基于5G SA+MEC企業(yè)園區(qū)組網(wǎng)的安全方案

胡兆 張建敏 馮曉麗

(1.中國電信股份有限公司研究院，北京 102209；2.中國電信集團(tuán)有限公司，北京 100033)

0 引言

隨著我國工業(yè)互聯(lián)網(wǎng)的快速發(fā)展，以及制造、冶金、礦山等行業(yè)的數(shù)字化轉(zhuǎn)型升級驅(qū)動，企業(yè)對時延、算力、安全的要求正在不斷提高。在時延方面，工業(yè)自動化控制中運動控制通常要求時延在1 ms級別，過程控制要求時延在10～100 ms級別[1]。在算力方面，需要系統(tǒng)支持大量工業(yè)終端的高并發(fā)和對結(jié)構(gòu)化、非結(jié)構(gòu)化數(shù)據(jù)的本地處理。在安全方面，企業(yè)需要降低內(nèi)部數(shù)據(jù)的泄露風(fēng)險，需要應(yīng)用具備較高的可用性，支持故障時的快速切換和恢復(fù)。

多接入邊緣計算(Multi-Access Edge Computing，MEC)通過將計算存儲能力與業(yè)務(wù)服務(wù)能力向網(wǎng)絡(luò)邊緣遷移，使得應(yīng)用、服務(wù)和內(nèi)容可以實現(xiàn)本地化、近距離、分布式部署[2]。而5G MEC同時具備低時延、大帶寬、高算力、數(shù)據(jù)本地處理等特征，可以準(zhǔn)確匹配行業(yè)客戶業(yè)務(wù)需求，比較典型的應(yīng)用場景包括：AGV搬運、AR維修等室內(nèi)大范圍移動場景，以及遠(yuǎn)程駕駛、無人機巡檢等室外光纖難覆蓋場景。同時，MEC還支持異構(gòu)工業(yè)終端的多種網(wǎng)絡(luò)接入，面向固定或室內(nèi)小范圍移動場景，兼容企業(yè)的已有固網(wǎng)、Wi-Fi接入設(shè)備，可以降低改造成本和對現(xiàn)有業(yè)務(wù)的影響。

得益于上述優(yōu)勢，目前5G MEC在垂直行業(yè)中的應(yīng)用不斷深入，正逐漸融入制造、礦山、電力、交通、警務(wù)等關(guān)系基礎(chǔ)設(shè)施和國計民生的重要領(lǐng)域。此類應(yīng)用對準(zhǔn)確度、可靠性要求較高，因網(wǎng)絡(luò)攻擊導(dǎo)致的網(wǎng)絡(luò)擁塞、計算資源宕機、應(yīng)用軟件不可用、數(shù)據(jù)篡改都極易引發(fā)嚴(yán)重事故。所以，做好安全防護(hù)，規(guī)避和減少5G SA+MEC組網(wǎng)下的安全風(fēng)險，已經(jīng)是業(yè)界普遍關(guān)注的重點問題。

1 5G SA+MEC企業(yè)園區(qū)組網(wǎng)的安全分析

常見的企業(yè)園區(qū)5G SA+MEC組網(wǎng)如圖1所示，由運營商在企業(yè)園區(qū)內(nèi)部署下沉的用戶面功能(User Plane Function，UPF)網(wǎng)元和MEC平臺，當(dāng)要求嚴(yán)格的數(shù)據(jù)不出園區(qū)時，還會下沉部署承載網(wǎng)接入層設(shè)備。運營商側(cè)5G核心網(wǎng)只負(fù)責(zé)與園區(qū)的終端、UPF網(wǎng)元進(jìn)行5G的控制信令交互。各類終端從5G宏站、室分接入，經(jīng)承載網(wǎng)傳輸至園區(qū)下沉UPF網(wǎng)元，本地業(yè)務(wù)流量由園區(qū)UPF網(wǎng)元以數(shù)據(jù)網(wǎng)絡(luò)標(biāo)識(Data Network Name，DNN)或上行分類器(Uplink Classifier，ULCL)等模式分流至MEC平臺，通過MEC平臺提供的高算力實現(xiàn)數(shù)據(jù)在企業(yè)園區(qū)的就近處理。MEC支持客戶自主管理，可以與企業(yè)內(nèi)網(wǎng)按需打通，實現(xiàn)與內(nèi)網(wǎng)各業(yè)務(wù)平臺的協(xié)同。

