《中国联通:2023中国联通基于5G及5G-A网络的天地一体化安全白皮书(32页).pdf》由会员分享,可在线阅读,更多相关《中国联通:2023中国联通基于5G及5G-A网络的天地一体化安全白皮书(32页).pdf(32页珍藏版)》请在三个皮匠报告上搜索。
1、中联通基于 5G/5G-A 网络的天地一体化安全白皮书(2023)中国联通基于 5G/5G-A网络的天地一体化安全白皮书(2023)中国联通基于 5G/5G-A网络的天地一体化安全白皮书(2023)中国联通研究院中国联通网络安全研究院下一代互联网宽带业务应用国家工程研究中心2023 年 11 月中联通基于 5G/5G-A 网络的天地一体化安全白皮书(2023)版权声明版权声明本报告版权属于中国联合网络通信有限公司研究院,并受法律保护。转载、摘编或利用其他方式使用本报告文字或者观点的,应注明“来源:中国联通研究院”。违反上述声明者,本院将追究其相关法律责任。中联通基于 5G/5G-A 网络的天地
2、一体化安全白皮书(2023)目录目录前 言.1一、天地一体化网络发展机遇.31.1 全球态势.31.2 政策驱动.41.3 业务需求.5二、基于 5G/5G-A 的天地一体化网络架构.5三、基于 5G/5G-A 的天地一体化网络安全层级.7四、基于 5G/5G-A 的天地一体化网络新挑战.8五、基于 5G/5G-A 的天地一体化网络典型安全风险及安全能力需求.95.1 基础设施层安全风险及安全能力需求.105.1.1 物理损毁.105.1.2 电磁干扰.115.1.3 设备内生安全功能增强.125.2 网络功能层安全风险及安全能力需求.135.2.1 认证授权安全.135.2.2 数据传输安全
3、.165.2.3 网络隔离安全.17中联通基于 5G/5G-A 网络的天地一体化安全白皮书(2023)5.2.4 网络边界安全.175.3 支撑管理层安全风险及安全能力需求.185.3.1 远程运维安全.185.3.2 统一安全管理.195.4 数据应用层安全风险及安全能力需求.225.4.1 数据全生命周期安全管理需求.22六、未来展望.25附录 A:缩略语.26参考文献.27中联通基于 5G/5G-A 网络的天地一体化安全白皮书(2023)1前 言由于通信技术的不断演进和人类活动范围的不断扩大,仅依赖现有地面网络难以满足网络空间极大扩展的通信需求。而随着卫星通信技术的发展,卫星通信网络与
4、5G 地面通信网络在体制和技术上已基本具备融合的条件。基于 5G/5G-A 网络的天地一体化网络是以地基网络为基础,天基网络为补充和延伸,借助 5G 系统的技术框架,构建的全球无缝立体覆盖的信息通信网络,实现 5G 通信系统对空、天、地、海多场景的统一服务,具有重要的经济效益和社会效益。全球领先国家无不将天地一体化网络作为强化本国竞争力的战略方向,我国也陆续推出一系列政策,引导天地一体化产业发展。天地一体化产业发展势在必行,天地一体化安全更是重中之重,天地一体化安全是全球面临的共同问题,维护天地一体化安全是国际社会的共同责任,需要倡导开放合作的网络安全理念,客观看待和应对天地一体化安全风险,加
5、强对话合作,共同构建和平、安全、开放、合作的天地一体化网络空间。本白皮书介绍了天地一体化网络发展现状和基于 5G/5G-A 的天地一体化网络架构,通过天地一体化网络新特征来理解安全新挑战,并围绕安全措施实施和安全能力建设的对象梳理了基于 5G/5G-A 的天地一体化网络安全层级,逐个层级分析了典型安全风险,进而提出相应的安全能力需求,以期为天地一体化体系建设提供安全方面的前瞻性分析。中联通基于 5G/5G-A 网络的天地一体化安全白皮书(2023)2本白皮书目标读者包括但不限于移动运营商、卫星运营商、通信设备提供商、安全产品提供商、安全服务提供商、系统集成商,以及其他关心天地一体化网络安全相关
6、的机构和个人。编写单位编写单位:中国联通研究院、中国联通网络安全研究院、下一代互联网宽带业务应用国家工程研究中心、中兴通讯股份有限公司、恒安嘉新(北京)科技股份公司、北京神州绿盟科技有限公司编委编委:中国联通研究院、中国联通网络安全研究院、下一代互联网宽带业务应用国家工程研究中心中国联通研究院、中国联通网络安全研究院、下一代互联网宽带业务应用国家工程研究中心:叶晓煜、魏进武、徐雷、张曼君、王蕴实、谢中怀、谢泽铖、王姗姗、陆勰、姚戈、程筱彪、侯捷、傅瑜、郭新海、陶冶、贾宝军、李强中兴通讯股份有限公司中兴通讯股份有限公司:亓娟,金友兴,闫新成恒安嘉新(北京)科技股份公司恒安嘉新(北京)科技股份公司
7、:高华、袁堂岭、侯天齐北京神州绿盟科技有限公司北京神州绿盟科技有限公司:汤旭、彭超、雷新、封宏涛中联通基于 5G/5G-A 网络的天地一体化安全白皮书(2023)3一、天地一体化网络发展机遇一、天地一体化网络发展机遇1.1 全球态势1.1 全球态势随着天地一体化网络军用价值的广泛关注和商业价值的不断提升,全球各国愈发重视天地一体化网络的战略地位及产业建设,全球在轨卫星数量稳步增长,且呈现低轨化、小体量化发展趋势。美国一直重视太空领域的发展,早在 2015 年美国 SpaceX 公司就启动了全球商业卫星互联网代表项目 StarLink 项目,宣布计划在太空搭建由约 1.2 万颗卫星组成的“星链”
8、网络提供互联网服务。2018年 3 月美国政府推出 国家航天战略,通过部署多个卫星星座计划,推进低轨通信卫星组网工程建设,力争主导全球低轨宽带卫星市场。2022 年 9 月,美国联邦通信委员会(FCC)向电信服务提供商 LynkGlobal 颁发卫星通信服务(satellite-to-phone service)的商业许可证,使其可以在全球范围内提供手机和卫星的双向通信。在此基础上,SpaceX、AST SpaceMobile、Lynk 等公司都开始推动与运营商的合作,推出卫星直连手机、卫星通话等业务。地面终端厂商也积极推出各种卫星应用,如苹果手机与 GlobalStar 合作提供的紧急 SO
