粟栗，陸黎，張星，劉暢

（中國移動通信有限公司研究院，北京 100032）

1 引言

5G 作為賦能各行業(yè)數(shù)字化轉(zhuǎn)型、促進商業(yè)模式創(chuàng)新和經(jīng)濟發(fā)展的新型信息化關鍵基礎設施，5G 數(shù)據(jù)的安全具有重要的意義。首先，隨著網(wǎng)絡數(shù)據(jù)量的激增、數(shù)據(jù)應用的蓬勃發(fā)展，數(shù)據(jù)安全已成為個人用戶、行業(yè)用戶乃至國家政府共同關注的重要問題，國家發(fā)布了系列法律加強數(shù)據(jù)安全監(jiān)管，5G 作為我國“新基建”之首，其數(shù)據(jù)安全不僅關乎運營商數(shù)據(jù)合規(guī)性，更影響著國家的安全。其次，5G 網(wǎng)絡具備高速率、低時延、大連接的特性[1]，為電力能源、交通運輸及工業(yè)制造等垂直行業(yè)的廣泛接入提供了條件，進一步促進了網(wǎng)絡與業(yè)務的融合，也使得5G 數(shù)據(jù)的安全與經(jīng)濟安全緊密相關。

5G 網(wǎng)絡采用全新的SBA（service base2 architecture，基于服務的架構），引入了網(wǎng)絡功能虛擬化、網(wǎng)絡切片、邊緣計算等新技術，并將傳統(tǒng)的人與人通信能力擴展到物與物之間[2]，在大幅提升移動通信網(wǎng)業(yè)務能力的同時，也讓5G數(shù)據(jù)安全面臨一些新的挑戰(zhàn)：一是海量數(shù)據(jù)種類多、保護難度大；二是數(shù)據(jù)流轉(zhuǎn)場景復雜加大安全防護復雜度；三是新技術引入帶來潛在安全風險[3]。

參考文獻[4]提出了5G 數(shù)據(jù)的技術和管理手段，但主要針對用戶數(shù)據(jù)的隱私安全。參考文獻[5]主要針對電信云自身的安全，提出5G 虛擬化平臺中的數(shù)據(jù)安全機制。參考文獻[6]主要討論了5G 網(wǎng)絡中可能的漏洞，并針對漏洞提出相應解決辦法。參考文獻[7]根據(jù)數(shù)據(jù)的機密性、完整性及可用性被破壞后產(chǎn)生的影響對數(shù)據(jù)分類，主要通過不同級別的加密方式保護虛擬化網(wǎng)絡中的重要數(shù)據(jù)。參考文獻[8]主要描述了5G 安全架構和5G 主要安全問題，以及對應解決方案。

考慮5G 數(shù)據(jù)的動態(tài)流轉(zhuǎn)特性以及巨大的數(shù)據(jù)量和復雜的數(shù)據(jù)安全挑戰(zhàn)，僅對已識別出的5G網(wǎng)絡漏洞和安全問題設計解決方案，不足以維護數(shù)據(jù)全流程的安全，要對所有數(shù)據(jù)施加高安全級別的保護并屏蔽所有風險也是不切實際的[9]，所以要更加系統(tǒng)地識別、分析5G 中的各類數(shù)據(jù)，并制定對應的防護措施。因此，對于5G 網(wǎng)絡涉及的各類數(shù)據(jù)，需要進行如下分析：一識別數(shù)據(jù)，確定數(shù)據(jù)類型與重要性；二識別數(shù)據(jù)的流轉(zhuǎn)過程，明確數(shù)據(jù)流轉(zhuǎn)場景；三結(jié)合數(shù)據(jù)生命周期制定防護措施。本文提出一種基于圖數(shù)據(jù)庫的數(shù)據(jù)安全標記模型，在5G 數(shù)據(jù)分類分級的基礎上，創(chuàng)新結(jié)合數(shù)據(jù)流轉(zhuǎn)與操作的特性，形成四維向量模型?；趫D數(shù)據(jù)庫進行分析，可對網(wǎng)絡數(shù)據(jù)進行全生命周期管理，并最終形成全程全網(wǎng)的安全防護機制。

