張小強(qiáng) 賴(lài)材棟 謝崇斌

【摘要】 ? ?隨著5G新基建工作的持續(xù)深入推進(jìn)，給工業(yè)互聯(lián)網(wǎng)、智能制造等垂直行業(yè)應(yīng)用帶來(lái)了新的機(jī)遇，同時(shí)5G網(wǎng)絡(luò)架構(gòu)也給垂直行業(yè)應(yīng)用安全造成網(wǎng)絡(luò)攻擊擴(kuò)大化、攻擊方式泛在化、安全邊界模糊等新的影響和挑戰(zhàn)。5G垂直行業(yè)安全防護(hù)是一項(xiàng)涉及終端、網(wǎng)絡(luò)、行業(yè)應(yīng)用等眾多環(huán)節(jié)的復(fù)雜系統(tǒng)工程，其中明確的安全需求以及科學(xué)的安全技術(shù)體系是實(shí)現(xiàn)這項(xiàng)復(fù)雜系統(tǒng)工程的基礎(chǔ)。鑒于此，本文參考國(guó)內(nèi)外相關(guān)標(biāo)準(zhǔn)從終端側(cè)、網(wǎng)絡(luò)側(cè)、應(yīng)用側(cè)、管理側(cè)四個(gè)視角梳理了5G垂直行業(yè)應(yīng)用的主要安全需求，設(shè)計(jì)提出5G垂直行業(yè)應(yīng)用系統(tǒng)安全技術(shù)體系。該技術(shù)體系涵蓋“需求驅(qū)動(dòng)”，“端、網(wǎng)、應(yīng)用安全”和“安全管理”3個(gè)平面以及32項(xiàng)安全能力，可有效指導(dǎo)5G垂直行業(yè)安全能力建設(shè)，并為5G垂直行業(yè)應(yīng)用安全技術(shù)發(fā)展與標(biāo)準(zhǔn)化提供有益參考。

【關(guān)鍵詞】 ? ?5G ?工業(yè)互聯(lián)網(wǎng) ? ?垂直行業(yè) ? ?安全需求 ? ?安全能力體系

引言

隨著5G通信的大規(guī)模商用推廣，作為新一代通信網(wǎng)絡(luò)基礎(chǔ)設(shè)施，在垂直行業(yè)應(yīng)用中的引領(lǐng)地位持續(xù)凸顯，而傳統(tǒng)垂直行業(yè)應(yīng)用系統(tǒng)往往專(zhuān)用性強(qiáng)，體系架構(gòu)相對(duì)固定，但隨著5G網(wǎng)絡(luò)與垂直行業(yè)應(yīng)用的深度融合，將給垂直行業(yè)應(yīng)用提供靈活、動(dòng)態(tài)的網(wǎng)絡(luò)基礎(chǔ)設(shè)施。但是在5G帶來(lái)了新價(jià)值與機(jī)遇的同時(shí)，5G垂直行業(yè)解決方案的靈活性與動(dòng)態(tài)性特性。也給垂直行業(yè)應(yīng)用帶來(lái)攻擊面擴(kuò)大、攻擊方式泛在化、安全邊界模糊等安全挑戰(zhàn)。因此構(gòu)建安全可信的5G+安全能力體系成為當(dāng)前的一項(xiàng)重要課題。

為5G垂直行業(yè)安全的保駕護(hù)航是一項(xiàng)涉及物聯(lián)網(wǎng)終端、5G網(wǎng)絡(luò)、行業(yè)應(yīng)用等環(huán)節(jié)的復(fù)雜系統(tǒng)工程，其中明確的安全需求、科學(xué)的安全技術(shù)體系是推動(dòng)具體安全技術(shù)實(shí)現(xiàn)這項(xiàng)復(fù)雜系統(tǒng)工程的基礎(chǔ)[2]。因此，本文將聚焦以下兩個(gè)問(wèn)題開(kāi)展5G垂直行業(yè)應(yīng)用安全研究。

問(wèn)題1：探索分析5G與垂直行業(yè)融合的安全需求

問(wèn)題2：設(shè)計(jì)構(gòu)建滿(mǎn)足5G垂直行業(yè)安全需求的安全能力體系

一、5G垂直行業(yè)應(yīng)用系統(tǒng)安全需求分析

針對(duì)問(wèn)題1，本節(jié)針對(duì)5G與垂直行業(yè)應(yīng)用的融合特點(diǎn)，從終端側(cè)、網(wǎng)絡(luò)側(cè)、應(yīng)用側(cè)、管理側(cè)四個(gè)視角進(jìn)行探索分析、梳理5G垂直行業(yè)應(yīng)用的主要安全需求。