9、S技术。欧洲政府也积极推动空天地一体化网络的部署。2022 年 11 月,欧洲航天局宣布未来 3 年投 169 亿欧元,旨在加强其在太空的战略自主权。2023 年 2 月,为摆脱欧洲大陆对 StarLink 系统的依赖,欧盟决定打造属于欧洲的宽带卫星网,即 IRIS2 卫星网络,为各国政府提中联通基于 5G/5G-A 网络的天地一体化安全白皮书(2023)4供弹性和安全的连接解决方案,以保护欧洲公民,并将为欧洲经济和社会的利益提供商业服务。1.2 政策驱动1.2 政策驱动我国政府高度重视空天地一体化网络建设,出台了一系列政策和措施,对行业发展起到了重要的指示意义。2017 年中央网信办牵头规划
10、面向民用的低轨卫星互联网星座,提出加强太空领域统筹,推动军民融合发展。2020 年首次将卫星互联网纳入新基建范畴。工信部关于政协十三届全国委员会第三次会议第 3776 提案答复的函提出推进基于 5G 的卫星互联网总体技术要求等标准制定,推动 5G 与卫星通信融合应用。2021 年 3 月,“十四五”规划及 2035 年愿景目标纲要中提出建设高速泛在、天地一体、集成互联、安全高效的信息基础设施,打造全球覆盖、高速运行的通信、导航、遥感空间基础设施体系。2021 年 11 月,工信部“十四五”信息通信行业发展规划中强调加强卫星通信顶层设计和统筹布局,推动高轨卫星与中低轨卫星协调发展。推进卫星通信系
11、统与地面信息通信系统深度融合,初步形成覆盖全球、天地一体的信息网络。2023 年 2 月,工信化部印发关于电信设备进网许可制度若干改革举措的通告,对卫星互联网设备、功能虚拟化设备,按照电信条例电信设备进网管理办法等规定,纳入现行进网许可管理。天地一体化网络建设对我国发展有着极其重要的意义。“一带一路”战略背景下,现有的网络覆盖面积无法满足全球全域全时信息服务需求。而随着各国竞争场景由地面转向太空,太空资源的争夺愈加中联通基于 5G/5G-A 网络的天地一体化安全白皮书(2023)5激烈,卫星轨位、空间通信频谱等不可再生资源日益稀缺。因此,快速推进天地一体化网络建设,不仅有利于我国对外政策的持续
12、开展,更有利于我国在愈发复杂的国际形势中攻克空间科技的技术高地。1.3 业务需求1.3 业务需求天地一体化网络对比传统地面网络,具有覆盖范围广、受环境影响小、容灾能力强等显著优点,能够提供全球通信、物联网、导航、定位及遥感等多种业务能力。从行业应用角度来说,天地一体化网络可在交通、环保、农业等多个行业领域应用,提供大型交通工具(航空及航海)宽带通信、车联网通信、远洋作业、监控巡检等典型行业应用。从公众业务角度来说,天地一体化网络可以满足特定场景公众通信需求,比如应急救灾、深度驴友、野外作业、牧民放牧和出境漫游等。短期看公众场景受限于技术、成本、性能等多重因素,应用场景有限,但随着手机直连和低轨
13、卫星互联网的加速落地,有望创造公众市场消费新空间。二、基于 5G/5G-A 的天地一体化网络架构二、基于 5G/5G-A 的天地一体化网络架构基于 5G/5G-A 的天地一体化网络按照组网方式的不同,主要可分为“透明转发”与“再生转发”两种网络架构。“透明转发”组网方案为当前成熟方案,如图 1 所示,终端可以连接卫星,由卫星做为中继节点,改变上行射频信号的频率载波,并对其进行滤波和放大,将信号传输接入地面网络,但所负载的信号波形不发生变化。地面信关站透传信号,由地面蜂窝网络为终端提供完整的网络功能和应用服务。目前主要应用于于信关站辐射范围内的偏中联通基于 5G/5G-A 网络的天地一体化安全白
14、皮书(2023)6远地区个人用户应急通信、无地面覆盖地区补充覆盖等场景。但受地理因素或者政治因素的限制,部分地区无法部署信关站,无法实现全球覆盖。“再生转发”组网方案目前尚处于探索论证阶段。如图 2 所示,蜂窝设备与卫星平台一体,可再生模式的卫星搭载天基接入网甚至天基核心网,具有一定的星上处理能力。终端通过天基接入网,甚至天基核心网接入地面网络。天基网络可结合通信卫星的载荷、能力、资源进行网络功能裁剪和优化。天基接入网可以提供接入网部分功能(DU)或接入网全部功能(CU+DU)。天基核心网可以提供 5G 核心网的全部网络功能,包括 AMF、SMF、PCF、UDM、AUSF、UPF、MEC 等的
15、网络功能;也可以提供 5G 核心网的部分网络功能,例如仅提供 UPF的网络功能。再生转发模式下,终端通过天基接入网、天基核心网接入地面网络,可在无信关站地区通过星间链路进行转发,实现灵活路由全球无缝覆盖。图 1 基于 5G/5G-A 的天地一体化“透明转发”组网方案中联通基于 5G/5G-A 网络的天地一体化安全白皮书(2023)7图 2 基于 5G/5G-A 的天地一体化“再生转发”组网方案三、基于 5G/5G-A 的天地一体化网络安全层级三、基于 5G/5G-A 的天地一体化网络安全层级围绕基于 5G/5G-A 的天地一体化网络安全措施实施和安全能力建设的对象,可以将天地一体化网络安全划分
16、为 4 个层级,包括 L1层基础设施层安全、L2 层网络功能层安全、L3 层支撑管理层安全和L4 层数据应用层安全。(1)基础设施层安全天地一体化网络基础设施层安全主要保障终端、地面移动蜂窝网络设备(地基接入网、地基核心网等)、星上移动蜂窝网络设备(天基接入网、天基核心网等)、信关站、卫星等天地一体化网络基础设施安全。(2)网络功能层安全网络功能层安全主要包括在天地一体化网络基础设施上部署的网络安全功能和实施的安全措施,用来保障空天地一体化网络自身安全运营需求。中联通基于 5G/5G-A 网络的天地一体化安全白皮书(2023)8(3)支撑管理层安全支撑管理层安全主要对天地一体化网络设备、人员、
