5G數(shù)據(jù)安全體系研究報(bào)告

2/38摘要由于5G網(wǎng)絡(luò)與關(guān)乎國(guó)計(jì)民生的政務(wù)、醫(yī)療、金融等行業(yè)緊密融合，5G網(wǎng)絡(luò)所承載的數(shù)據(jù)的安全性至關(guān)重要。然而，多樣化部署方式以及網(wǎng)絡(luò)功能虛擬化、切片、邊緣計(jì)算、能力開(kāi)放等新技術(shù)和新架構(gòu)的應(yīng)用，形成了5G數(shù)據(jù)量大、數(shù)據(jù)種類(lèi)多、數(shù)據(jù)流轉(zhuǎn)場(chǎng)景復(fù)雜、數(shù)據(jù)暴露面廣，以及網(wǎng)絡(luò)環(huán)境較為開(kāi)放等特點(diǎn)，讓5G數(shù)據(jù)安全面臨挑戰(zhàn)。本報(bào)告首先對(duì)5G網(wǎng)絡(luò)中數(shù)據(jù)種類(lèi)、流轉(zhuǎn)場(chǎng)景和安全威脅進(jìn)行分析，然后提出針對(duì)5G數(shù)據(jù)的安全體系，包含基本安全、增強(qiáng)安全、典型場(chǎng)景安全防護(hù)機(jī)制，以及數(shù)據(jù)安全管理機(jī)制，從以流轉(zhuǎn)數(shù)據(jù)保護(hù)為核心的安全技術(shù)、與技術(shù)措施相輔相成的安全管理角度促進(jìn)5G數(shù)據(jù)安全水平的提升。AbstractAs5Gnetworkiscloselyintegratedwithgovernment,medical,financialandotherindustriesrelatedtonationaleconomyandpeople'slivelihood,thesecurityofthedatacarriedby5Gnetworkiscrucial.However,Diversifieddeploymentmethodsandthenewtechnologiesandpatternssuchasnetworkfunctionvirtualization,networkslicing,mobile/multi-accessedgecomputing,networkexposure,introducekindsofdataandcomplexdataflowscenariosfor5Gnetwork,whichmake5Gdatasecurityfacechallenges.Thisreportforthefirstanalyses5Gdatatypes,dataflowscenariosandsecuritythreats,thenasecuritysystemfor5Gdataisproposed,whichcontainsthebasicdatasecurity,enhanceddatasecurity,thetypicalscenessecurityfor5Gnetworkandthedatasecuritymanagementmechanisms,promotingthe5Gdatasecuritylevelbyintegratingsecuritytechnologiesandsecuritymanagementmechanisms.3/38摘要 2bstract 1前言 4 G 4.1控制面數(shù)據(jù) 54.2用戶(hù)面數(shù)據(jù) 84.3管理面數(shù)據(jù) 10 G安全威脅 125G新技術(shù)新場(chǎng)景引入的數(shù)據(jù)安全威脅 14 6.1基本安全防護(hù) 166.2典型場(chǎng)景安全防護(hù) 216.3增強(qiáng)安全防護(hù) 22G 47下一步工作建議 25參考文獻(xiàn) 27縮略詞表 28關(guān)鍵詞 29 致謝 384/381前言隨著網(wǎng)絡(luò)數(shù)據(jù)量的激增、數(shù)據(jù)應(yīng)用的蓬勃發(fā)展，數(shù)據(jù)安全已成為個(gè)人用戶(hù)、行業(yè)用戶(hù)乃至國(guó)家政府共同關(guān)注的重要問(wèn)題，國(guó)家發(fā)布了系列法律加強(qiáng)數(shù)據(jù)安全監(jiān)管。5G作為我國(guó)“新基建”之首，其數(shù)據(jù)安全性不僅關(guān)乎運(yùn)營(yíng)商數(shù)據(jù)合規(guī)性，更影響著國(guó)家的安全。為保證海量多樣化的5G數(shù)據(jù)安全，需要識(shí)別5G數(shù)據(jù)內(nèi)容及流轉(zhuǎn)場(chǎng)景，分析其中的安全威脅并設(shè)計(jì)對(duì)應(yīng)安全措施，構(gòu)建5G數(shù)據(jù)安全體系。25G數(shù)據(jù)安全體系架構(gòu)5G數(shù)據(jù)安全體系架構(gòu)如下圖1所示。圖15G數(shù)據(jù)安全體系架構(gòu)5/3835G數(shù)據(jù)分類(lèi)參考ITU-TX.805的安全平面分類(lèi)方式，可將5G數(shù)據(jù)分為三個(gè)數(shù)據(jù)平面。(1)控制面5G控制面數(shù)據(jù)是用戶(hù)和網(wǎng)絡(luò)的交互控制信息，是5G網(wǎng)絡(luò)實(shí)現(xiàn)網(wǎng)元之間的信息通信活動(dòng)以及為用戶(hù)提供適當(dāng)服務(wù)所必需的數(shù)據(jù)，主要為5G網(wǎng)絡(luò)中各接口之間的信令信息，及網(wǎng)元進(jìn)行數(shù)據(jù)的處理轉(zhuǎn)發(fā)所需的其他信息?？刂泼姘酚尚畔?、鑒權(quán)數(shù)據(jù)、簽約信息等數(shù)據(jù)。(2)用戶(hù)面5G用戶(hù)面數(shù)據(jù)是用戶(hù)訪(fǎng)問(wèn)和使用5G網(wǎng)絡(luò)而產(chǎn)生的實(shí)際用戶(hù)數(shù)據(jù)流，是用戶(hù)感知的、直接參與的操作涉及的數(shù)據(jù)。5G用戶(hù)面數(shù)據(jù)包括用戶(hù)通過(guò)5G網(wǎng)絡(luò)使用互聯(lián)網(wǎng)服務(wù)產(chǎn)生的業(yè)務(wù)數(shù)據(jù)，使用電信網(wǎng)提供的短信、語(yǔ)音等服務(wù)產(chǎn)生的通信內(nèi)容數(shù)據(jù)。(3)管理面5G管理面數(shù)據(jù)主要為虛擬化網(wǎng)絡(luò)功能管理、切片管理、網(wǎng)元管理等5G網(wǎng)絡(luò)管理活動(dòng)產(chǎn)生和采集的數(shù)據(jù)，包括虛擬化網(wǎng)絡(luò)功能和切片生命周期管理數(shù)據(jù)、網(wǎng)元日志數(shù)據(jù)、網(wǎng)元狀態(tài)監(jiān)測(cè)數(shù)據(jù)等管理功能相關(guān)數(shù)據(jù)。45G數(shù)據(jù)及流轉(zhuǎn)分析4.1控制面數(shù)據(jù)(1)主要數(shù)據(jù)類(lèi)型：5G控制面數(shù)據(jù)廣泛分布在各個(gè)網(wǎng)元，由于5G核心網(wǎng)功能進(jìn)一步解耦，相比傳統(tǒng)移動(dòng)通信網(wǎng)，5G核心網(wǎng)網(wǎng)元種類(lèi)更多，數(shù)據(jù)分布較廣。同時(shí)，切片、邊緣計(jì)算等新技術(shù)的應(yīng)用，引入了切片標(biāo)識(shí)、切片可用性等切片信息，UPF分流標(biāo)識(shí)、分流策略等邊緣計(jì)算業(yè)務(wù)策略數(shù)據(jù)，以及與5G安全機(jī)制相關(guān)的大量鑒權(quán)數(shù)據(jù)等數(shù)據(jù)類(lèi)型，讓數(shù)據(jù)種類(lèi)更加多樣化。根據(jù)對(duì)5G網(wǎng)元功能及業(yè)務(wù)流程的分析，本部分列出5G主要網(wǎng)元及其涉及的主要控制面數(shù)據(jù)類(lèi)型，見(jiàn)表1。6/38表1主要網(wǎng)元及控制面數(shù)據(jù)類(lèi)型網(wǎng)元名稱(chēng)主要數(shù)據(jù)類(lèi)型gNB接口配置數(shù)據(jù)、UE上下文、位置數(shù)據(jù)、無(wú)線(xiàn)控制數(shù)據(jù)、會(huì)話(huà)管理數(shù)據(jù)：AMF用戶(hù)標(biāo)識(shí)數(shù)據(jù)、位置信息、UE上下文、鑒權(quán)數(shù)據(jù)、簽約數(shù)據(jù)、切片信息SMF用戶(hù)標(biāo)識(shí)數(shù)據(jù)、會(huì)話(huà)管理數(shù)據(jù)、簽約數(shù)據(jù)、計(jì)費(fèi)數(shù)據(jù)、位置數(shù)據(jù)UPF用戶(hù)標(biāo)識(shí)數(shù)據(jù)、用戶(hù)流量使用報(bào)告、用戶(hù)平面策略規(guī)則、業(yè)務(wù)配置信息、鑒權(quán)數(shù)據(jù)、內(nèi)容計(jì)費(fèi)規(guī)則信息AUSF臨時(shí)鑒權(quán)會(huì)話(huà)信息UDM用戶(hù)標(biāo)識(shí)數(shù)據(jù)、用戶(hù)鑒權(quán)數(shù)據(jù)、用戶(hù)簽約數(shù)據(jù)、SMS管理簽約數(shù)據(jù)、會(huì)話(huà)管理簽約數(shù)據(jù)、用戶(hù)電信業(yè)務(wù)動(dòng)態(tài)數(shù)據(jù)、UE上下文UDR用戶(hù)數(shù)據(jù)、開(kāi)銷(xiāo)戶(hù)操作日志NSSF切片相關(guān)配置數(shù)據(jù)、切片可用性信息NRFNFProfile信息、NfProfile狀態(tài)訂閱信息、鑒權(quán)數(shù)據(jù)NEF用戶(hù)QoS會(huì)話(huà)數(shù)據(jù)、用戶(hù)事件訂閱會(huì)話(huà)數(shù)據(jù)、用戶(hù)流量引導(dǎo)會(huì)話(huà)數(shù)據(jù)、PFD規(guī)則SMSF配置數(shù)據(jù)、短消息簽約數(shù)據(jù)、位置數(shù)據(jù)、用戶(hù)上下文緩存PCF控制面策略規(guī)則信息、用戶(hù)簽約信息、計(jì)費(fèi)規(guī)則信息、用戶(hù)標(biāo)識(shí)信息、用戶(hù)網(wǎng)絡(luò)狀態(tài)信息、位置信息UDSFUE上下文LMF位置數(shù)據(jù)(2)數(shù)據(jù)類(lèi)別級(jí)別：控制面數(shù)據(jù)主要涉及基礎(chǔ)電信企業(yè)重要數(shù)據(jù)及用戶(hù)個(gè)人信息。根據(jù)已有國(guó)家或行業(yè)標(biāo)準(zhǔn)對(duì)電信數(shù)據(jù)的分級(jí)方法，將數(shù)據(jù)按照安全需求分為4級(jí)，控制面數(shù)據(jù)主要涉及1-3級(jí)，安全級(jí)別較高的數(shù)據(jù)類(lèi)型為用戶(hù)標(biāo)識(shí)數(shù)據(jù)、位置數(shù)據(jù)、鑒權(quán)數(shù)據(jù)等用戶(hù)個(gè)人信息中較為敏感的數(shù)據(jù)類(lèi)型。4.1.2流轉(zhuǎn)場(chǎng)景控制面數(shù)據(jù)種類(lèi)眾多、流轉(zhuǎn)場(chǎng)景復(fù)雜，用戶(hù)發(fā)起業(yè)務(wù)或位置變動(dòng)、網(wǎng)元業(yè)務(wù)活動(dòng)等均會(huì)觸發(fā)數(shù)據(jù)在5G網(wǎng)絡(luò)內(nèi)部或5G網(wǎng)絡(luò)與其他網(wǎng)絡(luò)之間流轉(zhuǎn)。根據(jù)數(shù)據(jù)流轉(zhuǎn)形式的不同，5G網(wǎng)絡(luò)內(nèi)部流轉(zhuǎn)主要包括兩種場(chǎng)景：1.網(wǎng)元間傳統(tǒng)數(shù)據(jù)傳遞和請(qǐng)求響應(yīng)：主要為服務(wù)化接口間數(shù)據(jù)交互，非服務(wù)化接口僅包括SMF與UPF、gNB與AMF間接口，用于傳會(huì)話(huà)管理和用戶(hù)面策略等數(shù)據(jù)。理論上通過(guò)服務(wù)化接口，一個(gè)網(wǎng)元可與任意網(wǎng)元進(jìn)行數(shù)據(jù)交互，但是根據(jù)業(yè)務(wù)功能需求，網(wǎng)元間需要按照一定的規(guī)則進(jìn)行接口調(diào)用。