面向垂直行業(yè)的5G網(wǎng)絡(luò)安全分級(jí)技術(shù)

（中國(guó)信息通信研究院，北京 100191）

0 引言

作為新一輪科技革命的核心技術(shù)之一，5G 發(fā)展受到國(guó)家和相關(guān)部委高度重視。2019 年11 月，工信部印發(fā)《“5G+工業(yè)互聯(lián)網(wǎng)”512 工程推進(jìn)方案》，明確提出到2022 年突破一批面向工業(yè)互聯(lián)網(wǎng)特定需求的5G 關(guān)鍵技術(shù)；2020 年3 月，發(fā)改委、工信部印發(fā)《關(guān)于組織實(shí)施2020 年新型基礎(chǔ)設(shè)施建設(shè)工程（寬帶網(wǎng)絡(luò)和5G 領(lǐng)域）的通知》，指出將重點(diǎn)支持7 大領(lǐng)域5G 創(chuàng)新應(yīng)用提升工程；2020 年3 月，工信部印發(fā)《工業(yè)和信息化部關(guān)于推動(dòng)5G加快發(fā)展的通知》，明確全力推進(jìn)5G 網(wǎng)絡(luò)建設(shè)、應(yīng)用推廣、技術(shù)發(fā)展和安全保障；2020 年5 月，國(guó)資委明確提出加快以5G 網(wǎng)絡(luò)為首的七大“新基建”政策要求，“加強(qiáng)新型基礎(chǔ)設(shè)施建設(shè)，發(fā)展新一代信息網(wǎng)絡(luò)，拓展5G 應(yīng)用”被寫入2020 年政府工作報(bào)告。

自2019 年6 月正式發(fā)放5G 商用牌照以來(lái)，我國(guó)5G商用進(jìn)程進(jìn)展迅速。5G 超大帶寬、超低時(shí)延、海量連接的特性，為工業(yè)互聯(lián)網(wǎng)、車聯(lián)網(wǎng)等新型基礎(chǔ)設(shè)施建設(shè)和融合創(chuàng)新應(yīng)用提供了關(guān)鍵支撐和重要機(jī)遇，為行業(yè)數(shù)字化帶來(lái)了廣闊的發(fā)展空間。不過(guò)，垂直行業(yè)應(yīng)用的高業(yè)務(wù)價(jià)值、行業(yè)應(yīng)用多樣化等特征，使得5G 與垂直行業(yè)深度融合發(fā)展的同時(shí)也面臨著新的安全風(fēng)險(xiǎn)與挑戰(zhàn)，需要通過(guò)5G 安全分級(jí)技術(shù)來(lái)應(yīng)對(duì)，以便提升行業(yè)網(wǎng)絡(luò)整體安全能力。

1 5G行業(yè)應(yīng)用安全挑戰(zhàn)及需求

1.1 5G行業(yè)應(yīng)用安全挑戰(zhàn)

垂直行業(yè)高業(yè)務(wù)價(jià)值可能會(huì)引發(fā)更多攻擊風(fēng)險(xiǎn)。在行業(yè)領(lǐng)域，數(shù)據(jù)信息涉及企業(yè)商業(yè)秘密、個(gè)人隱私，被非法獲取、利用后，對(duì)社會(huì)秩序、公共利益乃至國(guó)家安全可能帶來(lái)嚴(yán)重?fù)p害。行業(yè)應(yīng)用需要面對(duì)的安全威脅由傳統(tǒng)的個(gè)人黑客技術(shù)性單點(diǎn)攻擊逐步向商業(yè)性、有組織的高級(jí)持續(xù)攻擊轉(zhuǎn)變，部分攻擊可能以國(guó)家安全數(shù)據(jù)、商業(yè)機(jī)密等為目標(biāo)，以操縱市場(chǎng)、取得戰(zhàn)略優(yōu)勢(shì)，損害關(guān)鍵基礎(chǔ)設(shè)施為出發(fā)點(diǎn)。