17、流程等进行安全管理,满足行业安全监管要求。可以通过安全的运维管理提高天地一体化网络的运行质量,通过建设安全系统对天地一体化网络安全赋能,实现设备资产清晰、网络运行稳定有序、事件处理及时合理。(4)数据应用层安全天地一体化数据通常包括与用户相关的身份标识信息、网络位置信息、业务数据,以及网络设备信息、管理运营等网络资产和管理数据。数据应用层安全主要是保障数据在天地一体化网络和系统内部采集、处理、存储、共享和销毁等全生命周期的安全,并根据上级监管要求,履行数据安全保护职责。四、基于 5G/5G-A 的天地一体化网络新挑战四、基于 5G/5G-A 的天地一体化网络新挑战基于 5G/5G-A 的天地一
18、体化网络相比传统地面移动通信网络,在业务模式和网络部署上都发生很大变化,呈现出物理环境复杂化、网络架构异构化、多协议栈融合化和跨域互联规模化的新特征,为各安全层级带来新的安全挑战。(1)物理环境复杂化天地一体化网络部署的物理环境进一步复杂化与开放化,网络基础设施面临自然环境破坏、信号干扰、星上安全防护困难等挑战,影响设备可用性。(2)网络架构异构化天地一体化网络跨越陆、海、空、天多层级建设形成融合网络,中联通基于 5G/5G-A 网络的天地一体化安全白皮书(2023)9对网络安全要求进一步提高,需要部署适用于融合网络的安全功能,抵抗网络安全风险。(3)系统协议融合化天地一体化网络多系统多协议栈
19、融合,需要对卫星部署网络和地面部署网络进行统一安全管理,实现星地融合、协同联动的安全运维和防护。(4)跨域互联规模化天地一体化多域异构互联模式下,加剧数据安全风险,需要对天地一体化网络数据进行全生命周期安全管理,根据上级监管要求,履行数据安全保护职责。五、基于 5G/5G-A 的天地一体化网络典型安全风险及安全能力需求五、基于 5G/5G-A 的天地一体化网络典型安全风险及安全能力需求多样化的场景、新型的接入方式以及融合的网络架构给天地一体化网络安全带来了新的风险和需求。本章节进一步分析基于 5G/5G-A的天地一体化网络在基础设施层、网络功能层、支撑管理层、数据应用层各安全层级的典型安全风险
20、和安全能力需求。中联通基于 5G/5G-A 网络的天地一体化安全白皮书(2023)10图 3 基于 5G/5G-A 的天地一体化网络典型安全风险及需求全景图基于 5G/5G-A 的天地一体化网络典型安全风险及需求全景图5.1 基础设施层安全风险及安全能力需求5.1 基础设施层安全风险及安全能力需求天地一体化网络星上网络基础设施对比传统地面移动蜂窝网络基础设施,面临部署物理环境更复杂、通信环境更开放等问题,存在物理损毁和信号干扰等安全风险。并且由于卫星载荷能力有限,传统安全防护系统难以部署,需要增强星上网络基础设施自身安全防护能力,具有设备内生安全增强的安全需求。5.1.15.1.1物理损毁物理
21、损毁(1)安全风险分析天地一体化星上网络基础设施长期处于恶劣的物理环境中,容易受到宇宙射线、大气层电磁信号、太阳黑子爆发等不可控的自然因素影响,遭受物理破坏,对自身可用性造成严重的威胁。另外,由于天地一体化网络在军事领域的重要作用,天地一体化网络基础设施也会成为敌方的重点打击对象,存在遭受武器攻击的风险。中联通基于 5G/5G-A 网络的天地一体化安全白皮书(2023)11(2)安全能力需求星上网络基础设施遭遇恶劣空间环境或面临人为的恶意攻击,空间通信节点、通信链路等发生故障时,需要具备维持自身功能的能力,最主要的抗损毁策略是网络基础设施冗余备份,在分散化星座设计的卫星上部署备用网络基础设施,
22、防止单颗卫星遭受自然因素破坏或武器攻击后,网络基础设施和通信链路彻底失效。5.1.2 电磁干扰5.1.2 电磁干扰(1)安全风险分析由于通信卫星处于复杂的电磁环境中,传输链路信号容易遭受大气层电磁信号、宇宙射线等自然电磁干扰或人为恶意电磁信号的干扰,导致正常的数据传输过程受到影响,甚至发生中断。信号干扰主要包括欺骗干扰和压制干扰两种形式实现。欺骗干扰主要通过模拟伪造等方式诱导用户端做出错误判断。压制干扰主要通过同频段大功率噪声信号干扰,导致信噪比降低,使通信系统降低或者失去可用性。(2)安全能力需求由于天地一体化通信节点、通信链路面临自然的电磁干扰或人为电磁攻击风险。应当合理应用多种抗干扰技术
23、,提升通信链路的实际抗干扰能力。目前抗干扰技术包括跳频调制和扩频调制技术、指纹鉴别与角度鉴别技术、点波束技术及自适应波束形成技术、猝发通信技术和认证加密技术。实际部署中可以通过部署检测和定位干扰系统或者网络设备自身增强抗干扰能力来实现。中联通基于 5G/5G-A 网络的天地一体化安全白皮书(2023)125.1.3 设备内生安全功能增强5.1.3 设备内生安全功能增强(1)安全风险分析由于卫星载荷能力有限,星上网络基础设施电源供电等方面存在局限性,传统防火墙、入侵检测等安全系统难以部署在卫星上,星上网络基础设施面临比地面网络更加严峻的网络攻击风险,一旦被黑客攻击,将直接影响设备可用性,进而影响
24、天地一体化网络正常运转。(2)安全能力需求星上网络基础设施需要具备设备内生的安全增强功能,提供基础设施层主动防御能力,建议满足下面几个方面的能力:可信启动能力星上网络基础设施具备可信启动能力,在启动后进行安全自检,保证设备自身的安全。远程确认能力星上网络基础设施启动后,需要地面二次确认才能继续加载软件和执行。访问控制能力星上网络基础设施支持网络白名单功能,只允许合法的地面站接入到星上网络。安全态势感知能力为保障天地一体化融合网络安全,需要安全态势感知组件收集卫星网络星座运控链路、馈电链路、用户链路及地面链路所涉及的访问主体和客体设备可信单元的态势信息。星上网络基础设施需要支持收中联通基于 5G
