GBT 42564-2023 信息安全技術(shù)邊緣計(jì)算安全技術(shù)要求

信息安全技術(shù)邊緣計(jì)算安全技術(shù)要求2023-05-23發(fā)布國家市場監(jiān)督管理總局國家標(biāo)準(zhǔn)化管理委員會(huì)I 12規(guī)范性引用文件 13術(shù)語和定義 14縮略語 25概述 35.1參考架構(gòu) 35.2相關(guān)方的安全責(zé)任 35.3主要安全風(fēng)險(xiǎn) 35.4安全防護(hù)范圍 46邊緣計(jì)算安全要求 46.1邊緣計(jì)算安全框架 46.2基礎(chǔ)設(shè)施安全要求 56.3網(wǎng)絡(luò)安全要求 66.4應(yīng)用安全要求 76.5數(shù)據(jù)安全要求 86.6安全運(yùn)維要求 96.7安全支撐要求 6.8端邊協(xié)同安全要求 6.9云邊協(xié)同安全要求 附錄A(資料性)邊緣計(jì)算典型應(yīng)用場景 附錄B(資料性)邊緣計(jì)算安全風(fēng)險(xiǎn)因素 附錄C(資料性)邊緣計(jì)算相關(guān)方與安全技術(shù)要求對應(yīng)表 參考文獻(xiàn) Ⅲ1信息安全技術(shù)邊緣計(jì)算安全技術(shù)要求下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不GB/T20271—2006信息安全技術(shù)信息系統(tǒng)通用安GB/T25069信息安全技術(shù)術(shù)語GB/T39786—2021信息安全技術(shù)2邊緣基礎(chǔ)設(shè)施edgecomputinginfraAI:人工智能(ArtificialIntelligence)APP:移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序(Application)APT:高級(jí)持續(xù)性威脅(AdvancedPersistentThreat)DDoS:分布式拒絕服務(wù)攻擊(DistributedDenialofService)IoT:物聯(lián)網(wǎng)(InternetofThings)IPS:入侵防御系統(tǒng)(IntrusionPreventionSystem)MEC:多接入邊緣計(jì)算(Multi—AccessEdgeComputing)3UTC:世界協(xié)調(diào)時(shí)間(UniversalTimeCoordinated)邊緣計(jì)算參考架構(gòu)一般由終端設(shè)備、邊緣計(jì)算節(jié)點(diǎn)和云三層以及三層之間的網(wǎng)絡(luò)組成，見圖1。b)邊緣計(jì)算節(jié)點(diǎn)位于終端設(shè)備和云之間，在邊緣或邊緣的附近提供存儲(chǔ)、計(jì)算和網(wǎng)絡(luò)等資源下下網(wǎng)絡(luò)》終端設(shè)備云 邊緣計(jì)算使用者：以符合國家法律法規(guī)和邊緣計(jì)算提供者安全指導(dǎo)的方式使用邊緣計(jì)算服4漏、設(shè)備被入侵劫持、系統(tǒng)被網(wǎng)絡(luò)攻擊等風(fēng)險(xiǎn)，邊緣計(jì)算具體的安全風(fēng)險(xiǎn)因素分析見附錄B。