1.1 5G與垂直行業(yè)應(yīng)用的融合特征

由于5G與垂直行業(yè)應(yīng)用深度融合中，主要是通過(guò)網(wǎng)絡(luò)高速率、低時(shí)延、大連接的特性，主要是通過(guò)云化架構(gòu)、新無(wú)線(xiàn)接入、網(wǎng)絡(luò)切片、邊緣計(jì)算等新技術(shù)的綜合使用，從而將相對(duì)固定、封閉的垂直行業(yè)應(yīng)用的系統(tǒng)架構(gòu)，改變?yōu)槊嫦蚍?wù)的動(dòng)態(tài)編排的新型系統(tǒng)架構(gòu)（如圖1所示），其新特點(diǎn)可概括為[3]：

終端側(cè)：呈現(xiàn)異構(gòu)化、海量化、開(kāi)放化等特點(diǎn)。具體而言，5G終端形式不再以智能手機(jī)為主導(dǎo)，與行業(yè)應(yīng)用各環(huán)節(jié)深度融合的海量物聯(lián)網(wǎng)（IoT）終端將成為終端主流形式之一。

網(wǎng)絡(luò)側(cè)：引入軟件定義網(wǎng)絡(luò)（SDN）和網(wǎng)絡(luò)功能虛擬化（NFV）等信息技術(shù)，解耦網(wǎng)絡(luò)控制面與數(shù)據(jù)面，實(shí)現(xiàn)控制和轉(zhuǎn)發(fā)分離;進(jìn)一步通過(guò)網(wǎng)絡(luò)切片技術(shù)，使5G網(wǎng)絡(luò)能夠?yàn)椴煌怪毙袠I(yè)應(yīng)用提供靈活的、差異化的服務(wù)需求。

應(yīng)用側(cè)： 5G應(yīng)用將涉及醫(yī)療、交通、制造、環(huán)保、建筑等行業(yè)應(yīng)用的各個(gè)環(huán)節(jié)，垂直行業(yè)應(yīng)用種類(lèi)和數(shù)量將出現(xiàn)井噴式的增長(zhǎng)。

1.2 安全需求分析

針對(duì)5G新的安全風(fēng)險(xiǎn)與安全需求。我們主要從終端側(cè)、網(wǎng)絡(luò)側(cè)、應(yīng)用側(cè)、管理側(cè)四個(gè)視角進(jìn)行分析。

1.2.1 終端安全需求分析

5G終端的異構(gòu)化、海量化、開(kāi)放化等特點(diǎn)將導(dǎo)致5G網(wǎng)絡(luò)攻擊向量增大。為了有效抵御5G終端的安全風(fēng)險(xiǎn)，應(yīng)在終端基礎(chǔ)安全能力的基礎(chǔ)上，從以下兩個(gè)方面增強(qiáng)其安全防護(hù)與管控能力。

終端可信運(yùn)行環(huán)境構(gòu)建需求：由于終端的泛在部署和使用，攻擊者更易于針對(duì)設(shè)備發(fā)起物理接口非授權(quán)訪(fǎng)問(wèn)、側(cè)信道攻擊等，導(dǎo)致安全威脅向終端硬件層次轉(zhuǎn)移。因此，需要依托硬件信任根構(gòu)建終端設(shè)備的信任鏈，保證終端運(yùn)行環(huán)境可信，以此建立終端與業(yè)務(wù)服務(wù)之間的信任，實(shí)現(xiàn)終端對(duì)業(yè)務(wù)服務(wù)的可信訪(fǎng)問(wèn)。

終端全方位管控需求：如果海量5G終端被攻擊者控制并發(fā)起規(guī)?；墓簦瑢?duì)關(guān)鍵行業(yè)應(yīng)用基礎(chǔ)設(shè)施的可靠運(yùn)行造成巨大威脅。因此，需要對(duì)終端設(shè)備硬件層、內(nèi)核層、系統(tǒng)層、應(yīng)用層等各層行為進(jìn)行全方位的監(jiān)測(cè)與智能化的分析，從而及時(shí)發(fā)現(xiàn)并處置相應(yīng)安全事件。

1.2.2網(wǎng)絡(luò)安全需求分析

SDN、NFV以及網(wǎng)絡(luò)切片等新技術(shù)的使用也帶來(lái)了新的安全風(fēng)險(xiǎn)，例如虛擬化技術(shù)導(dǎo)致傳統(tǒng)網(wǎng)絡(luò)邊界模糊，并引發(fā)了虛擬機(jī)及虛擬化軟件安全問(wèn)題。針對(duì)上述安全威脅，需要從基礎(chǔ)設(shè)施安全防護(hù)、虛擬化安全與切片隔離等方面增強(qiáng)對(duì)于5G網(wǎng)絡(luò)的安全防護(hù)，具體而言：