25、/5G-A 网络的天地一体化安全白皮书(2023)13集设备运行状态及所处环境信息,并将态势信息进行存储与记录,提供威胁情报源进行分类运算。由于星上 UPF 既有可能成为主体访问卫星资源发送数据,也可能成为客体被星上接入网访问,建议 UPF 需要内置安全态势组件。安全防护能力星上网络基础设施需要支持内置防火墙和内置抗 DDoS 功能,对于设备本身进行主动的安全防护。由于攻击星链手段以用户侧发大包造成卫星链路瘫痪为主,内置防火墙和内置抗 DDoS 功能可以减轻卫星上的算力消耗与内部传输压力。但是由于卫星空间、电力、算力均有限,难以像地面网络一样开展全面的安全防护,考虑提供轻量级的DDoS 攻击检
26、测方法。也可以构建无监督的、受流量特性训练的神经网络(AI)来识别攻击流量,实现抗 DDos 和防火墙的功能。5.2 网络功能层安全风险及安全能力需求5.2 网络功能层安全风险及安全能力需求天地一体化网络跨越陆、海、空、天多层级建设形成融合网络,面临海量多源终端接入、传输信道开放变化、跨域网元互联、网络资源共享、网络边界增多等问题。需要重点关注天地一体化场景下的认证鉴权安全、数据传输安全、网络资源共享安全和网络边界安全。5.2.1 认证授权安全5.2.1 认证授权安全(1)安全风险分析天地一体化网络广覆盖、异构化、拓扑时变特性下,对验证通信节点、访问身份、共享资源的真实性的安全需求进一步提高。
27、天地一体化网络相比传统网络具有更广的覆盖范围,需要支撑海量多源终端中联通基于 5G/5G-A 网络的天地一体化安全白皮书(2023)14随时随地无缝安全接入异构融合网络,而天基节点资源受限,存在认证拥塞安全风险。另外,卫星节点长期运行在暴露的空间轨道,且拓扑周期性高度动态变化,攻击者更易假冒、劫持合法终端或网络节点,需要加强跨域互联网元的认证鉴权。同时,多运营方融合组网场景下,还需要满足多方互信需求。建议综合考虑通信节点安全等级、业务安全需求和系统计算处理能力,针对不同业务场景下不同对象的差异化安全认证需求,选择适用的认证鉴权技术,保障天地一体化网络安全。(2)安全能力需求天地一体化网络广覆盖
28、场景下,终端接入认证需要满足海量随机接入、低时延、切换频繁等需求,还需要考虑资源受限的天基节点对认证消息的处理能力。现有对于终端的接入认证算法普遍资源开销较大,建议对于天地一体化终端和安全等级要求不高的节点,在保证安全性的基础上,应用轻量级接入认证技术,既可以满足接入认证安全需求,又可以抵御认证拥塞安全风险。轻量级认证技术可以利用经典密码机制,优化已有的加密算法结构,或者在不降低安全性能的条件下,减小占用的资源与成本开销。主要实现方式包括设计轻量级接入认证协议,简化认证流程、压缩协议字段等。天地一体化网络可广泛应用于政治、军事、经济和社会等领域,不同业务场景下也存在不同安全保障能力需求。针对接
29、入认证安全要求高的业务类型,在信道特征明显的场景下,可以考虑采用物理层认证技术,通过丰富和多样化的信号内生特征实现物理层认证,增强接入认证安全性。物理层认证技术通过基于物理层的特征属性来实现对中联通基于 5G/5G-A 网络的天地一体化安全白皮书(2023)15身份和消息的认证,充分利用了底层信号特征属性,具备较高的协议架构兼容性、较高的协议灵活性以及较低的时延等优良特性。天地一体化网络跨越陆、海、空、天多层级形成融合网络,网络架构前所未有的庞大而复杂,且天基网络、空基网络和地面网络可能由不同的运营实体建设维护,多运营方融合组网场景下存在强烈的多方互信需求。可以考虑通过区块链技术进行身份管理,
30、解决身份自主管控、不可篡改、有限匿名、跨域互联多方信任等问题。区块链为归属权极度分散的分布式网络部署的基础环境,提供了一种面向网络的信任体系,非常适用于天地一体化网络异构融合分布式部署的网络架构下的认证鉴权。天地一体化网络拓扑周期性高度动态变化场景下,采用零信任接入机制,从对天地一体化用户访问主体的不信任开始,通过持续的身份鉴别和监测评估,动态调整访问策略和权限,实施精细化的访问控制和安全防护,有助于保障天地一体化网络持续、健康、可靠的运行。表 1 天地一体化网络认证鉴权安全技术适用场景认证对象认证技术天地一体化网络应用场景终端轻量级认证天地一体化网络广覆盖场景下,支撑海量低安全需求节点低时延
31、接入物理层认证信道特征明显的场景下,支撑高安全需求节点接入网元设备、访问身份、承载网络、共享资源区块链技术天地一体化融合组网多方信任场景下,满足自主管控、不可篡改及有限匿名需求零信任技术天地一体化网络拓扑周期性高度动态变化场景下,通过持续的身份鉴别和监测评估,保障网络安全中联通基于 5G/5G-A 网络的天地一体化安全白皮书(2023)165.2.2 数据传输安全5.2.2 数据传输安全(1)安全风险分析天地一体化网络下的数据传输安全,需要重点关注无线链路数据传输安全风险、互联互通网元数据传输安全风险和 OM 数据传输安全风险。天地一体化网络传输信道开放、传输距离跨度大,空中信道传输数据比传统
32、网络更容易受到人为干扰、窃听、篡改、重放和无线资源占用等威胁。另外,天地一体化网络拓扑动态变化,跨域部署下互联互通网元间的数据传输安全风险加剧。对于星上网络基础设施的远程运维场景下,更需要进一步加强 OM 数据传输安全保护,利用成熟的安全措施、有效的安全手段、创新的安全技术来应对。(2)安全能力需求针对无线链路数据传输安全风险,可以考虑应用物理层加密技术,实现天地一体化网络中数据传输过程中机密性和完整性保护的安全增强。物理层加密技术从无线信号传播特点入手,利用无线信道的不可测量、不可复制的内生安全属性,将传统需经过终端、接入点和网络之间跨协议层、依靠附加安全字段的加密和认证流程,转化为利用信道