為保證接口數(shù)據(jù)安全性，5G網(wǎng)絡(luò)支持系列安全機(jī)制，包括：基于NF服務(wù)的發(fā)現(xiàn)和注冊(cè)支持機(jī)密性、完整性和抗重放保護(hù)；NRF與NF間的認(rèn)證和鑒權(quán)；NF使用者和NF生產(chǎn)者之間的相互認(rèn)證；7/382.網(wǎng)絡(luò)數(shù)據(jù)分析：網(wǎng)絡(luò)數(shù)據(jù)分析是5G網(wǎng)絡(luò)引入的新功能，NWDAF是專(zhuān)門(mén)的網(wǎng)絡(luò)數(shù)據(jù)分析網(wǎng)元，能夠從AMF、SMF、PCF、UDM等網(wǎng)元以及OAM采集多種UE及NF相關(guān)信息以進(jìn)行數(shù)據(jù)分析，是多條數(shù)據(jù)傳輸路徑的匯聚點(diǎn)。為避免數(shù)據(jù)集中分析造成個(gè)人信息和重要數(shù)據(jù)泄露，國(guó)際標(biāo)準(zhǔn)組織已開(kāi)始引入聯(lián)邦學(xué)習(xí)等隱私計(jì)算機(jī)制提高數(shù)據(jù)分析以5G無(wú)線(xiàn)側(cè)與5G核心網(wǎng)為中心，5G數(shù)據(jù)對(duì)外流轉(zhuǎn)場(chǎng)景包括：1.gNB與終端數(shù)據(jù)流轉(zhuǎn)：gNB設(shè)備可與多種形式的5G終端通過(guò)空中接口進(jìn)行數(shù)據(jù)傳輸。對(duì)于個(gè)人用戶(hù)業(yè)務(wù)場(chǎng)景，數(shù)據(jù)可完全暴露在公共環(huán)境中；對(duì)于垂直行業(yè)業(yè)務(wù)場(chǎng)景，數(shù)據(jù)可能會(huì)在公共環(huán)境或較為封閉的內(nèi)部環(huán)境中傳輸(如工業(yè)園區(qū))。為保護(hù)終端與gNB之間控制面數(shù)據(jù)安全，5GUE和gNB之間支持RRC和NAS信令的加密、完整性保護(hù)和抗重放機(jī)制，為包括個(gè)人信息和重要數(shù)據(jù)在內(nèi)的5G數(shù)據(jù)安全接入網(wǎng)絡(luò)提供保障。2.5G核心網(wǎng)與其他核心網(wǎng)網(wǎng)元數(shù)據(jù)流轉(zhuǎn)：4G核心網(wǎng)網(wǎng)元能夠訪(fǎng)問(wèn)合設(shè)的UDM，獲取4G用戶(hù)簽約數(shù)據(jù)；MME能夠與AMF交互實(shí)現(xiàn)4/5G互操作；P-CSCF,I-CSCF,S-CSCF,IMS-AS,SCP,HSS均可調(diào)用NRF提供的NF注冊(cè)、更新、去注冊(cè)、服務(wù)發(fā)現(xiàn)等服務(wù)，獲取NF配置數(shù)據(jù)。5GC與其他核心網(wǎng)網(wǎng)元有較多數(shù)據(jù)交互。3.5G核心網(wǎng)與其他運(yùn)營(yíng)商數(shù)據(jù)流轉(zhuǎn)：用戶(hù)拜訪(fǎng)網(wǎng)絡(luò)與服務(wù)網(wǎng)絡(luò)之間存在信令交互需求(如LocalBreakout架構(gòu)，會(huì)話(huà)管理功能由拜訪(fǎng)網(wǎng)絡(luò)SMF實(shí)現(xiàn)，歸屬網(wǎng)絡(luò)需提供用戶(hù)認(rèn)證和簽約相關(guān)數(shù)據(jù))。如果與他國(guó)運(yùn)營(yíng)商網(wǎng)絡(luò)進(jìn)行交互，則會(huì)涉及數(shù)據(jù)跨境場(chǎng)景。為保護(hù)不同運(yùn)營(yíng)商之間互聯(lián)互通的安全，5G系統(tǒng)架構(gòu)引入了安全邊緣保護(hù)代理(SEPP)作為位于PLMN網(wǎng)絡(luò)邊界的實(shí)體，不同PLMN通過(guò)SEPP之間的接口進(jìn)行數(shù)據(jù)交互。SEPP為數(shù)據(jù)提供完整性保護(hù)，并根據(jù)策略對(duì)數(shù)據(jù)進(jìn)行機(jī)密性保護(hù)，如支持對(duì)認(rèn)證向量、密鑰素材、位置數(shù)據(jù)等重要數(shù)據(jù)及個(gè)人信息提供機(jī)密性保4.5G核心網(wǎng)與第三方AF數(shù)據(jù)流轉(zhuǎn)：NEF是5GC網(wǎng)絡(luò)能力開(kāi)放功能，可向不屬于運(yùn)營(yíng)商的第三方AF提供網(wǎng)絡(luò)開(kāi)放能力。NEF與第三方AF之間傳輸?shù)臄?shù)據(jù)主要為可提供給外部應(yīng)用的網(wǎng)絡(luò)開(kāi)放能力信息，如用戶(hù)位置信息、網(wǎng)元負(fù)載信息、網(wǎng)絡(luò)狀態(tài)信息等。由于開(kāi)放的數(shù)據(jù)可能被傳輸至境外，所以該交互場(chǎng)景也可能會(huì)涉及數(shù)據(jù)跨境。5G網(wǎng)絡(luò)為NEF和AF數(shù)據(jù)傳輸提供了基本安全機(jī)制，如認(rèn)證，機(jī)密性、完整性及抗重放保護(hù)，以及對(duì)重要數(shù)據(jù)出網(wǎng)的限制。8/385.5G核心網(wǎng)與本運(yùn)營(yíng)商其他系統(tǒng)數(shù)據(jù)流轉(zhuǎn)：為實(shí)現(xiàn)用戶(hù)業(yè)務(wù)的開(kāi)通、網(wǎng)絡(luò)維護(hù)等功能，5G核心網(wǎng)控制面數(shù)據(jù)還會(huì)在5G網(wǎng)絡(luò)與業(yè)務(wù)支撐、計(jì)費(fèi)等系統(tǒng)間流轉(zhuǎn)，傳遞的數(shù)據(jù)主要為用戶(hù)簽約數(shù)據(jù)、鑒權(quán)數(shù)據(jù)、計(jì)費(fèi)等信息。5G數(shù)據(jù)流轉(zhuǎn)簡(jiǎn)圖如下圖2所示。圖25G數(shù)據(jù)流轉(zhuǎn)圖4.2用戶(hù)面數(shù)據(jù)(1)主要數(shù)據(jù)類(lèi)型：用戶(hù)面數(shù)據(jù)的特點(diǎn)是數(shù)據(jù)量大，涉及大量用戶(hù)個(gè)人信息及遠(yuǎn)程醫(yī)療、車(chē)聯(lián)網(wǎng)、工業(yè)控制等行業(yè)重要數(shù)據(jù)，數(shù)據(jù)安全需求差異較大。傳統(tǒng)用戶(hù)面數(shù)據(jù)可分為互聯(lián)網(wǎng)應(yīng)用數(shù)據(jù)、電信服務(wù)數(shù)據(jù)；從運(yùn)營(yíng)商的角度，基于5G網(wǎng)絡(luò)，還能按照切片和邊緣計(jì)算服務(wù)模式為用戶(hù)提供服務(wù)。1.互聯(lián)網(wǎng)應(yīng)用數(shù)據(jù)：包括即時(shí)通信內(nèi)容、文件數(shù)據(jù)、郵件內(nèi)容、用戶(hù)上網(wǎng)訪(fǎng)問(wèn)內(nèi)容等5G網(wǎng)絡(luò)承載的互聯(lián)網(wǎng)數(shù)據(jù)信息。中5G消息包括文本、圖片、音頻、視頻、位置和聯(lián)系人等人人及人機(jī)之間傳送的消息數(shù)據(jù)，5G短信主要包括文本、圖片數(shù)據(jù)。3.切片業(yè)務(wù)數(shù)據(jù)：指5G行業(yè)切片中傳輸?shù)挠脩?hù)面數(shù)據(jù)。按照用戶(hù)性質(zhì)，可將網(wǎng)絡(luò)切片分為普通行業(yè)切片和特殊行業(yè)切片。普通行業(yè)切片可提供給各類(lèi)垂直行業(yè)，如智慧城市、智慧工業(yè)、智慧教育等行業(yè)。特殊行業(yè)切片主要為有特殊安全隔離要求，9/38涉及國(guó)計(jì)民生的重點(diǎn)行業(yè)，如電力行業(yè)等，可能包含與國(guó)計(jì)民生相關(guān)的重要數(shù)據(jù)。4.邊緣計(jì)算業(yè)務(wù)數(shù)據(jù)：指部署在運(yùn)營(yíng)商邊緣節(jié)點(diǎn)的業(yè)務(wù)涉及的數(shù)據(jù)。主要包括針對(duì)移動(dòng)手機(jī)終端的業(yè)務(wù)，如CDN、云游戲、高清直播等業(yè)務(wù)涉及的數(shù)據(jù)，多包含個(gè)人用戶(hù)視頻數(shù)據(jù)內(nèi)容；針對(duì)非本地物聯(lián)網(wǎng)終端的業(yè)務(wù)，如車(chē)聯(lián)網(wǎng)、云視頻監(jiān)控、無(wú)人機(jī)等業(yè)務(wù)，可包含車(chē)輛控制信息、無(wú)人機(jī)控制信息等敏感的控制數(shù)據(jù)；針對(duì)本地終端的行業(yè)應(yīng)用，如工業(yè)控制、智慧樓宇/社區(qū)/城市等業(yè)務(wù)，可包含工業(yè)設(shè)備控制信息、智能設(shè)備通信/控制信息等敏感數(shù)據(jù)。(2)數(shù)據(jù)類(lèi)別級(jí)別：用戶(hù)面數(shù)據(jù)包含個(gè)人用戶(hù)數(shù)據(jù)及行業(yè)用戶(hù)數(shù)據(jù)。個(gè)人用戶(hù)數(shù)據(jù)屬于基礎(chǔ)電信企業(yè)用戶(hù)個(gè)人信息，根據(jù)安全需求級(jí)別對(duì)電信數(shù)據(jù)進(jìn)行分級(jí)，個(gè)人用戶(hù)數(shù)據(jù)主要為3級(jí)數(shù)據(jù)；根據(jù)行業(yè)重要性差異，不同行業(yè)的用戶(hù)數(shù)據(jù)存在不同的安全需求，如電力行業(yè)與國(guó)計(jì)民生息息相關(guān)，有較高的安全需求，而高清直播業(yè)務(wù)主要為對(duì)外公開(kāi)的數(shù)據(jù)，安全需求較低。同一行業(yè)的數(shù)據(jù)也可進(jìn)一步分類(lèi)分級(jí)，如現(xiàn)已開(kāi)始制定相關(guān)標(biāo)準(zhǔn)對(duì)工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)進(jìn)行分類(lèi)分級(jí)。4.2.2流轉(zhuǎn)場(chǎng)景用戶(hù)面數(shù)據(jù)流轉(zhuǎn)主要有以下五種場(chǎng)景：1.終端-UPF-互聯(lián)網(wǎng)(互聯(lián)網(wǎng)應(yīng)用數(shù)據(jù)、5G消息)：數(shù)據(jù)從5G終端經(jīng)無(wú)線(xiàn)空中接口 (簡(jiǎn)稱(chēng)“空口”)傳輸?shù)絞NB，然后由gNB轉(zhuǎn)發(fā)至核心網(wǎng)UPF，并可能在不同UPF 與UPF間已支持通過(guò)IPsec機(jī)制對(duì)用戶(hù)面數(shù)據(jù)進(jìn)行保護(hù)，提供用戶(hù)數(shù)據(jù)的完整性，機(jī)密性和抗重放保護(hù)能力。2.終端-UPF-IMS(語(yǔ)音業(yè)務(wù)數(shù)據(jù)、SMSoverIP短信)：該類(lèi)數(shù)據(jù)流轉(zhuǎn)場(chǎng)景與互聯(lián)網(wǎng)應(yīng)用數(shù)據(jù)流轉(zhuǎn)場(chǎng)景相似，不同點(diǎn)是數(shù)據(jù)經(jīng)UPF傳輸?shù)絀MS核心網(wǎng)。3.終端-AMF-SMSF-短消息中心(SMSoverNAS短信)：數(shù)據(jù)經(jīng)空口和gNB傳輸至AMF，然后由AMF轉(zhuǎn)發(fā)到SMSF，通過(guò)SMSF傳輸?shù)蕉滔⒅行?，或反向流轉(zhuǎn)。4.終端-UPF-邊緣計(jì)算平臺(tái)(邊緣計(jì)算業(yè)務(wù)數(shù)據(jù))：數(shù)據(jù)流轉(zhuǎn)與“終端-UPF-互聯(lián)網(wǎng)”場(chǎng)景相似，不同點(diǎn)是用戶(hù)數(shù)據(jù)流可從分流UPF直接卸載到邊緣計(jì)算平臺(tái)。5.終端-獨(dú)享UPF-互聯(lián)網(wǎng)/IMS/邊緣計(jì)算平臺(tái)(切片業(yè)務(wù)數(shù)據(jù))：該類(lèi)數(shù)據(jù)流轉(zhuǎn)場(chǎng)景的特點(diǎn)是不同切片的業(yè)務(wù)數(shù)據(jù)可獨(dú)享UPF。10/38用戶(hù)面數(shù)據(jù)流轉(zhuǎn)簡(jiǎn)圖參見(jiàn)圖2。4.3管理面數(shù)據(jù)(1)主要數(shù)據(jù)類(lèi)型：管理面數(shù)據(jù)涉及眾多與網(wǎng)元及切片創(chuàng)建、擴(kuò)容等生命周期相關(guān)重要數(shù)據(jù)。