基礎(chǔ)設(shè)施安全保障需求：不同于傳統(tǒng)通信系統(tǒng)，網(wǎng)元設(shè)備物理上相互獨(dú)立，而5G網(wǎng)絡(luò)中虛擬網(wǎng)絡(luò)功能將集中運(yùn)行在云化的基礎(chǔ)設(shè)施平臺(tái)上，不同的網(wǎng)元可能共享相同的物理基礎(chǔ)設(shè)備資源。因此，一旦物理基礎(chǔ)設(shè)施本身漏洞被利用，所影響的網(wǎng)絡(luò)范圍以及損失都將遠(yuǎn)超以往。因此，保障基礎(chǔ)設(shè)施安全對(duì)5G網(wǎng)絡(luò)至關(guān)重要。

虛擬化安全與切片隔離需求：由于NFV、網(wǎng)絡(luò)切片等功能都將通過(guò)軟件和虛擬化的方式實(shí)現(xiàn)，它們的安全與軟件本身設(shè)計(jì)的安全性息息相關(guān)。為了防止網(wǎng)絡(luò)切片間的非法訪(fǎng)問(wèn)，需要具備網(wǎng)絡(luò)切片間的有效隔離。例如，對(duì)于遠(yuǎn)程醫(yī)療服務(wù)所在的切片資源，不應(yīng)能被任何智能汽車(chē)從其所使用的車(chē)聯(lián)網(wǎng)切片直接訪(fǎng)問(wèn)。

1.2.3應(yīng)用安全需求分析

為了對(duì)5G應(yīng)用系統(tǒng)提供有效的安全保障，需要從業(yè)務(wù)訪(fǎng)問(wèn)控制與應(yīng)用數(shù)據(jù)安全保護(hù)兩個(gè)方面進(jìn)行安全加固。

行業(yè)應(yīng)用全流程安全防護(hù)需求：由于5G網(wǎng)絡(luò)在一定程度上延展了由于行業(yè)應(yīng)用訪(fǎng)問(wèn)的時(shí)空限制，增加了對(duì)于行業(yè)應(yīng)用非授權(quán)訪(fǎng)問(wèn)的安全威脅。因此，為了確保對(duì)特定環(huán)境的合規(guī)用戶(hù)提供特定的權(quán)限，需要綜合多因素對(duì)用戶(hù)狀態(tài)進(jìn)行可信分析，并根據(jù)當(dāng)前可信狀態(tài)對(duì)用戶(hù)的業(yè)務(wù)訪(fǎng)問(wèn)權(quán)限、數(shù)據(jù)訪(fǎng)問(wèn)權(quán)限進(jìn)行控制。

全生命數(shù)據(jù)安全保護(hù)需求：數(shù)據(jù)安全對(duì)于行業(yè)用戶(hù)的重要程度是不言而喻的，但是，數(shù)據(jù)在產(chǎn)生、傳輸、存儲(chǔ)以及分析計(jì)算等環(huán)節(jié)均存在數(shù)據(jù)泄漏風(fēng)險(xiǎn)，因此，需要對(duì)數(shù)據(jù)安全進(jìn)行全生命周期保護(hù)。

1.2.4系統(tǒng)性安全需求分析

考慮到5G垂直行業(yè)應(yīng)用安全防護(hù)的復(fù)雜性，在增強(qiáng)終端、網(wǎng)絡(luò)、應(yīng)用各個(gè)層次的獨(dú)立安全防護(hù)能力的同時(shí)，需要進(jìn)一步引入系統(tǒng)性安全防御手段，以控制系統(tǒng)殘余風(fēng)險(xiǎn)，并有效應(yīng)對(duì)APT攻擊等安全威脅。

統(tǒng)一身份管理與鑒權(quán)需求：由于物聯(lián)網(wǎng)設(shè)備種類(lèi)眾多，并且應(yīng)用場(chǎng)景多元化，需要統(tǒng)一的端到端身份管理與認(rèn)證機(jī)制，提供不同等級(jí)的安全訪(fǎng)問(wèn)服務(wù)。

統(tǒng)一安全按需配置需求：由于垂直行業(yè)應(yīng)用具有“千人千面”的安全與性能保障需求，并且具有差異化的終端能力、網(wǎng)絡(luò)接入方式和數(shù)據(jù)類(lèi)型，而傳統(tǒng)的安全防御措施與機(jī)制無(wú)法避免降低系統(tǒng)的可靠性、傳輸帶寬，增加時(shí)延，難以滿(mǎn)足垂直行業(yè)應(yīng)用對(duì)于大連接、高可靠、低時(shí)延、大帶寬等性能的要求，因此，5G垂直行業(yè)應(yīng)用的安全防護(hù)技術(shù)需要按需配置。例如，對(duì)于時(shí)延敏感應(yīng)用場(chǎng)景，通過(guò)簡(jiǎn)化、優(yōu)化認(rèn)證機(jī)制減少網(wǎng)絡(luò)交互時(shí)延。

