5G安全在智慧地鐵領域的技術研究

中國移動集團

0 引言

5G網絡的商業環境、應用場景、技術形態、網絡環境、監管要求等發生了很大的變化，從一個單一主體的網絡向多主體的網絡發展，從面向人的連接擴展到面向機器連接。在5G行業應用帶來生產效率和產品質量提升的同時，也帶來了新的安全挑戰，構建健全的網絡安全防護體系必不可少。

1 5G安全管理需求與智慧地鐵領域的安全風險分析

5G網絡為提高系統的靈活性和效率，引入新的技術，如NFV、網絡切片、邊緣計算、能力開放等，使得網絡的信任關系多樣化、架構和層次復雜化、邊界模糊化。由于5G網絡的引入打破了原有相對封閉的網絡環境，地鐵業務及管理數據與運營商的網絡數據匯聚在MEC上，基于數據安全的考慮，要求數據不出園區。為此，新技術、新特性的引入以及客戶新的需求，為5G+智慧地鐵網絡安全帶來了新的挑戰：

（1）設備安全：地鐵各子系統的各種設備在5G環境下，聯網更加便捷，組網更加靈活，面對終端設備“智能化、網絡化、扁平化”的發展趨勢，需要5G網絡在網絡層面做好設備的接入認證管理，否則將會導致通過終端設備進行網絡入侵成為可能。

（2）網絡安全：地鐵網絡向扁平化、無線化方向轉變，并引入了邊緣計算，組網方式更加靈活，網絡拓撲的變化更加多樣和復雜，接入的終端種類更加豐富，在5G環境下，同樣面臨傳統組網方式下的各類網絡安全問題，包括系統非法入侵、信息泄露、惡意程序、DDOS攻擊等。

（3）控制安全：由于地鐵控制系統對實時性和可靠性要求較高，開放的無線網絡難以保障超低時延業務所需要的時延與時延抖動。

（4）應用安全：在5G環境中，通過能力開放，構建統一開放的網絡能力平臺，通過標準API接口，把能力開放給地鐵應用，例如地鐵站室內高精度定位能力。因此，5G網絡的能力開放的安全性將會影響應用的安全性，如果能力開放接口協議設計不當，存在漏洞，則可能會被攻擊，造成應用無法正常運行，或者用戶敏感信息泄露。

（5）數據安全：地鐵業務應用復雜，數據種類和保護需求多樣，數據流動方向和路徑復雜，不僅對網絡的可靠、時延要求很高，而且對重要地鐵業務數據以及用戶數據保護的難度也會增大。在5G環境下，通過在邊緣部署MEC節點來減少數據傳輸時延，而MEC節點由于靠近地鐵站邊緣部署，在防護能力投入上低于傳統中心機房的防護投入，導致其遭到攻擊影響到數據的安全性的風險增加。

基于上述對5G網絡本身安全風險分析，在智慧地鐵建設應用中，需要通過網絡切片安全隔離、邊緣計算（MEC）安全防護、端到端數據安全保護來5G+智慧地鐵安全運行。

（1）網絡切片安全隔離需求：5G網絡切片為5G+智慧地鐵不同業務提供差異化安全服務,不同的網絡切片承載不同的5G+智慧地鐵業務，實現不同類型業務之間的邏輯隔離，滿足控制業務端到端超低延時和高可靠性要求。同時切片的特殊認證和PDU會話創建時的DN-AAA二次認證能防止非法終端接入到切片中。

（2）邊緣計算（MEC）安全防護需求。MEC部署于移動網絡的邊緣，提供超低時延的同時也能夠降低高帶寬業務的數據流對核心網的壓力。MEC將承載重要地鐵業務數據流量，同時作為邊緣云還會承擔相關的地鐵業務以及開放網絡能力，例如室內高精度定位業務，所以同樣面臨傳統的各類網絡安全問題，考慮性能、成本、部署靈活性要求等多種因素，還需要綜合增強MEC的安全防護能力，包括物理環境、網絡、系統及平臺、業務與應用等安全防護。