圖1 常見企業(yè)園區(qū)的5G SA+MEC組網(wǎng)架構(gòu)

在上述常見的5G SA+MEC組網(wǎng)下，整個業(yè)務(wù)流程主要面臨的安全風(fēng)險可歸納為如下5類。

一是接入風(fēng)險，主要包括終端和接入網(wǎng)面臨的安全風(fēng)險，例如：基站被物理破壞、入侵；偽基站對用戶進(jìn)行欺詐；非法用戶憑證和非授權(quán)終端接入；終端非法濫用(如離開園區(qū)、攻擊等異常行為)；空口數(shù)據(jù)/信令被竊取/篡改；大量惡意連接造成基站不可用等。

二是傳輸風(fēng)險，主要包括數(shù)據(jù)傳輸過程中面臨的安全風(fēng)險，例如：接入層設(shè)備故障或被物理破壞；數(shù)據(jù)傳輸過程中被竊聽、篡改；傳輸鏈路被物理破壞或不可靠；UPF等轉(zhuǎn)發(fā)網(wǎng)元的故障；不同用戶/業(yè)務(wù)共用傳輸鏈路，缺乏保密性和可用性保障等。

三是MEC平臺風(fēng)險，主要包括MEC節(jié)點從物理層至應(yīng)用層遭遇的安全威脅以及不規(guī)范的運維操作導(dǎo)致的安全風(fēng)險，例如：對主機的物理破壞、非法插線接入；不安全組網(wǎng)導(dǎo)致MEC、UPF甚至5G核心網(wǎng)被攻擊；物理機、網(wǎng)絡(luò)功能虛擬化基礎(chǔ)設(shè)施(Network Function Virtualization Infrastructure，NFVI)等被黑客登錄；操作系統(tǒng)的漏洞；宿主機/虛機的漏洞、容器/虛機鏡像的篡改、容器逃逸；平臺非授權(quán)登錄、通過應(yīng)用程序接口(Application Programming Interface，API)竊取通信數(shù)據(jù)、非法調(diào)用API；應(yīng)用程序(Application Program，APP)的非法創(chuàng)建刪除修改、植入惡意APP進(jìn)行東西向攻擊；后臺刪改日志、數(shù)據(jù)，無備份情況下升級等不規(guī)范的運維操作等。

四是數(shù)據(jù)風(fēng)險，主要包括客戶、應(yīng)用數(shù)據(jù)面臨的風(fēng)險，例如：數(shù)據(jù)的損毀、篡改、竊??；對敏感數(shù)據(jù)的非授權(quán)導(dǎo)出、創(chuàng)建、刪除等。

五是管理風(fēng)險，網(wǎng)絡(luò)與信息安全是由技術(shù)、人員、管理三者共同構(gòu)成的，缺乏規(guī)范的管理制度、操作規(guī)范和安全意識，精心設(shè)計的網(wǎng)絡(luò)安全防御體系也會形同虛設(shè)。

2 基于5G SA+MEC企業(yè)園區(qū)組網(wǎng)的安全防護(hù)方案

基于業(yè)界共識和主流技術(shù)，目前針對前述5類安全風(fēng)險一般可從以下幾方面加強安全防護(hù)。

2.1 接入安全

接入安全是指圍繞終端安全接入5G網(wǎng)絡(luò)，而在終端、基站側(cè)涉及的一系列包括認(rèn)證、鑒權(quán)、加密、限制、保護(hù)等在內(nèi)的安全手段，具體包括以下幾方面。

(1)物理環(huán)境安全：即對基站設(shè)備所處的機房采用門禁、監(jiān)控、入侵告警、設(shè)備維護(hù)記錄、機房準(zhǔn)入管理，對設(shè)備實施網(wǎng)絡(luò)接入管理、關(guān)閉物理端口等保護(hù)方式。

(2)用戶憑證保護(hù)：即對5G 用戶永久標(biāo)識符(Subscription Permanent Identifier，SUPI)加密以防范偽基站攻擊；將用戶憑證的長期會話密鑰(K值)在終端加密存儲并通過HTTPS/SFTP安全協(xié)議傳輸；SUPI保護(hù)方案存儲在通用集成電路卡(Universal Integrated Circuit Card，UICC)中并限制嘗試訪問次數(shù)等。

