1 引言

隨著 5G 商用時代的到來，5G 支持的新業(yè)務將進入人們的生活和社會活動中。5G 支持 三大應用場景為：eMBB 增強移動寬帶，例如 VR 業(yè)務；URLLC 超高可靠超低時延通信， 例如無人駕駛等業(yè)務，mMTC 大連接物聯(lián)網(wǎng)，針對大規(guī)模物聯(lián)網(wǎng)業(yè)務。5G 網(wǎng)絡切片技術為 5G 應用的開展提供了良好的網(wǎng)絡基礎和資源，它能將 5G 物理網(wǎng)絡劃分為多個虛擬網(wǎng)絡， 每一個虛擬網(wǎng)絡根據(jù)不同的服務需求，比如時延、帶寬、安全性和可靠性等來劃分，以靈活 的應對不同的網(wǎng)絡應用場景，使能不同垂直行業(yè)的業(yè)務發(fā)展。

5G 新技術將進一步促進產(chǎn)業(yè)型互聯(lián)網(wǎng)的發(fā)展，未來將更多地應用在物聯(lián)網(wǎng)、車聯(lián)網(wǎng)、 工業(yè)互聯(lián)網(wǎng)等領域中，這些領域都對網(wǎng)絡和信息安全提出了很高的需求，要求底層的 5G 網(wǎng) 絡能夠提供良好的安全支持和保障，其中的 5G 網(wǎng)絡切片安全顯得尤為重要。

目前 5G 網(wǎng)絡切片安全是業(yè)界研究的熱點問題，國內(nèi)外設備制造商都在研究 5G 網(wǎng)絡切 片安全技術解決方案，運營商在積極進行 5G 網(wǎng)絡切片安全的試點試驗，國際標準組織 3GPP 和國內(nèi)標準組織 CCSA 也正在制定相關標準。本文將對 5G 網(wǎng)絡切片面臨的安全威脅、采用 的安全技術以及安全發(fā)展情況進行研究。

2 5G 網(wǎng)絡切片技術架構

5G 網(wǎng)絡切片允許運營商為特定用戶提供定制網(wǎng)絡，根據(jù)優(yōu)先級、計費、策略控制、安 全性等提供不同的功能要求，根據(jù)時延、移動性、可靠性和速率等提供不同的性能要求。一 個 5G 網(wǎng)絡切片需要提供一個完整網(wǎng)絡的功能，包括接入網(wǎng)功能和核心網(wǎng)功能。一個網(wǎng)絡可 能支持一個或多個網(wǎng)絡切片。

5G 網(wǎng)絡通過引入網(wǎng)絡功能虛擬化（NFV）技術和軟件定義網(wǎng)絡（SDN）架構，實現(xiàn)了 切片化。在 5G 網(wǎng)絡切片管理架構中，網(wǎng)絡功能以虛擬 化網(wǎng)絡功能 VNF的方式運行在基礎設施平臺 NFVI 上，NFVI 中虛擬機之間的連接使用 SDN 進行配置。虛擬網(wǎng)絡功能（VNF）構成的網(wǎng)絡切片的重要組成部分，使用 NFV MANO 提供 的管理界面進行網(wǎng)絡服務的生命周期管理、VNF 的生命周期管理、支撐 VNF 虛擬資源的性 能管理、故障管理和配置管理。

5G 網(wǎng)絡切片的引入給網(wǎng)絡帶來了極大的靈活性，主要體現(xiàn)在切片可按需定制、實時部 署、動態(tài)保障。為了實現(xiàn)這些功能，對于上層業(yè)務由 VNF 形成的每個切片實例，需要引入 專門的管理網(wǎng)元 CSMF/NSMF/NSSMF，來實現(xiàn)切片實例的全生命周期管理，包含設計、實 例化、配置、激活、運行、終結（去激活）階段。端到端切片的實現(xiàn)不僅需要端對端的管理， 還需要從物理層到資源層到切片層到應用層跨各層次的關聯(lián)管理。