統(tǒng)一安全態(tài)勢(shì)感知、管理與運(yùn)維需求：傳統(tǒng)安全防護(hù)手段通常是基于先驗(yàn)知識(shí)的靜態(tài)防護(hù)，并且與物理設(shè)備緊耦合。面對(duì)震網(wǎng)、Black Energy等日益多樣化、集團(tuán)式的攻擊，僅依靠傳統(tǒng)安全防護(hù)手段難以真正有效的應(yīng)對(duì)。因此，需要引入統(tǒng)一的安全態(tài)勢(shì)感知、智能安全監(jiān)測(cè)、管理與運(yùn)維等技術(shù)，即結(jié)合最新安全態(tài)勢(shì)知識(shí)，采用人工智能、大數(shù)據(jù)分析等技術(shù)，主動(dòng)檢測(cè)并識(shí)別系統(tǒng)的易受攻擊點(diǎn)、安全漏洞、異常行為，并且能夠根據(jù)所下發(fā)的動(dòng)態(tài)安全防護(hù)策略實(shí)現(xiàn)動(dòng)態(tài)預(yù)警、實(shí)時(shí)響應(yīng)與處置。

二、 基于5G垂直行業(yè)應(yīng)用的安全能力體系

本節(jié)將以ISO/IEC/IEEE 42010：2011系統(tǒng)與軟件架構(gòu)為指導(dǎo)，在覆蓋本文第二節(jié)所梳理的9大安全需求基礎(chǔ)上，提出了如圖2所示的5G垂直行業(yè)應(yīng)用安全能力體系，該體系共包含“需求驅(qū)動(dòng)”，“安全管理”和“端、網(wǎng)、應(yīng)用安全”3個(gè)平面以及32項(xiàng)安全能力。

2.1需求驅(qū)動(dòng)平面

不同垂直行業(yè)應(yīng)用對(duì)于安全與性能的需求是“端、網(wǎng)、應(yīng)用安全”和“安全管理”兩個(gè)平面設(shè)計(jì)的基礎(chǔ)。結(jié)合2.2節(jié)分析得到的應(yīng)用安全需求，以及國(guó)際電信聯(lián)盟（ITU）對(duì)于5G應(yīng)用場(chǎng)景分類(lèi)方法，我們可以給出“需求驅(qū)動(dòng)平面”的安全與性能關(guān)鍵性能指標(biāo)（KPI）集R={安全需求1， ……， 安全需求9， 帶寬， 吞吐量， 延遲， 抖動(dòng)， 連接數(shù)， 可靠性， 移動(dòng)速度}。集合R各項(xiàng)指標(biāo)的具體定義可以針對(duì)不同的垂直行業(yè)應(yīng)用具體給出，限于篇幅，這里不再贅述。

2.2端、網(wǎng)、應(yīng)用安全平面

端、網(wǎng)、應(yīng)用安全平面包含終端、網(wǎng)絡(luò)與應(yīng)用三個(gè)安全子平面。

2.2.1 終端安全子平面

針對(duì)構(gòu)建終端可信運(yùn)行環(huán)境需求，首先終端應(yīng)具備基于SoC芯片和密碼芯片建立終端硬件信任根的能力;然后，能夠基于硬件度量根及靜動(dòng)態(tài)度量技術(shù)建立終端完整性保護(hù)鏈，從而建立終端在啟動(dòng)、運(yùn)行時(shí)信任鏈;同時(shí)，能夠在基于系統(tǒng)內(nèi)核完整性與動(dòng)態(tài)度量及時(shí)發(fā)現(xiàn)系統(tǒng)受損事件，為信任鏈恢復(fù)與重構(gòu)提供支持。另外，終端可信隔離環(huán)境可以為敏感行業(yè)應(yīng)用提供獨(dú)立的安全運(yùn)行環(huán)境，為了降低主系統(tǒng)對(duì)隔離環(huán)境（TEE）的安全威脅，加強(qiáng)對(duì)可信執(zhí)行環(huán)境的實(shí)時(shí)監(jiān)控能力保障其隔離性。

針對(duì)終端全方位管控需求，設(shè)計(jì)了終端行為感知與分析、主/被動(dòng)終端管控以及管控行為可信證明三方面的能力。其中，終端行為感知與分析是指獲取終端型號(hào)、標(biāo)識(shí)、運(yùn)行狀態(tài)、位置等信息，并綜合使用人工智能、關(guān)聯(lián)分析等實(shí)現(xiàn)終端安全態(tài)勢(shì)分析;主/被動(dòng)終端管控則指通過(guò)地理圍欄等環(huán)境因素自動(dòng)觸發(fā)或通過(guò)管控服務(wù)器指令下發(fā)被動(dòng)觸發(fā)終端軟硬件安全管控策略（包括外設(shè)管控、數(shù)據(jù)訪(fǎng)問(wèn)管控、應(yīng)用選通等）執(zhí)行;管控行為可信證明是通過(guò)實(shí)時(shí)對(duì)比分析真實(shí)終端操作事件序列和安全管控策略語(yǔ)義，及時(shí)發(fā)現(xiàn)由內(nèi)核級(jí)的劫持、欺騙、繞過(guò)等管控對(duì)抗手段導(dǎo)致的管控行為異常，支撐管控策略可信實(shí)施。