（3）端到端數據安全保護需求。網絡是基礎，數據是核心，安全是保障。5G+智慧地鐵數據將從傳統的少量、單一、單向數據逐步發展為大量、多維、雙向數據，5G+智慧地鐵用戶多樣化、設備多樣化、業務多樣化、平臺多樣化的網絡發展趨勢，使得地鐵業務數據在用戶、設備、業務、平臺之間持續動，導致傳統網絡安全邊界模糊，其遭到攻擊影響到數據的安全性的風險增加。因此，在5G環境下，需要通過網絡切片實現數據之間的安全隔離，為各類不同的數據提供差異化的安全保障能力，同時還需要對用戶進行接入認證和訪問控制，并對數據的存儲和傳輸進行加密。

2 5G網絡在智慧地鐵領域的安全技術

為應對5G引入后帶來的安全威脅，以縱深防御思想為核心，使用先進設計理念，采取專業安全設備，形成完善的綜合網絡安全防護體系。進而避免來自各種目的的攻擊、干擾和非法訪問。

總體安全體系建設技術原則包括：

外部進出5G邊緣計算區的流量都必須進行清洗和處理，將所有不

安全的或不符合安全規則的數據包屏蔽，以杜絕越權訪問，防止各類非法攻擊行為。

5G地鐵業務流匯聚在5G邊緣計算區，根據業務需求通過專線進入地鐵業務區。

5G數據控制流需要過濾清洗后才能接入5G核心網區。

2.1 多層次網絡切片隔離安全

5G網絡切片是基于無線接入網、承載網與核心網基礎設施，以及網絡虛擬化技術構建的一個面向不同業務特征的邏輯網絡，是上層的服務對網絡質量的需求和底層的基礎設施之間的橋梁。切片的目的是整合底層的資源，編排端到端的網絡來滿足服務對網絡質量的需求。將切片技術應用于地鐵業務，每個切片承載著特定的地鐵應用，

彼此相互隔離，可在網絡層面實現精細化管理。首先通過細分基礎網絡，構建不同粒度的切片域，顯著縮小被保護目標的攻擊面；其次能夠按照切片實施更細粒度、更嚴格的安全策略和更有針對性的管理手段，按需提供不同等級的安全服務；最后切片之間采用嚴格的隔離措施，一方面能夠防范威脅向其他切片擴散，控制威脅的影響范圍，另一方面也能夠控制故障和異常的影響范圍。

5G端到端切片需在無線、承載和核心網分別實現并完成子切片對接，貫通整個業務流程。

5G網絡包括eMBB、uRLLC、mMTC三種類型的業務，但在目前僅eMBB有標準支持，uRLLC和mMTC暫時都還沒有完整的標準。目前帶寬需求主要以上行為主，因此大部分業務以eMBB類型的切片就可以滿足業務需求。后續uRLLC標準完善后，可以將列車控制相關對時延要求較高的業務以uRLLC類型切片進行保障，將業務的SLA從150ms級別提升到幾十甚至十幾毫秒級別，提升列車控制業務的保障保準。mMTC適用于物聯網傳感器檢測，可以在站廳及區間布設物聯網傳感器，監控隧道環境變化，降低人工巡檢成本提升巡檢效率。

2.2 多元化邊緣計算（MEC）安全

MEC將云數據中心的計算能力下沉到了網絡邊緣，與云中心相比，邊緣設施的資源和能力相對有限，在MEC的總體架構中，為了實現各個層次的互操作性（CT能力、MEC平臺、邊緣應用），使得MEC面臨更多的安全風險。針對MEC的安全風險，突出基于分層的MEC安全架構，從基礎網絡、基礎設施、虛擬化層、MEC平臺、UPF、MECAPP生命周期、管理安全等多維度應對MEC面臨的安全挑戰。

（1）網絡安全。與傳統的組網安全原則相同，包含三平面的安全隔離、安全域的劃分和安全隔離。在網絡部署時，將管理面、數據業務面以及帶外管理進行物理隔離，并通過不同的物理交換機進行匯聚或通過劃分不同的VLAN/VXLAN進行隔離MEC內部劃分不同的資源池，對資源池進行安全域劃分并執行不同安全等級的安全域之間的隔離以及邊界防護，通過部署vFW或者硬件防火墻實現不同安全域之間的安全隔離，保證安全風險不在業務、數據和管理面之間、安全域之間擴散。