3 5G 網(wǎng)絡切片安全威脅

根據(jù) 5G 網(wǎng)絡切片架構，5G 網(wǎng)絡切片依靠底層的虛擬化網(wǎng)絡功能設施，為特定用戶按需 提供網(wǎng)絡切片服務，因此 5G 網(wǎng)絡切片安全威脅主要在于網(wǎng)絡切片自身，以及網(wǎng)絡虛擬化帶 來的安全威脅。

3.1 5G 網(wǎng)絡切片自身的安全威脅

5G 網(wǎng)絡切片的是 5G 網(wǎng)絡最重要的特性之一，提供靈活快速的按需定制網(wǎng)絡能力，5G 靈活的網(wǎng)絡切片機制會帶來新的安全威脅。

（1）切片間的信息泄露、干擾和攻擊 當用戶訪問多個網(wǎng)絡切片時，切片間的數(shù)據(jù)信息機密性和完整性可能受到攻擊，如果網(wǎng) 絡切片間出現(xiàn)了信息泄露，則會造成網(wǎng)絡數(shù)據(jù)和用戶數(shù)據(jù)的泄露。另外攻擊者在訪問一個切 片時，可能消耗其他切片的資源，導致資源不足，可能會對其他切片發(fā)起 DoS 攻擊。切片 間的信息泄露、干擾和攻擊等就要求為網(wǎng)絡切片配置相應的安全機制，以限制數(shù)據(jù)信息在切 片間的流動。

（2）切片的非授權訪問 非法用戶對切片進行違法操作、或者合法用戶以未授權的方式對切片進行操作，都會造 成對切片的非授權訪問，從而影響切片的合法接入、用戶無法正常進行通信，或數(shù)據(jù)信息被 攔截、竊聽等。

（3）切片間的通信安全 當網(wǎng)絡切片實現(xiàn)專用網(wǎng)絡功能時，切片間通信是不可避免的。不同網(wǎng)絡切片之間信、 RAN 網(wǎng)絡切片和核心網(wǎng)絡切片之間都需要進行通信。在所有網(wǎng)間切片通信中，網(wǎng)絡切片之 間的接口可能受到攻擊，破壞了網(wǎng)絡切片的機密性和完整性，導致網(wǎng)絡切片無法正常工作。

（4）與第三方交互的安全 網(wǎng)絡切片為授權的第三方提供通過合適的 API 創(chuàng)建和管理網(wǎng)絡切片配置的能力，通過 API 可以獲取切片信息，并通過 API 請求對切片的管理，攻擊者可能利用第三方的 API 對 切片發(fā)起攻擊，非法獲取切片的數(shù)據(jù)信息或者影響切片的正常通信功能。

3.2 5G 網(wǎng)絡虛擬化安全威脅

5G 網(wǎng)絡的虛擬化為 5G 網(wǎng)絡切片實施提供了技術基礎，實現(xiàn)了 5G 網(wǎng)絡靈活性和彈性等 特點，5G 網(wǎng)絡切片部署由于引進虛擬化技術而產(chǎn)生了安全問題。

（1）VNF 安全威脅

在 5G 虛擬網(wǎng)絡中，網(wǎng)絡管理和編排系統(tǒng)會根據(jù)業(yè)務需要創(chuàng)建、刪除和更新虛擬化網(wǎng)元 功能（VNF），實現(xiàn)對 VNF 的生命周期的管理。在 VNF 生命周期各個階段 VNF 存在不同的 安全威脅。在 VNF 軟件包管理中非法訪問、篡改、刪除 VNF 軟件包及相關模板。在 VNF 實例初始化時，篡改 VNF 軟件包及相關模板導致實例化一個非法的 VNF，或者非法執(zhí)行 VNF 實例。在 VNF 實例管理時非法獲取 VNF 實例狀態(tài)、資源使用情況。對于 VNF 彈性伸 縮，會篡改 VNF 彈性伸縮閾值條件，消耗業(yè)務運行需求的資源。在 VNF 實例更新時非法發(fā) 起 VNF 更新流程，篡改更新軟件包。在 VNF 實例終止時，非法終止 VNF 實例，獲取 VNF 實例敏感數(shù)據(jù)信息。

