【中国联通】2024年5G核心网安全架构及关键技术白皮书_46页_1mb

中国联通5G核心网安全架构及关键技术白皮书总结

核心内容

中国联通5G核心网安全架构及关键技术白皮书系统性地分析了当前5G网络面临的安全挑战，并提出了全面的容灾架构、安全部署策略、专网安全解决方案以及智能化网络安全体系的建设路径。白皮书还展望了未来网络内生安全架构的发展方向，强调了网络安全在5G网络中的重要性。

主要观点

1. 网络安全挑战

• 多制式并存的复杂性：随着4G/5G、CS/PS/IMS等多网络并存，网络架构日趋复杂，带来新的安全风险。
• 集中部署的故障容忍度低：大区化部署导致单点故障影响范围大，需加强容灾能力。
• 网络安全与生产安全紧密相关：5G在垂直行业中的广泛应用，使得网络安全直接影响生产安全。
• 智能化、数字化演进带来的新挑战：传统安全手段难以应对复杂网络攻击，需探索智能化安全体系。

2. 5G网络容灾架构及关键技术

网络可靠性架构

• 网元内可靠性：支持无状态架构、弹性资源调度、本地自愈与异地重生。
• 网元间可靠性：支持负荷分担、热备、Bypass机制，实现快速恢复。
• 网络级可靠性：采用多级容灾、异地部署、链路冗余和接口隔离，提升整体网络稳定性。

通信云虚拟层可靠性

• 软件可靠性：支持热迁移、看门狗机制、异地重生、反亲和部署、控制节点集群及数据备份。
• 硬件可靠性：采用N+M冗余配置、多链路组网、物理隔离、带外监控、冗余存储等技术。

网络安全关键技术

• 组网安全：采用vNIC/VLAN/VXLAN隔离、TLS安全隧道、静态/动态授权认证、SEPP信令安全保护。
• MEC安全：部署虚拟防火墙、反亲和性、数据加密、异常检测、Bypass机制等。
• 网络接入安全：支持EAP-AKA、5G-AKA认证，采用IPSec、DTLS等技术保护空口与NAS层信令及数据。
• 数据安全：支持数据脱敏、加密存储、完整性校验、匿名替代、访问控制等手段。
• 信令风暴预防：通过流控机制、过载控制、降质处理、熔断机制等手段预防信令风暴带来的影响。

5G网络安全部署策略

• 网元容灾：支持虚机冗余、热备、流控、降质、Bypass等容灾机制，实现分钟级快速切换。
• 业务及数据逃生：支持基础设施、数据及业务的多级逃生机制，如UDM、NRF、PCF等网元故障时的降级处理。
• 亚健康恢复：支持网元KPI下降、电信云亚健康恢复、智能容灾辅助、浪涌仿真优化、韧性评估服务等。

关键信息

专网安全

• 安全风险：边缘计算节点部署下沉，导致攻击面扩大，需加强物理安全、边界防护和数据隔离。
• 安全解决方案：
  • 用户接入安全：支持二次鉴权、细粒度权限控制、用户访问溯源。
  • 传输通道安全：支持无线切片隔离、传输隔离、IPSec加密、传输链路冗余。
  • 边界安全：实现管理面、控制面、用户面的三面隔离，部署安全域划分和跨域访问控制。
  • 设备自身安全：包括硬件端口禁用、系统加固、API认证、数据加密、流量过滤等。

智能化网络安全体系

• NWDAF架构及演进：NWDAF作为核心网智能化网元，支持多实例分布式部署，提供数据采集、分析、推理、反馈等能力。
• NWDAF安全增强：
  • 系统自身安全：包括用户认证、访问控制、日志管理、安全防护机制。
  • 网络安全增强：通过NWDAF进行异常行为检测、拥塞分析、QoS预测、冗余传输分析、DN性能分析等。
• 应用场景举例：
  • 切片负荷分析
  • 服务体验分析
  • 网元负荷分析
  • 网络性能分析
  • UE相关分析
  • 网络拥塞分析
  • QoS可保持性分析
  • 冗余传输体验分析
  • DN性能分析
• 网络能力开放安全架构：基于CAPIF框架，实现网络能力与安全能力的开放，通过能力开放平台、安全网关、API认证等手段保障第三方应用与网络的安全交互。

未来网络内生安全架构

• 内生安全理念：将安全能力与网络设备融合，实现“自主免疫力”，提升网络抗攻击能力。
• 关键技术：
  • 内生安全资产管理
  • 内生安全入侵检测
  • 内生安全微隔离
  • 内生安全高可靠性
• 优势：
  • 基于业务模型构建行为基线
  • 实时检测与响应能力
  • 与业务模块相同级别的可靠性
  • 综合性系统保护，降低对外部组件依赖

总结及展望

• 安全重要性：5G核心网作为网络中枢，其安全直接影响网络稳定与用户数据安全。
• 发展趋势：未来将更多应用智能化、联邦学习等技术提升网络安全能力，构建自治网络。
• 技术演进方向：从传统外挂式安全向内生安全演进，提升网络韧性、响应速度与安全性。
• 治理需求：需建立完善的安全治理体系，包括制度、培训、快速响应机制等。

缩略语