邊緣計(jì)算安全包括終端設(shè)備、邊緣計(jì)算節(jié)點(diǎn)和云三者自身的安全以及三者之間的協(xié)同安全，其中，終端設(shè)備安全見GB/T37044—2018,云安全見GB/T35279—2017,本文件主要考慮邊緣計(jì)算節(jié)點(diǎn)邊緣數(shù)據(jù)終端終端邊緣應(yīng)用云計(jì)算節(jié)點(diǎn)邊緣基礎(chǔ)設(shè)施圖2邊緣計(jì)算安全防護(hù)范圍6邊緣計(jì)算安全要求6.1邊緣計(jì)算安全框架本文件基于邊緣計(jì)算安全防護(hù)范圍，抽象出邊緣計(jì)算安全框架，見圖3。網(wǎng)絡(luò)安全基礎(chǔ)設(shè)預(yù)警分級(jí)預(yù)警研判應(yīng)急響應(yīng)事件報(bào)告第三方安全安全支撐數(shù)據(jù)安全應(yīng)用安全全測與可信驗(yàn)證使用和加工安全安全運(yùn)維安全估災(zāi)備控安全資產(chǎn)統(tǒng)全系安固件除全刪安網(wǎng)絡(luò)時(shí)間協(xié)同輸全傳安防范圖3邊緣計(jì)算安全框架邊緣計(jì)算安全框架對應(yīng)的基礎(chǔ)設(shè)施安全、網(wǎng)絡(luò)安全、數(shù)據(jù)安全、安全運(yùn)維、安全和云邊協(xié)同安全防護(hù)措施如下：5d)邊緣數(shù)據(jù)安全包括邊緣計(jì)算節(jié)點(diǎn)上以及云邊協(xié)同和端邊協(xié)同過程中的數(shù)據(jù)收集安全、存儲(chǔ)安f)邊緣計(jì)算的安全支撐包括預(yù)警分級(jí)、預(yù)警研判、應(yīng)急響應(yīng)、事件報(bào)告和第三方安全等防護(hù)措邊緣計(jì)算安全技術(shù)要求與邊緣計(jì)算相關(guān)方的對應(yīng)關(guān)系見附錄C。c)能夠確定并記錄資產(chǎn)識(shí)別的方式。6c)支持開機(jī)校驗(yàn)，系統(tǒng)啟動(dòng)后對操作系統(tǒng)、內(nèi)核等進(jìn)行校驗(yàn)，防止未授權(quán)的應(yīng)用加載以及非法d)及時(shí)對系統(tǒng)存在的漏洞打補(bǔ)丁，漏洞處置符合GB/T30276—2020中5.4的規(guī)e)為每個(gè)邊緣計(jì)算使用者分配唯一的身份標(biāo)識(shí)；使用口令進(jìn)行身份鑒別的設(shè)置口令復(fù)雜度規(guī)則，口令的生成策略符合GB/T38626—2020中d)符合GB/T35293—2017中第9章和第10章的規(guī)定。a)采用GB/T37092—2018中第7章規(guī)定的安全一級(jí)密碼模塊；d)符合GB/T30276—2020中5.4的組件中的漏洞處置規(guī)定。b)繪制與業(yè)務(wù)運(yùn)行情況相符的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖；7c)為邊緣計(jì)算節(jié)點(diǎn)設(shè)置唯一的標(biāo)識(shí)。c)符合GB/T22239—2019中6.1.2.2和7.1.2.3的規(guī)定。邊緣計(jì)算開發(fā)者提供的邊緣計(jì)算系統(tǒng)應(yīng)符合GB/T22239—2019中6.1.3.1的規(guī)定。b)支持根據(jù)態(tài)勢感知平臺(tái)的指令進(jìn)行安全處置響應(yīng)。