2 5G 數(shù)據(jù)安全需求

為了分析5G 數(shù)據(jù)安全，必須首先識別5G 數(shù)據(jù)，即對5G 數(shù)據(jù)進行分類分級，識別不同數(shù)據(jù)類型的安全保護需求，確定針對不同級別數(shù)據(jù)的基本安全防護措施。

2.1 5G 網(wǎng)絡關鍵數(shù)據(jù)

在5G 網(wǎng)絡中，涉及多種類型的數(shù)據(jù)，基于ITU-T X.805[10]的定義，可以將其映射到控制平面、用戶平面、管理平面。在本文中，控制平面數(shù)據(jù)包括實現(xiàn)網(wǎng)元之間的信息通信活動以及為用戶提供適當服務所必需的數(shù)據(jù)；用戶平面數(shù)據(jù)包括5G 用戶訪問和使用5G 網(wǎng)絡而產(chǎn)生的實際用戶數(shù)據(jù)流；管理平面數(shù)據(jù)包括網(wǎng)元及切片生命周期管理、操作維護管理涉及的數(shù)據(jù)。3 個平面的主要數(shù)據(jù)示例見表1[11-20]。

表1 主要數(shù)據(jù)示例

2.2 5G 數(shù)據(jù)安全防護需求

3 個平面數(shù)據(jù)及每個平面細分數(shù)據(jù)種類因泄露或遭到篡改、破壞后，受到的不良影響程度不同，從而數(shù)據(jù)的安全需求也不一樣。安全防護級別與防護需求相匹配，可降低安全防護成本，實現(xiàn)安全性與實施成本之間的平衡?！缎畔踩夹g大數(shù)據(jù)安全管理指南》[21]對電信行業(yè)數(shù)據(jù)分類分級進行了示例，參考標準中的數(shù)據(jù)分類分級，本文將5G 數(shù)據(jù)安全防護等級分為4 級、10 個子類；安全防護需求隨級別升高而遞增，每個安全防護等級包含一個或多個子類，每個子類下是屬于3 個平面的細分數(shù)據(jù)類型，見表2。“√”表示3 個數(shù)據(jù)平面各包含的數(shù)據(jù)類型。

表2 5G 數(shù)據(jù)分類分級

第1 級數(shù)據(jù)是業(yè)務訂購關系，安全防護需求最低，在5G 網(wǎng)絡關鍵數(shù)據(jù)中業(yè)務訂購關系指用戶的簽約數(shù)據(jù)。第2 級數(shù)據(jù)一方面是終端的資料和標識，另一方面是用戶的消費數(shù)據(jù)，分別包含終端標識、終端能力、終端配置等終端的數(shù)據(jù)，以及計費信息等用戶消費記錄。第3 級數(shù)據(jù)的4 個子類從上至下分別對應：（1）UE（user equipment，用戶設備）上下文、會話管理數(shù)據(jù)等與用戶服務緊密相關的控制平面數(shù)據(jù)及網(wǎng)元生成的操作日志、系統(tǒng)日志等服務記錄和各類日志信息；（2）用戶服務內(nèi)容和資料數(shù)據(jù)；（3）用戶位置數(shù)據(jù)；（4）用戶網(wǎng)絡身份標識數(shù)據(jù)。第4 級數(shù)據(jù)包含的3 個子類從上至下分別對應：（1）網(wǎng)元及管理系統(tǒng)的認證、密鑰、賬號數(shù)據(jù)；（2）用戶的鑒權數(shù)據(jù)；（3）切片配置、運營狀態(tài)監(jiān)控信息等與5G 設備及系統(tǒng)資源相關數(shù)據(jù)。由于5G 會接入大量行業(yè)用戶，可能涉及安全防護需求極高的用戶數(shù)據(jù)，安全防護等級會超越目前最高的“第4 級”，本文暫不討論該類型特殊數(shù)據(jù)。