按照具體功能劃分，管理面數(shù)據(jù)主要可分為網(wǎng)絡(luò)管理、NFV管理及切片管1.網(wǎng)管數(shù)據(jù)：是網(wǎng)元性能、故障管理涉及的數(shù)據(jù)，主要包括網(wǎng)元系統(tǒng)日志、運(yùn)維帳號(hào)、網(wǎng)管接口認(rèn)證數(shù)據(jù)(口令、證書(shū)等)、網(wǎng)管接口配置信息、網(wǎng)元性能參數(shù)、告警信息等。2.NFV管理數(shù)據(jù)：是虛擬機(jī)生命周期管理及運(yùn)維管理涉及的數(shù)據(jù)，主要包括VNF相關(guān)信息、MANO自身管理信息、NFV管理編排信息。具體如下表2。表2NFV管理數(shù)據(jù)NFV管理數(shù)據(jù)具體類(lèi)型VNF相關(guān)信息運(yùn)行狀態(tài)等操作維護(hù)信息MANO自身管理信息口令等認(rèn)證鑒權(quán)數(shù)據(jù)，以及MANO告警、性能指標(biāo)、系統(tǒng)日志等操作維護(hù)數(shù)據(jù)NFV管理編排信息資源創(chuàng)建/刪除、擴(kuò)縮容、終止等VNF生命周期管理操作涉及的擴(kuò)縮容類(lèi)型、虛擬機(jī)數(shù)量、任務(wù)狀態(tài)等數(shù)據(jù)3.切片管理數(shù)據(jù)：是網(wǎng)絡(luò)切片生命周期管理及運(yùn)維管理涉及的數(shù)據(jù)，主要包括切片相關(guān)的信息、切片管理系統(tǒng)自身信息、切片管理編排信息。具體如下表3。表3切片管理數(shù)據(jù)切片管理數(shù)據(jù)具體類(lèi)型切片相關(guān)信息切片模板信息、切片網(wǎng)絡(luò)服務(wù)參數(shù)、網(wǎng)絡(luò)切片業(yè)務(wù)標(biāo)識(shí)等配置信息，網(wǎng)絡(luò)切片/切片子網(wǎng)告警、運(yùn)行狀態(tài)監(jiān)測(cè)信息等切片業(yè)務(wù)關(guān)鍵性能指標(biāo)，切片簽約訂購(gòu)、計(jì)費(fèi)等業(yè)務(wù)信息切片管理系統(tǒng)信息切片管理功能涉及的端口、IP等設(shè)備配置數(shù)據(jù)，賬號(hào)、口令等認(rèn)證鑒權(quán)數(shù)據(jù)，系統(tǒng)告警、性能指標(biāo)等操作維護(hù)數(shù)據(jù)切片管理編排信息切片上線(xiàn)、下線(xiàn)終止等切片生命周期管理操作涉及的信息(2)數(shù)據(jù)類(lèi)別級(jí)別：管理面數(shù)據(jù)涉及大量基礎(chǔ)電信企業(yè)重要數(shù)據(jù)，參考相關(guān)標(biāo)準(zhǔn)將電信數(shù)據(jù)劃分為4級(jí)，5G網(wǎng)絡(luò)管理面數(shù)據(jù)主要屬于3-4級(jí)，擁有較高的安全級(jí)別。11/384.3.2流轉(zhuǎn)場(chǎng)景三類(lèi)主要管理面數(shù)據(jù)流轉(zhuǎn)場(chǎng)景如下：1.網(wǎng)管數(shù)據(jù)流轉(zhuǎn)：主要在網(wǎng)元和網(wǎng)管系統(tǒng)之間流轉(zhuǎn)。由于部分網(wǎng)元(如基站、UPF)可分散部署在網(wǎng)絡(luò)邊緣，屬于運(yùn)營(yíng)商安全管理較薄弱位置，安全防護(hù)能力不及中心機(jī)房，網(wǎng)元與網(wǎng)管之間的數(shù)據(jù)可能會(huì)在較不安全物理環(huán)境中傳輸。2.NFV管理數(shù)據(jù)流轉(zhuǎn)：為實(shí)現(xiàn)虛擬機(jī)資源分配、虛擬機(jī)創(chuàng)建等功能，NFV管理數(shù)據(jù)在MANO內(nèi)部流轉(zhuǎn)之外，還會(huì)在MANO與基礎(chǔ)設(shè)施層、網(wǎng)管系統(tǒng)間流轉(zhuǎn)。3.切片管理數(shù)據(jù)流轉(zhuǎn)：切片建立在虛擬化軟件之上并與垂直行業(yè)用戶(hù)緊密相關(guān)，所以切片數(shù)據(jù)除了在切片管理系統(tǒng)內(nèi)部流轉(zhuǎn)之外，還會(huì)在切片管理系統(tǒng)與MANO、第三方平臺(tái)及業(yè)務(wù)支撐系統(tǒng)間流轉(zhuǎn)。數(shù)據(jù)傳遞到第三方業(yè)務(wù)平臺(tái)，可能會(huì)涉及數(shù)據(jù)跨境。管理面數(shù)據(jù)主要流轉(zhuǎn)情況如圖3所示。圖35G管理數(shù)據(jù)流轉(zhuǎn)圖55G數(shù)據(jù)安全威脅5G網(wǎng)絡(luò)在控制面、用戶(hù)面和管理面都引入了大量新興數(shù)據(jù)，每類(lèi)數(shù)據(jù)均存在多樣化流轉(zhuǎn)場(chǎng)景。與其他系統(tǒng)或網(wǎng)絡(luò)中的數(shù)據(jù)流轉(zhuǎn)相似，5G各平面數(shù)據(jù)在流轉(zhuǎn)過(guò)程中都會(huì)面臨一些常見(jiàn)的數(shù)據(jù)安全威脅，此外，由于5G引入了一些新技術(shù)，可能會(huì)導(dǎo)致數(shù)據(jù)安全風(fēng)險(xiǎn)的增加或擴(kuò)大。因此，可以從兩個(gè)維度分析5G數(shù)據(jù)安全威脅，一是數(shù)據(jù)在流轉(zhuǎn)過(guò)程中面臨的通用安全威脅；二是5G新技術(shù)引入的數(shù)據(jù)安全威脅。12/385.15G數(shù)據(jù)通用安全威脅5.1.1數(shù)據(jù)采集控制面數(shù)據(jù)采集主要包括網(wǎng)元?jiǎng)?chuàng)建數(shù)據(jù)，以及在4/5G互操作等場(chǎng)景，5G網(wǎng)絡(luò)從他網(wǎng)獲取數(shù)據(jù)；管理面數(shù)據(jù)采集主要包括網(wǎng)元、MANO、切片管理系統(tǒng)等創(chuàng)建數(shù)據(jù)以及獲取外部導(dǎo)入數(shù)據(jù)的行為；用戶(hù)面數(shù)據(jù)采集指終端創(chuàng)建數(shù)據(jù)，以及5G網(wǎng)絡(luò)從他網(wǎng)采集數(shù)據(jù)的行為。5G數(shù)據(jù)在采集階段面臨的主要威脅為數(shù)據(jù)偽造、數(shù)據(jù)篡改。具體場(chǎng)景如：1.身份認(rèn)證機(jī)制不完善：在數(shù)據(jù)獲取場(chǎng)景，攻擊者可假冒合法的數(shù)據(jù)提供方，向5G網(wǎng)絡(luò)提供偽造或被篡改的數(shù)據(jù)。如運(yùn)營(yíng)商間信令偽造。2.設(shè)備安全措施不完善：系統(tǒng)存在嚴(yán)重安全漏洞，或數(shù)據(jù)操作未經(jīng)嚴(yán)格控制等，攻擊者可向系統(tǒng)遞交被篡改數(shù)據(jù)，如向MANO上傳遭篡改的VNF鏡像。5.1.2數(shù)據(jù)傳輸5G數(shù)據(jù)傳輸包括控制面、用戶(hù)面及管理面數(shù)據(jù)傳輸。數(shù)據(jù)在傳輸過(guò)程中面臨的主要威脅包括數(shù)據(jù)泄露、數(shù)據(jù)破壞、數(shù)據(jù)篡改、數(shù)據(jù)傳輸中斷，具體場(chǎng)景如：1.傳輸通道不可靠：涉及網(wǎng)絡(luò)邊緣、跨地域的傳輸通道不確定因素較多，較運(yùn)營(yíng)商數(shù)據(jù)中心內(nèi)部傳輸更容易出現(xiàn)故障，導(dǎo)致數(shù)據(jù)被破壞、竊取或數(shù)據(jù)傳輸中斷。2.傳輸節(jié)點(diǎn)不安全：在較為開(kāi)放或安全措施不完善的網(wǎng)絡(luò)環(huán)境，傳輸節(jié)點(diǎn)未受適當(dāng)安全保護(hù)，數(shù)據(jù)從傳輸節(jié)點(diǎn)(包含物理或虛擬化節(jié)點(diǎn))泄露，或被篡改、破壞。主要受威脅傳輸場(chǎng)景如：控制面：涉及網(wǎng)絡(luò)邊緣傳輸，包括終端與gNB、gNB內(nèi)部、5GC網(wǎng)元與無(wú)線(xiàn)接入網(wǎng)數(shù)據(jù)傳輸；跨網(wǎng)絡(luò)域的傳輸，包括5GC與其他運(yùn)營(yíng)商、5GC與第三方平臺(tái)、5GC與運(yùn)營(yíng)商其他系統(tǒng)數(shù)據(jù)傳輸?shù)?。用?hù)面：網(wǎng)絡(luò)邊緣傳輸場(chǎng)景，如基站與邊緣UPF傳輸。管理面：部署在網(wǎng)絡(luò)邊緣的網(wǎng)元與管理系統(tǒng)間的傳輸。對(duì)于運(yùn)營(yíng)商核心機(jī)房?jī)?nèi)數(shù)據(jù)傳輸，物理環(huán)境較安全，安全風(fēng)險(xiǎn)較低，但仍面臨內(nèi)部人員竊取數(shù)據(jù)等風(fēng)險(xiǎn)。13/385.1.3數(shù)據(jù)存儲(chǔ)5G數(shù)據(jù)存儲(chǔ)主要包括控制面及管理面數(shù)據(jù)存儲(chǔ)，控制面數(shù)據(jù)主要存儲(chǔ)在基站和網(wǎng)元；管理面數(shù)據(jù)可存儲(chǔ)在MANO(存儲(chǔ)NFV管理數(shù)據(jù))、切片管理系統(tǒng)(存儲(chǔ)切片管理數(shù)據(jù))、網(wǎng)元(存儲(chǔ)網(wǎng)管數(shù)據(jù))。數(shù)據(jù)存儲(chǔ)階段面臨的安全威脅主要包括數(shù)據(jù)泄露、數(shù)據(jù)篡改、數(shù)據(jù)破壞、數(shù)據(jù)丟失，具體場(chǎng)景如：1.存儲(chǔ)環(huán)境不安全：5G網(wǎng)絡(luò)涉及復(fù)雜存儲(chǔ)環(huán)境，存儲(chǔ)設(shè)備及系統(tǒng)安全配置不符合要求、存安全漏洞、后門(mén)、未安裝防病毒軟件或無(wú)完善接入鑒權(quán)及訪(fǎng)問(wèn)控制機(jī)制等，可導(dǎo)致數(shù)據(jù)泄露、被篡改。如針對(duì)核心網(wǎng)，數(shù)據(jù)一般采用oracle、mysql等數(shù)據(jù)庫(kù)存儲(chǔ)，如果數(shù)據(jù)庫(kù)存安全漏洞，則數(shù)據(jù)可能會(huì)從數(shù)據(jù)庫(kù)泄露；在網(wǎng)絡(luò)邊緣，可能會(huì)有較多采用分布式方式存儲(chǔ)的數(shù)據(jù)，存儲(chǔ)地點(diǎn)分散、存儲(chǔ)環(huán)境較開(kāi)放，數(shù)據(jù)被泄露、括智慧城市、智慧工業(yè)等涉及的多樣化物聯(lián)網(wǎng)終端。物聯(lián)網(wǎng)終端可能處于較為開(kāi)放的物理位置，軟硬件受攻擊風(fēng)險(xiǎn)較大，終端存儲(chǔ)環(huán)境安全性不足，數(shù)據(jù)可能會(huì)面臨較高的泄露風(fēng)險(xiǎn)。2.存儲(chǔ)系統(tǒng)容災(zāi)備份管理不完善：發(fā)生火災(zāi)等意外災(zāi)害導(dǎo)致數(shù)據(jù)丟失或被破壞，則難以恢復(fù)數(shù)據(jù)。特別是針對(duì)UDSF、AUSF、UDR等集中存儲(chǔ)數(shù)據(jù)的網(wǎng)元，數(shù)據(jù)丟失可能會(huì)影響整個(gè)5G網(wǎng)絡(luò)業(yè)務(wù)運(yùn)行。5.1.4數(shù)據(jù)使用5G數(shù)據(jù)使用主要包括控制面及管理面的數(shù)據(jù)使用?？刂泼鏀?shù)據(jù)使用主要包括網(wǎng)元對(duì)控制面數(shù)據(jù)的查詢(xún)、更新、分析等操作；管理面數(shù)據(jù)使用主要包括網(wǎng)管、MANO及切片管理系統(tǒng)對(duì)管理面數(shù)據(jù)的查詢(xún)、更新、分析等操作。數(shù)據(jù)使用過(guò)程中面臨的安全威脅主要包括數(shù)據(jù)泄露、數(shù)據(jù)篡改，具體場(chǎng)景如：1.權(quán)限控制機(jī)制不完善：5G網(wǎng)絡(luò)包含大量的接口調(diào)用、數(shù)據(jù)操作，存在因訪(fǎng)問(wèn)控制措施不當(dāng)而引發(fā)的數(shù)據(jù)泄露等風(fēng)險(xiǎn)。如服務(wù)化接口訪(fǎng)問(wèn)控制機(jī)制不嚴(yán)，攻擊者偽裝成合法NF訪(fǎng)問(wèn)其他NF數(shù)據(jù)；切片管理等管理系統(tǒng)權(quán)限控制不完善，造成內(nèi)部人員或第三方人員非法進(jìn)行數(shù)據(jù)操作等。