行身份鑒別的設(shè)置口令復(fù)雜度規(guī)則，口令的生成策略符合GB/T38626—2020中7.1的規(guī)定；8邊緣計(jì)算開發(fā)者提供的邊緣計(jì)算系統(tǒng)應(yīng)符合GB/T邊緣計(jì)算開發(fā)者提供的邊緣計(jì)算系統(tǒng)應(yīng)符合GB/T222e)支持對應(yīng)用接口的調(diào)用進(jìn)行鑒權(quán)(例如通過基于證書的簽名驗(yàn)證等)的功能，對可訪問資源范邊緣計(jì)算開發(fā)者提供的邊緣計(jì)算系統(tǒng)應(yīng)符合GB/T22239—2019中7.1b)支持在數(shù)據(jù)采集過程中加入國家標(biāo)準(zhǔn)時(shí)間戳以確保數(shù)據(jù)完整性，收集過程中對重點(diǎn)數(shù)據(jù)的安d)符合GB/T35273—2020中第5章的個(gè)人信息收集的規(guī)定。9f)符合GB/T37988—2019中8.1.2.3列項(xiàng)的第三項(xiàng)的規(guī)定；g)符合GB/T41479—2022中5.3的規(guī)定。a)符合GB/T37988—2019中7.1.2.2列項(xiàng)的第三項(xiàng)的規(guī)定；b)符合GB/T37988—2019中7.1.2.邊緣計(jì)算開發(fā)者提供的邊緣計(jì)算系統(tǒng)應(yīng)符合GB/T35273—2020中9.4和9.5的規(guī)定。邊緣計(jì)算開發(fā)者提供的邊緣計(jì)算系統(tǒng)應(yīng)符合GB/T35273—2020中8.3的規(guī)定。b)符合GB/T20271—2006中4.2.6列項(xiàng)的第四項(xiàng)的規(guī)定。邊緣計(jì)算提供者應(yīng)具備根據(jù)已發(fā)生的安全事件形成分析報(bào)告的能力，內(nèi)容不b)具備建立第三方組件版本清單的功能，支持自動(dòng)或手動(dòng)更新安全漏洞，提升安全漏洞的修復(fù)b)支持邊緣計(jì)算節(jié)點(diǎn)對終端設(shè)備上傳重要數(shù)據(jù)的安全存儲(chǔ)和處理功能，僅允許授權(quán)邊緣計(jì)算使b)支持邊緣計(jì)算節(jié)點(diǎn)的時(shí)間由云統(tǒng)一提供或直接溯源到國家標(biāo)準(zhǔn)時(shí)間UTC(NTSC)。邊緣計(jì)算開發(fā)者提供的邊緣計(jì)算系統(tǒng)應(yīng)支持云邊協(xié)同安全監(jiān)測功能，監(jiān)測邊a)根據(jù)告警事件的嚴(yán)重程度，對告警事件進(jìn)行分類分級(jí)，支持對攻擊事件進(jìn)行記錄并形成報(bào)b)支持云的時(shí)間來源于國家標(biāo)準(zhǔn)時(shí)間UTC(NTSC),并根據(jù)應(yīng)用場景需求提出時(shí)間溯源認(rèn)證蹦蹦(資料性)邊緣計(jì)算典型應(yīng)用場景A.1智慧園區(qū)安防系統(tǒng)解決方案傳統(tǒng)的視頻監(jiān)控系統(tǒng)只存儲(chǔ)視頻，需要安防分析平臺(tái)實(shí)現(xiàn)視頻分析處理，消耗大量存儲(chǔ)、計(jì)算和帶寬資源。智能園區(qū)安防系統(tǒng)通過在邊緣計(jì)算節(jié)點(diǎn)實(shí)現(xiàn)視頻實(shí)時(shí)預(yù)處理、智能存儲(chǔ)和推理，將初步分析結(jié)果上傳至智能分析平臺(tái)，通過人臉識(shí)別和視頻分析，對園區(qū)內(nèi)進(jìn)行安全態(tài)勢感知，實(shí)現(xiàn)全面化的安全運(yùn)營。囂邊緣計(jì)算節(jié)點(diǎn)夜監(jiān)云圖A.1智能園區(qū)安防系統(tǒng)解決方案通過邊緣計(jì)算端到端的智能園區(qū)監(jiān)控解決方案(見圖A.1),大大簡化了監(jiān)控系統(tǒng)對云端依賴，并降低處理時(shí)延和資源消耗。