（2）NFVI 安全威脅

NFVI 的安全威脅可以分為虛擬機、硬件資源、基礎網(wǎng)絡安全威脅三個方面。虛擬機面 臨的安全威脅來自于虛擬機逃逸、虛擬機間嗅探、虛擬機被濫用、虛擬機鏡像文件或自身防 護不足、Hypervisor 軟件漏洞等方面。硬件資源的安全威脅主要存在于網(wǎng)絡使用的高性能服 務器和大容量存儲的硬件資源集合帶來的安全威脅，例如遭受 DoS/DDoS、蠕蟲、病毒、物 理設備被偷竊等?；A網(wǎng)絡的安全威脅主要由于 SDN 的引入導致的網(wǎng)絡動態(tài)化產(chǎn)生的新的 安全威脅，例如安全漏洞、向節(jié)點或控制器發(fā)起 Dos 攻擊、開放接口濫用等。

（3）MANO安全威脅

MANO 實體共有的安全威脅：利用 MANO 實體的自身漏洞進行攻擊，或者遭受外界的 病毒蠕蟲攻擊，對 MANO 存儲內(nèi)容進行篡改或非法訪問等。 MANO 實體獨有的安全威脅：NFVO 遭受 DDoS 攻擊，例如攻擊者控制多個 VNF，不 停地向 NFVO 上報告警信息，導致 NFVO 處理能力下降等。由虛擬機安全引發(fā)的虛擬機逃 逸、虛擬機隔離失敗等安全威脅。 MANO 實體間交互安全威脅：通信內(nèi)容被篡改、竊聽或攔截，例如攻擊者以獲取資源調(diào) 度優(yōu)先級為目的，通過篡改 VNF 上報給 NFVO/VNFM 的網(wǎng)絡動態(tài)監(jiān)測和統(tǒng)計數(shù)據(jù)，以獲取 非授權/高質量的虛擬化資源。還有 MANO 實體間交互可能存在中間人攻擊。 MANO 管理的安全威脅：MANO 管理在權限、日志、賬號口令等方面存在冒用、越權、 非法操作等問題。

4 5G 網(wǎng)絡切片安全技術

加一段話對以下兩方面工作的總體描述。 為了防范 5G 網(wǎng)絡切片的安全威脅，5G 網(wǎng)絡切片應在 5G 網(wǎng)絡切片自身安全和 5G 網(wǎng)絡虛擬 化安全兩方面強化技術手段，保障 5G 網(wǎng)絡切片安全，

4.1 5G 網(wǎng)絡切片自身安全技術

（1）切片隔離

根據(jù)網(wǎng)絡切片要求的定義功能，基于簽約數(shù)據(jù)、網(wǎng)絡策略和能力用戶分配到網(wǎng)絡切片的 不同實例中，每個切片應該具有獨立的安全策略，以穩(wěn)固的方式相互隔離。當單個用戶通過 多個網(wǎng)絡切片訪問服務時，要提供切片間的安全隔離。網(wǎng)絡切片安全隔離需要考慮網(wǎng)絡切片 實例的標識、切片選擇和漫游場景，應確保網(wǎng)絡切片實例資源不會相互影響。

（2）切片接入認證

為了確保能夠為用戶正確選擇和訪問切片，將合適的網(wǎng)絡切片分配給適當?shù)暮灱s用戶， 要保證切片的接入認證安全。當用戶接入切片時，對切片進行注冊，通過切片訪問控制保證 用戶接入正確切片，通過會話機制防止用戶的未授權訪問。其次提供在切片選擇過程中交互 的消息的真實性、完整性和機密性的能力。

（3）安全機制的差異化

5G 網(wǎng)絡切片應支持在認證方法、憑證類型、用戶存儲庫、控制策略和安全策略方面的 安全機制差異化。安全策略可能包括隔離策略、加密算法、完整性保護算法、密鑰長度以及 密鑰到期策略。應為每個網(wǎng)絡切片定義不同的訪問安全機制以及會話安全機制。