同時(shí)，5G 新技術(shù)應(yīng)用于行業(yè)領(lǐng)域，需要滿足前所未有的海量連接場(chǎng)景需求，也面臨新的安全挑戰(zhàn)，主要包括：云辦公、云游戲、增強(qiáng)現(xiàn)實(shí)、3D 視頻等增強(qiáng)移動(dòng)寬帶場(chǎng)景下，網(wǎng)絡(luò)邊緣數(shù)據(jù)流量大幅提升，邊緣部署增多，導(dǎo)致傳統(tǒng)安全邊界設(shè)備面臨較大挑戰(zhàn)，邊緣計(jì)算成為新的安全焦點(diǎn)；工業(yè)控制、遠(yuǎn)程手術(shù)、自動(dòng)駕駛的實(shí)時(shí)控制、人機(jī)交互等場(chǎng)景要求5G 網(wǎng)絡(luò)和設(shè)備高度可靠；大規(guī)模物聯(lián)網(wǎng)場(chǎng)景下，存在海量低功耗終端，限制了安全特性的部署，易被攻擊利用。因此，5G 新技術(shù)驅(qū)動(dòng)行業(yè)變革的同時(shí)也迎來(lái)新的安全挑戰(zhàn)。

再者，5G 承載的行業(yè)應(yīng)用因需求的多樣化，針對(duì)信息安全三要素CIA（機(jī)密性、完整性和可用性）的安全策略也存在差異化需求，例如工業(yè)制造要求高可用性，數(shù)據(jù)不出園區(qū)；遠(yuǎn)程醫(yī)療要求高度的用戶隱私數(shù)據(jù)保護(hù)；而車聯(lián)網(wǎng)要求匿名認(rèn)證、防跟蹤等。

1.2 5G行業(yè)應(yīng)用安全需求

5G 行業(yè)應(yīng)用安全需求可以分為兩大類：一類是基本安全需求，主要是指工作場(chǎng)景、安全保障目標(biāo)與傳統(tǒng)公眾通信網(wǎng)絡(luò)相同的安全需求，通過(guò)繼承當(dāng)前通信網(wǎng)絡(luò)安全保障技術(shù)即可滿足；另一類是高級(jí)安全需求，主要是指為應(yīng)對(duì)新的行業(yè)應(yīng)用場(chǎng)景、高資產(chǎn)價(jià)值帶來(lái)的安全風(fēng)險(xiǎn)，在基本需求基礎(chǔ)之上的安全需求，需提供更高保障的安全能力才能滿足。

3GPP 5G 面向公眾通信網(wǎng)絡(luò)的安全目標(biāo)和4G 是一致的，都是保證網(wǎng)絡(luò)和數(shù)據(jù)的機(jī)密性、完整性和可用性，基于這個(gè)目標(biāo)能夠滿足行業(yè)通用安全需求。5G 網(wǎng)絡(luò)面臨的主要威脅和挑戰(zhàn)也和4G 網(wǎng)絡(luò)基本一致，不過(guò)還需要額外考慮新業(yè)務(wù)、新架構(gòu)、新技術(shù)給5G 網(wǎng)絡(luò)帶來(lái)的新安全挑戰(zhàn)。5G 網(wǎng)絡(luò)安全繼承了4G 網(wǎng)絡(luò)分層分域的安全架構(gòu)，并基于4G 網(wǎng)絡(luò)存在的安全脆弱點(diǎn)進(jìn)行了增強(qiáng)，面向5G網(wǎng)絡(luò)的3GPP 安全通用技術(shù)要求[1]（3GPP TS 33.501）在空口數(shù)據(jù)傳輸、隱私保護(hù)、認(rèn)證授權(quán)等方面定義了更強(qiáng)、更加靈活的安全保障機(jī)制。

行業(yè)應(yīng)用對(duì)5G 網(wǎng)絡(luò)提出了九大安全需求，分別是：終端身份安全和訪問(wèn)授權(quán)、網(wǎng)絡(luò)分域、安全隔離、數(shù)據(jù)機(jī)密性和完整性、空口通信安全、隱私保護(hù)、網(wǎng)絡(luò)韌性和安全態(tài)勢(shì)感知、網(wǎng)絡(luò)設(shè)備安全可信、技術(shù)自主可控和產(chǎn)品生命周期安全。這九大安全需求均可進(jìn)一步細(xì)分出基本安全需求和高安全需求。

2 面向垂直行業(yè)提供5G安全分級(jí)能力

2.1 5G安全分級(jí)依據(jù)及目標(biāo)