但是在整個(gè)邊緣計(jì)算安全解決方案中，也存在相應(yīng)的安全風(fēng)險(xiǎn)，例如：——數(shù)據(jù)隱私泄露風(fēng)險(xiǎn)：邊緣計(jì)算節(jié)點(diǎn)缺乏保護(hù)措施，可能導(dǎo)致視頻數(shù)據(jù)泄露、視頻識(shí)別結(jié)果篡改、設(shè)備被盜等；——安全存儲(chǔ)：邊緣設(shè)備由于受資源限制，以及存儲(chǔ)位置位于網(wǎng)絡(luò)邊緣側(cè)，存在數(shù)據(jù)存儲(chǔ)安全風(fēng)險(xiǎn)；——云邊協(xié)同：在視頻的數(shù)據(jù)從邊緣層上傳至云端時(shí)，存在安全風(fēng)險(xiǎn)；——傳輸安全：數(shù)據(jù)上傳至云的過程中可能被惡意截獲或篡改；——網(wǎng)絡(luò)攻擊風(fēng)險(xiǎn)：邊緣設(shè)備增加了系統(tǒng)網(wǎng)絡(luò)暴露面，甚至可能加劇DDoS攻擊規(guī)模。對于在智慧園區(qū)安防系統(tǒng)的邊緣計(jì)算節(jié)點(diǎn)存在以上安全風(fēng)險(xiǎn)，本文件提出了在數(shù)據(jù)安全、云邊協(xié)A.2工業(yè)互聯(lián)網(wǎng)場景下解決方案傳統(tǒng)的工業(yè)互聯(lián)網(wǎng)隨著人力成本不斷增長、物質(zhì)需求不斷提升，逐步向工業(yè)智能化發(fā)展。但是在工業(yè)互聯(lián)網(wǎng)場景下，邊緣設(shè)備只能處理局部數(shù)據(jù)，全局信息的融合需要依托云，因此工業(yè)互聯(lián)網(wǎng)場景是云邊協(xié)同的典型應(yīng)用(見圖A.2)。工業(yè)互聯(lián)網(wǎng)借助邊緣計(jì)算智能設(shè)備以處理局部的數(shù)據(jù)，因此數(shù)據(jù)的基礎(chǔ)分析時(shí)延幾乎為零；邊緣層將初步分析的結(jié)果上傳至云端，由云端對數(shù)據(jù)進(jìn)行進(jìn)一步分析和處理。云邊緣計(jì)算節(jié)點(diǎn)翻AA圖A.2工業(yè)互聯(lián)網(wǎng)場景下解決方案工業(yè)現(xiàn)場中的邊緣計(jì)算節(jié)點(diǎn)能夠支持自主地計(jì)算和存儲(chǔ)，及時(shí)檢測異常以預(yù)防單節(jié)點(diǎn)故障導(dǎo)致工業(yè)控制系統(tǒng)業(yè)務(wù)中斷。云端對位于邊緣的節(jié)點(diǎn)進(jìn)行管理，將上傳的數(shù)據(jù)進(jìn)行存儲(chǔ)、分析和態(tài)勢感知，全方位監(jiān)控和管理位于工業(yè)現(xiàn)場中的邊緣計(jì)算節(jié)點(diǎn)。但是在上述解決方案中，邊緣計(jì)算仍存在如下安全風(fēng)險(xiǎn)：——數(shù)據(jù)安全風(fēng)險(xiǎn)：邊緣側(cè)設(shè)備遠(yuǎn)離核心位置，所處環(huán)境復(fù)雜，數(shù)據(jù)的存儲(chǔ)、備份等存在安全風(fēng)險(xiǎn)；——云邊協(xié)同安全風(fēng)險(xiǎn)：邊緣設(shè)備將初步分析結(jié)果上傳至云端，通過云邊協(xié)同進(jìn)行數(shù)據(jù)交互，存在應(yīng)用、數(shù)據(jù)、網(wǎng)絡(luò)協(xié)同的安全風(fēng)險(xiǎn)；——安全運(yùn)維風(fēng)險(xiǎn)：由于處于邊緣層靠近設(shè)備側(cè)，分布式部署，涉及的設(shè)備數(shù)量比較多，所以在安全運(yùn)維方面存在安全風(fēng)險(xiǎn)。