33、指纹和射频指纹,在终端与接入点之间通信的物理层实现内生安全。针对互联互通网元数据传输安全风险,建议通过合适的安全机制,消减网元间非法访问及数据传输泄露风险。针对远程运维场景下 OM数据传输安全风险,建议采用必要的安全传输协议进行通信,提供服务器认证、数据机密性及信息完整性保护。中联通基于 5G/5G-A 网络的天地一体化安全白皮书(2023)175.2.3 网络隔离安全5.2.3 网络隔离安全(1)安全风险分析基于 5G/5G-A 的天地一体化网络按照纵向逻辑仍可以划分为用户平面、控制平面和管理平面。用户平面主要处理天地一体化网络用户面数据流量,控制平面主要处理天地一体化网络控制面数据流量,管
34、理平面主要处理 5G 网络的管理数据流量和卫星平台操作指令流量等。如果天地一体化网络管理平面、控制平面和用户平面没有进行安全和有效地隔离,可能导致非法的侧通道攻击及威胁的扩散。另外,天地一体化网络将在共享的网络基础设施上,同时为公众用户、行业用户和特殊用户提供网络服务,需要为不同安全等级的业务提供不同等级的安全保障机制和可定制的安全服务。(2)安全能力需求需要对天地一体化网络管理平面、控制平面和用户平面实施三面隔离,避免互相访问和相互影响,提高网络安全性。对公众用户、行业用户和特殊用户可以利用切片技术,进行网络资源安全隔离,制定合适的网络切片访问策略,防范 UE 访问未经授权的切片及切片间非法
35、访问,并制定合适的跨域协同的端到端切片管理规则,避免切片间资源抢占。5.2.4 网络边界安全5.2.4 网络边界安全(1)安全风险分析天地一体化网络跨越陆、海、空、天多层级形成融合网络的同时,也产生了更多的网络边界,边界安全风险越加明显。对于天地一体化中联通基于 5G/5G-A 网络的天地一体化安全白皮书(2023)18网络的“透明传输”组网架构下,由于卫星网络信关站地面网络可能分别属于不同的网络运营方,对于网络边界的互联互通的接口安全、访问安全和边界流量安全等问题需要特别关注。对于“再生转发”的网络架构,即便星上网络基础设施和地面网络基础设施属于同一个网络运营方,但由于其部署物理位置的明显差
36、异,需划分成不同的安全域,重点考虑域间安全边界防护问题。(2)安全能力需求需要根据网络设备不同的安全需求以及与外部网元之间的关系,按照组网方式将网络划分为不同的安全域,并按照网元的业务功能、网元部署位置、网络连接与边界防护的原则进行安全子域划分。针对安全域的划分实施边界防护措施,比如设置合适的访问控制规则,部署边界检测和防护设备。在跨域互联互通接口处,应考虑边界防护安全部署,部署防火墙、异常流量识别、抗 DDOS 等安全设备/功能,及时检测、防止或限制来至外网发起的攻击。跨域网元间应配置互访安全策略,限制仅允许白名单之间的设备互访。访问控制规则的设置,应遵循访问控制规则数量最小化原则。5.3
37、支撑管理层安全风险及安全能力需求5.3 支撑管理层安全风险及安全能力需求天地一体化网络以地基网络为依托、天基网络为拓展,在多网络多系统融合场景下,要重点关注远程运维安全和统一安全管理等问题。5.3.1 远程运维安全5.3.1 远程运维安全(1)安全风险分析天地一体化网络在“再生转发”组网架构下,由卫星搭载基站甚中联通基于 5G/5G-A 网络的天地一体化安全白皮书(2023)19至核心网的部分或者全部功能,可以有效降低信令和业务的处理时延、提升用户体验。但对于星上网络基础设施(星上基站、星上核心网)需要地面网络进行远程运维管理,存在远程运维的安全风险。非法用户可以通过对空天地运维管控中心或信关
38、站发起攻击,伪造合法用户身份,获取操作权限,下发危险操作指令。同时与传统地面网络类似,也存在操作维护人员身份不确定、授权不清晰,操作不透明、过程不可控,结果无法审计、责任不明确等安全风险,最终导致安全事故,影响运维安全。(2)安全能力需求对于星上网络基础设施的远程运维管理,除了需要具备基础的账号管理,密码管理,分权分域等安全能力。针对一些重要的远程运维操作,需要实施金库模式多人执行、多因素身份认证、零信任认证等方案对运维操作进行持续评估,确保所有操作都是在授权状态下安全执行。远程运维的安全能力在满足相应级别的安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心及管理部分要求基础
39、上,最大程度发挥安全措施的保护能力。在设备上采取审计措施,对链路、设备和服务器运行状况进行监控并能够告警。对安全策略、恶意代码、补丁升级进行集中管理。5.3.2 统一安全管理5.3.2 统一安全管理(1)安全风险分析天地一体化网络以地基网络为依托、天基网络为拓展,在多网络中联通基于 5G/5G-A 网络的天地一体化安全白皮书(2023)20多系统融合场景下,独立分散、不能协同联动的安全防护机制无法对抗天地一体化网络潜在的泛在攻击,需要对卫星部署网络和地面部署网络进行统一安全管理。当星上网络节点或通信链路发生异常,可以根据业务特性、网络拓扑、网络负载等动态调整网络结构,保障星上网络节点和通信链路
40、的可用性和安全性。并且需要解决天地一体化网络安全威胁种类多、脆弱点分布广、星上计算能力受限等问题,实现天地网络协同安全防护,精准感知安全风险,智能联动管控安全威胁。(2)安全能力需求天地一体化网络需要进行统一安全管理,通过统一安全管理自动化流程,构建发现、反应、处置、恢复闭环管理体系,建立安全开放的威胁信息共享机制,通过对接共享平台实现全面协同、全网联动,建立集中统一指挥,各网络独立防护的联动机制,提升安全事件处置效率。最终,天网地网协防联动来实现跨域网络资产安全管理、跨域威胁监测预警和跨域攻击溯源,完善风险控制、应急响应和整体安全防护的水平。跨域网络资产管理网络资产是构成网络信息系统的软件、
