5G以超大带宽、超广连接、超低时延的3大特征，为各行各业带来更广阔的发展空间，成为全世界发展的重点。相比之前的移动通信网络，5G网络对安全机制考虑更充分，但其安全体系设计主要面向公众用户，与特殊行业用户的高安全需求存在一定的差距，如何构建5G安全防护系统成为特殊行业用户的迫切需求。首先，梳理了国内外5G安全政策；其次，基于特殊行业的高安全性要求，建议其采用专网网络模式，分析了5G专网在特殊行业应用带来的安全风险，并提出了一种适用于特殊行业应用的 5G安全总体框架；最后，基于该框架提出针对性的安全防御措施，为5G在特殊行业的应用提供参考。

　　当前大国国力较量已向互联网空间延伸，想要占据信息技术的制高点，必须格外的重视网络安全工作。随着全球数字化转型的发展的新趋势，数字技术与经济社会深层次地融合，特殊行业基于5G的移动业务需求愈加强烈。

　　5G的发展加速了特殊行业的数字化转型，提高了信息流转的便捷性、高效性。但是，发展与风险相伴随行，5G网络面临的安全风险也在不断加剧。

　　在特殊行业用户5G应用安全防护方面，文献[1]提出了基于安全增强的特殊行业切片的安全防护体系，其他相关分析研究相对较少。基于此，本文深入分析了5G网在特殊行业应用的安全风险，设计了以网络安全技术和密码技术为基础支撑的5G专网安全防护总体框架，提出了相应的安全防御措施，以期为特殊行业的5G应用安全提供参考。

　　5G的设计目标是提升传输质量、节省能源、减少相关成本、提高系统容量和提高大规模设备连接能力。5G可提供高于4G至少十倍的峰值速率、毫秒级的传输时延和每平方千米百万级的连接能力。5G不仅支持移动网络应用，还可以支撑实现万物互联，支持高清视频、车联网、无人机、工业互联网、智慧医疗、智慧城市和智慧电网等行业应用，被视为促进各行业智能化升级、推动数字化的经济发展的关键技术之一。

　　基于前几代移动通信演进过程中发现的安全问题和积累的运维经验，5G网络对安全机制的考虑更充分，具有更全面的数据安全保护、更丰富的认证机制支持、更严密的用户隐私保护、更灵活的网间信息保护等特点。5G网络与 4G网络的安全能力对比如表1所示。

　　从全球战略布局来看，5G争夺战慢慢的变成了世界主要大国在高新技术领域竞争的焦点，与军事、经济、政治等因素融合趋势明显。世界各国对5G安全的重视程度提升到新的高度，纷纷出台了5G安全政策。

　　美国格外的重视5G安全，将保障5G网络安全、重新领导5G产业提升到国家战略层面，动员国家力量，通过立法和行政命令等手段，积极消减5G网络安全风险。2020年3月，美国白宫发布了《5G安全国家战略》，同时，通过了《5G安全保障法》，确保美国5G安全，并推动盟友5G安全，其主导的《布拉格提案》，以事关国家安全、经济安全、其他几个国家利益和全球稳定为由，提出需要对5G网络结构和系统功能进行重点安全考量。

　　欧盟把5G网络作为建设数字欧洲的重点领域，格外的重视5G技术的战略自主权和网络安全，出台了一系列旨在解决本地区5G网络安全问题的政策文件。2019年3月26日，欧盟委员会通过了《5G网络安全建议》，呼吁欧盟成员国完成国家风险评估，并审查国家安全措施，随后在整个欧盟层面共同开展统一风险评估工作 。2020年1月29日，欧盟正式对外发布5G网络安全“工具箱”，从战略和技术角度提出一系列加强5G安全的举措。

