G安全架构白皮书.docx
《G安全架构白皮书.docx》由会员分享，可在线阅读，更多相关《G安全架构白皮书.docx（64页珍藏版）》请在冰点文库上搜索。
G安全架构白皮书
-،ҵ࣬ࣧ߄ߌЯ
2017·11
前言
1
5G安全挑战和需求
1.15G多样化商业需求
1
1.25G网络支撑广连接、高覆盖的物联网接入
1.35G引入IT新技术、新架构带来的安全挑战
2
业务和网络架构的变化驱动5G安全架构变革
2.15G安全新特性
2.2对4G安全特性的延续和增强
2.3面向业务构建可扩展、可编排的智能5G安全架构框架
5
3
华为积极推动5G安全标准化，共建5G安全生态
3.1端到端安全评估体系
14
总结
5G5G安全架构白皮书5G安全架构白皮书5G
5G安全挑战和需求
ITU-T定义的5G用例广泛的支持垂直行业（如交通、物流、自动驾驶、健康、制造业、能源行业、媒体及娱乐业）的数字化，
以及公共事业（智慧城市、公共安全和教育产业）的发展。
随着高带宽、低时延、多连接的5G网络逐渐普及，将会形成
一个普适性的网络平台，催化各行各业的技术与服务的发展。
移动网络业务范畴的扩展，丰富了电信网络的生态环境，也对移动网络的安全带来了新的需求和挑战。
1.15G多样化商业需求
5G不仅是下一代移动通信网络基础设施，而且是未来数字世界的使能者。
5G并不是一个单一的无线接入技术，也不是几
前言
个全新的无线接入技术，5G是一个真正意义上的融合网络，无缝支持各种新的网络部署。
我们已经看到了业界5G技术的初步实现。
它提供了许多功能，使
EnhancedMobileBroadband
其成为数字化世界的首选平台。
和4G一样，健全稳固的安全将是
5G网络的优势之一。
然而，仅仅用4G的安全特性来构造5G安全
Gigabytesinasecond
是远远不够的，因为5G的全方位业务不仅仅是基于4G的的扩展。
3DvideoandUHDscreens
除了增强的4G安全功能之外，5G还需要全新的安全功能和服务。
现代世界的潮流是数字化和全球化，网络安全是其关键特色之一。
提高网络安全水平意味着促进一个更安全、更繁荣的社会。
为了提
供更好的网络安全，需要使用所有必要的工具和手段，而5G技术
在其中承担了很大的责任。
将移动网络的强大的安全功能开放给垂
SmartHome/Building
Voice
SmartCity
FutureIMT
Workandplayinthecloud
Augmentedreality
Industryautomation
Mission-criticalapplications
Self-drivingcars
直行业，也有利于满足垂直行业的网络及业务的安全需求。
当然，
需要以受控的方式进行网络安全能力开放，这样才不会危及运营商，
MassiveMachineType
Communications
Ultra-ReliableandLow-Latency
Communications
确保运营商网络自身的运营能力。
我们将展示5G安全如何实现两个不同的目标。
第一个目标是保护
•eMBB聚焦对带宽有极高需求的业务，例如高清视频，虚拟现实/增强现实等，满足人们对于数字化生活的需求
5G平台本身。
第二个同样重要的目标，是提供方法和机制来保护那
•mMTC则覆盖对于联接密度要求较高的场景例如智能交通、智能电网、智能制造，满足人们对于数字化社会的需求
些建立在5G平台之上的服务。
•uRLLC聚焦对时延极其敏感的业务，例如自动驾驶/辅助驾驶、远程控制等，满足人们对于数字化工业的需求
61
5G5G安全架构白皮书5G安全架构白皮书5G
业务多样化需要差异化安全保护机制
1.25G网络支撑广连接、高覆盖的物联网接入
为了用一张物理网络满足不同的业务需求，网络在统一的底层物理设施基础上通过虚拟化技术生成相应的网络拓扑以及网
5G网络需要为物联网提供可靠的网络通信服务，海量的物联网设备传感器对连接管理提出了很高要求。
例如车联网系统
络功能，为每一个特定业务类型生成一个网络切片。
每一个网络切片在物理上是源自统一的网络基础设施，这样大大降低