41、硬件、服务等资源的集合,是安全机制保护和安全管理的主体对象,只有精准识别和有效管理到资产,后续一系列安全保障机制才能够按预期有效落实。需要对天地一体化网络资产进行全生命周期资产管理,包括识别准入、资产建档、资产画像、关系盘点、变更稽查等重点环节,保障天地一体化网络的网元资产安全和通信链路安全。通过主动扫描探测、被动流量分析的中联通基于 5G/5G-A 网络的天地一体化安全白皮书(2023)21方式实现跨域资产的发现与识别,建立网络资产与安全事件关联能力,建立丰富、全面的网络资产特征库,并实现网络资产共享机制,以助力实现安全信息的上下联动、协同处置。精准获取跨域网元资产测绘,实现网元非法接入、非
42、授权操作等安全管理。实时发现天地一体化网络通信链路的异常,并根据网络编排指令,进行通信链路重建。跨域威胁监测预警通过天地一体化网络全网布防,实现地面网络、卫星网络、用户终端的全面感知协同,通过融合全网的安全数据、威胁情报、基础资源库等核心资源,全面感知网络安全威胁态势、洞悉网络及应用运行健康状态。基于攻击识别引擎、行为分析引擎所具备网络空间安全持续监控能力,快速发现恶意解析和非法外连。可以利用图形化技术对资产分布、数据流向、异常行为、访问等要素进行集中展示,实现网络资产、数据流转、安全事件、安全决策等网络安全管理过程显形化,实现网络安全状况态势可视、数据资产可知、安全风险可管,提升天地一体化网
43、络安全整体保护能力。跨域攻击溯源相较地面网络攻击溯源,天地一体网络由于网络结构更复杂、数据流转路径更长,跨域攻击溯源难度更大、反制力度更强。需要通过对全网流量日志的海量信息分析,对安全攻击事件进行攻击溯源,生成威胁情报。形成数据流转路径还原、流转节点数据处理行为溯源、数据血缘分析等技术能力,可视化呈现数据流动全路径和操作行为。通过全流量分析技术实现完整的网络攻击溯源取证,帮助安全人员采中联通基于 5G/5G-A 网络的天地一体化安全白皮书(2023)22取针对性响应处置措施。攻击溯源能力应该包括失陷资产溯源、重大安全事件攻击链追踪和复盘分析等,提升天地一体化网络主动防御能力。5.4 数据应用层
44、安全风险及安全能力需求5.4 数据应用层安全风险及安全能力需求天地一体化网络承载的众多业务将依赖于实体间共享和处理大量的数据,需保障天地一体化网络数据安全。天地一体化网络数据在采集、存储、传输、利用、销毁的处理环节都存在安全风险,需要对数据进行全生命周期安全管理。5.4.1 数据全生命周期安全管理需求5.4.1 数据全生命周期安全管理需求(1)安全风险分析放眼全球数据泄露事件频繁发生,过度收集、滥用用户个人信息问题大量存在,非法数据共享与交易带来的安全挑战愈加严峻,国家重要数据资源流失风险不容忽视。由于数据资源与传统资源不同,具有流动特性,而天地一体化融合网络数据流动路线更复杂,面临了更加严峻
45、的数据泄露挑战。另外,天地一体化网络数据在采集、存储、传输、使用、共享等多种流动场景下,也面临着安全漏洞、恶意攻击、越权访问、数据篡改、违规爬取等各种安全风险。需要切实加强数据全生命周期的各个环节的安全保护,针对各应用领域和业务场景下的不同特点,形成闭环安全管理模式,有效保护用户数据安全的合法权益,切实维护空天地一体化网络重要数据安全。(2)安全能力需求天地一体化网络需要对数据进行分级分类管理,并且全面保障数中联通基于 5G/5G-A 网络的天地一体化安全白皮书(2023)23据采集、数据识别、数据安全存储与计算、数据流转轨迹分析与溯源、数据隐私保护、数据审计等数据全生命周期安全。数据采集及识
46、别应部署天地一体化网络所需的数据采集能力,对空、天、地各域的原始数据进行覆盖全链条的统一采集汇聚,并对数据进行格式和内容解析。应该支持对数据源中数据的识别能力,支持对采取加密措施的应用或设备进行识别和进行流量中识别资产信息,并且支持基于网络层要素的数据采集策略,减少不必要的性能消耗,提升网络流量质量精准性。数据安全储存与计算支持对天地一体化网络中存储的访问令牌等敏感数据进行加密存储,不应在日志和配置文件中明文记录敏感数据。通过建立数据加密机制,将重要数据在数据库中进行加密方式存储。对影响天地一体化网络运行的重要数据进行完整性检测,如系统配置信息、使用者身份标识、授权凭证等,确保重要数据在损坏和
47、丢失时能够及时发现。数据流转轨迹分析与溯源跨组织、跨地域、复杂多样的网络攻击,为天地一体化网络溯源追踪带来巨大挑战。数据流转轨迹分析和溯源是支撑天地一体化网络安全技术手段建设的重要环节,是信息通报、应急处置的重要技术支撑。可以通过采集天地一体化网络各安全域原始数据信息,结合威胁情报以及业务系统产生的业务管理数据,经数据治理及算法引擎、溯源模型计算后,形成满足数据流转轨迹分析与溯源所需要的场景基础中联通基于 5G/5G-A 网络的天地一体化安全白皮书(2023)24数据,实现对涉及本网、跨域、跨境任意维度轨迹路径进行数据流转轨迹分析和溯源,最终快速直观地定位运营问题、安全风险、追溯攻击路径和威胁
48、源头。数据隐私保护天地一体化网络承载着众多用户的隐私和敏感信息,不同用户、不同业务场景对隐私保护的需求不尽相同,因此需要针对不同的用户和业务场景采用不同技术措施解决天地一体化网络的隐私保护问题。对隐私数据的保护重点是在隐私数据的收集、传输、处理和存储、转移、销毁等过程中保证相关法律法规的隐私保护要求的落实。根据隐私数据在天地一体化网络中的实际使用情况,从数据采集传输、数据脱敏、数据加密、安全基线建立、数据发布保护等方面采用不同技术措施保证数据的隐私安全。数据审计为了加强天地一体化系统可维护性和操作安全性,在回溯问题、定界责任方面更高效,需要对系统日志、应用日志和安全日志等类型日志数据进行审计。