無(wú)論是在國(guó)家監(jiān)管層面還是垂直行業(yè)自身安全保障層面，相關(guān)法律法規(guī)和行業(yè)標(biāo)準(zhǔn)均對(duì)信息網(wǎng)絡(luò)和系統(tǒng)定義了分級(jí)要求，例如等級(jí)保護(hù)2.0[2]、電信網(wǎng)和互聯(lián)網(wǎng)網(wǎng)絡(luò)安全防護(hù)分級(jí)相關(guān)標(biāo)準(zhǔn)等。垂直行業(yè)網(wǎng)絡(luò)的運(yùn)營(yíng)者應(yīng)當(dāng)按照相關(guān)分級(jí)要求，履行法律法規(guī)和行業(yè)標(biāo)準(zhǔn)中規(guī)定的安全保護(hù)義務(wù)，部署與之匹配的安全能力，保障網(wǎng)絡(luò)免受干擾、破壞或者未經(jīng)授權(quán)的訪問(wèn)，防止網(wǎng)絡(luò)數(shù)據(jù)泄露或者被竊取、篡改。

“電信網(wǎng)和互聯(lián)網(wǎng)安全防護(hù)體系”系列標(biāo)準(zhǔn)，針對(duì)電信網(wǎng)和互聯(lián)網(wǎng)網(wǎng)絡(luò)安全防護(hù)體系中的網(wǎng)絡(luò)和系統(tǒng)，結(jié)合各類業(yè)務(wù)系統(tǒng)特點(diǎn)，根據(jù)社會(huì)影響力、規(guī)模和服務(wù)范圍、所提供服務(wù)的重要性三個(gè)相互獨(dú)立的定級(jí)要素將網(wǎng)絡(luò)/系統(tǒng)單元?jiǎng)澐譃? 個(gè)安全等級(jí)，并提出了針對(duì)性的安全防護(hù)要求。

等級(jí)保護(hù)2.0 面向網(wǎng)絡(luò)基礎(chǔ)設(shè)施、重要信息系統(tǒng)、云計(jì)算平臺(tái)、大數(shù)據(jù)系統(tǒng)、物聯(lián)網(wǎng)系統(tǒng)、工業(yè)控制系統(tǒng)、采用移動(dòng)互聯(lián)技術(shù)的系統(tǒng)等，對(duì)信息網(wǎng)絡(luò)、信息系統(tǒng)、網(wǎng)絡(luò)上的數(shù)據(jù)和信息，按照重要性和遭受損壞后的危害性分成五個(gè)安全保護(hù)等級(jí)，從第一級(jí)到五級(jí)，逐級(jí)增高。

國(guó)際電工委員會(huì)（IEC）的工控系統(tǒng)安全標(biāo)準(zhǔn)（IEC 62443），也定義了分級(jí)安全策略，將安全級(jí)別分為4 個(gè)等級(jí)，分別是S1（抵御偶然的攻擊，非主動(dòng)泄密）、S2（抵御簡(jiǎn)單的故意攻擊）、S3（抵御簡(jiǎn)單的調(diào)用中等規(guī)模資源的故意攻擊）和S4（抵御復(fù)雜的調(diào)用大規(guī)模資源的故意攻擊，對(duì)應(yīng)持續(xù)的國(guó)家層面攻擊），并對(duì)每個(gè)級(jí)別定義了特定的安全要求，例如S2 級(jí)要求如果行業(yè)網(wǎng)絡(luò)部署公鑰基礎(chǔ)設(shè)施（PKI），ICT（信息通信技術(shù)）設(shè)備需要對(duì)接行業(yè)的PKI 系統(tǒng)，S3、S4 級(jí)要求有硬件可信根。5G-ACIA（5G 互聯(lián)產(chǎn)業(yè)與自動(dòng)化聯(lián)盟）在工業(yè)系統(tǒng)安全防護(hù)中引用了該系列標(biāo)準(zhǔn)。

需滿足分級(jí)要求的垂直行業(yè)應(yīng)用如果使用5G 網(wǎng)絡(luò)來(lái)承載，則在保證行業(yè)自身的信息系統(tǒng)網(wǎng)絡(luò)滿足安全要求的基礎(chǔ)上，還需要作為基礎(chǔ)網(wǎng)絡(luò)的5G 網(wǎng)絡(luò)能夠提供支撐行業(yè)滿足相應(yīng)分級(jí)要求的安全能力。