2.數(shù)據(jù)溯源機(jī)制不完善：發(fā)生數(shù)據(jù)安全問(wèn)題時(shí)不能及時(shí)發(fā)現(xiàn)危險(xiǎn)行為并快速定位發(fā)生數(shù)據(jù)安全問(wèn)題的網(wǎng)絡(luò)節(jié)點(diǎn)。14/38此外，NWDAF網(wǎng)元等通過(guò)對(duì)5G網(wǎng)絡(luò)中采集的多源數(shù)據(jù)進(jìn)行關(guān)聯(lián)分析，有可能獲取用戶(hù)或運(yùn)營(yíng)商的敏感或重要信息。為充分發(fā)揮數(shù)據(jù)價(jià)值，運(yùn)營(yíng)商可能會(huì)將不敏感或經(jīng)過(guò)脫敏處理的5G數(shù)據(jù)與第三方共享。通過(guò)5G網(wǎng)絡(luò)能力開(kāi)放功能向第三方開(kāi)放5G網(wǎng)絡(luò)能力即可視為一種數(shù)據(jù)共享場(chǎng)景。數(shù)據(jù)共享面臨的主要安全風(fēng)險(xiǎn)為數(shù)據(jù)共享過(guò)程中的數(shù)據(jù)泄露以及數(shù)據(jù)共享后可能由第三方造成的數(shù)據(jù)泄露。5.1.6數(shù)據(jù)銷(xiāo)毀在數(shù)據(jù)生命周期結(jié)束后，數(shù)據(jù)存儲(chǔ)設(shè)備數(shù)據(jù)銷(xiāo)毀不徹底，未根據(jù)不同要求采取不同的數(shù)據(jù)銷(xiāo)毀策略和技術(shù)手段，一旦數(shù)據(jù)被恢復(fù)就會(huì)引發(fā)數(shù)據(jù)泄露的風(fēng)險(xiǎn)。5.25G新技術(shù)新場(chǎng)景引入的數(shù)據(jù)安全威脅5.2.1NFV數(shù)據(jù)安全威脅NFV將網(wǎng)元功能和硬件資源解耦，實(shí)現(xiàn)了系統(tǒng)功能軟件化和硬件資源通用化，可提升網(wǎng)絡(luò)彈性、縮短業(yè)務(wù)部署時(shí)間，是電信網(wǎng)深刻革新技術(shù)，但同時(shí)也面臨新的數(shù)據(jù)安全1.數(shù)據(jù)暴露面增加，數(shù)據(jù)面臨篡改、破壞、泄露的風(fēng)險(xiǎn)增加。相比傳統(tǒng)專(zhuān)用硬件網(wǎng)元構(gòu)建的網(wǎng)絡(luò)系統(tǒng)，NFV引入了虛擬化管理層、虛擬機(jī)/容器、虛擬交換機(jī)/路由器、編排管理功能，任一功能中的漏洞被攻擊者利用，都可能對(duì)5G數(shù)據(jù)安全造成威脅。2.VM共用物理網(wǎng)卡，數(shù)據(jù)面臨被竊聽(tīng)的風(fēng)險(xiǎn)。相比傳統(tǒng)網(wǎng)絡(luò)網(wǎng)元設(shè)備硬件專(zhuān)用，虛擬化網(wǎng)絡(luò)中多個(gè)VM可能部署在同一物理服務(wù)器，VM與服務(wù)器外部網(wǎng)元通信時(shí)共用物理網(wǎng)卡，數(shù)據(jù)內(nèi)容存在被竊聽(tīng)的風(fēng)險(xiǎn)，導(dǎo)致數(shù)據(jù)泄露。3.VM共用物理存儲(chǔ)，數(shù)據(jù)面臨被非法讀取、惡意篡改、破壞的威脅。不同VM共用同一物理服務(wù)器內(nèi)存，如果VM不可信或VM遭到入侵，可能會(huì)對(duì)內(nèi)存數(shù)據(jù)執(zhí)行非法操作，如非法讀取、篡改、破壞數(shù)據(jù)。4.東西向流量面臨竊聽(tīng)風(fēng)險(xiǎn)。VM之間東西向流量可能僅由vSwitch或vRouter進(jìn)行15/38數(shù)據(jù)轉(zhuǎn)發(fā)，不過(guò)外置的物理交換機(jī)，不會(huì)傳送到服務(wù)器外部的物理防火墻及其他安全設(shè)備中，導(dǎo)致該部分流量不受安全監(jiān)測(cè)，難以做到有效隔離與防護(hù)，容易面臨數(shù)據(jù)竊聽(tīng)、篡改等威脅。5.2.2切片數(shù)據(jù)安全威脅切片主要由CSMF、NSMF、NSSMF組件進(jìn)行管理，在管理層面可能存在以下數(shù)據(jù)安全威脅：1.運(yùn)營(yíng)商可將切片運(yùn)行狀態(tài)、切片性能指標(biāo)、網(wǎng)絡(luò)功能參數(shù)等切片信息開(kāi)放給第三方，如果對(duì)外接口訪(fǎng)問(wèn)控制措施不嚴(yán)或被外部入侵，切片敏感數(shù)據(jù)存在被非授權(quán)訪(fǎng)問(wèn)等風(fēng)險(xiǎn)。2.不同切片的VNF可部署在同一物理機(jī)上，從網(wǎng)元功能到連接鏈路都是邏輯隔離，若未采取完善的隔離措施，或因配置錯(cuò)誤、管理漏洞等因素造成邏輯隔離失效，切片數(shù)據(jù)可能面臨被非法訪(fǎng)問(wèn)或篡改、破壞的風(fēng)險(xiǎn)，造成敏感信息泄露。攻擊者還可能利用共享網(wǎng)元非法訪(fǎng)問(wèn)切片內(nèi)的網(wǎng)元，導(dǎo)致切片敏感數(shù)據(jù)泄露。5.2.3邊緣計(jì)算數(shù)據(jù)安全威脅邊緣計(jì)算系統(tǒng)在靠近無(wú)線(xiàn)接入側(cè)增加邊緣節(jié)點(diǎn)，使應(yīng)用、服務(wù)和內(nèi)容本地化、近距離、分布式部署成為可能，進(jìn)一步減少業(yè)務(wù)時(shí)延，節(jié)省回傳帶寬。邊緣計(jì)算可滿(mǎn)足垂直行業(yè)CloudXR、輔助駕駛等低時(shí)延要求類(lèi)業(yè)務(wù)以及工業(yè)物聯(lián)網(wǎng)廠(chǎng)內(nèi)通信等高安全等級(jí)業(yè)務(wù)要求，同時(shí)也引入一些數(shù)據(jù)安全威脅。1.物理安全條件受限，數(shù)據(jù)面臨被破壞、竊取的威脅。MEC節(jié)點(diǎn)可涉及豐富的5G數(shù)據(jù)內(nèi)容，然而根據(jù)不同業(yè)務(wù)場(chǎng)景，MEC節(jié)點(diǎn)可部署在邊緣數(shù)據(jù)中心、無(wú)人值守的站點(diǎn)機(jī)房，甚至靠近用戶(hù)的現(xiàn)場(chǎng)，處于相對(duì)開(kāi)放的環(huán)境中，相比在運(yùn)營(yíng)商核心機(jī)房部署的網(wǎng)絡(luò)設(shè)備，MEC節(jié)點(diǎn)設(shè)備更容易被入侵，導(dǎo)致MEC節(jié)點(diǎn)數(shù)據(jù)被破壞或竊取。2.敏感信息暴露面增加，數(shù)據(jù)泄露風(fēng)險(xiǎn)增加。MEC平臺(tái)定義了網(wǎng)絡(luò)和第三方應(yīng)用的雙向API通信機(jī)制，可以把用戶(hù)位置、無(wú)線(xiàn)網(wǎng)絡(luò)負(fù)荷、無(wú)線(xiàn)資源利用率等網(wǎng)絡(luò)信息通過(guò)API直接開(kāi)放給第三方APP，第三方APP也可直接運(yùn)行在MEC節(jié)點(diǎn)上。MEC節(jié)點(diǎn)成為新的數(shù)據(jù)暴露節(jié)點(diǎn)，如果節(jié)點(diǎn)訪(fǎng)問(wèn)控制措施不嚴(yán)或被外部入侵，網(wǎng)絡(luò)敏感數(shù)據(jù)存在被非授權(quán)訪(fǎng)問(wèn)等風(fēng)險(xiǎn)。16/3865G數(shù)據(jù)安全防護(hù)體系綜合5G數(shù)據(jù)及安全威脅分析，5G數(shù)據(jù)面臨的風(fēng)險(xiǎn)可來(lái)自多方面，包括軟件漏洞、配置漏洞、管理疏忽等，需要從多層面入手進(jìn)行5G數(shù)據(jù)安全防護(hù)。本報(bào)告從四個(gè)維度構(gòu)建5G數(shù)據(jù)的安全防護(hù)機(jī)制：1、基本安全防護(hù)：針對(duì)數(shù)據(jù)生命周期安全威脅設(shè)計(jì)對(duì)應(yīng)安全手段，屏蔽基本安全風(fēng)險(xiǎn)及NFV技術(shù)在數(shù)據(jù)生命周期引入的風(fēng)險(xiǎn)；2、典型場(chǎng)景安預(yù)警、態(tài)勢(shì)感知等數(shù)據(jù)安全技術(shù)手段促進(jìn)5G數(shù)據(jù)安全；4、采用管理手段，彌補(bǔ)技術(shù)局限，提升數(shù)據(jù)安全性。6.1基本安全防護(hù)6.1.1數(shù)據(jù)采集在5G數(shù)據(jù)采集階段，防護(hù)重點(diǎn)是保證采集數(shù)據(jù)的真實(shí)性及創(chuàng)建數(shù)據(jù)的實(shí)體身份真實(shí)性。(1)數(shù)據(jù)創(chuàng)建安全運(yùn)維人員可對(duì)網(wǎng)元、MANO、切片管理系統(tǒng)等進(jìn)行數(shù)據(jù)配置，在業(yè)務(wù)執(zhí)行過(guò)程中系統(tǒng)也會(huì)產(chǎn)生數(shù)據(jù)，此類(lèi)數(shù)據(jù)主要為控制面及管理面數(shù)據(jù)，數(shù)據(jù)類(lèi)型和涉及的數(shù)據(jù)安全級(jí)別多，包括賬號(hào)、密碼或密鑰等一旦泄露會(huì)對(duì)數(shù)據(jù)安全造成嚴(yán)重威脅的重要數(shù)據(jù)，以及位置等用戶(hù)個(gè)人信息，可通過(guò)關(guān)鍵數(shù)據(jù)重點(diǎn)保護(hù)及權(quán)限最小化安全防護(hù)的方式保護(hù)數(shù)據(jù)創(chuàng)建安全：1.關(guān)鍵數(shù)據(jù)重點(diǎn)保護(hù)：將數(shù)據(jù)進(jìn)行分類(lèi)分級(jí)，高安全級(jí)別數(shù)據(jù)在安全區(qū)域創(chuàng)建，保護(hù)關(guān)鍵數(shù)據(jù)安全；2.權(quán)限最小化安全防護(hù)：對(duì)于數(shù)據(jù)的配置，采用最小化授權(quán)機(jī)制，確保僅授權(quán)的人員可訪(fǎng)問(wèn)配置管理功能。用戶(hù)面數(shù)據(jù)主要在5G終端創(chuàng)建，5G萬(wàn)物互聯(lián)，終端種類(lèi)多樣，安全能力參差不齊，而用戶(hù)面數(shù)據(jù)也會(huì)涉及不同安全需求的個(gè)人信息及行業(yè)數(shù)據(jù)，需根據(jù)終端可處理數(shù)據(jù)的類(lèi)型提供相應(yīng)訪(fǎng)問(wèn)控制、安全監(jiān)測(cè)機(jī)制，保護(hù)用戶(hù)面數(shù)據(jù)創(chuàng)建安全，如針對(duì)處于較不安全環(huán)境中的重要物聯(lián)網(wǎng)終端，引入可信技術(shù)進(jìn)行安全增強(qiáng)。(2)數(shù)據(jù)獲取安全三平面數(shù)據(jù)均可以從外部網(wǎng)絡(luò)獲取，如通過(guò)AMF、UDM等網(wǎng)元從他網(wǎng)獲取控制面17/38數(shù)據(jù)；通過(guò)網(wǎng)管接口等向MANO、切片管理系統(tǒng)上傳管理面數(shù)據(jù)；通過(guò)MEC平臺(tái)獲取垂直行業(yè)用戶(hù)面數(shù)據(jù)。其中控制面及管理面數(shù)據(jù)獲取可從以下三點(diǎn)進(jìn)行保護(hù)。1.數(shù)據(jù)源認(rèn)證：對(duì)數(shù)據(jù)獲取端或?qū)攵诉M(jìn)行身份認(rèn)證和限制。針對(duì)網(wǎng)間數(shù)據(jù)獲取，3GPP已定義安全機(jī)制用于實(shí)現(xiàn)網(wǎng)絡(luò)間的認(rèn)證鑒權(quán)，保障網(wǎng)間數(shù)據(jù)安全，但是攻擊者仍有可能滲透對(duì)端運(yùn)營(yíng)商網(wǎng)絡(luò)，偽裝成合法用戶(hù)發(fā)送信令至本運(yùn)營(yíng)商；2.關(guān)鍵數(shù)據(jù)校驗(yàn)：對(duì)VNF包、切片模板等導(dǎo)入網(wǎng)絡(luò)的關(guān)鍵數(shù)據(jù)類(lèi)型進(jìn)行檢查校驗(yàn)，防止網(wǎng)絡(luò)采集被篡改數(shù)據(jù)，從而進(jìn)一步影響關(guān)聯(lián)數(shù)據(jù)準(zhǔn)確性；3.接口安全：如支持?jǐn)?shù)據(jù)加密、接口隔離。