2.3 5G 數(shù)據(jù)生命周期安全防護

不同級別數(shù)據(jù)在生命周期各階段均存在安全需求。根據(jù)相關標準[22]定義，本文將5G 數(shù)據(jù)生命周期分為數(shù)據(jù)采集、數(shù)據(jù)傳輸、數(shù)據(jù)存儲、數(shù)據(jù)處理、數(shù)據(jù)銷毀階段。本文綜合數(shù)據(jù)安全防護等級及通信行業(yè)標準等技術要求，定義了4 級5G 數(shù)據(jù)安全防護等級對應的生命周期基本防護措施，見表3，其中每級安全防護措施均在下一級基礎上增強。

3 5G 數(shù)據(jù)流轉(zhuǎn)分析

每個平面的數(shù)據(jù)根據(jù)既定的機制和規(guī)則在不同網(wǎng)元、設備或系統(tǒng)間流轉(zhuǎn)。控制面數(shù)據(jù)種類多、流轉(zhuǎn)場景復雜，用戶發(fā)起業(yè)務或位置變動、網(wǎng)元業(yè)務活動等均會觸發(fā)數(shù)據(jù)流轉(zhuǎn)。根據(jù)控制平面數(shù)據(jù)在流轉(zhuǎn)過程中傳輸通道兩端設備所屬網(wǎng)絡域不同，5G 控制平面數(shù)據(jù)流轉(zhuǎn)可包含多種場景[10]?？刂破矫鏀?shù)據(jù)流轉(zhuǎn)如圖1 所示。

用戶數(shù)據(jù)主要在終端、基站、UPF（user plane function，用戶平面功能）與外部數(shù)據(jù)網(wǎng)絡之間傳遞，對于邊緣計算場景，用戶數(shù)據(jù)可從分流UPF直接卸載到邊緣計算節(jié)點或從基站直接接入邊緣計算平臺。用戶平面數(shù)據(jù)流轉(zhuǎn)如圖1 所示。管理數(shù)據(jù)主要在網(wǎng)元、網(wǎng)管、MANO（management an2 orchestration，管理和編排）[17]和切片管理系統(tǒng)內(nèi)部及系統(tǒng)間流轉(zhuǎn)，并可能與第三方平臺及業(yè)務支撐系統(tǒng)間交互[17-20]。管理平面數(shù)據(jù)流轉(zhuǎn)如圖2 所示。

表3 數(shù)據(jù)安全防護等級與安全措施對應

圖1 5G 數(shù)據(jù)流轉(zhuǎn)（圖中僅畫出主要流轉(zhuǎn)關系）

圖2 5G 管理數(shù)據(jù)流轉(zhuǎn)

4 基于圖數(shù)據(jù)庫的5G 數(shù)據(jù)安全模型

5G 數(shù)據(jù)種類多樣且存在復雜的流轉(zhuǎn)場景，僅依靠數(shù)據(jù)防護等級與安全機制的映射無法滿足運營商數(shù)據(jù)安全保護需求[23]。5G 數(shù)據(jù)安全防護需要考慮多樣化的數(shù)據(jù)流動、復雜的數(shù)據(jù)操作等情況，并最終落地到網(wǎng)絡節(jié)點或?qū)ｉT的安全設備。本文提出一種基于圖數(shù)據(jù)庫的安全模型，基于該安全模型能夠建立細粒度、動態(tài)的5G 數(shù)據(jù)安全體系，為動態(tài)流轉(zhuǎn)的5G 數(shù)據(jù)提供有效的安全保障。

4.1 基本結(jié)構

本文提出的5G 數(shù)據(jù)安全模型以5G 網(wǎng)絡中的主要網(wǎng)絡功能或系統(tǒng)組件為節(jié)點，節(jié)點功能名稱作為節(jié)點標簽，節(jié)點中的數(shù)據(jù)類型及可對該數(shù)據(jù)執(zhí)行的操作作為節(jié)點屬性，如 [數(shù)據(jù)類型，數(shù)據(jù)操作]。兩兩節(jié)點間數(shù)據(jù)流向及節(jié)點之間的操作作為節(jié)點間的有向邊，邊屬性分別為傳輸?shù)臄?shù)據(jù)類型以及數(shù)據(jù)操作與數(shù)據(jù)類型值對。此安全模型抽象出包括網(wǎng)絡節(jié)點、數(shù)據(jù)種類、數(shù)據(jù)操作以及數(shù)據(jù)流向4 種主要元素在內(nèi)的5G 全網(wǎng)數(shù)據(jù)流轉(zhuǎn)圖譜。5G 數(shù)據(jù)安全模型基本結(jié)構如圖3 所示。