49、天地一体化数据审计应该包括对数据状态的监测和数据变化行为分析,对日志进行关联分析、安全审计及统计分析,根据安全事件关联策略、审计策略规则产生告警。监测系统中被管账号对被管资源的高敏数据访问和关键操作行为,用于安全审查和追踪依据。中联通基于 5G/5G-A 网络的天地一体化安全白皮书(2023)25六、未来展望六、未来展望基于 5G/5G-A 的天地一体化网络吸收了传统卫星通信和地面移动通信的双重优势,扩展了 5G 技术和卫星通信的应用领域,而且为下一代空、天、地一体化融合通信系统奠定了基础。中国联通协同产业伙伴发布 中国联通基于 5G/5G-A 网络的天地一体化安全白皮书,为全行业天地一体化网
50、络安全能力建设提供参考,对于天地一体化网络安全快速发展有着积极和重要的价值及意义。尽管对天地一体化网络的研究已经全面展开,并吸引了学术界和产业界的关注,但由于天地一体化网络的大时空尺度、动态性强、结构复杂等特点,许多问题难以用传统网络理论解决,尚有诸多关键技术问题和通信设施部署问题等待被攻克。天地一体化网络安全是全球面临的共同问题,全行业可通过共同的天地一体化网络安全理念、共识的天地一体化网络安全框架及共建的天地一体化网络安全能力,应对潜在的安全挑战。中国联通将持续聚焦天地一体化安全研究进展,加强与生态伙伴合作,全力促进天地一体化安全产业发展和繁荣。中联通基于 5G/5G-A 网络的天地一体化
51、安全白皮书(2023)26附录 A:缩略语附录 A:缩略语英文缩写英文缩写英文全拼英文全拼中文释义中文释义5G5th Generation MobileCommunication Technology第五代移动通信技术AIArtificial Intelligence人工智能AMFAccess and MobilityManagement Function接入和移动管理功能AUSFAuthentication ServerFunction认证服务器功能CUCentralized Unit集中单元DDoSDistributed Denial ofService分布式拒绝服务攻击DUDistrib
52、uted Unit分布单元FCCFederal CommunicationsCommission美国联邦通信委员会IPSecInternet Protocol Security互联网安全协议MECMulti-access Edge Computing多接入边缘计算PCFPolicy Control Function策略控制功能SMFSession Management Function会话管理功能中联通基于 5G/5G-A 网络的天地一体化安全白皮书(2023)27参考文献参考文献1.3GPP.Study on using satellite access in 5G(Release16):T
53、R22.822 v16.0.0S.2018.2.3GPP.Study on architecture aspects for using satelliteaccess in 5G(Release 17):TR 23.737 V17.2.0(2021-03).3.3GPP.Study on new radio(NR)to support non-terrestrialnetworks:TR 38.811 v15.0.0S/OL.2023-05-044.IMT-2030(6G)推进组,6G 网络安全愿景技术研究报告5.IMT-2030(6G)推进组,6G 总体愿景与潜在关键技术白皮书6.CCSA
54、.基于 5G 的卫星通信系统研究7.CCSA.面向 5G 增强及 6G 的星地融合技术研究8.中国联通.中国联通天地一体融合通信愿景白皮书.20239.王蕴实,张曼君,徐雷,谢中怀.天地一体化网络安全使能技术研究J.邮电设计技术,2023(8):1-4.中联通基于 5G/5G-A 网络的天地一体化安全白皮书(2023)28战略决策的参谋者技术发展的引领者产业发展的助推者战略决策的参谋者技术发展的引领者产业发展的助推者战略决策的参谋者技术发展的引领者产业发展的助推者战略决策的参谋者技术发展的引领者产业发展的助推者战略决策的参谋者技术发展的引领者产业发展的助推者战略决策的参谋者技术发展的引领者产业
55、发展的助推者战略决策的参谋者技术发展的引领者产业发展的助推者战略决策的参谋者技术发展的引领者产业发展的助推者态度、速度、气度有情怀、有格局、有担当中国联通研究院是根植于联通集团(中国联通直属二级机构),服务于国家战略、行业发展、企业生产的战略决策参谋者、技术发展引领者、产业发展助推者,是原创技术策源地主力军和数字技术融合创新排头兵。联通研究院致力于提高核心竞争力和增强核心功能,紧密围绕联网通信、算网数智两大类主业,按照 4+2+X 研发布局,开展面向 C3 网络、大数据赋能运营、端网边业协同创新、网络与信息安全等方向的前沿技术研发,承担高质量决策报告研究和专精特新核心技术攻关,致力于成为服务国
56、家发展的高端智库、代表行业产业的发言人、助推数字化转型的参谋部,多方位参与网络强国、数字中国建设,大力发展战略性新兴产业,加快形成新质生产力。联通研究院现有员工 700 余人,85%以上为硕士、博士研究生,以“三度三有”上海品茶为根基,发展成为一支高素质、高活力、专业化、具有行业影响力的人才队伍。中国联通研究院是根植于联通集团(中国联通直属二级机构),服务于国家战略、行业发展、企业生产的战略决策参谋者、技术发展引领者、产业发展助推者,是原创技术策源地主力军和数字技术融合创新排头兵。联通研究院以做深大联接、做强大计算、做活大数据、做优大应用、做精大安全为己任,按照4+1+X 研发布局,开展面向
57、C3 网络、大数据赋能运营、端网边业协同创新、网络与信息安全等方向的前沿技术研发,承担高质量决策报告研究和专精特新核心技术攻关,致力于成为服务国家发展的高端智库、代表行业产业的发言人、助推数字化转型的参谋部,多方位参与网络强国、数字中国、智慧社会建设。联通研究院现有员工近 700 人,平均年龄 36 岁,85%以上为硕士、博士研究生,以“三度三有”上海品茶为根基,发展成为一支高素质、高活力、专业化、具有行业影响力的人才队伍。中国联通研究院是根植于联通集团(中国联通直属二级机构),服务于国家战略、行业发展、企业生产的战略决策参谋者、技术发展引领者、产业发展助推者,是原创技术策源地主力军和数字技术
