劉毅，于樂，張峰，馬禹昇，林艷純（.中國移動通信集團有限公司，北京 00053；.中國移動通信廣東公司，廣東 廣州 50000）

1 5G智慧城市安全概況

1.1 建設(shè)背景

近年來，國家針對數(shù)字中國、智慧社會、基礎(chǔ)設(shè)施建設(shè)等提出了戰(zhàn)略部署。國家重點提出要“加快建設(shè)創(chuàng)新型國家”、“為建設(shè)科技強國、質(zhì)量強國、航天強國、網(wǎng)絡(luò)強國、交通強國、數(shù)字中國、智慧社會提供有力支撐”，同時在未來深化改革的道路上，要“不斷推進國家治理體系和治理能力現(xiàn)代化”［1］。

依據(jù)規(guī)劃，各地在持續(xù)推進政務(wù)云建設(shè)，政務(wù)云在提升城市治理能力的同時，也帶來新的安全風(fēng)險。在城市政務(wù)應(yīng)用的端、邊、管、云多個不同層面，需要部署相應(yīng)的安全能力來應(yīng)對這些風(fēng)險，亟需一套融合端到云的一體化安全解決方案。本文提出一種實現(xiàn)連接、算力到能力的云網(wǎng)安一體化防護體系，構(gòu)建端到端安全管控服務(wù)，能夠提升網(wǎng)絡(luò)信息整體安全［2-3］。

1.2 建設(shè)內(nèi)容

按照“集約高效、共享開放、安全可靠、按需服務(wù)”的原則，以“云網(wǎng)合一、云數(shù)聯(lián)動”為構(gòu)架思路，建立面向政務(wù)外網(wǎng)、政務(wù)云提供適應(yīng)業(yè)務(wù)發(fā)展的動態(tài)安全防護體系，持續(xù)安全運營，實現(xiàn)全域網(wǎng)絡(luò)安全事前的攻擊預(yù)測與風(fēng)險管理，事中的監(jiān)控預(yù)警、安全分析、關(guān)聯(lián)分析以及事后的取證、溯源、修復(fù)達到安全防御閉環(huán)的同時，輸出密碼資源池、零信任訪問管控、Web 全棧防護、安全大數(shù)據(jù)建模等安全能力。

依據(jù)《電子政務(wù)外網(wǎng)安全建設(shè)規(guī)范》、《5G 多接入邊緣計算平臺通用安全防護要求》等規(guī)范要求，從安全技術(shù)、安全運營管理、安全運維等3個方面開展安全防護建設(shè)。綜合考慮系統(tǒng)平臺物理和環(huán)境、網(wǎng)絡(luò)和通信、設(shè)備和計算、應(yīng)用和數(shù)據(jù)、安全管理等層面的密碼應(yīng)用需求，設(shè)計合規(guī)、正確、有效的國密系統(tǒng)平臺應(yīng)用方案；通過Web 全棧防護能力，使用“可編程、虛擬化”等技術(shù)實現(xiàn)了防御需求場景化，同時采用“安全資源池架構(gòu)”解決應(yīng)用層防御訪問時延問題，在對抗過程中快速高效地實現(xiàn)安全防御；集合了相關(guān)數(shù)據(jù)資源，助力行業(yè)客戶完善風(fēng)險防控手段，提高精細(xì)化運營能力。

2 5G智慧城市安全框架

2.1 安全總體架構(gòu)

如圖1所示，基于“連接+算力+能力”的基礎(chǔ)架構(gòu)，以構(gòu)建統(tǒng)一的“大安全”為基本思路，通過集中建設(shè)漏洞掃描系統(tǒng)、DDos 防御系統(tǒng)、APT 威脅檢測系統(tǒng)、安全審計系統(tǒng)、堡壘機設(shè)施、安全數(shù)據(jù)采分平臺、云加密設(shè)施、身份管理平臺等基礎(chǔ)設(shè)施，形成智慧城市安全大腦，實現(xiàn)安全統(tǒng)一管理和設(shè)施共享能力，打造運營平臺化、管理一體化、態(tài)勢可感知、事件可預(yù)警、事故可追溯、安全可閉環(huán)的政務(wù)云安全技術(shù)體系。

圖1 智慧城市安全大腦

2.2 5G安全連接架構(gòu)

多網(wǎng)融合的有線政務(wù)網(wǎng)絡(luò)是以政務(wù)外網(wǎng)全新升級迭代為抓手，通過應(yīng)用先進的OTN（Optical Transport Network）光傳送網(wǎng)絡(luò)，實現(xiàn)市、鎮(zhèn)、村3級政務(wù)網(wǎng)絡(luò)和全市黨政部門縱橫全面覆蓋，實現(xiàn)了速度和覆蓋面的10 倍提升；通過SRv6（Segment Routing IPv6）等技術(shù)為多個政務(wù)專網(wǎng)整合劃分單獨虛擬專網(wǎng)承載，未來連接城市萬路高清視頻，數(shù)十萬級物聯(lián)終端及傳感器。