圖譜中網(wǎng)絡節(jié)點具體包括5G 網(wǎng)元、網(wǎng)管系統(tǒng)各組件、MANO 各組件、切片管理系統(tǒng)各組件。節(jié)點對數(shù)據(jù)的操作包括采集（含導入、配置等）、存儲、處理（包括修改、計算、查詢、導出等）、刪除、轉(zhuǎn)發(fā)。如UDM（unifie2 2ata management，統(tǒng)一數(shù)據(jù)管理）網(wǎng)元主要涉及用戶標識、用戶鑒權、簽約、UE 上下文數(shù)據(jù)，對用戶標識、用戶鑒權、簽約數(shù)據(jù)可執(zhí)行的操作一般包括采集、存儲、處理、轉(zhuǎn)發(fā)、刪除，對UE 上下文可執(zhí)行的操作一般包括存儲、轉(zhuǎn)發(fā)、刪除，則UDM 節(jié)點屬性包含[用戶標識，（采集、存儲、處理、轉(zhuǎn)發(fā)、刪除）]、[用戶簽約數(shù)據(jù)，（采集、存儲、處理、轉(zhuǎn)發(fā)、刪除）]、[用戶鑒權，（采集、存儲、處理、轉(zhuǎn)發(fā)、刪除）]及[UE 上下文，（存儲、轉(zhuǎn)發(fā)、刪除）]屬性值。節(jié)點之間每傳遞一種數(shù)據(jù)，節(jié)點間就增加一條有向邊，邊屬性即傳遞的數(shù)據(jù)類型；節(jié)點間每進行一種數(shù)據(jù)操作，節(jié)點間同樣增加一條有向邊，邊屬性為數(shù)據(jù)操作及操作的相應數(shù)據(jù)類型。

圖3 5G 數(shù)據(jù)安全模型基本結(jié)構

4.2 構建過程

根據(jù)已有數(shù)據(jù)節(jié)點備案信息、數(shù)據(jù)分類分析結(jié)果及數(shù)據(jù)流轉(zhuǎn)知識可以建立靜態(tài)的5G 全網(wǎng)安全模型，該模型不包含屬性為數(shù)據(jù)操作及數(shù)據(jù)類型的邊，僅根據(jù)5G 數(shù)據(jù)流轉(zhuǎn)場景構建節(jié)點間靜態(tài)數(shù)據(jù)流轉(zhuǎn)關系，參考圖1 及圖2 中節(jié)點間的連接關系。但是5G 網(wǎng)絡是動態(tài)變化的，靜態(tài)的模型難以滿足動態(tài)網(wǎng)絡安全需求，本文通過對網(wǎng)絡數(shù)據(jù)的采集及實時分析，形成與網(wǎng)絡當前場景相匹配的，基于圖數(shù)據(jù)庫的全網(wǎng)動態(tài)安全模型。動態(tài)安全模型構建過程如下。

（1）網(wǎng)絡節(jié)點發(fā)現(xiàn)：首先采用資產(chǎn)發(fā)現(xiàn)技術對專網(wǎng)中節(jié)點進行掃描，自動發(fā)現(xiàn)網(wǎng)絡節(jié)點，將節(jié)點IP 地址及相關信息導入圖數(shù)據(jù)庫，建立安全模型主體架構。其次，將IP 地址與MANO 中VNF（virtual network function，虛擬化網(wǎng)絡功能）IP 地址及運營商資產(chǎn)備案信息進行比對，獲得IP 地址對應的網(wǎng)絡功能名稱，如UDM、AMF（access an2 mobility function，接入和移動管理功能）等，為節(jié)點打上標簽。節(jié)點屬性按照自定義的規(guī)則自動導入。