對于工業(yè)互聯(lián)網(wǎng)場景下邊緣計(jì)算節(jié)點(diǎn)存在的安全風(fēng)險(xiǎn)，本文件提出了在數(shù)據(jù)安全、云邊協(xié)同、安全運(yùn)維等方面的技術(shù)要求。A.3運(yùn)營商場景下解決方案5G網(wǎng)絡(luò)引入了MEC,改變了4G中網(wǎng)絡(luò)和業(yè)務(wù)分離的狀態(tài)，通過對傳統(tǒng)無線網(wǎng)絡(luò)增加移動(dòng)邊緣計(jì)算平臺(tái)網(wǎng)元，將業(yè)務(wù)平臺(tái)(包含內(nèi)容、服務(wù)、應(yīng)用)下沉到移動(dòng)網(wǎng)絡(luò)邊緣，并提供計(jì)算和數(shù)據(jù)存儲(chǔ)服務(wù)。5G時(shí)代下，移動(dòng)邊緣計(jì)算技術(shù)將會(huì)推動(dòng)云同移動(dòng)網(wǎng)絡(luò)融合，并可能在技術(shù)及商業(yè)生態(tài)上帶來新一輪的變革和顛覆。5G中移動(dòng)邊緣計(jì)算實(shí)現(xiàn)了就近提供計(jì)算、存儲(chǔ)資源，節(jié)省了傳輸時(shí)延，滿足了5G場景下大帶寬、低時(shí)延的需求。6圖A.3運(yùn)營商場景下解決方案移動(dòng)邊緣計(jì)算在滿足了5G場景下低時(shí)延、大帶寬的需求的同時(shí)，也存在著相應(yīng)的安全風(fēng)險(xiǎn)，例如：(資料性)邊緣計(jì)算安全風(fēng)險(xiǎn)因素B.1概述邊緣計(jì)算在邊緣或邊緣附近進(jìn)行數(shù)據(jù)處理和存儲(chǔ)，可達(dá)到低時(shí)延傳輸、加快交付速度并改善使用體B.2使用不安全通信協(xié)議邊緣計(jì)算因其高帶寬、低時(shí)延的特點(diǎn)，服務(wù)于較多的垂直行業(yè)，在不同的應(yīng)用場景下涉及不同的網(wǎng)絡(luò)協(xié)議，但是這些網(wǎng)絡(luò)協(xié)議在安全性方面的考慮是不足的。尤其在工業(yè)環(huán)境、物聯(lián)網(wǎng)場景中，其設(shè)備設(shè)計(jì)簡單，多使用未考慮安全風(fēng)險(xiǎn)的私有協(xié)議，缺少加密、認(rèn)證等措施，易于被竊聽和篡改；在電信運(yùn)營商邊緣計(jì)算場景下，多采用無線通信協(xié)議，為保證正常的通信，往往會(huì)較多地考慮通信的性能，對傳輸過程中數(shù)據(jù)的保密性、完整性、真實(shí)性和不可否認(rèn)性等方面缺少安全設(shè)計(jì)。B.3數(shù)據(jù)防護(hù)缺失邊緣計(jì)算系統(tǒng)就近提供服務(wù)，遠(yuǎn)離核心的數(shù)據(jù)機(jī)房，對于邊緣計(jì)算節(jié)點(diǎn)的數(shù)據(jù)在缺少相應(yīng)的安全措施，可能會(huì)導(dǎo)致攻擊者在數(shù)據(jù)邊緣對證據(jù)進(jìn)行銷毀。如果數(shù)據(jù)防護(hù)能力不足(例如不具備數(shù)據(jù)備份、數(shù)據(jù)恢復(fù)功能)的邊緣計(jì)算節(jié)點(diǎn)被黑客利用，惡意操作邊緣計(jì)算節(jié)點(diǎn)上承載的核心數(shù)據(jù)，則會(huì)存在數(shù)據(jù)被泄露或破壞的風(fēng)險(xiǎn)。