5G 安全分級(jí)有助于運(yùn)營(yíng)商和行業(yè)用戶加強(qiáng)理解、拉通安全需求、在安全語(yǔ)言和安全能力上對(duì)齊，有助于用最佳性價(jià)比的安全方案滿足行業(yè)要求，有助于給行業(yè)提供模板化的安全能力集合，促進(jìn)基礎(chǔ)網(wǎng)絡(luò)和業(yè)務(wù)系統(tǒng)安全地快速集成部署。

向垂直行業(yè)提供5G 網(wǎng)絡(luò)安全分級(jí)能力的目標(biāo)是：拉通通信網(wǎng)絡(luò)、行業(yè)應(yīng)用網(wǎng)絡(luò)安全需求，滿足行業(yè)網(wǎng)絡(luò)的差異化安全需求，使能行業(yè)5G 網(wǎng)絡(luò)快速部署和推廣應(yīng)用。

2.2 5G安全分級(jí)原則及策略

5G 網(wǎng)絡(luò)安全定級(jí)的原則是作為基礎(chǔ)設(shè)施的5G 網(wǎng)絡(luò)之安全要求不低于其承載的行業(yè)網(wǎng)絡(luò)安全定級(jí)。同時(shí)，依據(jù)《網(wǎng)絡(luò)安全法》第三十一條要求，針對(duì)國(guó)家關(guān)鍵信息基礎(chǔ)設(shè)施實(shí)行重點(diǎn)保護(hù)。

5G 安全能力分級(jí)策略如圖1 所示，面向行業(yè)的5G 網(wǎng)絡(luò)安全能力可分為5 個(gè)級(jí)別的安全能力集，其中依據(jù)安全等級(jí)三級(jí)系統(tǒng)/網(wǎng)絡(luò)是否為關(guān)鍵信息基礎(chǔ)設(shè)施，細(xì)分為安全等級(jí)3 級(jí)—非關(guān)鍵信息基礎(chǔ)設(shè)施和安全等級(jí)3 級(jí)—關(guān)鍵信息基礎(chǔ)設(shè)施。5G 網(wǎng)絡(luò)作為垂直行業(yè)網(wǎng)絡(luò)基礎(chǔ)，需要支持行業(yè)滿足安全分級(jí)保護(hù)要求，提供充分的安全保障能力。

圖1 5G安全能力分級(jí)策略

圖1 中，將5G 網(wǎng)絡(luò)安全能力分為5 個(gè)級(jí)別的安全能力集，分別為SL1～5，形成對(duì)應(yīng)的映射關(guān)系。其中，一級(jí)（SL1）提供基本安全能力，之后每一級(jí)都在前一級(jí)的基礎(chǔ)上進(jìn)行安全能力增強(qiáng)。具體如下：SL1 級(jí)安全能力集，提供基本安全能力，初步的信息安全認(rèn)證授權(quán)和訪問(wèn)控制措施，基本的安全入侵檢測(cè)能力，采取多種方式保護(hù)系統(tǒng)和數(shù)據(jù)信息安全屬性；SL2 級(jí)安全能力集，在SL1 級(jí)基礎(chǔ)上，增強(qiáng)安全事件監(jiān)測(cè)和審計(jì)，根據(jù)監(jiān)測(cè)審計(jì)結(jié)果進(jìn)行異常處置的能力，增加敏感數(shù)據(jù)保護(hù)的基本能力；SL3級(jí)安全能力集，在SL2 級(jí)基礎(chǔ)上，構(gòu)建較為完善的態(tài)勢(shì)感知系統(tǒng)，采用包括硬件可信根、高強(qiáng)度密碼算法在內(nèi)的增強(qiáng)技術(shù)措施，增加支持產(chǎn)品生命周期基本安全要求等；SL4 級(jí)安全能力集，在SL3 級(jí)基礎(chǔ)上，提升空口安全檢測(cè)能力，增加支持行業(yè)可控的認(rèn)證管理和訪問(wèn)權(quán)限控制，提升安全風(fēng)險(xiǎn)自動(dòng)化檢測(cè)、響應(yīng)和恢復(fù)處置能力；SL5 級(jí)安全能力集，在SL4 級(jí)基礎(chǔ)上，強(qiáng)化技術(shù)自主可控要求，增加運(yùn)行期應(yīng)用動(dòng)態(tài)可信和網(wǎng)絡(luò)隔離強(qiáng)度要求，對(duì)威脅實(shí)現(xiàn)動(dòng)態(tài)關(guān)聯(lián)感知，主動(dòng)分析決策和聯(lián)動(dòng)響應(yīng)。