（2）網(wǎng)絡數(shù)據(jù)采集：實時采集5G 網(wǎng)絡中的數(shù)據(jù)。采集的方式主要包括在網(wǎng)絡功能部署軟采模塊，由軟采模塊主動上報數(shù)據(jù)；在路由器或交換機部署分光設備或通過鏡像方式外置采集數(shù)據(jù)。采集的數(shù)據(jù)內(nèi)容主要包括網(wǎng)絡節(jié)點間的數(shù)據(jù)流量，至少包含業(yè)務觸發(fā)后網(wǎng)元間傳遞的信令數(shù)據(jù)、網(wǎng)元與管理組件間的管理數(shù)據(jù)以及網(wǎng)絡節(jié)點實時生成的操作日志、系統(tǒng)日志。

（3）5G 關鍵數(shù)據(jù)自動識別：采用數(shù)據(jù)自動識別技術識別5G 關鍵數(shù)據(jù)。識別方法主要包括根據(jù)5G 各數(shù)據(jù)類型的特點，構造正則表達式，通過字符串匹配自動識別數(shù)據(jù)；建立5G 關鍵數(shù)據(jù)詞庫，將待檢測內(nèi)容與詞庫中關鍵詞進行比對。

（4）數(shù)據(jù)流量分析：對采集數(shù)據(jù)進行實時分析，針對節(jié)點間數(shù)據(jù)流量，自動識別出關鍵數(shù)據(jù)后，定位傳遞數(shù)據(jù)的兩個節(jié)點，并將數(shù)據(jù)流向和數(shù)據(jù)類型作為動態(tài)安全模型中節(jié)點間的有向邊及邊屬性導入圖數(shù)據(jù)庫；針對節(jié)點間的數(shù)據(jù)操作指令及節(jié)點實時生成的日志信息，分析識別任意兩個節(jié)點間的數(shù)據(jù)操作及操作的數(shù)據(jù)類型，將兩個節(jié)點間的操作關系以及數(shù)據(jù)操作和數(shù)據(jù)類型再作為動態(tài)安全模型節(jié)點間的有向邊及邊屬性導入圖數(shù)據(jù)庫。

以AMF 與SMF 典型流程為例，節(jié)點構建過程包括如下步驟。

步驟1給定IP 專網(wǎng)網(wǎng)段，基于Nmap 或更先進的技術掃描網(wǎng)絡中在線主機的IP 地址，將IP地址導入圖數(shù)據(jù)庫。

步驟2將IP 地址與運營商資產(chǎn)列表比對，通過不同IP 地址分別映射出AMF 與SMF 節(jié)點，并作為節(jié)點標簽導入圖數(shù)據(jù)庫。

步驟3UE 發(fā)起PDU 會話建立流程，AMF與SMF 之間傳遞用戶永久身份標識（subscriber permanent i2entifier，SUPI），相關信令被采集至專門設備。

步驟4通過數(shù)據(jù)識別和分析，確定用戶標識由AMF 傳遞至SMF，形成一條由AMF 至SMF的有向邊，邊屬性為用戶標識，導入圖數(shù)據(jù)庫。

同樣以AMF與SMF為例說明數(shù)據(jù)更新過程。當通過對采集的數(shù)據(jù)做實時分析，發(fā)現(xiàn)兩個節(jié)點之間傳遞了新的數(shù)據(jù)類型或數(shù)據(jù)操作，則在節(jié)點間增加一條邊，完成數(shù)據(jù)的更新。如果傳遞的數(shù)據(jù)類型或操作已經(jīng)存在，則不增加新的邊。

4.3 安全架構

基于安全模型，本文將5G 數(shù)據(jù)安全架構劃分為“節(jié)點”的數(shù)據(jù)安全和“邊”的數(shù)據(jù)安全兩個部分。

（1）節(jié)點數(shù)據(jù)安全

節(jié)點安全由節(jié)點自身安全機制保障。需要結(jié)合數(shù)據(jù)操作及數(shù)據(jù)安全防護等級制定節(jié)點安全機制，針對節(jié)點中數(shù)據(jù)的不同安全需求提供細粒度、差異化安全保護。