泛在安全的5G 政務(wù)專網(wǎng)（見圖2）是在實現(xiàn)對政務(wù)單位全光纖接入覆蓋的基礎(chǔ)上，建設(shè)5G 政務(wù)專網(wǎng)，實現(xiàn)業(yè)務(wù)隔離，保障政務(wù)專網(wǎng)安全，利用5G 網(wǎng)絡(luò)的廣域覆蓋與深度覆蓋，實現(xiàn)靈活組網(wǎng)結(jié)構(gòu)，實現(xiàn)固移融合、無線延伸，全方位支撐多網(wǎng)絡(luò)、多場景、多領(lǐng)域的場景融合，為“萬物互聯(lián)”保駕護航。

圖2 5G政務(wù)專網(wǎng)

針對政務(wù)個人用戶，建設(shè)專屬的2C 5G 專網(wǎng)，根據(jù)需要建設(shè)下沉2C UPF，滿足客戶不換卡、不換號，只需換手機的需求；針對行業(yè)應(yīng)用終端，建設(shè)專屬的2B 5G專網(wǎng)，建設(shè)下沉2B UPF，基于全市的5G 基站，可滿足視頻采集、移動執(zhí)法、視頻監(jiān)控、業(yè)務(wù)辦理一體機等各種行業(yè)終端隨時隨地接入，方便行業(yè)終端的應(yīng)用部署。主要的安全防護手段有：

a）設(shè)備可信：主要包括確保硬件安全、系統(tǒng)可信保障和設(shè)備接口保護。硬件安全包括從硬件接口的安全防護、防近端攻擊到獨立硬件安全模塊等多個層次的保障；系統(tǒng)可信保障提供基于硬件信任根的系統(tǒng)或軟件的靜態(tài)可信驗證，應(yīng)用程序執(zhí)行環(huán)境的動態(tài)可信驗證，以及關(guān)鍵文件的機密性和完整性保護。

b）網(wǎng)絡(luò)隔離：通過5G DNN實現(xiàn)端到端網(wǎng)絡(luò)切片，實現(xiàn)網(wǎng)絡(luò)隔離，重要網(wǎng)絡(luò)區(qū)域與其他網(wǎng)絡(luò)區(qū)域之間采取可靠的技術(shù)隔離手段，特別的，基于共享基礎(chǔ)設(shè)施多制式、多業(yè)務(wù)網(wǎng)絡(luò)共部署場景下通過技術(shù)隔離手段防御跨制式、跨業(yè)務(wù)網(wǎng)絡(luò)攻擊能力，最高支持物理隔離。

c）通信安全：采用5G 設(shè)備終端密碼技術(shù)進行機密性、完整性驗證升級，保障無線接口和傳輸網(wǎng)絡(luò)通信安全，可在高安全要求場景下支持基于硬件密碼模塊對重要通信過程進行密碼運算和密鑰管理。

d）終端安全防護：政務(wù)應(yīng)用服務(wù)具有大量的各類終端感知設(shè)備，包括2C 終端如5G 智能手機、電腦等，海量的終端提供多維度的采集信息。針對2B場景，終端側(cè)集成安全芯片或安全TF 卡，或外接安全接入模塊，實現(xiàn)SM1、SM2、SM3、SM4 等國密算法支持［4-6］，提供高速數(shù)字簽名/驗證、非對稱/對稱加解密、數(shù)據(jù)完整性校驗，保證敏感數(shù)據(jù)的機密性、真實性、完整性和抗抵賴性。

2.3 信創(chuàng)云架構(gòu)

通過統(tǒng)一的信創(chuàng)云基礎(chǔ)設(shè)施資源池，基于國產(chǎn)化芯片、操作系統(tǒng)、數(shù)據(jù)庫等，結(jié)合現(xiàn)有的信息網(wǎng)絡(luò)平臺、網(wǎng)絡(luò)安全防護、網(wǎng)絡(luò)管理體系，應(yīng)用虛擬化技術(shù)實現(xiàn)網(wǎng)絡(luò)高可靠、架構(gòu)彈性擴縮、資源利用率高且滿足國家信創(chuàng)需求的統(tǒng)一基礎(chǔ)設(shè)施資源池。

a）統(tǒng)一的信創(chuàng)云基礎(chǔ)設(shè)施資源池：基于國產(chǎn)化芯片、操作系統(tǒng)、數(shù)據(jù)庫等，應(yīng)用虛擬化技術(shù)實現(xiàn)網(wǎng)絡(luò)高可靠、架構(gòu)彈性擴縮、資源利用率高且滿足國家信創(chuàng)需求的統(tǒng)一基礎(chǔ)設(shè)施資源池。

