数据，或破坏某些数据。主观上，部分的恶意攻击者更有机会利用攻击边界节点的安全弱点，通过获取高级授权来清除对自身不利的数据，或者伪造对自身有益的数据。而客观上，一旦某个边界节点受到了不可抗力导致的用户数据丢失或者损毁，若在边缘端不进行合理的数据备份或者修复机制，则云计算技术将无法有效同步边缘数据，那么对于实际业务将是毁灭性的。

1.3网络切片痛点分析

网络切片由一组能支持特定场景通信业务需求的网络功能实例和运行这些网络功能实例的计算、存储、网络资源组成。同时存在着切片内部与外部的安全风险，内部的安全风险主要来源于管理安全、本身安全保护、数据安全等方面；而切片外部的安全风险则主要来源于与终端用户之间的通讯。

（1）切片管理的安全威胁。攻击者也可以利用认证鉴权防护的缺陷或系统配置错误所造成的漏洞，采用恶意代码注入等技术手段非法获得切片的管理权限，并针对切片实例进行非法操作，甚至针对管理公开接口进行拒绝服务攻击，从而危害切片服务实用性。

（2）切片自身的安全威胁。在切片间自身保护措施不落实的情形下，如切片隔离缺失、安全检测机制不足，都可以造成切片之间资源拥挤，甚至切片之间的接口遭到非法控制等安全问题。

1.4数据安全痛点分析

随着5G商业化地逐步推进，5G行业应用投入度会逐渐深入。这里面会涉及很多用户的私密信息，而如果这些用户的私密信息泄漏，可能会造成不可挽回的后果。与此同时，由于数据挖掘技术的发展进步，获取隐私信息的方式越来越强大，获取隐私信息也越来越容易。用户的隐私信息与企业的机密信息变得不再透明，给社会发展带来很大的风险。

25G网络安全领域现今需求的研究与探讨

2.1通信安全需求

5G网络通信最主要的新技术便是虚拟化技术（NFV）、边缘计算（MEC）、网络切片。因此通信安全领域的需求也将围绕它们而展开。

2.1.1虚拟化技术（NFV）技术需求

NFV本质上是通信技术和信息技术融合的产物。其需求虽然起源于传统通讯领域，但借助的却是如云计算技术、虚机技术等现代IT信息技术。NFV技术所产生的安全性问题，很大一部分也是由于虚拟性技术所造成的。但因为技术思路与结构上的差异，传统的数据通信网络对安全关注程度远低于网络行业。在当今ICT技术融合的重大背景下，特别是使用NFV技术所组建的数据通信网络系统，更需要积极借助现代IT技术的安全防护技术，以增强数据通信网络系统的安全实力。传统网络的信息安全防护大多使用边界信息安全防护框架，即将主要的防护设施架设于互联网或操作系统的边缘。边界防护的基础是假定一切威胁都源于外界，对内是充分可信的。而这些假定通常无法建立。一个内部的网络系统中如果有一个计算机被攻陷，威胁者就可能利用"出站威胁"窃取国内信息系统，或是在"信息安全"网络系统内"横向移动"，从而加大了攻击面；另一方面云计算技术、NFV等虚拟化技术也破坏了计算机网络或系统的传统物理界限，使得传统边界防护框架更加力不从心。所以，对NFV等网络安全技术而言，仅仅依赖于传统边缘防护是远远不够，还需要由传统边缘防护框架逐步向现代内生的信息安全防护框架过渡。内生安全就是计算机系统在架构设计上对攻击的自行识别和防御能力。需要具备以下两个特性：一是通信加密。身份验证能够防范仿冒入侵，却无法防范通讯链接被窃听。通信加密能够补充身份验证的缺陷，进而提高系统稳定性。二是异常行为检测。有时，虽然通讯本端是可信的，但对端却可以传输含有病毒的文档，以便使本端信息系统受到感染。针对这些情况就可以利用特殊情况的检查来主动地发现和预防了。而通常，在病毒启动后就会有一定的行为模式，如更改注册表、并不断拷贝自身资料等，从而能够利用病毒的这种行动特性，识别出某些病毒和威胁。

2.1.2边缘计算（MEC）技术需求

与云计算数据中心相比，边缘节点的计算能力十分有限，更容易被黑客攻击。纵使对个别边缘节点的被破坏的并不显著，但网络具有快速找到邻近备用节点的调度能力；许多现有的安全技术计算保护过程很复杂，不适用于此场景下。因此，在万物互联背后的边缘计算场景中设计轻量级安全防护技术，是网络安全的重要需求。

2.1.3网络切片运营商商业模式需求

随着5G建设的持续推进，运营商必须以解决客户定制化要求为出发点，不断创新网络切片的商业模式。网络切片既具有云时代服务订制化的特征，也具有传统资源型产业服务专有的属性特点。可以针对客户的特异性要求，选用以下三种商业模式：（1）标准切片模式，运营商统一建设5G网络，向企业提供切片租赁和增值服务；（2）能力开放模式，网络切片具备逻辑隔离和独立的生命周期管理，运营商也向公司提供了开放性的服务接口，公司可以根据自身的特定需求发展特有的服务运维功能；

（3）切片托管模式，公司可以自建专网，委托给运营商提供运维服务以适应高速部署、节省成本的要求。另外，运营商还必须对切片运营系统实现智能升级，以高质量服务来供应市场的长久发展。

2.2数据安全行业需求

推动中国5G数据安全数据资源的建立，在发展过程中逐步解决5G数据安全问题，并同时形成有利于发展中国5G数据安全数据管理的思路。由于用户和企业的差别，应分别从设备数据安全和业务数据安全进行思考。（1）设备数据安全通过允许合理合规的设备接入网络，限制不合格设备接入，从而保证5G网络设备通信传输的安全性，避免因网络攻击而导致数据泄露造成损失。（2）业务数据安全企业安全主要包括应用安全和企业数据安全两个部分。在5G业务数据处理流程中，需要弄清楚哪些是重要数据，并针对重要数据来实施针对性防护。按照数据访问、传输、数据保存、大数据分析等各个层面的安全提供了详尽的技术规定，同时也针对数据出境部分作了技术规定。