　　我国格外的重视5G网络技术的发展及应用。在推动5G发展的同时，5G安全也被提高到国家战略层面。

　　2020年3月，工信部发布《关于推动5G加快发展的通知》，要求加强5G网络基础设施安全保障、强化5G网络数据安全保护、加强5G网络安全核心技术攻关和成果转化、构建5G安全保障体系，积极防范安全风险。2021年7月，工信部等十部门在《5G应用“扬帆”行动计划（2021—2023年）》中精确指出，要加强5G应用安全风险评估，开展5G应用安全示范推广，提升5G应用安全评测认证能力，强化5G应用安全供给支撑服务，全方面提升5G应用安全 。

　　特殊行业用户对信息安全敏感度更高，而5G公网无法完全满足这一特定需求。相较于5G公网，5G专网能够准确的通过特殊行业用户的使用场所、工作类型，提供按需、差异化的网络通信服务，且在安全方面有着非常明显优势。目前，我国5G行业专网取得了一定的应用和研究成果，为后续更多应用场景的拓展奠定了基础。

　　5G专网有7种网络模式，针对特殊行业的高安全需求，本文建议选用独立专网、基站共享专网、基站和控制面共享专网3种安全系数较高的模式。基于这 3种专网模式，对其网络部署进行安全性分析，为特殊行业用户的选择提供参考。

　　独立专网模式如图1所示，其拥有完全独立的接入、承载、核心网设备及业务终端，为用户配置全套专用5G网络，例如5G基站（Next Generation Node B，gNB）、用户平面功能（User Plane Function，UPF）、移动边缘计算（Mobile Edge Computing，MEC）、5G核心网控制面（5G Core Network Control Plane，5GC CP）、统一数据管理（Unified Data Management，UDM）。专网与外界完全物理隔离，具有最高的安全性， 适用于需要超高安全隔离且对成本不敏感的应用场景。独立专网具有以下特点：一是可以保障完整的数据安全性；二是网络时延低，从核心网到无线接入网均部署于本地；三是网络自主可控；四是部署成本高，后期维护要专业的运维团队。

　　基站共享专网模式如图2所示，在该模式下，专网与公网仅共享gNB，UPF、UDM、5GC CP和MEC部署在专网内部，与公网在物理上隔离，数据流量在基站上分流，属于专网的数据流量被传送到用户专网的UPF中，专网网络数据保留在专网内部。这种模式能保证内部数据的安全性和网络低时延。由于共享无线接入网（Radio Access Network，RAN），基站只是逻辑隔离而不是物理隔离，安全性比独立专网模式稍弱，但可节省一些部署成本和维护成本。

　　基站和控制面共享专网模式如图3所示，专用的UPF和MEC内置于专网内部，与公网共享gNB、UDM和5GC CP，专网的gNB和UPF通过N2接口、N4接口分别连接到公网网络的 5GC CP，并由运营商管理，专网设备信息存储在运营商服务器中，在数据安全性和隐私保护上比基站共享专网模式稍弱一些，但仍可保障网络低时延。

　　相较于5G公网，5G专网更能满足行业网络需求，同时，安全性也得到明显提升。但5G专网也存在一定的安全风险，其面临的安全风险最重要的包含终端设备、接入与链路、移动应用、安全管理及运维管理等方面。

　　5G终端设备种类多样，终端能力差异大，随着终端设备的大量接入和使用，终端安全风险也逐渐凸显。一方面，在无线环境中，终端面临着身份被盗用、恶意终端非法接入的安全风险；另一方面，终端设备可能存在软硬件漏洞，导致敏感数据被泄露、被篡改，甚至系统被攻击。

　　接入与链路安全风险与网络建设模式紧密关联，下面主要就文中选用的3种专网模式进行分析。

　　在独立专网模式下，独立专网与5G公网完全独立，安全性不受5G公网影响。独立专网的安全风险大多数来源于自身运行的可靠性、稳定性和恶意用户攻击，其面临的安全风险主要有：

