作者：江蘇分中心 董宏偉
國家互聯(lián)網(wǎng)應(yīng)急中心 張冰
5G有別于前幾代移動(dòng)通信，因?yàn)?G最終將帶來技術(shù)和網(wǎng)絡(luò)架構(gòu)的重大變化，并為用戶如何通過維護(hù)網(wǎng)絡(luò)安全來保障其網(wǎng)絡(luò)技術(shù)和網(wǎng)絡(luò)架構(gòu)提供了新的課題。定義下一代移動(dòng)通信的規(guī)則在很大程度上是由3GPP制定的。5G不僅是速度的再次提升，它的最終目的是讓網(wǎng)絡(luò)具備新的功能，比如網(wǎng)絡(luò)切片（網(wǎng)絡(luò)切片為流量創(chuàng)建獨(dú)立的場(chǎng)域，然后可以為用戶分配具有可自定義帶寬和服務(wù)質(zhì)量的切片）。5G最終還將具有支持?jǐn)?shù)百萬終端設(shè)備的能力，這種密度將使大規(guī)模物聯(lián)網(wǎng)（IoT）部署能夠以超低延遲連接成為可能。5G與前幾代移動(dòng)通信不同，它正在設(shè)計(jì)內(nèi)置的安全功能。增強(qiáng)的無線加密是3GPP 5G標(biāo)準(zhǔn)的一部分，網(wǎng)絡(luò)供應(yīng)商將能夠使用最新的加密方案來增強(qiáng)安全性。用戶身份隱私保護(hù)將有助于確保5G設(shè)備連接到正確的網(wǎng)絡(luò)，從而降低盜竊移動(dòng)用戶身份（IMSI）號(hào)碼的設(shè)備的風(fēng)險(xiǎn)。然而，僅靠5G還不足以滿足所有業(yè)務(wù)安全需求，用戶必須繼續(xù)保持安全意識(shí)，并采取行動(dòng)保護(hù)其網(wǎng)絡(luò)。
從安全的角度來說，超大流量、數(shù)據(jù)爆炸，使得安全隱患更難以識(shí)別。這種風(fēng)險(xiǎn)來自于外部，也來自于內(nèi)部。外部主要是安全漏洞，是否會(huì)成為黑客攻擊的途徑。5G時(shí)代，因?yàn)榱髁看蠛蛿?shù)據(jù)多，安全漏洞也可能更多，遭遇攻擊后也可能造成更大的后果。 內(nèi)部則是大流量海量數(shù)據(jù)對(duì)內(nèi)部服務(wù)器的壓力更大，服務(wù)器也增加了癱瘓的風(fēng)險(xiǎn)。海量多樣化的終端，數(shù)以億萬計(jì)的終端接入，給這些終端的控制和管理帶了新的難度。所有的設(shè)備都需要進(jìn)行認(rèn)證才能接入，這是一個(gè)基本原則。但是面對(duì)如此多的設(shè)備，而且很多設(shè)備尤其是物聯(lián)網(wǎng)設(shè)備，都是弱終端。所謂弱終端，就是簡(jiǎn)單的設(shè)備，沒有我們智能手機(jī)那么強(qiáng)大的CPU和內(nèi)存以及網(wǎng)絡(luò)能力，甚至就是一個(gè)小單片機(jī)帶著傳感器和窄帶的基帶芯片，所以計(jì)算能力有限，可能就進(jìn)行簡(jiǎn)單認(rèn)證。通常我們的智能設(shè)備的認(rèn)證很多都是雙向認(rèn)證，認(rèn)證的雙方都要保證對(duì)方是可靠的才通過認(rèn)證，但是在弱終端的情況下，為了保證接入的效率，可能就是單向認(rèn)證，其中一方是可靠的，另一方就未必了，這下風(fēng)險(xiǎn)就來了。
一、虛擬化安全