圖2 常見承載網(wǎng)傳輸安全保障方案

(3)接入二次認(rèn)證：即終端應(yīng)支持3GPP主認(rèn)證(5G-AKA 認(rèn)證機制等)并在特定場景下支持主認(rèn)證之外的二次AAA認(rèn)證。

(4)非法訪問限制：即基于SUPI、小區(qū)全球識別碼(Cell Global Identifier，CGI)、跟蹤區(qū)標(biāo)識(Tracing Area Identity，TAI)等用戶和位置標(biāo)識、流量限制、機卡綁定、IMEI黑名單多種手段對異常終端限制接入。

(5)信令和數(shù)據(jù)加密：即用戶面數(shù)據(jù)和控制面信令采用NEA0、128NEA1/2/3、128NIA1/2/3 等3GPP算法加密。

(6)基站抗重放及可用性保護(hù)：即基站具備對重放RRC信令和用戶面數(shù)據(jù)識別丟棄能力，通過網(wǎng)管監(jiān)控5G基站關(guān)鍵指標(biāo)，如無線資源控制(Radio Resource Control，RRC)連接成功率/阻塞率、掉話率等，基站設(shè)備啟用控制訪問。

2.2 傳輸安全

傳輸安全主要指業(yè)務(wù)數(shù)據(jù)、控制信令在基站、MEC、5G核心網(wǎng)之間經(jīng)承載網(wǎng)傳輸過程中涉及的安全，主要圍繞加密傳輸及提高傳輸鏈路的可靠性和可用性，主要包括以下幾方面(見圖2)。

(1)高可靠組網(wǎng)：即對承載網(wǎng)接入層設(shè)備采用環(huán)狀組網(wǎng)、對匯聚層設(shè)備采用成對組網(wǎng)部署。

(2)傳輸通道加密：即對N2/N3/X2接口部署互聯(lián)網(wǎng)安全協(xié)議(Internet Protocol Security，IPsec)實現(xiàn)加密傳輸；在接入層和匯聚層設(shè)備間基于端到端偽線仿真(Pseudo Wire Emulation Edge-to-Edge，PWE3)技術(shù)建立虛鏈路(Pseudo Wire，PW)，數(shù)據(jù)通過點到點的二層虛擬專用網(wǎng)(Virtual Private Network，VPN)隧道承載。

(3)承載鏈路主備：即接入層與匯聚層設(shè)備間的PW主備；匯聚層設(shè)備提供雙網(wǎng)關(guān)保護(hù)。

(4)UPF+MEC主備容災(zāi)：即通過下沉UPF+MEC間、下沉與大網(wǎng)UPF+MEC間的主備/負(fù)荷分擔(dān)等模式提高傳輸容災(zāi)可靠性，參見圖3。

(5)端到端切片隔離：無線網(wǎng)切片主要是指無線網(wǎng)會根據(jù)報文上已配置的保證/非保證比特速率(Guaranteed Bit Rate/Non- Guaranteed Bit Rate，GBR/Non-GBR)、5G QoS 指示符(5G QoS Identifier，5QI)等服務(wù)質(zhì)量(Quality of Service，QoS)參數(shù)，為特定業(yè)務(wù)、用戶群體甚至單個用戶提供專用、高優(yōu)先級的無線網(wǎng)絡(luò)資源，具體包括為GBR業(yè)務(wù)提供最低帶寬保障且不允許其他業(yè)務(wù)搶占，不同5QI對應(yīng)差異化的轉(zhuǎn)發(fā)優(yōu)先級、丟包率、時延等。