2.2.2 網(wǎng)絡(luò)安全子平面

針對(duì)基礎(chǔ)設(shè)施安全防護(hù)需求，設(shè)計(jì)了完整性證實(shí)、虛擬化安全和物理安全三項(xiàng)能力。完整性證實(shí)是指采用基于軟/硬結(jié)合的高實(shí)時(shí)可信計(jì)算、設(shè)備安全啟動(dòng)與運(yùn)行、可信度量等技術(shù)，實(shí)現(xiàn)對(duì)設(shè)備固件、OS、虛擬機(jī)操作系統(tǒng)等啟動(dòng)過(guò)程、運(yùn)行過(guò)程的完整性證實(shí)，以及數(shù)據(jù)傳輸、存儲(chǔ)與處理的可信驗(yàn)證。虛擬化安全需要采用hypervisor加固、操作系統(tǒng)隔離、操作系統(tǒng)安全增強(qiáng)、虛擬機(jī)監(jiān)控等技術(shù)，實(shí)現(xiàn)虛擬化與操作系統(tǒng)的全方位安全防護(hù)，應(yīng)對(duì)面向虛擬機(jī)逃逸、鏡像篡改等安全風(fēng)險(xiǎn)。物理安全需要對(duì)通信機(jī)房或網(wǎng)絡(luò)云中心提供物理訪(fǎng)問(wèn)控制、智慧門(mén)禁和機(jī)房、防盜防破壞、防水防潮、溫度濕度控制、防雷防火防靜電、配電供應(yīng)、電磁防護(hù)和紅黑電源隔離等功能，并結(jié)合具體的領(lǐng)域和安全級(jí)別要求實(shí)施安全管控。

針對(duì)虛擬化安全與切片隔離防護(hù)需求，設(shè)計(jì)了虛擬網(wǎng)絡(luò)功能軟件安全、網(wǎng)絡(luò)協(xié)議安全、網(wǎng)絡(luò)切片隔離三項(xiàng)能力。虛擬網(wǎng)絡(luò)功能軟件安全是指通過(guò)對(duì)虛擬網(wǎng)絡(luò)功能軟件進(jìn)行靜態(tài)、動(dòng)態(tài)檢測(cè)，預(yù)先發(fā)現(xiàn)風(fēng)險(xiǎn)點(diǎn)并進(jìn)行有效加固;網(wǎng)絡(luò)協(xié)議安全則指采用協(xié)議安全測(cè)試、協(xié)議安全開(kāi)發(fā)、協(xié)議形式化建模與證明等技術(shù)，減少協(xié)議漏洞;網(wǎng)絡(luò)切片隔離采用切片和虛擬網(wǎng)絡(luò)功能資源訪(fǎng)問(wèn)控制機(jī)制加強(qiáng)網(wǎng)絡(luò)切片間的隔離。

2.2.3 應(yīng)用安全子平面

針對(duì)行業(yè)應(yīng)用全流程安全防護(hù)需求，設(shè)計(jì)了行業(yè)應(yīng)用安全檢測(cè)與防護(hù)以及多因素可信的業(yè)務(wù)訪(fǎng)問(wèn)控制兩項(xiàng)能力。行業(yè)應(yīng)用安全檢測(cè)與防護(hù)是面向?qū)Σ煌袠I(yè)應(yīng)用所使用協(xié)議和功能特點(diǎn)，定制化研發(fā)行業(yè)應(yīng)用安全防護(hù)技術(shù)，檢測(cè)異常請(qǐng)求、信息泄露、木馬植入等異常行為，對(duì)異常行為及時(shí)警告、阻斷;多因素可信的業(yè)務(wù)訪(fǎng)問(wèn)控制是指基于人員、設(shè)備、賬號(hào)、時(shí)間、位置等因素對(duì)用戶(hù)狀態(tài)進(jìn)行可信分析，并根據(jù)當(dāng)前可信狀態(tài)對(duì)用戶(hù)的業(yè)務(wù)訪(fǎng)問(wèn)權(quán)限、數(shù)據(jù)訪(fǎng)問(wèn)權(quán)限進(jìn)行控制。