中的车车通信、车人通信、车路通信和车网通信涉及上亿传感设备的连接，对于保障交通安全、提高城市交通运行效率、
了运营商运营多个不同业务类型的建网成本；而在逻辑上切片又是隔离的，逻辑的独立性满足了每一类业务功能定制、独
降低污染排放都具有重要意义。
大型城市的智能电表装机量过千万，每天从大量电表向电网数据中心上传大量的计量数据。
立运维的需求。
智能制造要求永久在线、广覆盖、大连接，为连续运转的机器、数量庞大的产品和工人提供随时随地、无处不在的连接，
不同的业务会有差异化的安全需求。
5G系统支持多种业务并行发展，以满足个人用户、行业客户的多样性需求。
从网络
保证生产各个环节任何位置间的物的连接。
架构来看，基于原生云化架构的端到端切片满足这样的多样性需求。
同样的，5G安全设计也需支持业务的多样性，满足
差异化安全需求。
SmartWearable
网络切片本身也需要安全机制，保证切片的安全运营，用户的正常接入。
SmartHome
SmartDevice
多元信任模型和可扩展的身份管理机制
3G和4G时代，主要业务是语音，短信和移动宽带，业务类型相对比较单一。
在传统移动通信网络中，网络对用户入网认
证，并作为管道承载用户与服务间的业务认证，用户与网络构成二元信任模型。
SmartBuildingSmartVehicle
5G时代，移动通信网络不仅仅服务于个人消费者，更重要的是将服务于垂直行业，衍生出丰富的业务。
5G时代不仅仅是
更快的移动网络或更强大的智能手机，而是链接世界的新型业务，如mMTC和URLLC。
在5G网络中，将融合传统二元
信任模型，构建多元信任模型。
网络和垂直行业可结合进行业务身份管理，使得业务运行更加高效，用户的个性化需求得
以满足。
SmartTransport
Єࢢк
SmartIndustry
4G网络身份管理的主要对象是移动宽带用户，采用以设备为单位的对称密钥管理体制，很好的满足了运营商的要求。
而
SmartEnergy
5G网络面临大量新增的IOT设备及其可穿戴设备，传统的用户管理机制在开户，认证等方面成本高昂，已经不能完全满
足5G用户管理的需求，因此需要进一步扩展的身份管理机制，根据业务特征及其新的安全威胁进行优化。
物联网设备数量庞大，无人值守，对网络安全管理和安全防御都带来新的挑战。
因此，5G网络需要为海量的物联网设备
安全能力开放
提供安全可靠、成本可控的网络接入模式。
业务开放带来安全挑战的同时，也给运营商安全业务带来了更广泛的机会。
作为5G连接基础设施平台的提供者和运营者，
电信运营商是业务提供商的最佳使能者，是行业客户可信任的商业伙伴。
垂直行业可以直接使用运营商开放的安全能力，降低了一些新型垂直行业的业务门槛和成本，并缩短上市时间。
通过安全
能力开放，运营商可以盘活网络资产和基础设施，开创新的利益增长点；可以打破管道化运营和封闭网络模式，以电信网
络为中心构建安全生态系统；提升差异化竞争力，并形成运营商、垂直行业、安全厂商、个人用户的生态链，合作共赢共
创商业价值。
统一安全管理
5G系统中存在不同的接入技术和终端，从安全管理的角度考虑，一个包含通用安全核心功能的统一安全框架能够更好的
覆盖5G网络的整体安全需求。
异构接入网络将是下一代接入网络的主要技术特征之一。
多制式、多接入、多站点的接入网络，需要协同5G、LTE、WiFi
共存的多制式接入，以及宏站、小站、微站的不同站点形态的并发连接。
安全管理需要具备灵活处理异构接入技术的安全能力。
23
5G5G安全架构白皮书5G安全架构白皮书5G
智能化的安全防御
5G是个开放的网络，海量物联网设备暴露在户外、硬件资源受限、无人值守，易受黑客攻击和控制，因此网络将会面临大
业务和网络架构的变化驱动5G安全架构变革
量的网络攻击。
如果采用现有的人工防御机制，不仅响应速度慢，还将导致防御成本急剧增加，所以需要考虑采用智能化
的手段防御海量物联网设备的安全威胁。
此外，网络攻击日趋自动化，0day攻击的可能性越来越大，5G中需要考虑被动
变主动的安全防御机制。
5G安全架构需进行以下变革，来支持5G拓展行业用户，应对5G海量物联网终端带来的安全挑战，在网络IT化环境中