　　（1）当网元间没有开启身份认证时，攻击者有可能假冒网元接入核心网络，进行非法访问。

　　（2）如果没有对网元间传输的数据来进行机密性和完整性保护，通信数据会面临被窃听、篡改的风险等。

　　（3）若独立5G核心网缺乏有效的可用性保障手段，一旦遭受攻击或服务失效，有可能导致整个独立专网无法正常运行。

　　在基站共享专网模式下，基站逻辑分离，能够保证行业应用中专有网络数据流量的安全性，其面临的安全风险主要有：

　　（1）在基站与无线空口方面，因为无线信号的广播特性，可能会存在被窃听篡改、假冒终端/基站的中间人攻击等安全风险，将中心内部的信息违规泄露。

　　（2）无线空口存在通过适时发送干扰信号破坏终端与基站之间通信的智能干扰攻击风险，还存在伪基站、伪控制器站点对终端与5G网络之间的信令、业务交互构成安全威胁的风险。

　　（3）如果没有对链路中传输的数据来进行机密性和完整性保护，通信数据面临被窃听、篡改的风险。

　　在基站和控制面共享专网模式下，若在专网网元与用户行业网、专网网元和公网核心网间缺乏有效的安全管控措施，其面临的安全风险主要有：

　　（1）行业网用户都能够非授权地访问到专网网元。一旦专网网元存在安全漏洞，有一定的概率会被恶意用户攻击甚至是控制。

　　（2）专网网元负责业务数据转发和控制信令透传，如果缺乏对数据传输、存储、处理的安全保护，数据可能被恶意用户窃取，导致敏感信息的泄露。

　　（3）如果对专网网元缺乏有效的双向认证和鉴权机制，非授权虚假设备可能与其进行互通，导致系统被非法访问。

　　不同移动业务应用将运行在5G网络上，其中业务应用服务器有几率存在漏洞，服务器提供的应用程序编程接口（Application Programming Interface，API）有几率存在漏洞，如果这些应用层面的漏洞被攻击者利用，可造成应用数据的非授权访问及泄露，威胁信息安全。

　　5G网络支持多种应用场景，给安全管理和运维管理带来新的安全风险。系统及网络设施安全态势不可视、非授权访问和修改网络配置，以及系统漏洞未及时有效地发现、违规运维等都会带来安全风险和隐患，导致安全事件的发生。

　　特殊行业5G安全总体框架的核心在于针对特殊行业的5G安全风险，打造终端、链路、应用、管理等层面的安全防护能力和安全管理能力，如图4所示。

　　5G安全防护是5G安全的执行者，接受5G安全管理的统一调度和控制，同时实时采集安全信息，并将其发送到5G安全管理中做多元化的分析处理。

　　5G安全防护包括终端安全、接入安全、链路安全、应用安全4个方面的安全防护。

　　（1）终端安全。在软硬件方面做好终端的安全加固和防护，定制操作系统和特定的应用商店，并按相关措施进行妥善保管；还可通过设备丢失发现、主动上报告警、远程销毁等应急处理手段，降低终端丢失后造成的安全风险；终端采用定期的漏洞扫描管理，避免软件的缺陷漏洞被利用。

　　同时，终端集成定制化安全模块，对通信数据来进行端到端加密，防止终端的通信数据被窃听或篡改。

　　（2）接入安全。完成接入控制安全、空口通信保护、空口数据保护等，通过主认证、区域访问控制、资源访问控制等多重接入访问控制技术消减终端接入风险，并为空口传输的各种信令、数据提供机密性和完整性保护。

　　（3）链路安全。通过切片资源的合法使用切片的合法接入及切片数据隔离等实现网络切片安全；通过在承载网与RAN基站、承载网与核心网间及核心网与企业网间部署防火墙等安全设施，实现边界防护安全，防御来自外部的安全威胁；利用互联网传输加密保障网络数据报文的机密性和完整性。通过安全域划分实现不同安全等级业务数据的隔离。