針對(duì)用戶(hù)面數(shù)據(jù)獲取安全防護(hù)，除采用數(shù)據(jù)源認(rèn)證及接口安全機(jī)制外，對(duì)傳入MEC平臺(tái)的數(shù)據(jù)進(jìn)行安全性檢測(cè)，可一定程度防止惡意流量接入5G網(wǎng)絡(luò)。6.1.2數(shù)據(jù)傳輸5G數(shù)據(jù)傳輸階段主要需保證數(shù)據(jù)在5G網(wǎng)絡(luò)傳輸過(guò)程中數(shù)據(jù)的完整性，及敏感信息的機(jī)密性。三平面數(shù)據(jù)傳輸存在共性及特性安全需求。共性方面，不同平面均需要較為安全可靠的傳輸環(huán)境提供基本傳輸安全；特性方面，由于數(shù)據(jù)的傳輸場(chǎng)景和安全級(jí)別不同，需應(yīng)用差異化防護(hù)機(jī)制。(1)傳輸環(huán)境安全1.傳輸節(jié)點(diǎn)的安全：需降低數(shù)據(jù)從節(jié)點(diǎn)泄露的風(fēng)險(xiǎn)。傳輸節(jié)點(diǎn)包括網(wǎng)元等網(wǎng)絡(luò)設(shè)備也包括物理/虛擬交換機(jī)、路由器等傳輸設(shè)備。降低數(shù)據(jù)安全風(fēng)險(xiǎn)的方式包括關(guān)閉無(wú)用端口、接口流量監(jiān)測(cè)等方式。對(duì)于物理節(jié)點(diǎn)外不可見(jiàn)不可控的虛擬化節(jié)點(diǎn)東西向流量，采用流量重定向、流量可視化等技術(shù)進(jìn)行流量安全監(jiān)測(cè)；2.分域分面的安全策略：根據(jù)不同傳輸場(chǎng)景劃分安全域，在安全邊界部署防火墻等安全設(shè)備并建立嚴(yán)格安全策略，防止風(fēng)險(xiǎn)在域間擴(kuò)散；為不同平面設(shè)置獨(dú)立端口、設(shè)置vlan隔離策略等，防止風(fēng)險(xiǎn)在不同平面間擴(kuò)散。(2)數(shù)據(jù)傳輸安全機(jī)制1.控制面：基于物理環(huán)境安全性及數(shù)據(jù)重要性提供適應(yīng)性安全傳輸機(jī)制，如在高風(fēng)險(xiǎn)環(huán)境確保5G網(wǎng)絡(luò)自身提供的安全機(jī)制開(kāi)啟，包括加密、完整性、抗重放保護(hù)等，為包括用戶(hù)個(gè)人信息在內(nèi)的各類(lèi)數(shù)據(jù)提供安全保護(hù)；2.用戶(hù)面：根據(jù)數(shù)據(jù)安全級(jí)別或安全需求，采用差異化安全措施。對(duì)用戶(hù)面數(shù)據(jù)安全需求級(jí)別進(jìn)行評(píng)估，根據(jù)不同級(jí)別為用括；明文傳輸、18/38MEC平臺(tái)及應(yīng)用平臺(tái)間專(zhuān)線(xiàn)傳輸；3.管理面；管理面數(shù)據(jù)中高安全級(jí)別數(shù)據(jù)比例大且數(shù)據(jù)量S6.1.3數(shù)據(jù)存儲(chǔ)在5G網(wǎng)絡(luò)中存儲(chǔ)的數(shù)據(jù)主要為控制面及管理面數(shù)據(jù)?？刂泼婕肮芾砻婀δ芫渴鹪谔摂M化環(huán)境，兩類(lèi)數(shù)據(jù)存儲(chǔ)環(huán)境類(lèi)似，且均有較高的可用性、完整性要求，以及敏感數(shù)據(jù)的機(jī)密性需求。應(yīng)從存儲(chǔ)環(huán)境及存儲(chǔ)方式角度構(gòu)建5G數(shù)據(jù)存儲(chǔ)安全機(jī)制。(1)存儲(chǔ)環(huán)境安全存儲(chǔ)環(huán)境的安全是保證存儲(chǔ)數(shù)據(jù)安全的關(guān)鍵點(diǎn)之一，存儲(chǔ)環(huán)境自身安全可降低攻擊者利用系統(tǒng)漏洞等方式非法獲取數(shù)據(jù)、篡改數(shù)據(jù)的風(fēng)險(xiǎn)。確保5G數(shù)據(jù)存儲(chǔ)環(huán)境安全的方式如：1.HostOS、Hypervisor、虛擬機(jī)系統(tǒng)及管理系統(tǒng)安全：采用最小安裝原則、安全配置檢查及定期的病毒掃描、漏洞掃描以及及時(shí)更新病毒庫(kù)、漏洞庫(kù)等系統(tǒng)安全防護(hù)離、內(nèi)存資源安全隔離、內(nèi)部網(wǎng)絡(luò)的隔離；3.數(shù)據(jù)庫(kù)安全：對(duì)存儲(chǔ)5G敏感數(shù)據(jù)的數(shù)據(jù)庫(kù)，采用增強(qiáng)的數(shù)據(jù)庫(kù)審計(jì)等安全機(jī)制。(2)存儲(chǔ)方式安全從數(shù)據(jù)訪(fǎng)問(wèn)機(jī)制、數(shù)據(jù)加密機(jī)制、存儲(chǔ)策略維度解決存儲(chǔ)方式安全問(wèn)題。1.訪(fǎng)問(wèn)控制：為敏感數(shù)據(jù)提供限制訪(fǎng)問(wèn)設(shè)備、限制操作權(quán)限、多人聯(lián)合授權(quán)在內(nèi)的訪(fǎng)問(wèn)控制機(jī)制，分散在網(wǎng)絡(luò)邊緣較開(kāi)放環(huán)境中的關(guān)鍵數(shù)據(jù)可上鏈存儲(chǔ)，防止攻擊者繞過(guò)權(quán)限控制篡改數(shù)據(jù)；2.數(shù)據(jù)加密：對(duì)存儲(chǔ)數(shù)據(jù)進(jìn)行分類(lèi)分級(jí)，為不同級(jí)別數(shù)據(jù)提供差異化的加密機(jī)制，低安全級(jí)別數(shù)據(jù)明文存儲(chǔ)，高安全級(jí)別數(shù)據(jù)(如認(rèn)證鑒權(quán)數(shù)據(jù))采用加密存儲(chǔ)或存儲(chǔ)在專(zhuān)用安全存儲(chǔ)區(qū)域；3.存儲(chǔ)策略：根據(jù)網(wǎng)絡(luò)部署設(shè)計(jì)靈活的存儲(chǔ)策略，如針對(duì)網(wǎng)元集中部署的場(chǎng)景，根據(jù)網(wǎng)元服務(wù)用戶(hù)歸屬地、網(wǎng)元類(lèi)型或網(wǎng)元重要程度等因素對(duì)網(wǎng)元進(jìn)行分類(lèi)，為不同類(lèi)別網(wǎng)元數(shù)據(jù)分配不同存儲(chǔ)空間，并配備安全隔離措施；4.做好數(shù)據(jù)備份恢19/386.1.4數(shù)據(jù)使用5G網(wǎng)絡(luò)各平面數(shù)據(jù)均有其數(shù)據(jù)使用場(chǎng)景，對(duì)不同平面的數(shù)據(jù)使用安全防護(hù)可采用相似安全技術(shù)。(1)數(shù)據(jù)基本使用安全5G網(wǎng)絡(luò)主要通過(guò)網(wǎng)元間服務(wù)化及非服務(wù)化接口進(jìn)行控制面數(shù)據(jù)操作。為防止攻擊者假冒網(wǎng)元獲取數(shù)據(jù)，網(wǎng)元間的接口需采用嚴(yán)格的身份認(rèn)證及訪(fǎng)問(wèn)控制措施，并限制每類(lèi)網(wǎng)元可訪(fǎng)問(wèn)的網(wǎng)元類(lèi)型及數(shù)據(jù)類(lèi)型。除網(wǎng)元間接口，網(wǎng)元與運(yùn)營(yíng)商其他系統(tǒng)間可存在網(wǎng)管接口、數(shù)據(jù)采集接口等多種類(lèi)接口，供其他系統(tǒng)查詢(xún)、操作數(shù)據(jù)，通過(guò)統(tǒng)一認(rèn)證授權(quán)機(jī)制、業(yè)務(wù)功能與管理功能邏輯隔離等權(quán)限管理方式可加強(qiáng)接口安全。MANO、切片管理系統(tǒng)、網(wǎng)管等涉及管理面數(shù)據(jù)使用過(guò)程，包含較多管理員對(duì)數(shù)據(jù)的操作。除管理系統(tǒng)內(nèi)部組件間需采用嚴(yán)格的認(rèn)證、權(quán)限控制機(jī)制外，重點(diǎn)是保證人員操作的安全性，如禁用所有特權(quán)操作、多人操作管控模式。MEC平臺(tái)涉及較多用戶(hù)面數(shù)據(jù)交互，用戶(hù)面數(shù)據(jù)使用過(guò)程的安全風(fēng)險(xiǎn)主要來(lái)自于網(wǎng)絡(luò)邊緣，防護(hù)關(guān)鍵點(diǎn)一方面是完善的認(rèn)證機(jī)制：包括強(qiáng)化用戶(hù)與MEC平臺(tái)、用戶(hù)與面是權(quán)限控制：外部應(yīng)用或系統(tǒng)訪(fǎng)問(wèn)MEC平臺(tái)的權(quán)限控制、MEC平臺(tái)內(nèi)部應(yīng)用訪(fǎng)問(wèn)數(shù)據(jù)的權(quán)限控制。(2)數(shù)據(jù)分析安全針對(duì)NWDAF等采用多源5G數(shù)據(jù)進(jìn)行關(guān)聯(lián)分析的場(chǎng)景，可引入數(shù)據(jù)脫敏、同態(tài)加密、安全多方、聯(lián)邦學(xué)習(xí)等技術(shù)，避免數(shù)據(jù)分析流程泄露敏感數(shù)據(jù)。同時(shí)對(duì)數(shù)據(jù)分析過(guò)程進(jìn)行審計(jì)，及時(shí)發(fā)現(xiàn)潛在數(shù)據(jù)安全風(fēng)險(xiǎn)。數(shù)據(jù)共享階段主要需防止數(shù)據(jù)泄露。除采用管理制度限制數(shù)據(jù)共享流程，降低數(shù)據(jù)泄露風(fēng)險(xiǎn)外，還可采用數(shù)據(jù)脫敏等技術(shù)手段防止敏感數(shù)據(jù)泄露。(1)境內(nèi)數(shù)據(jù)共享安全：1.共享內(nèi)容安全：采用技術(shù)手段對(duì)共享的數(shù)據(jù)進(jìn)行一定程度的處理，可避免敏感數(shù)據(jù)在共享過(guò)程中泄露如：數(shù)據(jù)脫敏：對(duì)敏感數(shù)據(jù)進(jìn)行脫敏，如GPSI等可反映用戶(hù)真實(shí)身份的數(shù)據(jù)。20/38隱私計(jì)算：為保證數(shù)據(jù)有效性不能對(duì)敏感數(shù)據(jù)進(jìn)行脫敏的場(chǎng)景，可使用隱私計(jì)算技術(shù)，保證用戶(hù)在不接觸原始數(shù)據(jù)的情況下，仍可以獲得計(jì)算結(jié)果，做到數(shù)據(jù)可用不可見(jiàn)。2.日志記錄：對(duì)數(shù)據(jù)共享的所有操作和行為進(jìn)行日志記錄，包括數(shù)據(jù)脫敏處理過(guò)程相應(yīng)的操作、數(shù)據(jù)共享服務(wù)接口調(diào)用事件等信息，監(jiān)測(cè)是否存在惡意數(shù)據(jù)獲取、數(shù)據(jù)盜用等風(fēng)險(xiǎn)并能在安全事件發(fā)生后，可通過(guò)日志進(jìn)行回溯分析。3.數(shù)據(jù)水?。涸诠蚕頂?shù)據(jù)中嵌入包含接收方信息的數(shù)據(jù)水印，確保數(shù)據(jù)發(fā)生泄漏后能追蹤到責(zé)任人，同時(shí)可對(duì)數(shù)據(jù)泄露行為起到威懾作用。(2)跨境數(shù)據(jù)共享安全：數(shù)據(jù)跨境共享是一種特殊的數(shù)據(jù)共享場(chǎng)景，《網(wǎng)絡(luò)安全法》、《個(gè)人信息和重要數(shù)據(jù)出境安全評(píng)估辦法(征求意見(jiàn)稿)》、《信息安全技術(shù)數(shù)據(jù)出境安全評(píng)估指南(征求意見(jiàn)稿)》等法律法規(guī)/標(biāo)準(zhǔn)規(guī)定了數(shù)據(jù)跨境安全要求。在國(guó)際漫游業(yè)務(wù)結(jié)算、網(wǎng)絡(luò)能力開(kāi)放等可能會(huì)涉及數(shù)據(jù)跨境的場(chǎng)景，除采用共享內(nèi)容安全防護(hù)機(jī)制及日志記錄進(jìn)行數(shù)據(jù)保護(hù)外，需根據(jù)相關(guān)要求進(jìn)行數(shù)據(jù)安全評(píng)估。6.1.6數(shù)據(jù)銷(xiāo)毀根據(jù)數(shù)據(jù)重要程度選擇適當(dāng)?shù)匿N(xiāo)毀方式對(duì)數(shù)據(jù)進(jìn)行銷(xiāo)毀，防止因?qū)Υ鎯?chǔ)媒體中的數(shù)據(jù)進(jìn)行恢復(fù)而導(dǎo)致的數(shù)據(jù)泄漏風(fēng)險(xiǎn)?？刹捎玫匿N(xiāo)毀方式包括數(shù)據(jù)銷(xiāo)毀和介質(zhì)銷(xiāo)毀。數(shù)據(jù)銷(xiāo)毀采用格式化硬盤(pán)、文件覆寫(xiě)、消磁等方式刪除數(shù)據(jù)，介質(zhì)銷(xiāo)毀是通過(guò)物理手段將存儲(chǔ)介質(zhì)徹底銷(xiāo)毀。