2025 网络基础中 5G 核心网网络安全的架构安全设计课件

为何2025年需重点关注5G核心网的架构安全？演讲人CONTENTS为何2025年需重点关注5G核心网的架构安全？22025年威胁场景的演变5G核心网架构安全设计的核心逻辑与关键要素2025年5G核心网架构安全设计的演进方向总结：架构安全是5G核心网的“安全基因”目录各位同仁、技术伙伴：大家好！作为深耕通信网络安全领域十余年的从业者，我参与过4G向5G过渡的核心网部署，也亲历过多个运营商5G核心网的安全测评与优化项目。今天，我想以“2025网络基础中5G核心网网络安全的架构安全设计”为题，结合实际工程经验与行业前沿趋势，与大家共同探讨如何构建“可演进、可防御、可感知”的5G核心网安全架构。01为何2025年需重点关注5G核心网的架构安全？为何2025年需重点关注5G核心网的架构安全？要理解“架构安全设计”的必要性，首先需明确5G核心网在未来网络中的核心地位。2025年，全球5G用户预计突破20亿（GSMA数据），我国5G基站将超600万座，5G核心网不仅是连接用户与应用的“神经中枢”，更将深度融入工业互联网、车联网、智慧城市等关键领域。其安全水平直接关系到个人隐私、企业数据乃至国家关键信息基础设施的稳定。15G核心网的架构特性带来的安全新挑战与4G核心网相比，5G核心网采用了服务化架构（SBA）、云原生（CloudNative）、**网络切片（NetworkSlicing）**三大革命性设计。这些特性在提升灵活性与效率的同时，也重构了安全边界：服务化架构（SBA）：传统网元（如MME、SGW）被解耦为独立的网络功能（NF，如AMF、SMF、UDM），通过RESTfulAPI实现交互。这意味着接口数量从4G的10余个激增到50余个（3GPPTS23.501定义），接口安全成为攻击面的“主战场”。云原生技术：5G核心网基于NFV（网络功能虚拟化）和SDN（软件定义网络）构建，采用容器（如Docker）、微服务（如Kubernetes编排）等技术。这使得网络功能的部署更灵活，但也引入了云平台漏洞（如容器逃逸）、微服务间信任链断裂等风险。12315G核心网的架构特性带来的安全新挑战网络切片：通过逻辑隔离为不同业务（如eMBB增强移动宽带、URLLC超可靠低时延）提供定制化网络。若切片间隔离失效，可能导致“跨切片攻击”——例如，车联网切片的恶意流量渗透至公网切片，引发连锁故障。0222025年威胁场景的演变22025年威胁场景的演变1根据我参与的《2023-2025全球5G安全威胁报告》（某头部安全厂商联合运营商发布），未来两年5G核心网面临的威胁将呈现三大趋势：2攻击目标“精准化”：从“泛洪攻击”转向针对特定网元（如SMF会话管理功能）的漏洞利用，意图篡改用户会话或劫持信令。3攻击手段“云化”：利用云原生组件（如K8sAPIServer）的权限越界，实现对核心网控制面的远程接管。4攻击链路“长周期”：APT（高级持续性威胁）组织可能潜伏数月，通过钓鱼攻击获取运维人员权限，逐步渗透至核心网管理面。5小结：2025年的5G核心网，既是“连接中枢”，也是“攻击靶心”。传统“补丁式”安全防护已无法应对，必须从架构层面进行“基因级”安全设计。035G核心网架构安全设计的核心逻辑与关键要素5G核心网架构安全设计的核心逻辑与关键要素架构安全设计的本质，是在“业务需求”与“安全需求”间找到平衡点。其核心逻辑可概括为：基于5G核心网的技术特性（SBA/云原生/切片），识别关键资产与威胁路径，通过分层、分域、分场景的安全能力部署，构建“主动防御、弹性恢复、全局可视”的安全架构。1分层设计：从“物理层”到“应用层”的全栈防护5G核心网的架构可分为基础设施层（云资源池）、网络功能层（AMF/SMF等NF）、接口层（N1-N20等接口）、业务应用层（切片服务）四层。针对每一层的安全需求，需设计对应的防护措施。1分层设计：从“物理层”到“应用层”的全栈防护1.1基础设施层：云资源的“可信底座”云资源池（计算、存储、网络）是5G核心网运行的物理承载。其安全设计需解决三大问题：资源隔离：通过硬件虚拟化（如IntelSGX）或软件沙箱（如KataContainers），确保不同NF（如AMF与SMF）的容器实例在资源使用上“物理隔离”，避免“邻居攻击”。