　　（4）应用安全。主要提供应用的端到端业务保护及隐私保护，通过身份认证、防病毒和恶意代码防范、软件系统更新、漏洞扫描、安全加固等方式来进行安全防护。

　　针对安全管理及运维管理需求，加强网络安全态势感知和风险防控能力。通过运营商共享5G网络安全能力，将终端、切片、专用UPF和安全防护设备等进行统一监控，实现全天候、全方位的网络安全态势感知，并通过对比分析进行漏洞挖掘和异常威胁检测，及时有效地发现网络上的安全漏洞和入侵行为，动态调整安全策略、调配安全资源，协同多域安全防护联动，快速封堵安全漏洞，在入侵发生或入侵导致非常严重后果前，采取相应的防御措施以加强网络的安全性，有效应对各种安全风险和攻击威胁。

　　机卡绑定是指将特定的用户身份识别模块（Subscriber Identity Module，SIM）与所使用的终端设备做绑定，不能随意更换或转移使用。SIM卡与终端硬件识别码（International Mobile Equipment Identity，IMEI）绑定一一对应关系，SIM卡拔出后在其他终端上没办法使用，有很大效果预防非授权终端滥用合法SIM卡造成的非法接入。

　　远程遥毁密钥资源是指如果合法终端状态异常，通过密钥管理限制其认证入网。当终端丢失或存在严重安全风险时，网络侧认证安全增强设备会向专用全球用户识别模块（Universal Subscriber Identity Module，USIM）发送遥毁指令，收到遥毁指令后，专用USIM卡将自动销毁/擦除卡内密钥资源。远程遥毁成功后，终端将无法通过主认证入网，只有在重新办卡（卡号可以不变）后，才能再次认证入网。

　　终端数据加密是指通过采用密码技术实现数据的机密性和完整性保护。通过终端集成从而支持基于国密算法的非对称加密的定制化安全模块，实现主站对终端身份的鉴别和报文的完整性保护。

　　主认证增强是指基于国产/专用认证算法实现终端侧的主认证鉴权运算和入网认证增强，达到安全增强的目的。在专网模式下，终端部署安全增强USIM卡，完成认证处理；网络侧核心网部署专用UDM网元，面向核心网提供标准 UDM的接口，面向认证服务器提供专用认证调用接口，以实现国产/专用认证运算的嵌入。

　　区域访问控制是指规划出区域位置管控范围，将终端设备与特定区域进行绑定。只有具备某区域权限的终端才能接入该区域网络，同时该区域网络的终端离开指定的服务区域则无法接入网络。区域访问控制可以有效的预防终端非法接入或网络资源被滥用，可以对移动资产进行规范管理，并提供业务连续性保障；同时防止关键终端驻留非安全区域造成信息泄露，防止终端在非授权区域查看到非授权应用。

　　空口信令安全防护是对核心网的安全边界防护，能大大的提升核心网的可用性。空口信令防护网关通常基于身份标识对基站和终端进行安全接入控制，防止非授权终端和非授权基站接入核心网。此外，还能够最终靠深度非接入层信令包分析，对流控制传输协议（Stream Control Transmission Protocol，SCTP）、下一代应用协议（Next Generation Application Protocol，NGAP）及网络附加存储（Network Attached Storage，NAS）层的信令报文进行安全检查，防止非法报文、伪装在非法流程中的合法报文进入核心网。

　　空口数据保护是指对终端到基站的空口数据报文和控制信令进行加密和完整性保护。5G基站在分组数据汇聚协议（Packet Data Convergence Protocol，PDCP）层实现数据加密和完整性保护功能，保证空口数据安全；对5G空口传递的订阅永久标识符（Subscription Permanent Identifier， SUPI）进行加密计算，避免SUPI明文在5G空口被非法跟踪截获。