（2）基礎設施安全。針對基礎設施的安全威脅，在物理基礎設施安全方面，邊緣計算部署的機房通過加鎖、視頻監控、人臉識別以及人員管理等保證物理環境安全，遵循通用安全中的物理環境安全設計要求。同時通過如下的安全措施保障服務器或主機的安全。服務器開啟防盜防拆、惡意斷電、設備重啟及網絡端口的告警禁用硬件服務器的本地串口、本地調試口、USB接口等本地維護端口，防止惡意攻擊者的接入和破壞；服務器的I/O開啟訪問控制，并采用IEEE802.1X協議，對連接的物理設備進行認證，防止不安全的、非法的或者偽裝的網絡設備接入到邊緣計算網絡中。在虛擬基礎設施安全方面，通過對HostOS、虛擬化軟件、GuestOS進行安全加固，防止鏡像被篡改，同時加強虛擬機之間的隔離，對不安全的設備進行嚴格隔離，防止用戶流量流入惡意虛擬機中。

（3）平臺安全。通過MEC平臺提供了移動邊緣應用（室內高精度定位）部署和運行涉及的環境和服務，包括邊緣應用發現、通告、消費和提供邊緣服務的環境。在傳輸鏈路沒有物理保護的情況下，MEC平臺與外部網元之間的接口啟用安全隧道，對其傳輸的數據進行加密和完整性保護，通信雙方進行雙向驗證。MEC平臺對來自邊緣APP的訪問開啟認證和授權，對數據進行機密性、完整性、防重放保護。MEC平臺本身通過漏洞及端口掃描以確認是否關閉不必要的端口和服務。

（4）業務與應用安全。網絡虛擬化后，MEC應用（MEAPP）以虛擬化網絡功能VNF的方式運行在NFV基礎設施上。通過對APP使用的資源進行隔離，對APP鏡像和鏡像倉庫具有完整性和機密性、訪問控制保護。MEC系統對MEAPP提供包括身份安全、鏡像安全、終止安全其生命周期的安全防護。

（5）管理與運維安全。通過用戶管理和權限管理提供了控制如何安全地管理和訪問系統機制，使不同類別的操作員具有不同的操作權限。這限制了未經授權的和錯誤的操作，增加了系統安全性，并確保了用戶數據的完整性。

MEC具有日志維護功能，用來詳細記錄系統運行狀態和操作員的操作行為，使系統易于維護和管理。

2.3 端到端數據安全保護

智慧地鐵應用數據在傳輸、存儲過程中存在被竊聽、篡改、泄露等安全威脅。為降低5G+智慧地鐵應用中數據安全風險，通過多種終端類型雙向接入認證、訪問控制、數據傳輸安全、數據存儲安全等方面提供了嚴密的數據端到端安全保護措施。

（1）多種終端類型雙向接入認證。通過5G網絡實現對地鐵各類應用的各種終端類型接入，包括各類傳感器、CCTV、X光安檢機、電子引導屏、邊門和綜合安檢等。為具備不同安全能力的終端提供統一接入認證，根據安全等級的不同配置接入認證，保證接入網絡的用戶的合法性。并提供雙向認證機制，保證用戶和網絡之間的相互可信，才能防止地鐵業務數據泄露或被篡改。

5G網絡基于統一的認證框架提供用戶和網絡之間的雙向認證，屏蔽接入差異，并支持3GPP和非3GPP接入。不管是3GPP接入還是非3GPP接入，都支持EAPAKA'和5GAKA兩種認證方法，在非3GPP接入時，使用名為“EAP-5G”的特定于供應商的EAP方法利用“擴展”EAP類型用于封裝NAS消息。

主認證之后，5G網絡可以根據策略觸發切片特殊認證，和運營商或第三方的AAA進行對接認證，在創建PDU會話時，還可以進行地鐵AAA的二次認證，認證通過后才能訪問切片數據網絡。

雙向認證保證用戶和網絡之間的相互可，5G鑒權過程增強了歸屬網的控制，防止拜訪網中可能存在的欺詐，除了鑒權機制，還可以關聯鑒權與后續登記過程實現進一步的防欺詐防護；