在數(shù)據(jù)銷(xiāo)毀后，確保相關(guān)配置如憑證、IP等資源及時(shí)回收與更新。5G系統(tǒng)中需徹底銷(xiāo)毀的數(shù)據(jù)可包括：用戶(hù)退網(wǎng)后，網(wǎng)絡(luò)中用戶(hù)相關(guān)敏感信息需完全刪除。VNF終止或遷移后相關(guān)敏感信息需完全刪除。MEC平臺(tái)APP卸載后，APP相關(guān)用戶(hù)敏感信息需完全刪除等。21/386.2典型場(chǎng)景安全防護(hù)6.2.1切片數(shù)據(jù)安全切片數(shù)據(jù)安全防護(hù)方法包括以下方面：(1)切片管理組件安全1.對(duì)切片模板等相關(guān)數(shù)據(jù)做完整性保護(hù)和校驗(yàn)。2.加強(qiáng)切片管理能力開(kāi)放的身份認(rèn)證、權(quán)限控制、數(shù)據(jù)訪(fǎng)問(wèn)控制等安全措施，防止數(shù)據(jù)非授權(quán)訪(fǎng)問(wèn)，確保網(wǎng)絡(luò)切片信息僅開(kāi)放給授權(quán)用戶(hù)。(2)切片隔離切片隔離方式多樣，可通過(guò)RB資源預(yù)留或載頻資源獨(dú)享方式對(duì)無(wú)線(xiàn)網(wǎng)絡(luò)切片進(jìn)行隔離；采用FlexE/MTN接口隔離、MTN交叉隔離或VPN+QoS隔離方式對(duì)傳輸切片進(jìn)行隔離；采用邏輯隔離、服務(wù)器隔離或服務(wù)器與網(wǎng)絡(luò)設(shè)備均隔離的方式對(duì)核心網(wǎng)切片進(jìn)針對(duì)不同安全需求，綜合采用不同的切片隔離等級(jí)。如針對(duì)普通行業(yè)，可按需構(gòu)建多類(lèi)型切片：多行業(yè)切片共享資源池，按需靈活采用無(wú)線(xiàn)及傳輸隔離方式，用戶(hù)面功能專(zhuān)享，控制面功能按需共享，對(duì)共享網(wǎng)元所接入的不同切片網(wǎng)絡(luò)平面進(jìn)行隔離；針對(duì)具有高隔離度要求的涉及國(guó)計(jì)民生的行業(yè)(如電力行業(yè))，可構(gòu)建行業(yè)物理專(zhuān)網(wǎng)：基站共享或?qū)Ｓ茫瑯?gòu)建獨(dú)立資源池，控制面及用戶(hù)面全部專(zhuān)享，形成可獨(dú)立運(yùn)維管理的核心側(cè)全隔離的物理“切片”。6.2.2邊緣計(jì)算數(shù)據(jù)安全針對(duì)邊緣計(jì)算場(chǎng)景中數(shù)據(jù)面臨的主要安全威脅，可從MEC物理安全、數(shù)據(jù)安全防護(hù)機(jī)制及數(shù)據(jù)自身安全角度進(jìn)行邊緣計(jì)算數(shù)據(jù)安全防護(hù)。(1)MEC物理安全為MEC設(shè)備提供安全物理環(huán)境是保證邊緣計(jì)算數(shù)據(jù)安全的基本要求。對(duì)于設(shè)備部署在運(yùn)營(yíng)商機(jī)房的場(chǎng)景，需嚴(yán)格執(zhí)行運(yùn)營(yíng)商機(jī)房管理要求；對(duì)于設(shè)備部署在企業(yè)園區(qū)的場(chǎng)景，機(jī)房需具備基本安全監(jiān)控措施，如視頻監(jiān)控、門(mén)禁系統(tǒng)等，并加強(qiáng)MEC設(shè)備自身防盜、防破壞方面的結(jié)構(gòu)設(shè)計(jì)。(2)數(shù)據(jù)安全防護(hù)機(jī)制22/38MEC節(jié)點(diǎn)網(wǎng)絡(luò)環(huán)境較為開(kāi)放，并可運(yùn)行來(lái)自不同企業(yè)的APP，潛在數(shù)據(jù)安全風(fēng)險(xiǎn)較高，攻擊者可通過(guò)多種渠道、多種方式竊取或破壞數(shù)據(jù)。嚴(yán)格的權(quán)限控制及實(shí)時(shí)監(jiān)測(cè)機(jī)制是在開(kāi)放環(huán)境中保護(hù)數(shù)據(jù)的關(guān)鍵手段。身份認(rèn)證：為防止非法用戶(hù)接入MEC，應(yīng)確保接入MEC的設(shè)備、APP均是可信的。因此，應(yīng)建立MEC平臺(tái)與MEC編排器、基站、核心網(wǎng)設(shè)備、用戶(hù)設(shè)備之間的認(rèn)證，以及MEC平臺(tái)與運(yùn)行在平臺(tái)之上的APP之間的認(rèn)證機(jī)制。第三方APP驗(yàn)證：對(duì)運(yùn)行在MEC平臺(tái)上的第三方APP進(jìn)行安全驗(yàn)證，確保運(yùn)行MECAPP性。安全隔離：實(shí)現(xiàn)不同應(yīng)用的資源隔離，防止應(yīng)用越權(quán)訪(fǎng)問(wèn)其他應(yīng)用數(shù)據(jù)，如vCPU調(diào)度安全隔離、內(nèi)存資源安全隔離；對(duì)無(wú)線(xiàn)接入域、核心網(wǎng)域、管理域、互聯(lián)網(wǎng)域、企業(yè)網(wǎng)域進(jìn)行VLAN劃分隔離，防止威脅橫向擴(kuò)大。權(quán)限控制：按最小授權(quán)原則進(jìn)行訪(fǎng)問(wèn)控制權(quán)限劃分，每個(gè)應(yīng)用關(guān)聯(lián)賬號(hào)僅能訪(fǎng)問(wèn)自身應(yīng)用數(shù)據(jù)、MEC平臺(tái)管理員賬號(hào)不得訪(fǎng)問(wèn)應(yīng)用數(shù)據(jù)；對(duì)應(yīng)用的行為進(jìn)行限制，僅能執(zhí)行業(yè)務(wù)所需的必要操作?？苫趨^(qū)塊鏈對(duì)數(shù)據(jù)訪(fǎng)問(wèn)授權(quán)及數(shù)據(jù)訪(fǎng)問(wèn)操作進(jìn)行管理和記錄。實(shí)時(shí)監(jiān)測(cè)：根據(jù)日志、操作指令等數(shù)據(jù)，監(jiān)測(cè)系統(tǒng)應(yīng)用、用戶(hù)行為，并基于機(jī)器學(xué)習(xí)算法對(duì)內(nèi)外部人員、應(yīng)用的數(shù)據(jù)操作情況進(jìn)行多維度分析審計(jì)，及時(shí)發(fā)現(xiàn)危險(xiǎn)違規(guī)行為。(3)數(shù)據(jù)自身安全數(shù)據(jù)自身安全保護(hù)機(jī)制，主要包括對(duì)高安全級(jí)別的應(yīng)用數(shù)據(jù)、關(guān)鍵的管理數(shù)據(jù)等進(jìn)行加密存儲(chǔ)、加密傳輸；對(duì)可開(kāi)放的運(yùn)營(yíng)商網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行安全評(píng)估，數(shù)據(jù)脫敏；另外，重要數(shù)據(jù)可分散備份在不同MEC設(shè)備中。6.3增強(qiáng)安全防護(hù)6.3.1總體架構(gòu)隨著網(wǎng)絡(luò)和業(yè)務(wù)的發(fā)展，5G網(wǎng)絡(luò)將逐步處于更加開(kāi)放與非信任的環(huán)境，5G網(wǎng)絡(luò)提供了完善的安全機(jī)制以應(yīng)對(duì)各種可能的內(nèi)外部網(wǎng)絡(luò)攻擊，但數(shù)據(jù)安全事件的發(fā)生仍防不勝防。對(duì)5G重要數(shù)據(jù)及個(gè)人信息的智能化安全監(jiān)管將能及時(shí)發(fā)現(xiàn)外部攻擊者及內(nèi)部人23/38員對(duì)數(shù)據(jù)的竊取、篡改或破壞等行為，并及時(shí)通知管理人員執(zhí)行對(duì)應(yīng)控制策略，將數(shù)據(jù)安全事件的影響降到最低。5G數(shù)據(jù)安全監(jiān)管功能通過(guò)主動(dòng)式或被動(dòng)式采集方式實(shí)時(shí)采集5G網(wǎng)絡(luò)各接口數(shù)據(jù)及系統(tǒng)日志，包括網(wǎng)元間接口、管理系統(tǒng)各組件間接口、網(wǎng)元與管理系統(tǒng)間接口數(shù)據(jù)，以及網(wǎng)元和管理系統(tǒng)日志數(shù)據(jù)，主要采集控制面及管理面數(shù)據(jù)?；诓杉瘮?shù)據(jù)，利用監(jiān)測(cè)預(yù)警、態(tài)勢(shì)感知等技術(shù)，對(duì)用戶(hù)異常行為、數(shù)據(jù)異常流動(dòng)等情況進(jìn)行監(jiān)測(cè)預(yù)警，并可與設(shè)備安全策略聯(lián)動(dòng)實(shí)現(xiàn)數(shù)據(jù)安全事件閉環(huán)處置。主動(dòng)式采集指在網(wǎng)元設(shè)備、管理系統(tǒng)組件中定義流量上報(bào)接口或部署數(shù)據(jù)采集功能模塊實(shí)時(shí)采集日志及接口數(shù)據(jù)；被動(dòng)式采集方式指通過(guò)分光、鏡像等外置方式采集接口數(shù)據(jù)，不適用于日志實(shí)時(shí)采集及加密數(shù)據(jù)6.3.2關(guān)鍵技術(shù)5G數(shù)據(jù)安全監(jiān)管主要包括敏感數(shù)據(jù)自動(dòng)識(shí)別、監(jiān)測(cè)預(yù)警、態(tài)勢(shì)感知技術(shù)。敏感數(shù)據(jù)自動(dòng)識(shí)別根據(jù)主要的5G重要數(shù)據(jù)及用戶(hù)個(gè)人信息種類(lèi)及相關(guān)國(guó)家/行業(yè)標(biāo)準(zhǔn)，定義5G敏感數(shù)據(jù)類(lèi)別級(jí)別，并制定相應(yīng)正則、關(guān)鍵字等數(shù)據(jù)匹配規(guī)則，根據(jù)匹配規(guī)則自動(dòng)識(shí)別接口流量中敏感數(shù)據(jù)?？赏ㄟ^(guò)敏感標(biāo)簽靈活配置正則表達(dá)式、敏感詞等掃描項(xiàng)與級(jí)別類(lèi)別的關(guān)，通過(guò)規(guī)則配置敏感標(biāo)簽的自動(dòng)掃描，實(shí)現(xiàn)敏感數(shù)據(jù)分類(lèi)分級(jí)自動(dòng)化，同時(shí)基于自然語(yǔ)言處理實(shí)現(xiàn)敏感詞的自動(dòng)擴(kuò)充功能。識(shí)別的數(shù)據(jù)范圍主要為控制面及管理面數(shù)據(jù)。監(jiān)測(cè)預(yù)警通過(guò)網(wǎng)元、MANO、切片管理系統(tǒng)日志分析以及接口流量?jī)?nèi)容解析，識(shí)別敏感數(shù)據(jù)操作。基于機(jī)器學(xué)習(xí)算法對(duì)網(wǎng)絡(luò)中內(nèi)外部人員數(shù)據(jù)操作情況進(jìn)行多維度分析，實(shí)現(xiàn)系統(tǒng)應(yīng)用、數(shù)據(jù)行為的關(guān)聯(lián)分析，預(yù)判危險(xiǎn)行為。同時(shí)利用平臺(tái)能力、基于聚類(lèi)分析等機(jī)器學(xué)習(xí)算法，對(duì)渉敏人員行為進(jìn)行畫(huà)像，建立用戶(hù)特征畫(huà)像圖譜，并對(duì)用戶(hù)的實(shí)時(shí)操作和特征畫(huà)像圖譜進(jìn)行比對(duì)，發(fā)現(xiàn)異常行為。對(duì)于預(yù)判的危險(xiǎn)行為及發(fā)現(xiàn)的異常行為，向管理員或相應(yīng)管理系統(tǒng)發(fā)送告警信息，管理員或管理系統(tǒng)可根據(jù)具體異常情況執(zhí)行相應(yīng)安24/3態(tài)勢(shì)感知數(shù)據(jù)流轉(zhuǎn)實(shí)時(shí)監(jiān)測(cè)：分析采集的5G網(wǎng)絡(luò)接口流量，基于IP地址、網(wǎng)元ID、敏感數(shù)據(jù)依據(jù)數(shù)據(jù)流轉(zhuǎn)路徑，可排除網(wǎng)絡(luò)中無(wú)關(guān)節(jié)點(diǎn)，通過(guò)對(duì)流轉(zhuǎn)路徑中各節(jié)點(diǎn)進(jìn)行風(fēng)險(xiǎn)排查，可快速定位數(shù)據(jù)安全事件發(fā)生節(jié)點(diǎn)。MANO系統(tǒng)在內(nèi)的5G系統(tǒng)可視化數(shù)據(jù)流轉(zhuǎn)圖。