作為基礎(chǔ)網(wǎng)的5G 網(wǎng)絡(luò)提供支撐行業(yè)滿足相應(yīng)分級(jí)要求的安全能力，使能行業(yè)5G 網(wǎng)絡(luò)快速安全部署。例如，對(duì)于定級(jí)為安全等級(jí)三級(jí)及以下的網(wǎng)絡(luò)，可以通過(guò)提供5G SL3 安全能力集承載；定級(jí)為安全等級(jí)三級(jí)同時(shí)是關(guān)鍵信息基礎(chǔ)設(shè)施的網(wǎng)絡(luò)，需要提供5G SL4 安全能力集，定級(jí)為安全等級(jí)四級(jí)的行業(yè)網(wǎng)絡(luò)，需要采用5G 網(wǎng)絡(luò)的SL5 安全能力集以滿足其安全要求。

3 5G網(wǎng)絡(luò)安全能力分級(jí)模型

3.1 5G網(wǎng)絡(luò)安全需求模型

在國(guó)家相關(guān)安全法律法規(guī)框架內(nèi)，基于成熟的通信標(biāo)準(zhǔn)體系，綜合考慮安全分級(jí)保護(hù)要求和行業(yè)特定安全需求，基于網(wǎng)絡(luò)運(yùn)行保障、生命周期保障、核心技術(shù)自主可控保障三個(gè)維度，將5G 安全需求分為5G 網(wǎng)絡(luò)安全、產(chǎn)品開(kāi)發(fā)和生命周期安全、技術(shù)自主可控三大類。如圖2 所示：

圖2 5G網(wǎng)絡(luò)安全需求模型

圖2 中，5G 網(wǎng)絡(luò)安全根據(jù)信息系統(tǒng)需要具備的基礎(chǔ)安全能力（CIA）、數(shù)據(jù)保護(hù)能力和面對(duì)攻擊的業(yè)務(wù)保持/業(yè)務(wù)恢復(fù)能力，進(jìn)一步細(xì)分為基礎(chǔ)安全、數(shù)據(jù)安全和網(wǎng)絡(luò)韌性三個(gè)方面。

3.2 5G網(wǎng)絡(luò)安全能力域

5G 網(wǎng)絡(luò)作為使能垂直行業(yè)應(yīng)用的基礎(chǔ)網(wǎng)絡(luò)，主要承擔(dān)無(wú)線通道、支持終端通過(guò)空口進(jìn)入5G 網(wǎng)絡(luò)、對(duì)接數(shù)據(jù)網(wǎng)絡(luò)（Internet 或者企業(yè)內(nèi)部網(wǎng)絡(luò)），最終實(shí)現(xiàn)從終端到行業(yè)應(yīng)用的端到端通信連接。因此，5G 網(wǎng)絡(luò)安全能力范圍涵蓋終端、5G RAN（無(wú)線接入網(wǎng)）、MEC（移動(dòng)邊緣計(jì)算）、承載網(wǎng)絡(luò)以及5GC（5G 核心網(wǎng)）組成的基礎(chǔ)通信網(wǎng)絡(luò)。

5G 網(wǎng)絡(luò)安全能力域劃分如圖3 所示。根據(jù)5G 網(wǎng)絡(luò)中各域承擔(dān)的業(yè)務(wù)功能和業(yè)務(wù)特征不同，提供的差異化安全能力，將5G 網(wǎng)絡(luò)提供的安全能力分為終端安全、RAN（無(wú)線接入網(wǎng)）安全、MEC 安全、承載網(wǎng)絡(luò)安全和5GC（5G 核心網(wǎng)）安全五個(gè)域進(jìn)行定義。