提供端到端的安全保护和防御手段。
垂直行业的IoT设备，和传统终端相比存在数量众多的特点。
在5G中需考虑如何应对海量终端被劫持并对网络发起（D）
DoS攻击。
和单个终端发起DoS攻击相比，联合海量终端向单一网络节点发起（D）DoS攻击危害性更大。
例如目前
2.15G安全新特性
3GPP正在讨论引入公钥验证终端的永久标识，目的是增强隐私保护，但同时增加了网络节点的运算负荷，如果攻击者滥
2.1.1可扩展的身份管理机制
用这个功能，利用海量终端同时对网络发起验证请求，（D）DoS风险将急剧增加
5G需要多元化的身份管理机制和可扩展的身份管理框架，来应对垂直行业和海量物联网终端带来的的安全管理需求。
1.35G引入IT新技术、新架构带来的安全挑战
多元化的身份管理机制
为行业用户提供分层身份管理机制
为提高通信系统的灵活性、可扩展性和部署速度，5G网络将引入IT新技术、新架构，包括NFV/SDN以及服务化架构。
未来运营商可以对行业用户的大量IoT终端采用分层的身份管理方式，即运营商管理行业用户身份，而行业用户管理终端
IT新技术、新架构在使能网络功能的灵活性、可扩展性和快速部署的基础上，也给5G安全带来了新的挑战。
用户身份，行业用户与运营商协作共担用户管理责任。
这样，对于同一个行业用户的海量终端，网络的认证和授权都可以
系统级的安全保护和访问授权机制
关联到同一个行业用户，从而方便的进行计费管理。
行业用户可以在运营商许可的范围内，灵活的增加、减少终端，满足
自身行业拓展的需要。
5G网络中NFV虚拟化技术的应用，可进一步简化网络功能的部署和更新，使得部分功能网元以虚拟功能的形式部署在云
化的基础设施上。
5G需要考虑基础设施的安全机制，从而保障5G业务在虚拟化环境下能够安全运行；同时定义更好的安
全隔离手段，增强虚拟功能网元之间的安全管理。
基于虚拟网络的切片也需要安全机制，保证切片的安全运营，用户的正
常接入。
5G服务化架构将网络功能进行解耦，并定义通用的服务化接口，支持各网络独立扩容、独立演进、按需部署，支持在被授
为个人用户提供以用户为单位的身份管理机制
未来个人用户可能同时拥有多个IoT设备，允许用户对自身的多个设备（如可穿戴设备）在一定范围内进行灵活的管理，
包括设备的入网和服务属性等，如允许流量以在线和离线的方式在用户的不同设备之间共享。
同一个用户的不同设备所使
用的身份应该是相互关联的，他们的认证和授权也可以通过这个用户的身份标识进行关联，统一管理。
权的情况下灵活调用各服务化网络功能。
因此5G需从整体安全架构的角度考虑网络功能发现、授权和调用的安全。
ਸ਼Ў࣐ڀӢقાѠॡࣂЖъי੦הાѠॡࣂ
全新的端到端安全评估
考虑到运营商网络的系统开放性和设备的多样性需，在软硬件解耦、虚拟化的环境中部署网络功能，要进行谨慎的安全评估。
ऄԃ੧Џऄԃ੧Џऀۯ
ऄԃ੧Џऀۯ
ȜȜ
Ȝ
Ӳଭ੧Џऄԃ੧ЏऀۯT
虽然4G也提出了端到端安全评估的概念，但是4G安全评估标准不适用虚拟化网络功能设施，以及系统级的评估。
因此，
5G安全需要全新的端到端安全评估机制，来保障引入IT新技术后5G网络的安全部署。
ਗ
ાѠॡࣂЗڵ
ࣔԂਸ਼Ўې࣐
ાѠॡࣂЗڵ
ઋЗ-ऀך߄ܨرۯЗ/U:
ગו
ךҫԗङ）XKJKTZOGRךҫԗङ૯ѡࣲךҫԗङઍચڔސ
45
5G5G安全架构白皮书5G安全架构白皮书5G
基于（U）SIM的可扩展身份管理框架安全功能的快速部署和调用
面向传统eMBB设备，基于对称钥的身份管理机制将得以延续
基于服务化架构，可以将网络具体安全功能或者能力进行独立的服务化定义，使得其他功能在授权的基础上，可以调用此
5G中eMBB业务的主要服务对象仍然是移动宽带用户，4G中采用的基于对称钥的身份管理方式可以满足这种业务需求。
安全功能或能力。
这里安全功能或能力可以包括用户身份管理、认证鉴权，密钥管理及安全上下文的管理等等。
安全功能
对称钥身份也可以帮助运营商管理设备，以及进行其他类型的身份信任状的发放。
因此，即使5G需要多元化的身份信任
的服务化定义增强了安全功能的精细灵活化管理，支持灵活调用，同时支持对调用安全功能的授权。