支持將網(wǎng)元設(shè)備間、管理系統(tǒng)各組件間、網(wǎng)元與其他系統(tǒng)或設(shè)備間敏感數(shù)據(jù)訪(fǎng)問(wèn)占比、敏感數(shù)據(jù)流向等以餅狀圖、柱狀圖、熱力圖等形式呈現(xiàn)，實(shí)現(xiàn)5G系統(tǒng)敏感數(shù)據(jù)流量流向全景感知。數(shù)據(jù)威脅預(yù)警：基于接口、時(shí)間、賬號(hào)等要素制定5G敏感數(shù)據(jù)異常流動(dòng)規(guī)則，如根據(jù)網(wǎng)元數(shù)據(jù)調(diào)用規(guī)則，指定數(shù)據(jù)類(lèi)型僅能在指定接口間傳輸，若該數(shù)據(jù)出現(xiàn)在非法接口，則為異常流動(dòng)。對(duì)符合異常流動(dòng)規(guī)則的數(shù)據(jù)流轉(zhuǎn)情況，自動(dòng)告警提醒運(yùn)維管理人員進(jìn)行核查。同時(shí)可在5G系統(tǒng)設(shè)備中配置安全策略或與其他5G安全設(shè)備聯(lián)動(dòng)，基于告警類(lèi)型自動(dòng)觸發(fā)防御策略的執(zhí)行。6.45G數(shù)據(jù)安全管理采用完善的技術(shù)手段能夠有效保護(hù)5G數(shù)據(jù)安全，但在5G數(shù)據(jù)生成、流轉(zhuǎn)、銷(xiāo)毀的過(guò)程中離不開(kāi)配套管理機(jī)制。5G數(shù)據(jù)安全管理應(yīng)能通過(guò)制度、流程要求保證數(shù)據(jù)全生命周期的安全。6.4.15G數(shù)據(jù)資產(chǎn)管理數(shù)據(jù)加密、數(shù)據(jù)備份等系列安全機(jī)制能有效保證數(shù)據(jù)的防泄漏、防篡改，保證5G數(shù)據(jù)安全。但安全機(jī)制的有效實(shí)施依賴(lài)于相關(guān)的責(zé)任部門(mén)及人員，需定義5G數(shù)據(jù)資產(chǎn)的相關(guān)角色定位和職責(zé)，明確5G數(shù)據(jù)資產(chǎn)管理范圍，確保組織內(nèi)部重要的5G數(shù)據(jù)資產(chǎn)已有明確的管理者或責(zé)任部門(mén)。6.4.2人員管理企業(yè)內(nèi)部人員及第三方運(yùn)維管理人員比外部攻擊者有更多的機(jī)會(huì)竊取、散播及破壞25/38數(shù)據(jù)，需采取嚴(yán)格的管理措施盡量消除內(nèi)部人員安全威脅。除安全教育、安全培訓(xùn)外，對(duì)于企業(yè)內(nèi)部人員，可建立涉及敏感信息操作人員名單庫(kù)，對(duì)發(fā)生離職、崗位變化等人員的權(quán)限進(jìn)行及時(shí)調(diào)整，停止涉敏相關(guān)授權(quán)；針對(duì)第三方人員，建立第三方管理規(guī)范或度，采用合同約束、信用管理等手段，加強(qiáng)第三方監(jiān)督管理，并嚴(yán)禁第三方廠(chǎng)商、合作單位等非本單位人員賬號(hào)具備敏感數(shù)據(jù)查詢(xún)、修改、導(dǎo)出等涉敏權(quán)限。6.4.3賬號(hào)權(quán)限管理5G網(wǎng)絡(luò)中廣泛采用訪(fǎng)問(wèn)控制機(jī)制進(jìn)行數(shù)據(jù)操作權(quán)限管理，防止數(shù)據(jù)泄露。為保證訪(fǎng)問(wèn)控制效果，需對(duì)賬號(hào)及權(quán)限進(jìn)行嚴(yán)格管理，包括網(wǎng)元運(yùn)維管理賬號(hào)、切片管理系統(tǒng)業(yè)務(wù)操作賬號(hào)等能夠?qū)?G數(shù)據(jù)進(jìn)行查看或修改的賬號(hào)?？刹捎玫墓芾矸绞桨ǎ?根據(jù)“權(quán)限明確、職責(zé)分離、最小特權(quán)”的原則分配角色和權(quán)限。嚴(yán)格賬號(hào)權(quán)限申請(qǐng)審批流程。賬號(hào)與人員保持一一對(duì)應(yīng)。賬號(hào)權(quán)限管理操作角色與具有業(yè)務(wù)操作權(quán)限的角色職責(zé)分離等。6.4.4數(shù)據(jù)共享管理從技術(shù)上可以采用接口安全管理、數(shù)據(jù)脫敏等技術(shù)保護(hù)數(shù)據(jù)安全，從管理層面可以嚴(yán)格數(shù)據(jù)共享要求，進(jìn)一步降低因數(shù)據(jù)共享而引入的敏感數(shù)據(jù)泄露風(fēng)險(xiǎn)。數(shù)據(jù)共享管理要求可包括：敏感數(shù)據(jù)不直接共享；在進(jìn)行數(shù)據(jù)共享前對(duì)數(shù)據(jù)共享場(chǎng)景進(jìn)行分析，確保只允許輸出必須的數(shù)據(jù)；明確共享數(shù)據(jù)可使用的范圍和場(chǎng)景、明確數(shù)據(jù)共享雙方應(yīng)承擔(dān)的安全責(zé)任。7下一步工作建議目前5G網(wǎng)絡(luò)建設(shè)仍在持續(xù)推進(jìn)，5G技術(shù)仍在不斷研究更新。5G商用還未全面鋪開(kāi)，車(chē)聯(lián)網(wǎng)、工業(yè)互聯(lián)網(wǎng)、智慧城市等行業(yè)應(yīng)用與5G網(wǎng)絡(luò)的結(jié)合處于探索和發(fā)展階段。5G網(wǎng)絡(luò)在進(jìn)一步演進(jìn)以及與各行業(yè)融合發(fā)展的過(guò)程中可能會(huì)面臨新的數(shù)據(jù)安全問(wèn)題，應(yīng)在持續(xù)關(guān)注5G數(shù)據(jù)安全態(tài)勢(shì)變化的同時(shí)，同步做好相應(yīng)數(shù)據(jù)安全研究工作。?持續(xù)完善5G數(shù)據(jù)安全防護(hù)機(jī)制，創(chuàng)新5G數(shù)據(jù)安全防護(hù)技術(shù)，提升5G數(shù)據(jù)安全26/38水平。跟蹤網(wǎng)絡(luò)與行業(yè)同融合發(fā)展趨勢(shì)，研究分析現(xiàn)有5G數(shù)據(jù)安全防護(hù)機(jī)制在應(yīng)對(duì)新場(chǎng)景、新技術(shù)等方面的不足，探索人工智能、區(qū)塊鏈等技術(shù)與5G數(shù)據(jù)安全能力的結(jié)合，推進(jìn)數(shù)據(jù)流轉(zhuǎn)監(jiān)測(cè)、敏感數(shù)據(jù)識(shí)別等數(shù)據(jù)安全技術(shù)在5G網(wǎng)絡(luò)的進(jìn)一步應(yīng)用，促進(jìn)5G數(shù)據(jù)安全防護(hù)體系持續(xù)完善。G能力輸出場(chǎng)景隱私保護(hù)，構(gòu)建開(kāi)放網(wǎng)絡(luò)下的數(shù)據(jù)隱私安全能力。5G網(wǎng)絡(luò)基實(shí)現(xiàn)多源網(wǎng)絡(luò)數(shù)據(jù)分析，支持多維度分析能力。能力開(kāi)放意味著數(shù)據(jù)的輸出，潛在隱私信息泄露風(fēng)險(xiǎn)，隨著能力開(kāi)放與行業(yè)應(yīng)用的融合發(fā)展，開(kāi)放場(chǎng)景將更加豐富，隱私保護(hù)面臨挑戰(zhàn)，隱私保護(hù)技術(shù)和機(jī)制有待加強(qiáng)。?進(jìn)一步細(xì)化5G數(shù)據(jù)安全防護(hù)機(jī)制，促進(jìn)數(shù)據(jù)安全標(biāo)準(zhǔn)在5G網(wǎng)絡(luò)中的應(yīng)用。在5G數(shù)據(jù)安全機(jī)制具體實(shí)施層面，充分參考相關(guān)數(shù)據(jù)安全標(biāo)準(zhǔn)，如在數(shù)據(jù)分類(lèi)分級(jí)方面參考《信息安全技術(shù)電信領(lǐng)域大數(shù)據(jù)安全防護(hù)實(shí)現(xiàn)指南(征求意見(jiàn)稿)》，以標(biāo)準(zhǔn)促進(jìn)安全，形成5G數(shù)據(jù)安全防護(hù)屏障的有力支撐。27/38獻(xiàn)[1]ITU-T805.Securityarchitectureforsystemsprovidingend-to-endcommunications[S].[S.l]:ITU-T805,2003.[2]3GPP.SystemArchitectureEvolution(SAE);SecurityarchitectureTS33.501V16.5.0[3]3GPP.SystemArchitectureforthe5GSystem(5GS)TS23.501V16.7.0[S].2020.12.[4]3GPP.Proceduresforthe5GSystem(5GS)TS23.502V16.2.0[S].2019.09.[5]3GPP.NGgeneralaspectsandprinciplesTS38.410V16.1.0[S].2020.03.[6]3GPP.TechnicalSpecificationRadioAccessNetwork;NG-RAN;NGlayer1TS38.411V15.0.0[S].2018.06.[7]3GPP.NG-RAN;NGApplicationprotocol(NGAP)TS38.413V16.1.0[S].2020.03.[8]3GPP.StudyonmanagementandorchestrationarchitectureofnextgenerationnetworksandservicesTR28.800V15.0.0[R].2018.01.[9]3GPP.StudyonmanagementandorchestrationofnetworkslicingfornextgenerationnetworkTR28.801V15.1.0[R].2018.01.[10]3GPP.StudyonmanagementaspectsofnextgenerationnetworkarchitectureandfeaturesTR28.802V15.0.0[R].2018.01.[11]3GPP.StudyonmanagementaspectsofedgecomputingTR28.803V16.0.1[R].2019.09.[12]未來(lái)移動(dòng)通信論壇，5G信息安全白皮書(shū).v4.02017-11[13]中國(guó)通信標(biāo)準(zhǔn)化協(xié)會(huì).基礎(chǔ)電信企業(yè)數(shù)據(jù)分類(lèi)分級(jí)方法:YD/T3813-2020[S].2020[14]中國(guó)通信標(biāo)準(zhǔn)化協(xié)會(huì).電信和互聯(lián)網(wǎng)服務(wù)用戶(hù)個(gè)人信息保護(hù)定義及分類(lèi):YD/T2781-2014[S].2014[15]中國(guó)通信標(biāo)準(zhǔn)化協(xié)會(huì).基礎(chǔ)電信企業(yè)重要數(shù)據(jù)識(shí)別指南:YD/T3867-2021[S].202128/38AMFAccessandMobilityFuction接入和移動(dòng)管理功能AFApplicationFunction應(yīng)用功能AUSFAuthenticationServerFunction認(rèn)證服務(wù)器功能APIApplicationProgrammingInterface應(yīng)用程序接口CSMFCommunicationServiceManagementFunction通信服務(wù)管理功能CDNContentDeliveryNetwork內(nèi)容分發(fā)網(wǎng)絡(luò)DNNDataNetworkName數(shù)據(jù)網(wǎng)絡(luò)名稱(chēng)DRADiameterRoutingAgent路由代理節(jié)點(diǎn)eMBBenhancedMobileBroadBand增強(qiáng)移動(dòng)寬帶GUTIGloballyUniqueTemporaryUEIdentity全球唯一用戶(hù)臨時(shí)標(biāo)識(shí)gNB-CUgNBCentralUnitgNB集中單元gNB-DUgNBDistributedUnitgNB分布單元ITInformationTechnology信息技術(shù)IMSIPMultimediaSubsystemIP多媒體子系統(tǒng)LCSLocationServices位置服務(wù)LADNLocalAreaDataNetwork本地?cái)?shù)據(jù)網(wǎng)絡(luò)LMFLocationManagementFunction位置管理功能MANOManagementandOrchestration管理和編排MECMobile/Multi-AccessEdgeComputing移動(dòng)