承載網(wǎng)切片可分為硬、軟兩種不同實現(xiàn)方式，兩者可疊加使用。硬切片主要指在公眾業(yè)務(wù)和企業(yè)業(yè)務(wù)之間，以及不同需求的企業(yè)業(yè)務(wù)之間(例如視頻監(jiān)控和應(yīng)急救援)，通過配置不同的中間系統(tǒng)到中間系統(tǒng)(Intermediate System-to-Intermediate System，IS-IS)協(xié)議和開放式最短路徑優(yōu)先(Open Shortest Path First，OSPF)協(xié)議進(jìn)程、專用的虛擬局域網(wǎng)標(biāo)識(Virtual Local Area Network Identificator，VLAN ID)等方式實現(xiàn)網(wǎng)絡(luò)完全隔離。軟切片主要依靠差分服務(wù)代碼點(Differentiated Services Code Point，DSCP)以及專用VPN實現(xiàn)。其中，DSCP是IP報文頭部用于標(biāo)識優(yōu)先級的字段，5G基站會按照預(yù)置規(guī)則將5QI參數(shù)映射為對應(yīng)的DSCP標(biāo)識，具體參見表1。

承載網(wǎng)設(shè)備(STN-A、STN-B)以及5G 核心網(wǎng)UPF會根據(jù)DSCP標(biāo)識進(jìn)行優(yōu)先轉(zhuǎn)發(fā)并提供QoS保障，轉(zhuǎn)發(fā)過程中依據(jù)特定的路由目標(biāo)(Route Target，RT)值將報文導(dǎo)入到對應(yīng)的VPN中。

核心網(wǎng)切片主要是指，核心網(wǎng)側(cè)為特定的某類或單個業(yè)務(wù)提供獨立的UPF+MEC或獨立的輕量級5G核心網(wǎng)，實現(xiàn)業(yè)務(wù)享有獨立的數(shù)據(jù)面、控制面。

(6)毫秒級故障檢測：即在接入層與匯聚層設(shè)備間部署雙向轉(zhuǎn)發(fā)檢測(Bidirectional Forwarding Detection，BFD)機制，快速檢測鏈路故障；B設(shè)備與UPF間部署B(yǎng)FD保護(hù)外部邊界網(wǎng)關(guān)協(xié)議(External Border Gateway Protocol，eBGP)路由或靜態(tài)路由。

當(dāng)未部署B(yǎng)FD時，常見的OSPF、IS-IS等路由協(xié)議的Hello報文發(fā)送間隔默認(rèn)為10 s，邊界網(wǎng)關(guān)協(xié)議(Border Gateway Protocol，BGP)的Keepalive報文發(fā)送

圖3 UPF+MEC主備容災(zāi)方案

表1 不同類型業(yè)務(wù)5QI與DSCP的映射

2.3 MEC平臺安全

MEC平臺安全主要指邊緣MEC節(jié)點涉及的安全，重點從MEC自身安全、MEC承載的應(yīng)用、與外部系統(tǒng)互聯(lián)等方面出發(fā)，提供從物理層至應(yīng)用層自底而上的全方位安全防護(hù)，具體如圖4、圖5所示。

2.3.1 物理環(huán)境安全

物理環(huán)境安全即確保MEC節(jié)點所在機房具備防拆、防盜、防斷電、防火、防水、電磁防護(hù)、人員進(jìn)出等物理安全防護(hù)能力。

2.3.2 組網(wǎng)安全

將MEC平臺流量劃分為管理、存儲、業(yè)務(wù)3個平面，不同平面獨占網(wǎng)口，物理隔離；通過部署防火墻實現(xiàn)MEC平臺與UPF間、MEC平臺與客戶內(nèi)網(wǎng)安全隔離；交換機配置虛擬局域網(wǎng)(Virtual Local Area Network，VLAN)隔離、防火墻配置訪問控制、資源池與其他系統(tǒng)不共用物理資源；UPF側(cè)配置白名單，針對N4、N6、N9配置虛擬路由轉(zhuǎn)發(fā)(Virtual Routing Forwarding，VRF)隔離，與會話管理功能(Session Management Function，SMF)的N4接口設(shè)置訪問控制。

2.3.3 基礎(chǔ)設(shè)施安全

基礎(chǔ)設(shè)施安全即對底層硬件、NFVI等基礎(chǔ)設(shè)施配置認(rèn)證/鑒權(quán)和訪問控制，包括：復(fù)雜口令、登錄失敗次數(shù)限制、支持賬號主動退出、管理賬號權(quán)限最小化等；關(guān)閉不必要的服務(wù)/端口，進(jìn)行安全基線配置和加固，對接集中安全平臺進(jìn)行安全審計；確保UPF具備防地址欺騙、異常報文丟棄、訪問控制列表(Access Control Lists，ACL)過濾、告警和IPsec隧道等能力；確保MEC平臺具備資源管理機制，限定單個用戶、進(jìn)程對資源使用的最大限度，并在單個虛機崩潰后不會影響虛擬機監(jiān)視器和其他虛機。