隨著5G技術(shù)的不斷發(fā)展，虛擬化安全作為一項(xiàng)必備技術(shù)逐步浮出水面，企業(yè)應(yīng)利用這項(xiàng)技術(shù)為5G發(fā)展提供優(yōu)勢(shì)，這包括軟件定義的網(wǎng)絡(luò)（SDN）和網(wǎng)絡(luò)功能虛擬化（NFV）等。然而，當(dāng)前絕大多數(shù)網(wǎng)絡(luò)服務(wù)提供者暫未開始啟動(dòng)虛擬化安全技術(shù)。在5G發(fā)展過程中，配備虛擬化安全技術(shù)至關(guān)重要，因?yàn)樘摂M化安全具有強(qiáng)大功能。虛擬化安全可以快速部署到任意網(wǎng)絡(luò)位置，當(dāng)發(fā)現(xiàn)一種新的攻擊類型時(shí)，網(wǎng)絡(luò)的“免疫系統(tǒng)”可以通過啟動(dòng)防火墻等安全元素立即做出響應(yīng)，關(guān)鍵是該響應(yīng)可以自動(dòng)化，而減少了人工響應(yīng)的時(shí)間。5G可能將更多的設(shè)備接入網(wǎng)絡(luò)，從而增加新威脅的可能性，而依靠人工更新的系統(tǒng)安全將面臨增加的挑戰(zhàn)。在很大程度上，為了適應(yīng)5G網(wǎng)絡(luò)的使用范圍和運(yùn)行速度，安全防護(hù)是需要?jiǎng)討B(tài)化和自動(dòng)化的，這必然要求虛擬化安全的介入。此外，虛擬化安全有助于補(bǔ)充和實(shí)現(xiàn)對(duì)未知的未來威脅的靈活響應(yīng)，并且可靈活更新安全策略以對(duì)抗新進(jìn)化的攻擊策略。虛擬化安全還能夠確保5G系統(tǒng)在策略覆蓋范圍內(nèi)對(duì)所應(yīng)用的安全策略實(shí)現(xiàn)全方位的更改，這樣可以避免出現(xiàn)在人工應(yīng)對(duì)不及時(shí)的情況下，沒有對(duì)所有區(qū)域內(nèi)的新威脅和新漏洞進(jìn)行加固，從而出現(xiàn)網(wǎng)絡(luò)孤島的情況。對(duì)于網(wǎng)絡(luò)提供商及其企業(yè)客戶而言，虛擬化安全可能是與5G安全相關(guān)的最關(guān)鍵的一步。當(dāng)前，互聯(lián)網(wǎng)企業(yè)變得越來越分散，網(wǎng)絡(luò)安全防護(hù)需要遵循這一趨勢(shì)。當(dāng)然，對(duì)于初創(chuàng)型的互聯(lián)網(wǎng)企業(yè)，可以通過購買服務(wù)進(jìn)行網(wǎng)絡(luò)托管的方式來將虛擬安全委托給安全服務(wù)商進(jìn)行操作，這樣可以減少初創(chuàng)型互聯(lián)網(wǎng)企業(yè)布置相關(guān)技術(shù)所需要的經(jīng)濟(jì)成本。
二、終端安全
5G技術(shù)的大規(guī)模應(yīng)用，可能會(huì)將更多設(shè)備連接到網(wǎng)絡(luò)，從而使得終端安全變得更為突出。隨著更多的設(shè)備接入到互聯(lián)網(wǎng)，5G網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)正在發(fā)生改變。我們不能再假設(shè)流量是通過諸如Internet網(wǎng)關(guān)之類的關(guān)鍵點(diǎn)進(jìn)入網(wǎng)絡(luò)的。在設(shè)備設(shè)備認(rèn)證方面，即使標(biāo)準(zhǔn)變得更嚴(yán)格，似乎大多數(shù)互聯(lián)網(wǎng)企業(yè)都急于降低成本，只會(huì)滿足最低限度的終端安全要求。我們可以預(yù)計(jì)，物聯(lián)網(wǎng)設(shè)備將繼續(xù)存在出廠默認(rèn)密碼等漏洞。