　　地面链路数据保护是指实现基站到核心网边缘的数据报文的加密和完整性保护。在5G基站到MEC UPF边界防火墙之间利用互联网安全协议（Internet Protocol Security，IPsec），实现N3接口的数据报文加密和完整性保护。在MEC UPF边界防火墙到应用服务器之间也采用IPsec协议，实现N6接口的数据报文加密和完整性保护。

　　身份防跟踪防定位是指通过对国际移动用户识别码（International Mobile Subscriber Identification Number，IMSI）/SUPI隐私保护进行安全增强，为特殊行业用户更好的提供隐私保护安全。专用USIM卡接收到网络侧发送的临时身份标识，校验无误后进行缓存，在适当时机控制终端使用最新接收的临时身份标识向归属网络发起重新附着请求，附着成功后即完成掩护SUPI的启用，以此来实现对用户身份标识IMSI/SUPI进行掩护的目的。该防御措施解决了在通信基础设施上不暴露IMSI的问题，且在空口和通信网元上只能获取到某个时间周期内的动态IMSI，其中根密钥只需要在相关认证安全增强设备中来管理和维护，即可提供根密钥从源头开始的安全可信能力。

　　端到端业务防护采用密码技术实现业务数据的机密性和完整性保护，是应用安全防御的重要手段之一。当终端与应用系统来进行信息交互时，交互数据易被攻击者窃取、篡改和破坏，需采取相关安全机制，实现终端与应用系统之间业务数据的安全传输。可在终端上内嵌加密模块，在网络侧数据网络（Data Network，DN）入口处部署安全网关，完成端到端业务加密防护。

　　异常终端动态识别和隔离是指根据终端的动态行为，识别异常终端，并对异常终端采取相关管控措施。核心网侧上下线信息、位置变化和机卡分离等动态行为在态势感知平台上呈现，以识别异常终端。同时对异常终端进行上下线控制、会话中断、故障定位与排查等操作，强化终端的管理。

　　流量溯源是指对流量日志进行监测和分析，识别、追溯异常流量，达到立即处理安全风险隐患的目的。终端在激活上线G核心网通过二次认证流程更新签约用户个人信息，并上传到安全网关。安全网关记录流量日志并上报到日志服务器，日志服务器对流量日志进行全流量溯源解析，以实现异常安全流量的溯源。

　　5G作为新一代信息通信技术演进升级的重要方向，已经渗透到了社会的各行各业，在造福社会的同时，5G也带来了新的安全风险。本文设计了一种基于专网的特殊行业5G安全总体框架，提出了系列安全防御措施，可为有高安全需求的特殊行业5G应用提供参考。尽管如此，随着各种攻击威胁的不断演变，仍需要积极创新并发展新的防御手段，形成特殊行业5G应用体系化可重构的安全防御能力。

　　未来，特殊行业应紧扣应用场景，将安全理念贯穿于5G应用的规划、建设、运维全过程，实现5G应用与5G安全同步开展，持续提升5G安全水平，同时制定相关管理制度，更好地推动5G在特殊行业的应用发展。

　　引用格式：陈潇,邓招,郭晓黎,等.5G在特殊行业应用的安全风险及防御措施[J].信息安全与通信保密,2024(6):94-104.

　　咸立文，男，学士，高级工程师，主要研究方向为网络安全、通信网络、密码应用。

　　选自《信息安全与通信保密》2024年第6期（为便于排版，已省去原文参考文献）

　　特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。

　　奔驰“杀心已起”,暴跌40万,62万一路降至22万，有更狠的SUV吗？

　　消息人士：普京愿意与特朗普讨论乌克兰停火协议 但排除了在领土上做出任何重大让步的可能性

　　CCTV5+直播泰山VS海港！古斯塔沃PK克雷桑，奥斯卡留队立下投名状

　　华为MatePad Pro13.2将于下周发布 可搭载原生鸿蒙旗舰平板

　　疑似AMD锐龙AI5 340处理器现身数据库 采用3+3双簇共6核结构