（4）切片的通信安全

根據(jù)網(wǎng)絡切片功能的敏感級別和網(wǎng)絡租戶的需求，對網(wǎng)間切片接口和通信進行保護。在 切片和外部網(wǎng)絡進行通信時，切片內(nèi) VNF 與外部網(wǎng)絡 VNF 之間相互進行認證，設置允許 VNF 之間訪問的白名單防止非法通信，且設置訪問頻率監(jiān)控防止 DoS/DDoS 攻擊。在不同

切片間的通信時，切片間在管理層通過分權分域實現(xiàn)切片管理和編排的隔離，通過在網(wǎng)絡層 劃分 VLAN 實現(xiàn)切片之間的邏輯安全隔離，通過硬件資源的物理隔離保證一個切片的異常 不會影響其他切片功能，切片之間通過加密隧道保證通信安全。在切片內(nèi) VNF 之間進行通 信時，VNF 之間進行相互認證保證通信雙方可信，VNF 之間建立加密隧道保證通信安全。

（5）與第三方用戶交互的安全

第三方垂直行業(yè)用戶應通過標準化服務接口訪問網(wǎng)絡切片服務，必須對用戶使用 TLS 執(zhí)行雙向認證，在雙向認證之后采用 OAuth 的授權機制對發(fā)送的服務請求進行授權，并通 過 TLS 方式提供接口之間的完整性保護、抗重放保護和機密性保護。

4.2 5G 網(wǎng)絡虛擬化安全技術

（1）VNF 安全

在 VNF 生命周期各個階段對 VNF 要提出安全技術要求。在對 VNF 軟件包進行安全管 理時，例如上載前、實例化以及更新時進行完整性驗證；在 VNF 實例化、實例管理、VNF 彈性伸縮、實例終止過程中對 VNF 進行訪問控制，例如認證和權限驗證；VNF 實例終止時 需徹底清除 VNF 實例所占用的虛擬內(nèi)存以及存儲資源上的信息。

（2）NFVI 安全

虛擬機的安全要求主要包括虛擬機系統(tǒng)安全加固和防護、系統(tǒng)訪問控制和完整性驗證、 Hypervisor 安全等方面。硬件資源安全要求包括通用服務器和存儲硬件資源的安全，物理主 機應具備防病毒、防入侵的要求，硬件資源所處的環(huán)境需要具備物理安全要求，如機房環(huán)境 安全、防盜等?；A網(wǎng)絡安全要求包括 SDN 控制器安全、轉發(fā)層安全、南北向 API 安全等， SDN 控制器安全要具備防 DDOS 攻擊、訪問控制、日志分析、安全加固等，轉發(fā)層安全保 證路由協(xié)議安全、抑制 DDOS 攻擊等，南北向 API 安全要采用雙向認證、啟動 SSL 等安全 傳輸協(xié)議保證加密和完整性保護。

（3）MANO 安全

MANO 實體在安全方面應防止非法訪問、敏感信息泄露；安裝防病毒軟件，定期檢查 查殺病毒以及升級病毒庫；進行安全加固，實現(xiàn)安全服務最小化原則、最小影響原則。MANO 實體（如 NFVO）需防 DDoS 攻擊，當實體運行在虛擬機上時，需要保證虛擬機的安全隔離。 MANO 實體間交互時通信內(nèi)容需受到機密性和完整性保護，實體間雙向認證。MANO 的安 全管理在權限、日志、賬號口令等方面提出授權、審計和合理設置的要求。

5 5G 網(wǎng)絡切片安全標準進展

5.1 國際標準進展

5G 網(wǎng)絡切片安全標準化工作主要在 3GPP SA3 開展。在 Rel-14 階段，3GPP SA3 在 TR 33.899 Study on the security aspects of the next generation system 對網(wǎng)絡切片進行了研究，主要 集中在切片隔離、網(wǎng)絡切片安全機制差異化、接入安全、切片通信那安全等方面。

在 Rel-15 階段，2017 年 3 月 3GPP SA3 開始進行 TS 33.501 Security architecture and procedures for 5G system 標準制定工作，其中對網(wǎng)絡切片管理提出了技術要求，規(guī)定了 TLS 執(zhí)行雙向認證，采用 OAuth 的授權機制進行授權，采用 TLS 方式提供接口之間的安全等。