b）統(tǒng)一的信創(chuàng)云管理運營運維支撐平臺：制定服務(wù)標(biāo)準(zhǔn)和規(guī)范，提供滿足需求、響應(yīng)及時、安全可靠的運維保障服務(wù)，建立統(tǒng)一的運營運維服務(wù)體系。

c）面向現(xiàn)代化云數(shù)據(jù)中心的安全體系：面向云服務(wù)交付層、云基礎(chǔ)平臺層的資源訪問服務(wù)與資源運維管理活動，提供網(wǎng)絡(luò)縱深防御、系統(tǒng)安全支撐、云特權(quán)訪問控制、安全態(tài)勢感知等數(shù)據(jù)中心級安全能力，構(gòu)建統(tǒng)一支撐、管理及運營的云安全防護體系。

3 5G智慧城市安全防護能力

5G 智慧城市安全防護能力是由一系列的安全能力共同打造，主要包括云網(wǎng)安協(xié)同聯(lián)動、密碼資源池、零信任訪問管控、Web 全棧防護和大數(shù)據(jù)建模能力等。云網(wǎng)安協(xié)同聯(lián)動是在云網(wǎng)一體的基礎(chǔ)上，考慮安全協(xié)同聯(lián)動管控，能夠提升云網(wǎng)一體化后的安全防護水平；密碼資源池可提供密碼服務(wù)一體化的統(tǒng)籌管理模式，提升密碼應(yīng)用水平；Web全棧防護將安全產(chǎn)品真正整合成統(tǒng)一的防御架構(gòu)，可實現(xiàn)對應(yīng)用全生命周期的自動化持續(xù)監(jiān)控與響應(yīng)。

3.1 云網(wǎng)安協(xié)同聯(lián)動

在云網(wǎng)融合一體的架構(gòu)上，充分考慮了云網(wǎng)的安全協(xié)同聯(lián)動管控。依靠安全管理控制系統(tǒng)，提供安全業(yè)務(wù)編排和策略統(tǒng)一管理。通過安全管理控制系統(tǒng)聯(lián)動態(tài)勢感知分析平臺實現(xiàn)威脅檢測結(jié)果轉(zhuǎn)化為安全策略，并將安全策略下發(fā)到安全設(shè)備，實現(xiàn)安全設(shè)備的聯(lián)動處置。

安全運營中心在納管網(wǎng)絡(luò)邊界防護的基礎(chǔ)上，通過對接云安全能力管理平臺，納管政務(wù)云的安全防護能力，實現(xiàn)云網(wǎng)的統(tǒng)一安全管控、統(tǒng)一安全監(jiān)測、統(tǒng)一安全防護。

3.2 密碼資源池

在政務(wù)云模式下，傳統(tǒng)的網(wǎng)絡(luò)邊界變得模糊以及云計算帶來的很多不確定因素，對安全技術(shù)提出了更高的要求?？紤]到建設(shè)項目中已經(jīng)規(guī)劃的安全設(shè)施、軟件、服務(wù)和產(chǎn)品，將密碼應(yīng)用建設(shè)統(tǒng)籌至整體安全建設(shè)中，與信息系統(tǒng)同步規(guī)劃、同步建設(shè)和同步實施。通過健全網(wǎng)絡(luò)和信息系統(tǒng)網(wǎng)絡(luò)安全保障體系，完善密碼基礎(chǔ)設(shè)施，提升密碼適用管理水平，推進密碼在重要領(lǐng)域系統(tǒng)身份認(rèn)證、安全隔離、信息加密、信息數(shù)據(jù)保護等方面的應(yīng)用。

部署國密資源池后，應(yīng)用國密改造可以只調(diào)用該國密資源池的資源，無需重新建設(shè)相關(guān)ssl vpn 網(wǎng)關(guān)、密碼機等資源。國密應(yīng)用改造主要在網(wǎng)絡(luò)通信及應(yīng)用數(shù)據(jù)層進行，在網(wǎng)絡(luò)通信鏈路上設(shè)計密碼保護措施，能夠保護用戶、訪問控制信息、安全標(biāo)記、重要數(shù)據(jù)、關(guān)鍵操作行為等信息［11］。