圖4 典型的MEC企業(yè)園區(qū)機房組網(wǎng)拓?fù)鋱D

圖5 MEC平臺虛擬化層以上安全架構(gòu)示意圖

2.3.4 虛擬化安全

虛擬化安全即對宿主機、虛機、虛擬化等不同層面進(jìn)行安全加固；開啟鏡像完整性校驗，使用HTTPS等安全傳輸通道進(jìn)行鏡像上傳；虛擬機監(jiān)視器設(shè)置對虛機操作和使用資源權(quán)限的限制，同一物理機上不同虛機隔離并監(jiān)控資源使用情況；MEC平臺在部署階段對鏡像倉庫進(jìn)行安全監(jiān)管、對上傳的容器鏡像進(jìn)行漏洞掃描，在運行時確保容器實例與宿主機內(nèi)核隔離。

2.3.5 平臺安全

在MEC平臺上開啟訪問的認(rèn)證和授權(quán)機制，防止非法訪問篡改；確保MEC平臺對外接口支持通信雙方雙向認(rèn)證；MEC平臺與APP之間通信進(jìn)行加密；API接口采用安全的通信協(xié)議和通道，如安全傳輸層協(xié)議(Transport Layer Security，TLS)，不使用Telnet、FTP、SSHv1等不安全協(xié)議；對接入到MEC節(jié)點的終端進(jìn)行身份識別。

2.3.6 應(yīng)用安全

確保MEC平臺可對應(yīng)用全生命周期管理和監(jiān)控，防止應(yīng)用的非法創(chuàng)建、修改及刪除；同時基于Kubernetes (K8S) 內(nèi)部網(wǎng)絡(luò)、虛擬防火墻等手段實現(xiàn)應(yīng)用間隔離；確保MEC平臺對APP資源使用情況進(jìn)行實時監(jiān)控和限制管理；對應(yīng)用進(jìn)行漏洞掃描和加固，對鏡像進(jìn)行病毒查殺。

2.3.7 運維管理安全

運維管理安全即通過統(tǒng)一自服務(wù)門戶對宿主機、虛機、虛擬化管理、MEC平臺、APP進(jìn)行運維管理，提供性能告警并留存系統(tǒng)日志，并按需對接集中告警監(jiān)控平臺。

2.4 數(shù)據(jù)安全

近年來，企業(yè)數(shù)據(jù)泄露、篡改等問題頻發(fā)，數(shù)據(jù)安全問題愈發(fā)凸顯。我國在《中華人民共和國數(shù)據(jù)安全法》中明確建立了數(shù)據(jù)分類分級保護(hù)制度，根據(jù)數(shù)據(jù)的重要程度及一旦遭到篡改、破壞、泄露或者非法獲取、非法利用造成的危害程度，對數(shù)據(jù)實行分類分級保護(hù)。因此，數(shù)據(jù)安全主要應(yīng)防止數(shù)據(jù)被篡改、破壞和泄露，一般可通過以下手段對數(shù)據(jù)提供保護(hù)。

2.4.1 數(shù)據(jù)備份恢復(fù)

采用基于軟件定義存儲(Software Defined Storage，SDS)技術(shù)的多副本分布式存儲方案如圖6所示，數(shù)據(jù)依據(jù)算法自動均衡地分布在不同的存儲節(jié)點，支持節(jié)點的快速添加和刪除橫向擴展，支持節(jié)點故障或損壞后數(shù)據(jù)自動重建自愈合，避免數(shù)據(jù)受到破壞。

2.4.2 數(shù)據(jù)本地處理

通過UPF+MEC下沉部署，實現(xiàn)數(shù)據(jù)采集、處理、存儲等全生命周期本地化，規(guī)避數(shù)據(jù)泄露至企業(yè)園區(qū)外部。

圖6 多副本分布式存儲方案(以三副本為例)