因此，互聯(lián)網(wǎng)企業(yè)需要承擔(dān)一些防范惡意程序攻擊的責(zé)任。值得注意的是，由于網(wǎng)絡(luò)終端設(shè)備數(shù)量的增加，更強(qiáng)大的分布式拒絕服務(wù)（DDoS）攻擊顯然是多數(shù)互聯(lián)網(wǎng)企業(yè)不太關(guān)心的問題。這可能是因?yàn)閲@DDoS攻擊的媒體宣傳鋪天蓋地，互聯(lián)網(wǎng)企業(yè)可能已經(jīng)用盡了他們的DDoS保護(hù)措施。即便如此，考慮到惡意行為者有更多的設(shè)備和帶寬可供使用，密集攻擊可能會(huì)達(dá)到新的峰值。如果還未部署相關(guān)安全策略，互聯(lián)網(wǎng)企業(yè)應(yīng)該無法確保他們的DDoS防御能夠合理地處理難以預(yù)見的攻擊。
三、身份認(rèn)證安全
隨著5G可能給網(wǎng)絡(luò)帶來的連接設(shè)備數(shù)量的增加，用戶越來越擔(dān)心身份認(rèn)證問題，這引起了有關(guān)身份認(rèn)證安全的問題。隨著更多設(shè)備從更多位置訪問網(wǎng)絡(luò)，包括多接入邊緣計(jì)算（MEC）節(jié)點(diǎn)，人們自然會(huì)擔(dān)心誰可能在網(wǎng)絡(luò)上，以及已授予他們哪些權(quán)限。零信任安全模型可以通過不斷檢查用戶的存在和行為（無論該用戶是人還是機(jī)器）來解決其中的一些問題。MEC的主要目的是通過消除地理距離來減少網(wǎng)絡(luò)延遲，MEC將計(jì)算節(jié)點(diǎn)放置在客戶端附近的網(wǎng)絡(luò)的邊緣，而不是遠(yuǎn)處的云端。該邊緣可能位于服務(wù)提供商網(wǎng)絡(luò)上、數(shù)據(jù)中心內(nèi)部或者在企業(yè)場(chǎng)所中，但是這為數(shù)據(jù)泄露和惡意軟件侵入提供了新的潛在位置，這個(gè)位置可能源于受信任用戶的訪問。此外，處于網(wǎng)絡(luò)邊緣的物聯(lián)網(wǎng)設(shè)備可能會(huì)攜帶未注意和未修補(bǔ)的漏洞。與此相關(guān)的是，多因素身份驗(yàn)證（MFA）是進(jìn)行身份管理的有效工具。但是，互聯(lián)網(wǎng)用戶采用它的速度很慢。為此，建議5G網(wǎng)絡(luò)中的多邊緣計(jì)算采用分布式安全控制，這再次強(qiáng)調(diào)了安全虛擬化的重要性，網(wǎng)絡(luò)安全人員可以使用它避免遭受在網(wǎng)絡(luò)邊緣突然發(fā)起的攻擊。同時(shí)，還要考慮到按需擴(kuò)展網(wǎng)絡(luò)防火墻，或者在早期階段檢測(cè)出并有效應(yīng)對(duì)DDoS攻擊。5G服務(wù)提供商也可以幫助確認(rèn)設(shè)備身份，因?yàn)榫W(wǎng)絡(luò)將獲知設(shè)備的物理位置。
總而言之，5G有望為互聯(lián)網(wǎng)用戶帶來令人興奮的新機(jī)遇，但也將迎來新的安全風(fēng)險(xiǎn)。對(duì)此，我們應(yīng)當(dāng)審慎的預(yù)測(cè)新技術(shù)可能帶來的安全風(fēng)險(xiǎn)，并積極的應(yīng)對(duì)措施，創(chuàng)建一種可以適應(yīng)5G網(wǎng)絡(luò)速度下的安全態(tài)勢(shì)，這意味著我們必須要預(yù)判潛在的新威脅并為此提供相應(yīng)的解決方案。