鑒權完成后，AUSF可以向UDM上報最近鑒權時間、鑒權結果；UDM接收到后續注冊請求后，檢查是否有最近一段時間內的鑒權過程，如果沒有，拒絕注冊并指示立即進行一次鑒權。

（2）訪問控制安全。數據分類分級：2020年2月27日，工業和信息化部辦公廳印發了《工業數據分類分級指南（試行）》，地鐵應用數據可以依照《工業數據分類分級指南（試行）》進行數據的分類與分級。主要可以分為研發數據域、生產數據域、運維數據域、管理數據域、外部數據域五大類數據，5G+智慧地鐵的應用，主要涉及到生產數據域（閘機控制信息、高精度室內定位數據）和管理數據域數據（系統設備資產信息、監控視頻數據）。根據不同類別數據遭篡改、破壞、泄露或非法利用后，可能對生產、經濟效益等帶來的潛在影響，將數據分為一級、二級、三級等3個級別。三級級別最高，易引發特別重大生產安全事故或突發環境事件，或造成直接經濟損失特別巨大的數據。

網絡縱深防御：按需部署WAF、防病毒、數據庫安全網關和數據防泄露系統等相關安全設備來實現檢測網絡中的異常活動并進行縱深防御。

安全訪問策略：在用戶接入切片時，需要進行切片認證，以驗證用戶接入切片的權限，并嚴格定義數據訪問權限，防止非授權用戶接入網絡切片，竊取信息或破壞切片正常運行。同時在終端、存儲、網絡區域邊界進實時監測網絡中傳輸的信息，自動識別是否存在敏感信息正在通過郵件、網站瀏覽等方式向外傳播，并且根據安全策略來決定是只進行審計，還是既審計，同時還要進行阻斷。

（3）數據傳輸安全。通過MEC內部邊界安全隔離，實現數據不出地鐵網絡，在MEC部署、業務運行過程中，對MEC應用可能涉及的數據進行識別，包括用戶的標識、接入位置等。在數據產生和處理過程中，可根據數據的敏感度進行分類，建立不同安全域間的加密傳輸鏈路。對地鐵高價值資產數據，在空口、UE和MEC之間使用IPSec/TLS等安全傳輸方式，對需要保護的信息進行機密性和完整性保護，避免傳輸過程中數據泄露或被篡改。

（4）數據存儲安全。對安全要求高的數據采用加密方式存儲。根據不同的安全級別采用差異化的數據安全技術，對數據使用方進行授權和驗證，保證數據使用的目的和范圍符合安全策略。建立數據備份恢復機制，根據數據冗余強一致性、弱一致性等控制策略與規范，實現不同一致性水平需求的數據副本多樣性、多變性和多種壓縮策略存儲管理，定期測試數據恢復程序。

（5）個人數據保護。在個人數據保護方面，遵循合法和透明、最小范圍、完整性和保密性、可追責等原則，對數據處理、分析和使用，服從GDPR、中國《網絡安全法》等法律法規要求，結合數據操作對象的認證、授權等方式規范數據的處理使用，并對操作過程進行記錄。如果涉及數據隱私，在使用之前對數據進行靜態或動態脫敏處理。

5G網絡中涉及的個人數據包括用戶標識以及其他簽約信息（SUPI/SUCI/IMSI、IMEI、MS-ISDN等）、用戶位置信息（LAI、CI等）、用戶IP地址、用戶通信數據（包含與DN網絡交互的所有信息）等。

3 結語

5G及5G安全在城市軌道交通的商用，這對于城市軌道交通發展將是革命性的。其一，將推動既有系統配置的優化和調整；其二，將5G及安全技術融入運控體系中，可大大提高系統的響應性能、運作能力和安全性；其三，將提升運維保障、客運服務的技術應用水平，促進大數據與作業體系、管理體系、應急體系的融合和支撐，從而優化整個運作環境。

本文基于5G網絡在智慧地鐵安全技術及體系研究，有效促進切片技術的成熟和應用，推進5GSA網絡應用深入千行百業，同時提高5G網絡利用率，降低社會的網絡應用成本，進一步支撐軌道交通數字化轉型的發展。