状和身份管理，基于（U）SIM卡以及对称钥的身份管理方式在5G时代将得以延续并将发挥重要作用。
5G业务安全需求的多样性也使得安全配置和管理变得复杂，如果还依靠人工来配置、管理和响应，会导致低效率和高成本。
面向海量物联网设备，需要支持基于非对称钥的身份管理机制
所以，在网络功能自动化管理的基础上，也需要安全能力管理自动化，包括安全功能的部署、编排、配置、调用等。
物联网是5G网络最重要的场景，包括mMTC和uRLLC。
基于对称密钥的身份管理方式,存在认证链条长，身份管理成
本高等问题，不利于运营商网络与垂直行业的融合，也不利于对海量物联网设备时有效支持。
因此，面对5G物联网海量
安全能力开放
作为普适性的全连接网络，5G将比上一代网络更加开放，而网络能力开放需要相应安全保障。
更进一步，可以将安全能力
设备，我们需要引入基于非对称钥的身份管理机制，让运营商能够灵活高效的管理行业用户的IoT终端和可穿戴设备，缩
同网络能力一样开放给垂直行业使用。
短认证链条，提高海量设备网络接入认证效率。
安全能力开放要求5G网络内的安全功能以模块化的方式部署，并能够通过相应接口方便调用。
通过组合不同的安全功能，
对称钥和非对称钥的身份管理功能在网络侧可能会根据不同的业务切片进行部署，但运营商需要建立统一的身份管理体系。
可以快速提供安全能力以满足多种业务的端到端安全需求。
通过安全能力开放，垂直行业可以直接安全地部署业务，从而
2.1.2安全功能的灵活调用和编排
降低了业务门槛并缩短部署时间。
运营商则可以充分利用网络安全基础设施，丰富业务体验，与垂直行业一起共同创造和
分享价值。
这里安全功能或能力可以包括用户身份管理、认证鉴权，密钥管理及安全上下文的管理等等。
如果5G网络具备保证各项业务安全的安全机制，并将其分解为模块化的、可调用的、可组合的安全能力，则在创建新业
务时可以通过部署编排相应的安全能力，构建满足该业务安全需求的安全机制和防护措施。
2.1.3敏捷高效的分布式安全部署
在网络安全能力模块化的、可调用的、可组合的基础之上，垂直行业也可以灵活的调用所需的安全功能，满足特殊的安全需求。
海量物联网设备对5G安全带来了新的威胁和挑战，包括大规模的网络攻击行为，海量设备认证信令风暴等。
为了应对上
述安全威胁和挑战，5G安全架构需考虑支持分布式安全机制，，即根据防御、安全管理等需求部署分布式安全功能。
分布
式安全功能包括分布式认证和分布式防御。
分布式认证机制
作为5G重要业务场景，海量物联网设备同时接入认证将会对网络的数据处理提出更高的要求。
而传统集中式的认证机制中，
每次设备的认证都需要调用核心身份管理节点，从而造成针对此节点的信令冲击。
因此，5G安全架构需要分布式的认证
机制，应对海量设备的认证需求。
分布式认证机制具体体现在，对于设备的认证可以通过多个分布式的认证节点并行执行，
从而减少对于核心身份管理节点的访问，支撑海量设备的高效认证。
分布式认证节点的部署可以根据海量物联网设备的分
布情况进行灵活化的部署，降低网络的认证成本和复杂度。
分布式认证机制可以采用基于证书的安全机制，也可以采用基
于身份的安全机制。
分布式安全防御
分布式安全防御技术的理念是通过在网络边缘节点部署安全防御能力，从更靠近源头的地方扼制攻击行为，实现更敏捷的
安全防御。
具体体现在，为满足海量物联网设备的接入防御机制，5G安全可将安全防御能力部署在更靠近IoT设备的接入点，
如RAN或者EdgeDC。
防御能力包括DDoS防御机制，分布式杀毒防御技术等。
此方式可及时的应对设备的攻击行为，
降低海量设备的接入攻击威胁。
67
5G5G安全架构白皮书5G安全架构白皮书5G
ӣ٢ڔઍચ
ӣ٢ڔஅ㒤அࢮӣ٢ڔୂ০
终端访问切片控制
端到端切片的主要目的之一是支持多样化的商业模式、满足不同行业、不同应用的需求。
由于切片以及终端的多样性，终
端访问切片的控制方式也将是多种多样的，保证用户设备能适时接入切片，同时得到应有的访问安全防护，防止受到外界
的攻击。
切片管理面安全
切片管理面安全主要是保护切片在整个生命周期的安全。
切片的生命周期包括四个阶段：
准备、配置与激活、运行、撤销。