B.4隱私保護(hù)不足多數(shù)邊緣計(jì)算節(jié)點(diǎn)受自身資源限制，缺乏對數(shù)據(jù)加密或解密的功能，這使得它容易受到攻擊者的攻擊，而且邊緣計(jì)算節(jié)點(diǎn)上的數(shù)據(jù)多是涉及用戶隱私的核心數(shù)據(jù)。因此提升邊緣計(jì)算節(jié)點(diǎn)的隱私安全保護(hù)功能，保護(hù)用戶隱私數(shù)據(jù)不被竊取、泄露，對于邊緣計(jì)算的數(shù)據(jù)安全至關(guān)重要。B.5缺少輕量級(jí)的身份鑒別對于邊緣計(jì)算系統(tǒng)而言，在邊緣計(jì)算節(jié)點(diǎn)接入、邊緣計(jì)算使用者接入和第三方應(yīng)用接入時(shí)要具備身份鑒別功能，防止非法訪問。邊緣計(jì)算環(huán)境下終端具有很強(qiáng)的移動(dòng)性，邊緣計(jì)算節(jié)點(diǎn)如何實(shí)現(xiàn)對邊緣設(shè)備切換時(shí)的高效認(rèn)證至關(guān)重要。但是由于邊緣計(jì)算節(jié)點(diǎn)資源有限，因此適用于部署輕量級(jí)的身份鑒別，保證邊緣計(jì)算節(jié)點(diǎn)的接入安全。B.6不安全的接口邊緣計(jì)算除了在邊緣側(cè)提供計(jì)算、存儲(chǔ)功能，同時(shí)也能通過開放的接口對外提供服務(wù)。攻擊者可能通過開放的接口利用漏洞惡意接入，向邊緣計(jì)算應(yīng)用發(fā)起攻擊。因此在提供對外能力開放的同時(shí)，也要確保邊緣計(jì)算的接口安全，對接口的訪問進(jìn)行限制，防止未授權(quán)的非法訪問。B.7訪問控制策略不足在不影響資源共享基礎(chǔ)上，實(shí)現(xiàn)對邊緣計(jì)算節(jié)點(diǎn)訪問權(quán)限的管理，防止信息被非授權(quán)訪問，保證系統(tǒng)安全、保護(hù)個(gè)人隱私。在邊緣計(jì)算中，訪問控制難以實(shí)施的主要原因在于：a)邊緣計(jì)算服務(wù)提供商需具備在多角色接入環(huán)境下的訪問控制功能；b)訪問控制應(yīng)支持邊緣計(jì)算使用者基本信息和策略信息的遠(yuǎn)程提供；c)支持訪問控制信息的定期更新；d)需具備高分布式且動(dòng)態(tài)異構(gòu)數(shù)據(jù)的訪問控制。實(shí)現(xiàn)以上4點(diǎn)的安全訪問控制策略是邊緣計(jì)算在安全研發(fā)、測試、部署和運(yùn)營過程中的重要考慮。B.8不安全的系統(tǒng)與組件邊緣計(jì)算節(jié)點(diǎn)與終端設(shè)備、云之間的信息交互存在信任問題，在不同的邊緣計(jì)算場景下，例如電信運(yùn)營商、工業(yè)邊緣計(jì)算、企業(yè)和IoT邊緣計(jì)算場景下，如果邊緣計(jì)算節(jié)點(diǎn)使用不安全的操作系統(tǒng)，一旦被攻擊者惡意利用其存在的漏洞，通過權(quán)限提升或者惡意軟件入侵邊緣數(shù)據(jù)中心，進(jìn)而獲取控制權(quán)限，則會(huì)導(dǎo)致邊緣計(jì)算上承載的業(yè)務(wù)連續(xù)性被破壞。B.9惡意的邊緣計(jì)算節(jié)點(diǎn)由于邊緣計(jì)算覆蓋場景、實(shí)體比較多，導(dǎo)致邊緣計(jì)算涉及的安全層面比較多，尤其是邊緣計(jì)算節(jié)點(diǎn)