全生命周期數(shù)據(jù)保護(hù)需求應(yīng)能夠保障數(shù)據(jù)產(chǎn)生、采集、流轉(zhuǎn)、存儲(chǔ)、處理、使用、分享、銷(xiāo)毀全生命周期安全，其包含輕量級(jí)數(shù)據(jù)加密、數(shù)據(jù)安全存儲(chǔ)、敏感數(shù)據(jù)處理、敏感數(shù)據(jù)監(jiān)管四項(xiàng)能力。定制化數(shù)據(jù)加密是指針對(duì)不同應(yīng)用場(chǎng)景提供定制化的密碼解決方案;數(shù)據(jù)安全存儲(chǔ)則指采用加密存儲(chǔ)和存儲(chǔ)數(shù)據(jù)訪(fǎng)問(wèn)控制等技術(shù)應(yīng)對(duì)數(shù)據(jù)非法訪(fǎng)問(wèn)、濫用、外泄、篡改等風(fēng)險(xiǎn);對(duì)于關(guān)鍵數(shù)據(jù)采用本地?cái)?shù)據(jù)備份應(yīng)對(duì)數(shù)據(jù)意外丟失、污損等風(fēng)險(xiǎn);對(duì)于敏感數(shù)據(jù)處理，則采用邊緣計(jì)算同態(tài)加密、安全多方計(jì)算、差分隱私等技術(shù)，實(shí)現(xiàn)對(duì)敏感數(shù)據(jù)處理同時(shí)，有效應(yīng)對(duì)敏感數(shù)據(jù)泄露、篡改等安全風(fēng)險(xiǎn);同時(shí)，采用敏感數(shù)據(jù)溯源、數(shù)據(jù)標(biāo)簽、數(shù)據(jù)水印等技術(shù)，形成對(duì)敏感數(shù)據(jù)的追蹤溯源、敏感數(shù)據(jù)的流動(dòng)審計(jì)、敏感數(shù)據(jù)的訪(fǎng)問(wèn)告警等能力，實(shí)現(xiàn)對(duì)敏感數(shù)據(jù)的實(shí)時(shí)監(jiān)測(cè)。

2.3安全管理平面

安全管理平面是通過(guò)端、網(wǎng)、云協(xié)同、安全態(tài)勢(shì)感知、安全編排等技術(shù)手段，提升5G垂直行業(yè)應(yīng)用系統(tǒng)安全事件發(fā)現(xiàn)、響應(yīng)與處置能力，其包含統(tǒng)一安全按需配置、統(tǒng)一身份管理與認(rèn)證、統(tǒng)一安全態(tài)勢(shì)感知、統(tǒng)一安全管理與運(yùn)維四項(xiàng)能力。

針對(duì)統(tǒng)一身份管理與認(rèn)證需求，首先構(gòu)建多維統(tǒng)一身份標(biāo)識(shí)體系，為不同的用戶(hù)身份、設(shè)備ID、網(wǎng)絡(luò)IP、業(yè)務(wù)賬號(hào)分配統(tǒng)一的網(wǎng)絡(luò)標(biāo)識(shí)，支持動(dòng)態(tài)標(biāo)識(shí)歷史映射關(guān)系檢索，為實(shí)現(xiàn)統(tǒng)一認(rèn)證、威脅發(fā)現(xiàn)與追蹤溯源提供重要基礎(chǔ)。進(jìn)一步，基于多維統(tǒng)一身份標(biāo)識(shí)體系，為海量不同接入方式的終端提供統(tǒng)一認(rèn)證，并為物聯(lián)網(wǎng)節(jié)點(diǎn)提供成組認(rèn)證服務(wù)，即一次完成對(duì)按照一定原則（如，同屬一個(gè)應(yīng)用、在同一個(gè)區(qū)域、有相同的行為特征等）組織在一起的大量物聯(lián)網(wǎng)節(jié)點(diǎn)的認(rèn)證，同時(shí)對(duì)時(shí)延敏感類(lèi)的業(yè)務(wù)提供快速認(rèn)證服務(wù)等。

針對(duì)統(tǒng)一安全按需配置需求，建立安全策略與計(jì)算、存儲(chǔ)、通信等各種資源的量化關(guān)系模型，突破固定的安全防護(hù)機(jī)制，根據(jù)垂直行業(yè)應(yīng)用對(duì)于安全、隱私、延遲、抖動(dòng)、吞吐量、帶寬等KPI的要求，借助SDN、微分段、NFV等技術(shù)優(yōu)化資源配置與分配，動(dòng)態(tài)部署所需的安全機(jī)制，并動(dòng)態(tài)配置、升級(jí)安全策略，實(shí)現(xiàn)系統(tǒng)安全防護(hù)體系的動(dòng)態(tài)重構(gòu)。