2.4.3 數(shù)據(jù)安全審計

按需部署審計設(shè)備或?qū)蛹邪踩珜徲嬈脚_對數(shù)據(jù)導(dǎo)出、變更、系統(tǒng)日志進(jìn)行審計，避免數(shù)據(jù)被非法篡改、獲取。

2.5 運維管理安全

即便再先進(jìn)的安全技術(shù)和完善的防護(hù)方案，也需要安全管理人員的執(zhí)行，因此除了前述四部分安全外，MEC所有者還需要建立規(guī)范的安全管理制度、設(shè)置安全管理機構(gòu)、配置專兼職安全管理人員、進(jìn)行安全意識及技能培訓(xùn)、制定系統(tǒng)建設(shè)和運行維護(hù)過程中應(yīng)遵循的相應(yīng)制度和規(guī)范等。

3 典型案例

如在進(jìn)行某大型石化企業(yè)的5G MEC項目建設(shè)時，考慮到石化原料通常具有易燃易爆有毒等危險特征，一旦企業(yè)因遭受網(wǎng)絡(luò)攻擊、數(shù)據(jù)篡改發(fā)生業(yè)務(wù)中斷時，極易引發(fā)嚴(yán)重的生產(chǎn)事故導(dǎo)致人員傷亡，因此應(yīng)提高其網(wǎng)絡(luò)安全保障的需求級別。依據(jù)此類項目的客戶需求，應(yīng)以至少滿足等保2級為目標(biāo)為企業(yè)提供網(wǎng)絡(luò)與信息安全保障，具體的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)如圖7所示。

整體物理安全由企業(yè)園區(qū)機房提供不低于等保2級要求的門禁、機房準(zhǔn)入、防火防水防靜電等措施，在此不再贅述。

在接入安全方面，除要提供5G SA網(wǎng)絡(luò)標(biāo)準(zhǔn)的認(rèn)證、鑒權(quán)、加密算法、基站安全防護(hù)外，還要通過限制特定DNN、只允許用戶在特定位置和基站接入等方式實現(xiàn)網(wǎng)絡(luò)的安全接入和終端訪問控制。

在傳輸安全方面，承載網(wǎng)接入層設(shè)備(STN-A)和網(wǎng)關(guān)設(shè)備在企業(yè)園區(qū)內(nèi)成對部署，各傳輸鏈路呈雙星型或口字型冗余互聯(lián)，數(shù)據(jù)傳輸過程中采用IPsec加密。

在MEC平臺安全方面：一是組網(wǎng)安全，將MEC平臺流量三平面隔離，在MEC平臺、邊緣UPF和企業(yè)內(nèi)網(wǎng)間部署防火墻，并在防火墻、交換機上配置VLAN、ACL控制訪問策略，同時UPF N4、N6、N9等接口配置獨立的VRF隔離和訪問控制；二是基礎(chǔ)設(shè)施安全，對網(wǎng)絡(luò)設(shè)備、服務(wù)器、NFVI等配置復(fù)雜口令認(rèn)證和訪問控制，關(guān)閉不必要的服務(wù)/端口，部署安管一體機，實現(xiàn)基礎(chǔ)設(shè)施的漏洞掃描、安全基線配置和安全審計，UPF提供防地址欺騙、異常報文丟棄等安全能力，MEC平臺提供資源管理機制；三是虛擬化安全、平臺安全和應(yīng)用安全，這三部分安全能力主要由MEC平臺提供，通過部署和運用鏡像安全掃描、容器安全檢測、TLS加密協(xié)議、用戶登錄鑒權(quán)、虛擬私有云(Virtual Private Cloud，VPC)隔離等技術(shù)實現(xiàn)。最后，企業(yè)可通過MEC平臺自助服務(wù)門戶統(tǒng)一對宿主機、虛機、MEC平臺等不同層面進(jìn)行啟動、關(guān)閉、查看告警、業(yè)務(wù)恢復(fù)等操作，實現(xiàn)運維管理安全。

在數(shù)據(jù)安全方面：一是采用三副本分布式存儲和存儲計算分離的架構(gòu)提供數(shù)據(jù)恢復(fù)和可靠保障；二是通過安管一體機實現(xiàn)日志安全審計；三是通過下沉專用的承載網(wǎng)接入設(shè)備和獨享型MEC實現(xiàn)數(shù)據(jù)不出園區(qū)，避免數(shù)據(jù)泄露風(fēng)險。