/多接入邊緣計(jì)算NSMFNetworkSliceManagementFunction網(wǎng)絡(luò)切片管理功能NSSMFNetworkSliceSubnetManagementFunction網(wǎng)絡(luò)切片子網(wǎng)管理功能NFNetworkFunction網(wǎng)絡(luò)功能NSSFNetworkSliceSelectionFunction網(wǎng)絡(luò)切片選擇功能NRFNFRepositoryFunction網(wǎng)絡(luò)存儲(chǔ)功能NEFNetworkExposureFunction網(wǎng)絡(luò)開(kāi)放功能NFVNetworkFunctionsVirtualization網(wǎng)絡(luò)功能虛擬化NASNon-Accessstratum非接入層NSDNetworkServiceDescriptor網(wǎng)絡(luò)服務(wù)描述符OSSOperationSupportSystems運(yùn)營(yíng)支撐系統(tǒng)OMCOperationandMaintenanceCenter操作維護(hù)中心OAMOperationAdministrationMaintenance操作維護(hù)管理功能PDUProtocolDataUnit協(xié)議數(shù)據(jù)單元PCFPolicyControlFunction策略控制功能PLMNPublicLandMobileNetwork公共陸地移動(dòng)網(wǎng)RANRadioAccessNetwork無(wú)線(xiàn)接入網(wǎng)絡(luò)SLAServiceLevelAgreement服務(wù)等級(jí)協(xié)議SUCISubscriptionConcealedIdentifier隱藏標(biāo)識(shí)SUPISubscriptionPermanentIdentifier永久標(biāo)識(shí)SMSShortMessageService短消息服務(wù)29/38SEPPSecurityEdgeProtectionProxy安全邊緣保護(hù)代理SMSFShortMessageServiceFunction短信功能SMFSessionManagementFunction會(huì)話(huà)管理功能SBAService-basedarchitecture服務(wù)化架構(gòu)UEUserEquipment用戶(hù)設(shè)備(終端)UPFUserPlaneFunction用戶(hù)面功能UDMUnifiedDataManagement統(tǒng)一數(shù)據(jù)管理功能UDRUnifiedDataRepository統(tǒng)一數(shù)據(jù)倉(cāng)儲(chǔ)功能UDSFUnstructuredDataStorageFunction非結(jié)構(gòu)化數(shù)據(jù)存儲(chǔ)功能VoNRVoiceoverNewRadio新空口承載語(yǔ)音VNFVirtualNetworkFunction虛擬化網(wǎng)絡(luò)功能VNFDVirtualNetworkFunctionDescriptor虛擬化網(wǎng)絡(luò)功能描述VoiceoverLong-TermEvolution長(zhǎng)期演進(jìn)語(yǔ)音承載VMVirtualMachine虛擬機(jī)5GFifthGenerationOfCellularNetwork第五代蜂窩網(wǎng)絡(luò)系統(tǒng)5GC5GCoreNetwork5G核心網(wǎng)5G、數(shù)據(jù)安全、數(shù)據(jù)流轉(zhuǎn)、安全威脅圖4用戶(hù)認(rèn)證數(shù)據(jù)流5G網(wǎng)絡(luò)上使用EAP-AKA認(rèn)證過(guò)程進(jìn)行認(rèn)證并認(rèn)證成功的數(shù)據(jù)流程如下：30/382.SEAF-AUSF：Nausf_UEAuthentication_Authenticate請(qǐng)求，包含服務(wù)網(wǎng)名稱(chēng)、SUCI3.AUSF-UDM：Nudm_UEAuthentication_Get服務(wù)調(diào)用，包含服務(wù)網(wǎng)名稱(chēng)、SUCI或SUPI。4.UDM/ARPF創(chuàng)建一個(gè)包含RAND、AUTN、XRES*和KAUSF的5GHEAV。5.UDM-AUSF:Nudm_UEAuthentication_Get響應(yīng)消息，包含UDM創(chuàng)建的的5GHEAV(含RAND、AUTN、XRES*和KAUSF)、指示5GHEAV用于5GAKA的信息(若Nudm_UEAuthentication_Get請(qǐng)求中包含SUCI，則該響應(yīng)中包含SUPI。)。AUSF臨時(shí)保存XRES*及接收到的SUCI或SUPI。AUSF可保存KAUSF。6.AUSF基于從UDM/ARPF接收到的5GHEAV生成一個(gè)5GAV。從XRES*計(jì)算出HXRES*，從KAUSF推衍出KSEAF，然后用HXRES*和的KSEAF分別替換5G7.AUSF-SEAF：Nausf_UEAuthentication_Authenticate響應(yīng)，包含5GSEAV(含RAND，AUTN，HXRES*)。8.SEAF-UE：NAS消息(Auth-Req)，包含RAND、AUTN、UE和AMF用于標(biāo)識(shí)KAMF和部分原生安全上下文的ngKSI、ABBA參數(shù)。9.UE通過(guò)檢查AUTN是否被接受以驗(yàn)證認(rèn)證向量是否最新。10.UE-SEAF：NAS認(rèn)證響應(yīng)消息，包含RES*(UE計(jì)算的認(rèn)證響應(yīng)結(jié)果)。11.SEAF從RES*計(jì)算HRES*，并比較HRES*和HXRES*。12.SEAF-AUSF：Nausf_UEAuthentication_AuthenticateRequest消息，包含UE的SUCI13.當(dāng)接收到包含RES*的Nausf_UEAuthentication_AuthenticateRequest消息時(shí)，AUSF可驗(yàn)證AV是否已到期。若AV已過(guò)期，AUSF可從歸屬網(wǎng)絡(luò)的角度認(rèn)為認(rèn)證不成功。AUSF應(yīng)將接收到的RES*與存儲(chǔ)的XRES*進(jìn)行比較。若RES*和XRES*一致，AUSF應(yīng)從歸屬網(wǎng)絡(luò)的角度認(rèn)為認(rèn)證成功。14.AUSF-SEAF：Nausf_UEAuthentication_AuthenticateResponse消息，包含認(rèn)證成功的指示、KSEAF(若AUSF在啟動(dòng)認(rèn)證時(shí)從SEAF接收到SUCI，還應(yīng)包含SUPI)。31/38A.2互聯(lián)網(wǎng)業(yè)務(wù)圖5互聯(lián)網(wǎng)業(yè)務(wù)數(shù)據(jù)流UE發(fā)起初始化PDU會(huì)話(huà)建立流程，建立PDU會(huì)話(huà)以發(fā)送互聯(lián)網(wǎng)應(yīng)用數(shù)據(jù)的典型數(shù)據(jù)流程如下(非漫游場(chǎng)景)：1.UE-AMF：NAS消息(PDU會(huì)話(huà)建立請(qǐng)求)，包含切片標(biāo)識(shí)、UE請(qǐng)求的DNN、PDU會(huì)話(huà)ID、請(qǐng)求類(lèi)型、舊PDU會(huì)話(huà)ID、N1SMcontainer等信息。(此場(chǎng)景中，UE請(qǐng)求的DNN指示本次訪(fǎng)問(wèn)的網(wǎng)絡(luò)為外部公網(wǎng))2.AMF-SMF:Nsmf_PDUSession_CreateSMContext請(qǐng)求，包含SUPI、選擇的DNN、服務(wù)區(qū)指示等信息。3.SMF-UDM：Nudm_SDM_Get服務(wù)調(diào)用，包含SUPI、會(huì)話(huà)管理簽約數(shù)據(jù)、選擇的DNN、切片標(biāo)識(shí)等信息。(UDM可能會(huì)調(diào)用UDR的Nudr_DM_Query服務(wù)從UDR獲取上述信息)4.SMF-AMF：Nsmf_PDUSession_CreateSMContext響應(yīng)消息，包含原因值、SM上下IDNSMcontainer等信息。5.SMF-NRF：Nnrf_NFDiscovery服務(wù)調(diào)用，包含PCF實(shí)例信息。6.SMF-PCF：Npcf_SMPolicyControl_Create服務(wù)調(diào)用，包含SUPI,PDU會(huì)話(huà)ID,PDU會(huì)話(huà)類(lèi)型、切片標(biāo)識(shí)、NSIID(如果有)、DNN、GPSI(如果有)、接入類(lèi)型、AMF實(shí)32/38IPvIPvPEIUE區(qū)、PLMNID、RAT類(lèi)型等信息。7.PCF-UDR：Nudr_DM_Query服務(wù)調(diào)用，包含SUPI、DNN、切片標(biāo)識(shí)、策略數(shù)據(jù)、PDU、用戶(hù)簽約信息等信息。8.PCF-SMF：Npcf_SMPolicyControl_Create響應(yīng)，會(huì)話(huà)管理等數(shù)據(jù)。9.SMF-NRF：Nnrf_NFDiscovery服務(wù)調(diào)用，請(qǐng)求消息包含DNN、切片標(biāo)識(shí)、SMF區(qū)域標(biāo)識(shí)；響應(yīng)消息包含UPF實(shí)例N4接口IP地址或FQDN等NF配置信息。10.SMF-UPF：N4SessionEstablishment請(qǐng)求，包含包檢測(cè)、執(zhí)行和報(bào)告規(guī)則等信息。CN要求等信息；N4SessionEstablishment響應(yīng)，視不同場(chǎng)景包含請(qǐng)求的IP地址/前綴、CN隧道信息等信息。11.SMF-AMF：Namf_Communication_N1N2MessageTransfer請(qǐng)求，包含PDU會(huì)話(huà)ID、QoS配置、CN隧道信息、允許的切片標(biāo)識(shí)、PDU會(huì)話(huà)類(lèi)型、UE請(qǐng)求的DNN、分配的IPv4地址、接口標(biāo)識(shí)等信息。12.AMF-RAN：N2PDU會(huì)話(huà)請(qǐng)求，N2SM信息、NAS消息(攜帶PDU會(huì)話(huà)ID、PDU會(huì)話(huà)建立接受消息)等信息。13.RAN-UE：RRC連接重配置相關(guān)信息、NAS消息(攜帶PDU會(huì)話(huà)ID、PDU會(huì)話(huà)建立接受消息)等信息。14.RAN-AMF：N2PDU會(huì)話(huà)響應(yīng)，包含PDU會(huì)話(huà)ID、AN隧道信息等信息、接受/拒絕的QFI列表、用戶(hù)面策略通知。AMF-SMF：Nsmf_PDUSession_UpdateSMContext請(qǐng)求，包含SM上下文ID、N2SM信息、請(qǐng)求類(lèi)型等信息。16.SMF-UPF：N4會(huì)話(huà)修改請(qǐng)求/響應(yīng)，包含AN隧道信息、轉(zhuǎn)發(fā)規(guī)則等。17.SMF-AMF：Nsmf_PDUSession_UpdateSMContext響應(yīng)。18.PDU會(huì)話(huà)建立成功，用戶(hù)可通過(guò)UPF接入外部DN中互聯(lián)網(wǎng)業(yè)務(wù)平臺(tái)。33/38A.3網(wǎng)絡(luò)切片業(yè)務(wù)圖6切片用戶(hù)會(huì)話(huà)數(shù)據(jù)流切片用戶(hù)發(fā)起注冊(cè)并請(qǐng)求建立會(huì)話(huà)的典型數(shù)據(jù)流程如下(初始/默認(rèn)AMF判斷不能為UE請(qǐng)求的切片服務(wù)場(chǎng)景)：1.UE-RAN：AN消息，包含注冊(cè)請(qǐng)求(注冊(cè)類(lèi)型、用戶(hù)標(biāo)識(shí)(SUCI或5G-GUTI或PEI)、位置、安全參數(shù)、請(qǐng)求的NSSAI等切片標(biāo)識(shí)、DNN等會(huì)話(huà)管理數(shù)據(jù))。此外ANGUAMIUE據(jù)。2.RAN-AMF：注冊(cè)請(qǐng)求。3.AMF-UDM：Nudm_SDM_Get服務(wù)調(diào)用，包含SUPI、簽約的S-NSSAI等切片簽約4.AMF-NSSF：Nnssf_NSSelecti