圖3 5G網(wǎng)絡(luò)安全能力域

3.3 5G網(wǎng)絡(luò)分級(jí)安全能力集構(gòu)建

在安全分級(jí)框架和策略的指導(dǎo)下，基于5G 網(wǎng)絡(luò)安全需求模型，依據(jù)分域定義安全的方法要求，構(gòu)建5G 網(wǎng)絡(luò)分級(jí)能力集。下面以終端安全為例描述安全能力集構(gòu)建方法，5G 終端安全能力集（SL1～SL5）如表1 所示。

表1 5G終端安全能力集

表1 中，縱向表示5G 網(wǎng)絡(luò)安全需求，包含5G 網(wǎng)絡(luò)安全（基礎(chǔ)安全、數(shù)據(jù)安全、網(wǎng)絡(luò)韌性）、產(chǎn)品開(kāi)發(fā)和生命周期安全、技術(shù)自主可控，每一類安全需求又細(xì)分為多個(gè)子需求；橫向表示基于每個(gè)安全能力級(jí)其對(duì)應(yīng)需求的安全能力強(qiáng)度。

以此類推，依據(jù)分域定義安全的方法要求，針對(duì)其他4 個(gè)安全域（RAN 安全、MEC 安全、承載網(wǎng)絡(luò)安全和5GC 安全）分別定義其安全能力集，從而構(gòu)建出全套5G網(wǎng)絡(luò)分級(jí)安全能力集。

4 行業(yè)應(yīng)用5G網(wǎng)絡(luò)安全分級(jí)能力建議

對(duì)于安全等級(jí)三級(jí)以上的行業(yè)系統(tǒng)來(lái)講，認(rèn)定為關(guān)鍵信息基礎(chǔ)設(shè)施和安全等級(jí)三級(jí)的行業(yè)應(yīng)用系統(tǒng)，根據(jù)具體行業(yè)場(chǎng)景要求參考5G 安全SL4 級(jí)安全能力集。安全等級(jí)四級(jí)的行業(yè)業(yè)務(wù)系統(tǒng)，建議使用5G 安全SL5 級(jí)能力集進(jìn)行保障。

對(duì)于安全等級(jí)一級(jí)和二級(jí)行業(yè)系統(tǒng)來(lái)講，綜合考慮業(yè)務(wù)屬性要求和安全能力的平衡，使用運(yùn)營(yíng)商5G 網(wǎng)絡(luò)承載時(shí)，可對(duì)其安全能力進(jìn)行裁剪。

另外，建議考慮與安全認(rèn)證標(biāo)準(zhǔn)的協(xié)同，GSMA（全球移動(dòng)通信系統(tǒng)協(xié)會(huì)）提出的網(wǎng)絡(luò)設(shè)備安全保障計(jì)劃（NESAS）規(guī)定了通信設(shè)備的安全能力基線要求，在面向行業(yè)的5G 安全分級(jí)體系中，中高級(jí)的安全等級(jí)（SL3級(jí)及以上）設(shè)備相關(guān)測(cè)評(píng)可參考和引用NESAS/SCAS（安全保障規(guī)范）相關(guān)標(biāo)準(zhǔn)。

5 結(jié)束語(yǔ)

5G 應(yīng)用場(chǎng)景正在從移動(dòng)互聯(lián)網(wǎng)拓展到工業(yè)互聯(lián)網(wǎng)、車聯(lián)網(wǎng)、醫(yī)療健康等更多領(lǐng)域，其價(jià)值在垂直行業(yè)的應(yīng)用中逐步得到體現(xiàn)。3GPP 5G 能夠滿足行業(yè)通用安全需求，但面向行業(yè)的網(wǎng)絡(luò)安全能力還需分級(jí)進(jìn)行差異化提供。基于本文提出的5G 網(wǎng)絡(luò)安全能力分級(jí)模型，提供分級(jí)的5G 安全能力，可以有效地支撐行業(yè)網(wǎng)絡(luò)遵從安全等級(jí)保護(hù)、安全防護(hù)等相關(guān)規(guī)范的要求，滿足5G 行業(yè)網(wǎng)絡(luò)規(guī)劃、建設(shè)、部署和運(yùn)行的全生命周期安全需求，從而推動(dòng)5G+行業(yè)應(yīng)用的落地和安全發(fā)展。