針對(duì)統(tǒng)一安全態(tài)勢(shì)感知、管理與運(yùn)維需求，首先構(gòu)建細(xì)顆粒度的5G垂直行業(yè)應(yīng)用威脅情報(bào)庫(kù)，支撐5G垂直行業(yè)應(yīng)用安全事件分析與識(shí)別能力;然后，基于智能計(jì)算、安全大數(shù)據(jù)、關(guān)聯(lián)分析、綜合研判等技術(shù)主動(dòng)識(shí)別，分析5G垂直行業(yè)應(yīng)用安全事件之間的相關(guān)性，預(yù)測(cè)安全事件的發(fā)展趨勢(shì);進(jìn)一步，利用社團(tuán)發(fā)現(xiàn)方法重構(gòu)攻擊場(chǎng)景，發(fā)現(xiàn)不同主體安全事件之間的關(guān)聯(lián)關(guān)系，采用機(jī)器學(xué)習(xí)方法對(duì)攻擊圖中的因果關(guān)系和頻繁模式進(jìn)行挖掘，實(shí)現(xiàn)攻擊擴(kuò)散路徑可視化以及安全事件追蹤溯源;最后，為了有效應(yīng)對(duì)安全事件，建立安全事件應(yīng)急響應(yīng)策略庫(kù)，針對(duì)安全事件下發(fā)相應(yīng)安全策略進(jìn)行聯(lián)動(dòng)處置。

三、5G垂直行業(yè)應(yīng)用安全技術(shù)體系實(shí)施方案探討

本節(jié)將結(jié)合5G+工業(yè)制造應(yīng)用場(chǎng)景，對(duì)5G垂直行業(yè)安全技術(shù)體系從理論到應(yīng)用的方案進(jìn)行探討。具體方案如圖3所示?？v向上，該方案體現(xiàn)了系統(tǒng)性安全平面和端、網(wǎng)、應(yīng)用安全平面的安全能力如何映射到實(shí)際部署系統(tǒng);橫向上，該方案體現(xiàn)了5G垂直行業(yè)從終端到應(yīng)用端到端的安全防護(hù)。

由于在5G+工業(yè)制造系統(tǒng)中，海量IoT終端將內(nèi)嵌于機(jī)械臂、流水線(xiàn)等工業(yè)制造系統(tǒng)，因此，針對(duì)終端安全子平面，我們將2.2.1小節(jié)提出的終端安全能力集中體現(xiàn)在圖3中的“安全可信IoT終端架構(gòu)”中。首先，該架構(gòu)以SoC芯片和密碼芯片等硬件為可信根建立安全啟動(dòng)機(jī)制，構(gòu)建從硬件可信根到hypervisor，再到內(nèi)核、系統(tǒng)的安全信任鏈;其次，在內(nèi)核、系統(tǒng)以及應(yīng)用層引入了漏洞掃描、權(quán)限控制、動(dòng)態(tài)度量、APP加固等功能模塊提升終端全棧的安全防護(hù)能力;最后，引入可信隔離環(huán)境構(gòu)建及監(jiān)測(cè)模塊保證可信執(zhí)行環(huán)境的安全性，并在該環(huán)境引入管控行為可信證明模塊保證終端管控行為的可信實(shí)施。

對(duì)于網(wǎng)絡(luò)安全子平面的落地實(shí)施，首先基于5G網(wǎng)絡(luò)自身安全能力為需要相互隔離的IoT終端分配不同的網(wǎng)絡(luò)切片標(biāo)識(shí)（NSSAI）;當(dāng)IoT終端附著注冊(cè)時(shí)，5G網(wǎng)絡(luò)根據(jù)請(qǐng)求所攜帶 NSSAI選擇對(duì)應(yīng)的網(wǎng)絡(luò)切片。其次，在5G網(wǎng)絡(luò)切片中的關(guān)鍵虛擬網(wǎng)絡(luò)功能上部署軟件探針，實(shí)時(shí)采集并上報(bào)切片訪(fǎng)問(wèn)行為及使用情況;同時(shí)，引入網(wǎng)絡(luò)切片隔離管理系統(tǒng)，基于監(jiān)測(cè)信息，結(jié)合協(xié)議還原識(shí)別、靜態(tài)特征匹配、動(dòng)態(tài)行為分析、異常行為挖掘等層次化檢測(cè)方法及時(shí)發(fā)現(xiàn)切片安全威脅。最后，使用信令防護(hù)系統(tǒng)識(shí)別并過(guò)濾畸形或異常信令。