在切片生命周期每个阶段都存在安全风险。
比如，攻击者可以通过恶意软件攻陷切片模板，从而威胁到其生成的所有网络
RANCentralOfficeDC
（EdgeDC）
SwitchLocalDC
（FrontEnd）
RegionalDC
（BackEnd）
Application
Server
切片实例；攻击者也可以通过配置接口在配置或运行阶段攻击切片；切片在撤销阶段，如果不恰当处理，攻击者可以获得
机密数据。
因此，管理面的安全对整个切片网络至关重要。
ӣ٢ڔஅ㒤
**U9அ㒤ͫ㬣ࡀͫஅށ۽ঈ
在面向垂直行业的切片中，一些垂直行业有自行管理切片及切片安全能力的诉求。
切片网络需要具备为不同切片提供不同
安全特性的能力并对管理接口提供有效的安全保护。
2.1.4切片安全机制
网络切片是5G及未来通信网络中的一项重要使能技术，其面向业务配置网络的特性可以有效地助力垂直行业进行数字化
转型。
切片安全同样是可配置、可裁剪的。
切片安全本身可以为网络提供快速、差异化的、可裁剪的安全功能、性能、安
全保护机制，从而用一套网络设施满足千差万别的应用、行业的需求，使能垂直行业快速推出安全新业务、使能客户简化
安全运维、降低运营成本。
2.1.5主动智能的联动安全防御机制
5G网络的复杂性和开放性、海量物联网设备的接入、行业用户安全需求的多样性使得安全管理的复杂度和工作量大增。
依
赖人工进行安全管理可能会导致响应慢、成本高等问题。
因此，我们建议5G网络需要考虑引入基于智能化的主动防御技术，
结合IT网络防御机制，形成一个基于统一情报威胁分析的，支持ICT联动的网络智能防御系统。
切片网络中的基础设施是共享的，除了共享带来的巨大优越性以外，同时带来一些潜在安全风险，网络切片是一个打通了
各个子域的一组网络功能，资源，及连接关系构成的有机整体。
各个子域都会有各自的安全风险及防护需要考量，如切片
的终端部分安全、接入网安全、核心网切片安全和承载传输网切片安全等。
端到端切片安全更重要的也应该是横向整体的
考虑。
切片安全的差异化机制
智能的异常检测、综合的威胁分析
5G网络的复杂性和开放性使得安全威胁的种类大大增加，引入人工智能来检测未知攻击、复杂攻击的需求更为强烈。
在网
络的软件化、虚拟化背景下，复杂攻击的检测溯源需要使用机器学习的方法将虚拟机异常监控、恶意代码检测与核心网流
量异常检测结合起来。
智能的检测、综合的分析系统、代码、流量的异常。
ICT安全情报协同
为了快速应对安全威胁，运营商之间、运营商与厂商之间、运营商与行业用户之间需要联动，实时交换安全情报，实现安
不同终端的安全功能、性能、安全保护的需求在不同的应用场景可以是完全不同的。
例如，用于视频播放的eMBB终端，
全协同的自动化、智能化。
例如，在运营商网络检测到异常终端时，可以将终端异常状态及时通知行业用户，行业用户来
对终端认证、加解密的安全需求同LTE类似；而传感器式的终端，由于计算能力有限、安全需求不高及成本敏感，需要有
打补丁或清除恶意代码；运营商和行业用户之间通过人工智能直接交换异常信息，联合分析异常，定位攻击，可以提高效率，
轻量级的认证、加解密算法；对于可靠安全通信，终端则需要快速接入认证、强加密算法的支持。
因此，切片安全首先需
减少人工介入操作带来的响应时延。
要提供不同终端的安全差异化保护。
建立自动化防御
切片的安全隔离
网络的各层各域将会部署漏洞扫描、安全加固、防火墙、恶意代码检测、流量异常检测等多种安全功能。
多种安全功能之
切片的特征是切片和切片之间在逻辑功能上是分离的，但在物理资源上是共享的。
因而切片安全的首要问题是如何做到网
间的协同会变得异常复杂，人工智能的引入可以大大提高效率，提高从安全监控，到安全检测分析、攻击阻止、攻击隔离、
络切片之间的安全隔离。
如果没有隔离，拥有某个切片访问权限的攻击者，可以以此切片为跳板，攻击其他的目标切片。
比如，攻击者可以利用其合法接入的某个切片来非法占用目标切片的资源，导致目标切片不能正常对其合法用户提供服务。
攻击预防等各环节的自动化程度，实现敏捷的安全管理。
另外，在一个终端同时接入不同切片的场景，没有切片的隔离可能导致数据机密
升级会员 