我曾参与某省移动的5G核心网部署，初期因容器隔离策略松弛，发生过“某测试切片的NF占用超80%计算资源，导致公网切片用户掉线”的事故，后续通过强化K8s的QoS（服务质量）策略与资源配额限制，问题得以解决。固件与镜像安全：NF的容器镜像需经过“可信构建-数字签名-运行时验证”全流程管控。例如，采用TUF（通用更新框架）对镜像仓库进行保护，防止恶意镜像被部署；通过eBPF（扩展伯克利分组过滤器）技术监控容器运行时的异常文件写入行为。1分层设计：从“物理层”到“应用层”的全栈防护1.1基础设施层：云资源的“可信底座”灾备与恢复：核心网的控制面（如AMF）需采用“多活部署”，用户面（如UPF）需支持“流量快速切换”。某运营商曾因数据中心电力故障导致单活AMF宕机，全网50%用户无法注册，后续通过在三个异地数据中心部署AMF实例，并通过DNS动态解析实现流量切换，将故障恢复时间从40分钟缩短至3分钟。1分层设计：从“物理层”到“应用层”的全栈防护1.2网络功能层：NF的“内生安全”每个NF（如AMF负责接入管理，SMF负责会话管理）都是核心网的“功能节点”，其安全设计需聚焦“自身免疫”与“协同防御”：最小权限原则：每个NF仅保留执行其功能所需的最小权限。例如，UDM（用户数据管理功能）存储用户签约数据，其访问接口应仅开放给AMF、SMF等必要网元，且需通过OAuth2.0进行细粒度授权（如“只读”或“读写”权限）。我在某项目中发现，某厂商的UDM默认开放了所有NF的写权限，这为攻击者篡改用户签约数据（如将用户限速从100Mbps改为10Mbps）提供了便利，最终通过接口鉴权策略优化解决。状态机安全：NF的状态转换（如用户从“注册”到“连接”）需通过严格的状态机模型约束。例如，AMF在处理用户注册请求时，需验证“用户上下文是否存在”“鉴权是否完成”等前置条件，防止“状态跳跃攻击”（如未鉴权直接进入连接状态）。1分层设计：从“物理层”到“应用层”的全栈防护1.2网络功能层：NF的“内生安全”异常行为自感知：NF需内置轻量级检测模块（如基于eBPF的调用链监控），实时分析自身CPU/内存使用率、接口调用频率等指标，当发现“接口调用量激增10倍”等异常时，自动触发限流或熔断机制。1分层设计：从“物理层”到“应用层”的全栈防护1.3接口层：API的“安全围栏”SBA架构下，NF间通过RESTfulAPI交互（如AMF调用N11接口与SMF通信），接口安全是架构安全的“生命线”。其设计需覆盖“认证-授权-加密-审计”全流程：双向认证：所有接口需采用TLS1.3加密，并通过X.509证书实现NF间的双向身份认证。某项目中曾出现“伪冒SMF通过未认证的N11接口向AMF发送错误会话信息，导致用户连接异常”的事件，后续强制要求所有接口启用双向证书认证，并定期轮换证书（每90天一次）。参数校验：对API请求的参数（如用户ID、会话ID）进行严格格式校验与范围限制，防止SQL注入、缓冲区溢出等攻击。例如，SMF在处理N4接口的UPF配置请求时，需验证“IP地址段”是否符合运营商分配的地址池，避免非法IP被注入。1分层设计：从“物理层”到“应用层”的全栈防护1.3接口层：API的“安全围栏”流量审计：通过网元级日志（如OpenTelemetry标准）与集中式日志分析（如Elasticsearch），记录所有接口的调用时间、源IP、请求内容等信息，实现“攻击溯源”与“合规性检查”。某运营商曾通过审计日志发现，某运维人员通过未授权接口查询了10万条用户位置信息，最终锁定责任并完善了接口访问权限。1分层设计：从“物理层”到“应用层”的全栈防护1.4业务应用层：切片的“安全沙盒”网络切片是5G支持差异化业务的核心能力，其安全设计需确保“切片间隔离”与“切片内可控”：逻辑隔离：通过切片标识（S-NSSAI）、独立的QoS策略、专用的用户面隧道（如GTP-UoverIPv6），实现不同切片在控制面与用户面的隔离。例如，eMBB切片（大带宽）与URLLC切片（低时延）的控制信令需通过不同的AMF实例处理，用户数据需通过独立的UPF转发。切片编排安全：切片管理器（NSSMF）需对切片的创建、修改、删除操作进行“最小特权审批”。例如，创建车联网切片时，需验证申请者的企业资质，并限制其可使用的最大用户数、带宽上限等参数，防止“切片滥用”（如恶意用户创建超大规模切片抢占资源）。