對(duì)于行業(yè)應(yīng)用安全子平面的落地實(shí)施，首先，在企業(yè)云中心部署多因素可信的業(yè)務(wù)訪(fǎng)問(wèn)控制系統(tǒng)，當(dāng)IoT終端對(duì)發(fā)起對(duì)企業(yè)資源或行業(yè)應(yīng)用發(fā)起訪(fǎng)問(wèn)時(shí)，該系統(tǒng)根據(jù)IoT終端的訪(fǎng)問(wèn)時(shí)間、所歸屬生產(chǎn)制造設(shè)備、賬號(hào)/口令信息等因素對(duì)IoT終端的狀態(tài)進(jìn)行可信評(píng)估，并根據(jù)當(dāng)前可信狀態(tài)控制IoT終端的業(yè)務(wù)訪(fǎng)問(wèn)權(quán)限、數(shù)據(jù)訪(fǎng)問(wèn)權(quán)限等。其次，為了對(duì)工業(yè)制造業(yè)務(wù)系統(tǒng)的邊界提供安全防護(hù)，部署面向具體生產(chǎn)制造業(yè)務(wù)系統(tǒng)的應(yīng)用安全檢測(cè)與防護(hù)網(wǎng)關(guān)，對(duì)工業(yè)應(yīng)用流量進(jìn)行協(xié)議解析，識(shí)別并過(guò)濾異常訪(fǎng)問(wèn)、異常流量。部署高安全數(shù)據(jù)庫(kù)，通過(guò)數(shù)據(jù)訪(fǎng)問(wèn)控制、數(shù)據(jù)加密等手段保障數(shù)據(jù)的訪(fǎng)問(wèn)與存儲(chǔ)安全。

對(duì)于安全管理平面的落地實(shí)施需要端、網(wǎng)、云相互協(xié)同。具體而言，所部屬統(tǒng)一安全按需配置、統(tǒng)一安全態(tài)勢(shì)感知以及統(tǒng)一安全管理與運(yùn)維等系統(tǒng)均可基于PDR主動(dòng)防護(hù)模型（包括保護(hù)、檢測(cè)、響應(yīng)）工作運(yùn)行：首先，周期性的采集端、網(wǎng)、云的安全事件與運(yùn)行狀態(tài)，結(jié)合最新安全態(tài)勢(shì)知識(shí)，采用人工智能、關(guān)聯(lián)分析等方法發(fā)現(xiàn)端、網(wǎng)、云無(wú)法獨(dú)立發(fā)現(xiàn)的安全事件;然后，針對(duì)安全事件確定所需的安全防護(hù)策略;最后，通過(guò)端、網(wǎng)、云聯(lián)動(dòng)的安全功能編排或安全策略更新實(shí)現(xiàn)對(duì)安全事件的處置與響應(yīng)。

四、結(jié)束語(yǔ)

安全是5G賦能垂直行業(yè)應(yīng)用健康、有序發(fā)展的重要基石。本文針對(duì)5G垂直行業(yè)應(yīng)用的“安全需求”與“安全能力體系”開(kāi)展了以下三方面工作：首先，從終端側(cè)、網(wǎng)絡(luò)側(cè)、應(yīng)用側(cè)、管理側(cè)四個(gè)視角梳理了5G垂直行業(yè)應(yīng)用的9個(gè)主要安全需求;然后，面向安全需求，提出了基于5G垂直行業(yè)應(yīng)用的安全能力體系（共包含“需求驅(qū)動(dòng)”，“安全管理”和“端、網(wǎng)、應(yīng)用安全”3個(gè)平面），并給出了該體系所具備的32項(xiàng)安全能力;最后，結(jié)合5G+工業(yè)制造應(yīng)用場(chǎng)景，探討了安全能力體系的實(shí)施方案。本文希望為5G垂直行業(yè)應(yīng)用安全技術(shù)的發(fā)展與標(biāo)準(zhǔn)化提供有益的參考。

參 ?考 ?文 ?獻(xiàn)

[1] 3GPP 33.501， Security architecture and procedures for 5G system （Release 16） [S]. 2020.6

[2]李宏佳，5G 安全：通信與計(jì)算融合演進(jìn)中的需求分析與架構(gòu)設(shè)計(jì) [J]. 信息安全學(xué)報(bào)，2018.

[3] 3GPP 23.501， System architecture for the 5G System （5GS） （Release 16） [S]. 2020.7

[4] 5G ACIA， 5G for Connected Industries and Automation （2nd Edition）.2019

張小強(qiáng)（1987年—），男，漢族，陜西西安，中國(guó)移動(dòng)通信集團(tuán)陜西有限公司，通信工程師，互聯(lián)網(wǎng)/CDN運(yùn)營(yíng)、邊緣計(jì)算、安全防護(hù)等

賴(lài)材棟（1986—），男，漢族，陜西省鎮(zhèn)安縣，中國(guó)移動(dòng)通信集團(tuán)陜西有限公司，通信工程師，研究方向：互聯(lián)網(wǎng)電視、CDN等：

謝崇斌（1978年—），男，漢族，陜西西安，中國(guó)移動(dòng)通信集團(tuán)陜西有限公司，通信工程師，數(shù)通運(yùn)維、內(nèi)容網(wǎng)絡(luò)運(yùn)維運(yùn)營(yíng)