3.3 零信任訪問管控

通過建設(shè)統(tǒng)一的政務(wù)云平臺，將各委辦局應(yīng)用系統(tǒng)進行集中納管，統(tǒng)一維護管控仍然存在終端安全可信問題、應(yīng)用對外服務(wù)暴露面大、基礎(chǔ)身份用戶信息不統(tǒng)一、信息孤島等問題?！傲阈湃巍睂⒕W(wǎng)絡(luò)防御的邊界縮小到單個或更小的資源組，不自動信任內(nèi)部或外部的任何人/事/物、不根據(jù)物理或網(wǎng)絡(luò)位置對系統(tǒng)授予完全可信的權(quán)限，在授權(quán)前對任何試圖接入政務(wù)系統(tǒng)的人/事/物進行驗證，對數(shù)據(jù)資源的訪問權(quán)只有當(dāng)資源需要的時候才授予［12-13］，如圖3所示。

圖3 零信任身份安全架構(gòu)

3.4 Web全棧防護

Web 全棧防護打破傳統(tǒng)的安全防御思路，將安全產(chǎn)品真正整合成統(tǒng)一的防御架構(gòu)避免各自為戰(zhàn)，以國內(nèi)外先進的可編程安全工具為基礎(chǔ)，形成新一代網(wǎng)絡(luò)安全產(chǎn)品，通過重新編輯將安全產(chǎn)品功能抽離，形成可定制的防御模板，通過“智能化、自動化、模塊化”的基于腳本對抗的可編程防御架構(gòu)，實現(xiàn)對應(yīng)用全生命周期的自動化持續(xù)監(jiān)控與響應(yīng)（如圖4所示）。

圖4 全棧防護

3.5 大數(shù)據(jù)建模能力

基于運營商海量用戶業(yè)務(wù)數(shù)據(jù)，在政府和公共服務(wù)、國防安全、交通、醫(yī)療、金融等行業(yè)面向客戶提供標(biāo)準(zhǔn)化數(shù)據(jù)標(biāo)簽，可應(yīng)用于風(fēng)險管控、精準(zhǔn)營銷等業(yè)務(wù)領(lǐng)域，助力行業(yè)客戶完善風(fēng)險防控手段，提高精細(xì)化運營能力［14-15］。政務(wù)云系統(tǒng)通過集成運營商億級多維度的大數(shù)據(jù)能力，將運營商數(shù)據(jù)與自有市政、各金融用戶維度數(shù)據(jù)相融合，結(jié)合安全多方計算、聯(lián)邦學(xué)習(xí)、機密計算等技術(shù)為政務(wù)云用戶輸出安全大數(shù)據(jù)方案。

4 5G智慧城市建設(shè)實例

在某市政數(shù)局以“連接+算力+能力”為構(gòu)建思路，構(gòu)建了政務(wù)外網(wǎng)+政務(wù)云+安全能力輸出的云網(wǎng)安一體化能力。在連接方面實現(xiàn)了5G+OTN 的雙引擎網(wǎng)絡(luò)，提供以業(yè)務(wù)為維度的切片隔離，保障專網(wǎng)數(shù)據(jù)安全；在算力方面實現(xiàn)了統(tǒng)一管理的政務(wù)云的落地，實現(xiàn)云網(wǎng)安全協(xié)同聯(lián)動；在能力方面，可以提供密碼資源池、零信任訪問管控、Web 全棧防護、安全大數(shù)據(jù)建模能力等安全能力，輸出統(tǒng)一封裝、靈活調(diào)用的“云網(wǎng)安能力服務(wù)”。

目前項目已經(jīng)落地，結(jié)合其電子政務(wù)外網(wǎng)服務(wù)項目實際情況，構(gòu)建了電子政務(wù)外網(wǎng)服務(wù)項目的安全運營體系，形成威脅預(yù)測、威脅防護、持續(xù)檢測、響應(yīng)處置的閉環(huán)安全工作流程，打造四位一體的安全運營機制。建成以來日均發(fā)現(xiàn)疑似攻擊1 萬余次，高風(fēng)險安全事件4.6 次，其中外網(wǎng)高危攻擊1.3 次，結(jié)合系統(tǒng)決策輔助與專家分析研判，均成功處置封禁，確保重大活動舉辦期間系統(tǒng)安全平穩(wěn)運行。

5 總結(jié)

本文提出了一種5G智慧城市泛在安全防護方案，該方案基于“連接+算力+能力”的基礎(chǔ)架構(gòu)，以構(gòu)建統(tǒng)一的“大安全”為基本思路，打造了運營平臺化、管理一體化、態(tài)勢可感知、事件可預(yù)警、事故可追溯、安全可閉環(huán)的5G 智慧城市安全防護能力體系。該能力體系包含云網(wǎng)安協(xié)同聯(lián)動、密碼資源池、零信任訪問管控、Web全棧防護和大數(shù)據(jù)建模能力等。未來，我們將在算力網(wǎng)絡(luò)、數(shù)字孿生網(wǎng)絡(luò)等方向進行深入研究，并提出適應(yīng)客戶業(yè)務(wù)發(fā)展的安全解決方案。