圖7 5G SA+MEC企業(yè)園區(qū)組網(wǎng)安全典型案例

在管理安全方面，企業(yè)已建立安全管理制度和機構(gòu)、配置專職安全管理人員，并制定應(yīng)急預(yù)案，應(yīng)定期組織應(yīng)急演練，運營商則負(fù)責(zé)提供專業(yè)的安全響應(yīng)團(tuán)隊進(jìn)行7×24 h的技術(shù)支持。

4 結(jié)束語

5G MEC在運營商網(wǎng)絡(luò)邊緣引入了云計算和IT服務(wù)環(huán)境，使得運營商原本封閉的承載網(wǎng)網(wǎng)絡(luò)架構(gòu)更加開放，企業(yè)業(yè)務(wù)數(shù)據(jù)會經(jīng)運營商承載網(wǎng)再進(jìn)入企業(yè)，所以對運營商和企業(yè)來說，MEC均不屬于傳統(tǒng)的安全域，云網(wǎng)基礎(chǔ)設(shè)施、企業(yè)內(nèi)網(wǎng)與業(yè)務(wù)應(yīng)用在MEC上交錯，網(wǎng)絡(luò)安全邊界進(jìn)一步模糊，而相關(guān)的行業(yè)標(biāo)準(zhǔn)還在探討制定中，因此5G SA+MEC企業(yè)園區(qū)組網(wǎng)的安全防護(hù)還面臨很多問題與挑戰(zhàn)亟待研究解決。一是容器逃逸帶來的安全挑戰(zhàn)。由于容器與宿主機共用內(nèi)核，并且在內(nèi)核層面的隔離性不足，這使得攻擊者可通過利用漏洞“逃逸”出自身擁有的權(quán)限，實現(xiàn)對宿主機或宿主機上其他容器的訪問[3]。由于MEC平臺一般采用云原生架構(gòu)，因此也不可避免地面臨著容器逃逸問題，容器逃逸將直接影響到MEC承載容器的底層基礎(chǔ)設(shè)施，攻擊者可以借此獲得主機上的根用戶(Root)級訪問權(quán)限甚至接管K8S集群。二是網(wǎng)元下沉帶來的安全挑戰(zhàn)。在當(dāng)前5G SA+MEC組網(wǎng)下，企業(yè)園區(qū)內(nèi)下沉部署邊緣UPF和MEC，使得用戶數(shù)據(jù)在本地處理，大幅提高了數(shù)據(jù)安全性，并可以基于前文方案加強安全防護(hù)，但5G控制信令主要仍由企業(yè)園區(qū)外的運營商核心網(wǎng)處理，控制信令在園區(qū)外傳輸過程中同樣面臨著傳統(tǒng)網(wǎng)絡(luò)架構(gòu)下的竊聽、篡改等威脅，因此部分對安全程度需求極高的企業(yè)(如礦山等)，會進(jìn)一步希望在企業(yè)園區(qū)內(nèi)下沉輕量級的5G核心網(wǎng)，實現(xiàn)控制信令和業(yè)務(wù)數(shù)據(jù)完全在本地處理， 5G核心網(wǎng)的下沉又會進(jìn)一步增加5G網(wǎng)絡(luò)暴露面，使得5G網(wǎng)絡(luò)更易受到攻擊。三是第三方應(yīng)用帶來的安全挑戰(zhàn)。MEC節(jié)點上一般承載了多個第三方應(yīng)用，一旦一個應(yīng)用出現(xiàn)安全漏洞，極易被攻擊者利用、入侵甚至利用共享的底層設(shè)施進(jìn)行橫向滲透，因此需要各應(yīng)用廠商遵循統(tǒng)一的安全規(guī)范和標(biāo)準(zhǔn)，避免出現(xiàn)木桶效應(yīng)。另外，云邊協(xié)同、多個MEC間的容災(zāi)備份也使得安全問題更加復(fù)雜，入侵者植入的病毒、木馬可能會隨著第三方應(yīng)用的部署從企業(yè)園區(qū)復(fù)制擴散至運營商5G核心網(wǎng)，甚至利用共享的MEC或公有云進(jìn)一步滲透至其他企業(yè)。