1分层设计：从“物理层”到“应用层”的全栈防护1.4业务应用层：切片的“安全沙盒”切片监控：为每个切片部署“虚拟安全探针”，实时监控切片内的流量异常（如URLLC切片出现大流量下载）、网元性能（如切片专属AMF的延迟超过50ms），并通过切片管理器触发“流量整形”或“切片重构”。2分域设计：从“接入域”到“核心域”的边界强化5G核心网可划分为接入域（用户终端到AMF）、核心域（AMF/SMF/UPF等NF间交互）、**互连接入域（与其他网络如4G核心网、互联网的互通）**三大安全域。各域间需设置“安全边界”，防止威胁跨域扩散。接入域安全：重点防护用户终端与AMF间的N1接口（信令）、N3接口（用户数据）。需强化5GAKA（认证与密钥协商）协议的执行，防止“伪基站”攻击（如通过伪造基站向用户发送虚假鉴权请求，窃取用户密钥）。实际测试中发现，部分终端对5GAKA的“同步失败”处理逻辑存在漏洞（如连续3次鉴权失败未锁定终端），可能被攻击者利用进行暴力破解，后续通过升级终端协议栈修复。2分域设计：从“接入域”到“核心域”的边界强化核心域安全：核心域是NF间交互的“内网”，需通过SDN控制器实施“零信任网络”策略——即“持续验证每个NF的身份与状态，仅允许授权的NF间通信”。例如，AMF与SMF间的通信需验证双方的“健康状态”（如CPU使用率是否正常、是否打过最新补丁），若SMF被检测到感染恶意软件，立即阻断其与AMF的连接。互连接入域安全：5G核心网需与4G核心网（通过N26接口）、互联网（通过N6接口）互通，这些接口是“外患入口”。例如，与互联网互通的N6接口需部署下一代防火墙（NGFW），基于AI模型识别“伪装成正常流量的DDoS攻击”；与4G核心网互通时，需对4G网元的身份进行“跨代验证”（如验证4GMME的证书是否属于运营商可信列表）。3分场景设计：面向不同业务的安全策略适配2025年，5G核心网将承载eMBB（如8K视频）、URLLC（如远程手术）、mMTC（如智能电表）等多样化业务，不同业务的安全优先级与防护需求差异显著，需设计“场景化安全策略”：高价值业务（如政务专网切片）：需采用“增强隔离”模式——专属的NF实例（如独立AMF/SMF）、独立的传输隧道（如IPSec加密）、更严格的访问控制（如仅允许白名单IP访问管理接口）。高实时业务（如车联网V2X）：需在“安全”与“时延”间权衡。例如，URLLC切片的信令处理需优先保证低时延（目标<10ms），因此安全检测（如入侵检测）需采用“轻量级算法”（如基于哈希的快速校验），避免引入额外延迟。3分场景设计：面向不同业务的安全策略适配海量连接业务（如智能抄表）：mMTC终端（如电表）通常资源受限（低算力、低电量），需采用“轻量级安全协议”（如ECC椭圆曲线加密替代RSA），同时通过“批量认证”（如同一厂商的终端共享根密钥）降低信令开销。042025年5G核心网架构安全设计的演进方向2025年5G核心网架构安全设计的演进方向技术在发展，威胁在演变。结合3GPPR18/R19标准进展与行业实践，2025年的架构安全设计将呈现三大演进趋势。1从“被动防御”到“主动免疫”的能力升级传统安全防护多依赖“边界防御+事后检测”，2025年将向“内生安全”转型：安全能力内置：NF的设计需从“先功能后安全”转向“安全即功能”。例如，AMF在开发阶段即内置“鉴权防重放”模块，SMF在设计时即考虑“会话劫持防护”逻辑，而非后期打补丁。AI驱动的威胁预测：通过机器学习分析历史攻击数据（如接口异常调用模式），训练“威胁预测模型”，在攻击发生前预警。某运营商试点的“AI安全大脑”已能提前2小时预测DDoS攻击，误报率低于0.5%。2从“分散管理”到“全局可视”的运营优化5G核心网的安全运营需打破“网元级监控”的局限，构建“全局安全视图”：数字孪生安全镜像：通过模拟核心网的运行环境（包括NF状态、流量分布、切片配置），构建“数字孪生体”，实时对比真实网络与镜像的差异，快速定位“未知漏洞”或“异常行为”。安全编排自动化（SOAR）：当检测到攻击（如某SMF接口被暴力破解）时，自动触发“隔离涉事NF→追溯攻击路径→修复漏洞→通知运维”的闭环流程，将响应时间从“小时级”缩短至“分钟级”。3从“单一网络”