（2）邊的數(shù)據(jù)安全

“邊”包含兩個含義，一是節(jié)點間的數(shù)據(jù)流動，二是節(jié)點間的數(shù)據(jù)操作。針對動態(tài)的“邊”，需要從兩個維度構建安全能力，分別是對正常狀態(tài)的監(jiān)控以及異常情況發(fā)生后的預警和處置。

5 基于安全模型的5G 數(shù)據(jù)安全防護體系

基于安全模型及模型中定義的5G 數(shù)據(jù)安全架構，本文從節(jié)點自身安全防護、數(shù)據(jù)流轉(zhuǎn)的監(jiān)控預警及數(shù)據(jù)安全風險處置3個方面構建5G數(shù)據(jù)安全防護體系。

5.1 節(jié)點自身安全防護

本文以滿足數(shù)據(jù)的不同安全防護需求為目標，設計節(jié)點的差異化安全防護框架。首先將表3中的數(shù)據(jù)生命周期分別映射到安全模型中網(wǎng)絡節(jié)點的數(shù)據(jù)采集、轉(zhuǎn)發(fā)、存儲、處理、刪除操作，然后將不同數(shù)據(jù)安全防護等級的安全需求對應到節(jié)點數(shù)據(jù)操作中。節(jié)點安全即由節(jié)點能夠?qū)?shù)據(jù)執(zhí)行的操作以及相應操作涉及的最高數(shù)據(jù)安全防護等級決定。具體如下。

根據(jù)節(jié)點屬性，得到節(jié)點涉及數(shù)據(jù)操作，針對每一類操作：（1）獲取操作的數(shù)據(jù)類型，并根據(jù)數(shù)據(jù)類型映射數(shù)據(jù)安全防護等級；（2）根據(jù)數(shù)據(jù)安全防護等級與安全措施的對應關系，得到本操作涉及數(shù)據(jù)類型的最高安全防護等級，將該操作的安全措施作為本節(jié)點此類操作的安全措施。節(jié)點中不同操作類型的安全措施合集即節(jié)點安全措施。例如，某節(jié)點涉及的數(shù)據(jù)操作包括轉(zhuǎn)發(fā)、存儲、刪除，操作涉及的數(shù)據(jù)最高安全防護等級分別為4、2、4，則該節(jié)點轉(zhuǎn)發(fā)、存儲、刪除的安全能力應分別符合第4 級數(shù)據(jù)的傳輸安全、第2 級數(shù)據(jù)的存儲安全及第4 級數(shù)據(jù)的銷毀安全要求。網(wǎng)絡節(jié)點中節(jié)點屬性變更，即數(shù)據(jù)類型或數(shù)據(jù)操作權限變更后，安全需求也會相應變更，節(jié)點的安全機制隨之加強或減弱。

5.2 數(shù)據(jù)流轉(zhuǎn)監(jiān)控預警

基于動態(tài)的5G 安全模型，能夠?qū)W(wǎng)絡中的數(shù)據(jù)及數(shù)據(jù)流轉(zhuǎn)、操作情況進行實時監(jiān)控，及時發(fā)現(xiàn)數(shù)據(jù)安全風險并做出反應，主動消除風險。

（1）關鍵數(shù)據(jù)資產(chǎn)監(jiān)控

利用數(shù)據(jù)自動識別技術對5G 全網(wǎng)關鍵數(shù)據(jù)進行掃描，可獲得每個網(wǎng)絡節(jié)點中實際存儲的關鍵數(shù)據(jù)類型，展現(xiàn)全網(wǎng)關鍵數(shù)據(jù)分布。將靜態(tài)模型節(jié)點屬性中的數(shù)據(jù)類型作為網(wǎng)絡節(jié)點數(shù)據(jù)類型基準，對比實時掃描得到的每個節(jié)點中存儲的數(shù)據(jù)，當發(fā)現(xiàn)網(wǎng)絡節(jié)點中出現(xiàn)基準范圍外的數(shù)據(jù)，進行告警，由管理員手動執(zhí)行或系統(tǒng)按策略自動執(zhí)行銷毀或數(shù)據(jù)遷移等操作。