58、融合创新排头兵。联通研究院以做深大联接、做强大计算、做活大数据、做优大应用、做精大安全为己任,按照4+1+X 研发布局,开展面向 CUBE-Net 3.0 新一代网络、大数据赋能运营、端网边业协同创新、网络与信息安全等方向的前沿技术研发,承担高质量决策报告研究和专精特新核心技术攻关,致力于成为服务国家发展的高端智库、代表行业产业的发言人、助推数字化转型的参谋部,多方位参与网络强国、数字中国、智慧社会建设。联通研究院现有员工近 700 人,平均年龄36 岁,85%以上为硕士、博士研究生,以“三度三有”上海品茶为根基,发展成为一支高素质、高活力、专业化、具有行业影响力的人才队伍。中国联通研究院是根
59、植于联通集团(中国联通直属二级机构),服务于国家战略、行业发展、企业生产的战略决策参谋者、技术发展引领者、产业发展助推者,是原创技术策源地主力军和数字技术融合创新排头兵。联通研究院以做深大联接、做强大计算、做活大数据、做优大应用、做精大安全为己任,按照4+1+X 研发布局,开展面向 C3 网络、大数据赋能运营、端网边业协同创新、网络与信息安全等方向的前沿技术研发,承担高质量决策报告研究和专精特新核心技术攻关,致力于成为服务国家发展的高端智库、代表行业产业的发言人、助推数字化转型的参谋部,多方位参与网络强国、数字中国、智慧社会建设。联通研究院现有员工近 700 人,平均年龄 36 岁,85%以上
60、为硕士、博士研究生,以“三度三有”上海品茶为根基,发展成为一支高素质、高活力、专业化、具有行业影响力的人才队伍。中国联通研究院是根植于联通集团(中国联通直属二级机构),服务于国家战略、行业发展、企业生产的战略决策参谋者、技术发展引领者、产业发展助推者,是原创技术策源地主力军和数字技术融合创新排头兵。联通研究院以做深大联接、做强大计算、做活大数据、做优大应用、做精大安全为己任,按照4+1+X 研发布局,开展面向 CUBE-Net 3.0 新一代网络、大数据赋能运营、端网边业协同创新、网络与信息安全等方向的前沿技术研发,承担高质量决策报告研究和专精特新核心技术攻关,致力于成为服务国家发展的高端智库
61、、代表行业产业的发言人、助推数字化转型的参谋部,多方位参与网络强国、数字中国、智慧社会建设。联通研究院现有员工近 700 人,平均年龄36 岁,85%以上为硕士、博士研究生,以“三度三有”上海品茶为根基,发展成为一支高素质、高活力、专业化、具有行业影响力的人才队伍。中国联通研究院是根植于联通集团(中国联通直属二级机构),服务于国家战略、行业发展、企业生产的战略决策参谋者、技术发展引领者、产业发展助推者,是原创技术策源地主力军和数字技术融合创新排头兵。联通研究院以做深大联接、做强大计算、做活大数据、做优大应用、做精大安全为己任,按照4+1+X 研发布局,开展面向 C3 网络、大数据赋能运营、端网
62、边业协同创新、网络与信息安全等方向的前沿技术研发,承担高质量决策报告研究和专精特新核心技术攻关,致力于成为服务国家发展的高端智库、代表行业产业的发言人、助推数字化转型的参谋部,多方位参与网络强国、数字中国、智慧社会建设。联通研究院现有员工近 700 人,平均年龄 36 岁,85%以上为硕士、博士研究生,以“三度三有”上海品茶为根基,发展成为一支高素质、高活力、专业化、具有行业影响力的人才队伍。中国联通研究院是根植于联通集团(中国联通直属二级机构),服务于国家战略、行业发展、企业生产的战略决策参谋者、技术发展引领者、产业发展助推者,是原创技术策源地主力军和数字技术融合创新排头兵。联通研究院以做深
63、大联接、做强大计算、做活大数据、做优大应用、做精大安全为己任,按照4+1+X 研发布局,开展面向 CUBE-Net 3.0 新一代网络、大数据赋能运营、端网边业协同创新、网络与信息安全等方向的前沿技术研发,承担高质量决策报告研究和专精特新核心技术攻关,致力于成为服务国家发展的高端智库、代表行业产业的发言人、助推数字化转型的参谋部,多方位参与网络强国、数字中国、智慧社会建设。联通研究院现有员工近 700 人,平均年龄36 岁,85%以上为硕士、博士研究生,以“三度三有”上海品茶为根基,发展成为一支高素质、高活力、专业化、具有行业影响力的人才队伍。中国联通研究院是根植于联通集团(中国联通直属二级机
64、构),服务于国家战略、行业发展、企业生产的战略决策参谋者、技术发展引领者、产业发展助推者,是原创技术策源地主力军和数字技术融合创新排头兵。联通研究院以做深大联接、做强大计算、做活大数据、做优大应用、做精大安全为己任,按照4+1+X 研发布局,开展面向 C3 网络、大数据赋能运营、端网边业协同创新、网络与信息安全等方向的前沿技术研发,承担高质量决策报告研究和专精特新核心技术攻关,致力于成为服务国家发展的高端智库、代表行业产业的发言人、助推数字化转型的参谋部,多方位参与网络强国、数字中国、智慧社会建设。联通研究院现有员工近 700 人,平均年龄 36 岁,85%以上为硕士、博士研究生,以“三度三有”上海品茶为根基,发展成为一支高素质、高活力、专业化、具有行业影响力的人才队伍。中国联合网络通信有限公司研究院地址:北京市亦庄经济技术开发区北环东路 1 号电话:邮编:100176中国联合网络通信有限公司研究院地址:北京市亦庄经济技术开发区北环东路 1 号电话:邮编:100176中国联合网络通信有限公司研究院地址:北京市亦庄经济技术开发区北环东路 1 号电话:邮编:100176中国联合网络通信有限公司研究院地址:北京市亦庄经济技术开发区北环东路 1 号电话:邮编:100176