在 Rel-16 階段，2018 年 10 月 3GPP SA3 開始 TR 33.813 Study on security aspects of network slicing enhancement 的研究工作，增強的網(wǎng)絡切片安全主要對前階段遺留的開放性問 題進行了研究，包括接入特定網(wǎng)絡切片的認證、密鑰隔離、NSaas 安全功能以及安全隱私方 面。

ETSI 在 NFV 下專門成立了安全子組對 NFV 安全進行深入研究，目前已經(jīng)在敏感 NFV 組件的執(zhí)行架構、NFV 安全管理和監(jiān)視、MANO 組件和接口安全、NFV 安全增強架構等方 面進行了標準規(guī)定。ONF 和 ITU-T 在 SDN 安全方面也進行了相關的標準化工作。

5.2 國內(nèi)標準進展

5G 安全國內(nèi)標準推進主要由中國通信標準化協(xié)會 TC5 WG5 組織開展。2019 年 4 月開 始開展 5G 網(wǎng)絡切片安全項目的研究。2019 年 8 月完成了 5G 移動通信網(wǎng) 安全技術要求標 準制定工作，其中對網(wǎng)絡切片安全管理要求進行了規(guī)定，包括雙向認證、管理服務生產(chǎn)者與 使用者之間管理交互的安全保護、管理服務請求消息的授權驗證等。同時 2019 年 8 月啟動 了 5G 網(wǎng)絡切片安全技術要求的立項，計劃明年年底完成。

6 5G 網(wǎng)絡切片安全發(fā)展

5G 網(wǎng)絡切片作為 5G 網(wǎng)絡的關鍵技術，目前 5G 端到端網(wǎng)絡切片及安全技術還在試驗驗 證和應用示范過程中，中國移動、中國電信、中國聯(lián)通運營商都未進入商用階段。5G 網(wǎng)絡 切片及安全技術標準還不夠完善，切片安全增強的方案還在研究當中，還需要進一步標準化。 另外面對垂直行業(yè)的不同應用場景和需求，例如工業(yè)互聯(lián)網(wǎng)、車聯(lián)網(wǎng)、遠程醫(yī)療等，要制定 合理的 5G 網(wǎng)絡切片安全解決方案。對于以上問題，對 5G 網(wǎng)絡切片安全發(fā)展提出以下建議：

（1）推動 5G 網(wǎng)絡切片安全的標準制定工作，包括安全功能、安全級別、安全測評等， 建立一套有約束力和公信力的安全標準，推動 5G 網(wǎng)絡切片安全的技術研發(fā)、設備研制，為 垂直行業(yè)的應用提供參考。

（2）加強 5G 網(wǎng)絡切片安全建設，加大相關 5G 安全建設的投入。在 5G 網(wǎng)絡設計、部 署過程中要充分考慮 5G 切片安全技術，例如認證、隔離等，建設相關動態(tài)感知、風險監(jiān)測 和預警的技術手段，提高 5G 網(wǎng)絡切片安全防護水平。

（3）開展 5G 網(wǎng)絡切片安全的試點示范，并逐步擴大在垂直行業(yè)的應用和領域范圍， 促進技術產(chǎn)業(yè)成熟。通過試點示范，進一步明確 5G 網(wǎng)絡切片安全技術的適用場景，推動 5G 網(wǎng)絡切片安全技術的發(fā)展。

7 結束語

本文主要分析了 5G 網(wǎng)絡切片面臨的安全威脅，研究了 5G 網(wǎng)絡切片安全技術，闡述了 5G 網(wǎng)絡切片安全標準進展，針對 5G 網(wǎng)絡切片存在的問題提出了相關發(fā)展建議。隨著 5G 網(wǎng) 絡切片安全標準的完善、5G 網(wǎng)絡切片安全試點示范的深入推進，5G 端到端網(wǎng)絡切片及安全 技術將逐步成熟，5G 網(wǎng)絡切片安全將更好地為垂直行業(yè)服務，為構建安全的 5G 應用生態(tài) 奠定良好的基礎。
責任編輯：tzh