（2）數(shù)據(jù)異常流轉(zhuǎn)監(jiān)控

5G 網(wǎng)絡節(jié)點間數(shù)據(jù)總是按照一定的規(guī)則進行傳輸，每兩個節(jié)點間可觸發(fā)的流程是確定的，流程可攜帶的數(shù)據(jù)范圍也是確定的。以靜態(tài)模型中邊及邊屬性為基準，分析動態(tài)模型中網(wǎng)絡節(jié)點間傳遞的數(shù)據(jù)類型，對于不符合基準，即兩節(jié)點傳輸不符合規(guī)則數(shù)據(jù)的情況，進行告警。網(wǎng)絡依據(jù)策略執(zhí)行阻斷等操作，及時消除風險。

（3）異常數(shù)據(jù)操作監(jiān)控

對網(wǎng)絡節(jié)點間數(shù)據(jù)操作情況進行分析，建立異常數(shù)據(jù)操作模型，對于偏離模型的行為進行監(jiān)控預警，并進行風險預判。同時基于聚類分析等機器學習算法，對主要節(jié)點行為進行畫像，建立節(jié)點特征畫像圖譜，并對節(jié)點的實時操作和特征畫像圖譜進行比對，發(fā)現(xiàn)異常行為。對于預判的危險行為及發(fā)現(xiàn)的異常行為，進行告警。

5.3 數(shù)據(jù)安全風險處置

5G 安全模型是動態(tài)網(wǎng)絡的抽象呈現(xiàn)，展現(xiàn)了數(shù)據(jù)在網(wǎng)絡中而非單個節(jié)點的流轉(zhuǎn)過程，基于模型的數(shù)據(jù)安全風險處置能力至少包括以下兩點。

（1）數(shù)據(jù)泄露節(jié)點定位

5G 網(wǎng)絡中數(shù)據(jù)可能在同一物理服務器內(nèi)部的幾個節(jié)點間流轉(zhuǎn)，如果數(shù)據(jù)在服務器內(nèi)部泄露，則部署在服務器中的節(jié)點均為潛在攻擊者。例如用戶位置數(shù)據(jù)會在多個流程中于多種網(wǎng)元間傳遞，可能的泄露點眾多，難以有效分析識別出數(shù)據(jù)泄露點。如果發(fā)生數(shù)據(jù)泄露事件，依據(jù)動態(tài)模型中記錄的邊屬性（節(jié)點間傳輸?shù)臄?shù)據(jù)類型），能夠排除網(wǎng)絡中大量無關節(jié)點，快速識別數(shù)據(jù)流轉(zhuǎn)路徑。通過對流轉(zhuǎn)路徑中各節(jié)點進行風險排查，可快速定位數(shù)據(jù)泄露點，阻斷數(shù)據(jù)泄露源。

（2）被攻擊節(jié)點定位

當在某個節(jié)點發(fā)現(xiàn)數(shù)據(jù)被篡改時，存在兩種情況：（1）數(shù)據(jù)在當前節(jié)點被篡改；（2）數(shù)據(jù)在流轉(zhuǎn)到當前節(jié)點前已經(jīng)被篡改。根據(jù)動態(tài)安全模型還原數(shù)據(jù)流轉(zhuǎn)路徑，并結(jié)合路徑中每個節(jié)點的數(shù)據(jù)修改操作，能夠定位出發(fā)生數(shù)據(jù)篡改的節(jié)點，然后對節(jié)點進行修復和安全加固。

6 實驗和評估

本文提出的5G 數(shù)據(jù)安全防護體系實現(xiàn)的基礎主要是安全模型的構建，其主要部分為數(shù)據(jù)的獲取和識別分析，本文設計了簡化的原型系統(tǒng)實現(xiàn)該部分功能，并對系統(tǒng)性能進行了測試和評估，以說明系統(tǒng)在實際場景中的可實現(xiàn)性。

6.1 實驗設置和結(jié)果

實驗設備均采用配備8CPU Intel 處理器、32 GB RAM 的機器。基于現(xiàn)網(wǎng)模擬數(shù)據(jù)，在實驗環(huán)境下進行分析、實驗與仿真計算。經(jīng)過測試，平均每臺機器解析數(shù)據(jù)量的性能如圖4 所示，機器解析效率基本穩(wěn)定在450 MB/s。

圖4 測試結(jié)果

6.2 性能評估

本實驗未包括數(shù)據(jù)采集部分，并且因為實驗室環(huán)境中難以模擬在大型5G 網(wǎng)絡中采集數(shù)據(jù)的真實環(huán)境，實驗室測試結(jié)果也難以作為參照。本文選擇以已建設的運營商數(shù)據(jù)采集網(wǎng)絡為參照，其采集方式包括分光鏡像等方式，采集內(nèi)容包括運營商網(wǎng)絡中大量控制和管理數(shù)據(jù)，采集傳輸時延能夠達到百毫秒級，數(shù)據(jù)完整性可達99%。本文提出的安全模型數(shù)據(jù)采集過程和采集內(nèi)容與該系統(tǒng)類似，基于其數(shù)據(jù)采集的經(jīng)驗，理論上可保證本文所述數(shù)據(jù)采集的時延和完整性。

另外，根據(jù)實驗結(jié)果，本實驗系統(tǒng)解析效率基本保持線性增長，處理性能基本穩(wěn)定在450 MB/s 即3.5 Gbit/s。由于5G 網(wǎng)絡節(jié)點眾多，數(shù)據(jù)量較大，可采用多進程高并發(fā)的方式，為每個節(jié)點間數(shù)據(jù)接口單獨設置處理模塊，首先按接口對數(shù)據(jù)進行分揀，然后不同接口數(shù)據(jù)送至不同模塊，并行進行數(shù)據(jù)分析處理，理論上可實現(xiàn)數(shù)據(jù)并發(fā)處理量隨機器數(shù)量線性增長。

依據(jù)上述理論分析及實驗室測試結(jié)果，按照采集的5G 數(shù)據(jù)流量為100 Gbit/s 計算，可搭建包含20 余臺處理節(jié)點的環(huán)境進行數(shù)據(jù)處理。但依據(jù)處理環(huán)節(jié)進行分析，評估在5G 網(wǎng)絡中實際應用的處理性能可能降為現(xiàn)有實驗室測試性能的80%左右，所需計算資源會同步增長。通過提高機器配置或進一步優(yōu)化算法的方式能夠減少機器數(shù)量。

7 結(jié)束語

隨著信息技術水平及社會數(shù)字化程度的提升，數(shù)據(jù)將向著數(shù)量快速增長、數(shù)據(jù)流轉(zhuǎn)融合更加頻繁的方向發(fā)展，《中華人民共和國數(shù)據(jù)安全法（草案）》的發(fā)布也將更加促進數(shù)據(jù)的安全與發(fā)展。在數(shù)據(jù)保護方面，必須結(jié)合數(shù)據(jù)的發(fā)展趨勢及特點，設計針對海量及流轉(zhuǎn)數(shù)據(jù)的動態(tài)靈活的安全保護措施，才能有效提供數(shù)據(jù)安全保障能力。5G數(shù)據(jù)既是典型的動態(tài)流轉(zhuǎn)數(shù)據(jù)，同時又具備數(shù)據(jù)量大、數(shù)據(jù)安全保護需求高的特點，需要結(jié)合動態(tài)流轉(zhuǎn)、靜態(tài)分類分級兩方面考慮數(shù)據(jù)安全防護。本文首次提出了5G 數(shù)據(jù)分類方法與數(shù)據(jù)流轉(zhuǎn)圖，并設計了基于圖數(shù)據(jù)庫的5G 數(shù)據(jù)安全模型，在安全模型的基礎上提出與數(shù)據(jù)操作、數(shù)據(jù)流轉(zhuǎn)相結(jié)合的5G 數(shù)據(jù)安全解決方法，能夠有效保障動態(tài)數(shù)據(jù)安全性。本文提出的5G 數(shù)據(jù)安全模型及數(shù)據(jù)保護思路對動態(tài)數(shù)據(jù)安全保護具有很好的借鑒意義，基于安全模型能夠進一步探索數(shù)據(jù)安全機制，完善數(shù)據(jù)流轉(zhuǎn)安全體系。