姓名：张夏雨 学号：22011110207 通信工程学院
6G 网络内生安全架构——
“粟栗,庄小君,杜海涛,冉鹏,黄晓婷,杨朋霖.6G网络内生安全架构研究[J].中国科学:信息科学,2022,52(02):205-216.”
定义 6G 网络内生安全体系为: 以网络内部建设的安全能力为基础, 以信任共识为纽带, 以智能分析、灵活编排为手段, 形成的主动免疫、信任共识、协同弹性的安全体系.为实现上述目标, 本文设计 6G 网络内生安全架构, 包括: 安全管理中心、安全智能中心、安全策略控制单元、安全能力层 (网元设备自身安全能力、专用安全能力资源池) 4 层, 并协同信任共识设施、资源编排与调度能力、人工智能分析能力, 形成体系化安全架构. 其架构如图 2 所示.对图 2 所示的 6G 网络内生安全架构各部分能力说明如下. 内生安全能力层是网络中安全原子能力的提供方, 包括各类设备自身的安全能力、内建的专用安全能力资源池; 为满足弹性服务的需求, 还包括安全能力的备用资源池. 安全策略控制单元是连接内生安全能力层与安全智能中心的单元, 负责将运行所需的安全策略下发到网元设备、安全设备中, 屏蔽异厂家、多类型的设备接口对接要求. 安全智能中心是整个内生安全架构的大脑, 一方面负责分析数据, 形成安全态势与安全策略建议; 另一方面可以作为安全能力整合的接口, 接收业务中的安全需求, 生成安全解决方案与调度策略, 为应用层提供安全服务. 安全管理中心与管理员交互, 负责系统安全管理. 信任共识设施为系统运行涉及的安全能力、安全策略的声明及执行过程提供不可篡改的记录, 实现信任共识保障. 资源编排与调度能力中心负责全网资源调度和设备编排, 对虚拟化设备的全生命周期进行管理. 人工智能分析能力基于 6G智慧内生能力, 为安全智能中心提供智能分析与智能决策手段。
6G 网络内生安全能力部署与规划
安全能力部署原则分析
安全能力的提供方可能是网元设备自身、专用安全设备、安全服务, 并通过编排的方式形成一个整体. 为了达到高效、协同的效果, 需要分析安全能力的承载方式与运行原则.
(1) 设备自身必须具备基础安全能力. 基于零信任理念, 要求每个独立的实体 (网元设备) 具备独立的安全能力, 并确保主体真实和请求有效. 因此, 不仅需要实体具备自身安全防护能力, 还需要其在信任共识设施 (如公共查询库、区块链等) 上登记, 以向第三方证明该能力的配置及启用状态.
(2) 网络/子网边界应采用安全专用设备. 在内部可信度较高的前提下, 按区域进行安全防护一方面可以利用安全专用设备在功能、性能方面的优势; 另一方面区域边界集中防护的安全成本更低, 也便于集中运维管理, 减少运维管理的成本.
(3) 网内安全服务应采用专用设备. 内网安全所需的扫描、监控、基线核查等能力应使用专用设备, 一般使用集中化更利于保持一致性, 利于运维管理.
(4) 安全分析能力应集中化与智能化. 数据驱动型的安全能力, 包括态势感知、安全策略分析与优化、安全编排分析等. 这部分安全能力往往需要大量的关联数据分析, 适合集中化、智能化方式进行.
综上, 归纳 6G 网络内生安全架构中安全能力的建设原则如下:
原则 1: 抵抗内部攻击的必要安全机制 (如认证、安全配置、告警、日志等) 由设备自身实现.
原则 2: 端到端的安全能力应由设备自身实现 (如安全协议).
原则 3: 网络/子网所需的共性安全能力优先由专用设备实现.
原则 4: 安全配置、安全策略应由安全智能中心生成, 并由安全管理中心统一管理.
原则 5: 当一种安全能力可由多类方式执行时, 优先选择成本最低的实现方式.
6G 网络内生安全能力规划
内生安全的架构, 自下而上对各部分的能力规划如下.
(1) 设备安全能力. 保障设备自身基础安全的功能应由设备自身建设, 可有效保障其他安全机制失效时也能维持基本的安全能力. 主要包括如下内容: 自身安全防护能力, 如访问控制、身份认证、安全基线配置、设备入侵检测、软件完整性校验、日志等; 信任可证能力, 如基于可信计算、区块链等方式的可证明安全启动、运行等; 端到端安全保障能力, 如基于数字证书的 TLS, IPSEC 等安全能力; 设备个性化的安全能力, 如黑白名单、服务许可列表等.
(2) 专用安全能力资源池. 该部分通过安全专用设备提供实现共性安全能力, 其目标是保障安全能力高效执行、避免系统中安全能力的重复建设与部署. 主要由 3 类内容组成: 生产网络及边界应部署的专用设备, 主要包括防火墙、IDS、IPS、WAF 等; 内网安全能力资源池, 提供软件服务化 (softwareas a service, SaaS) 模式的安全服务, 主要包括安全漏洞扫描、安全配置核查、安全状态监测等; 内网安全能力备用资源池, 由核心网为安全资源池预留硬件、软件, 依据安全需求配置并提供安全能力, 接受安全策略控制单元的策略管理、资源编排与调度能力的编排.
(3) 安全策略控制单元. 该设备执行安全智能中心的安全策略下发, 包括网元设备的安全策略、安全专用设备的安全策略. 该单元应是一个部署在生产域边界的设备, 实现管理域与生产域的互通.
(4) 安全智能中心. 安全智能中心是安全协同的大脑, 基于 AI 能力, 与管理中心、资源编排与调度能力联动. 主要实现以下多方面功能: 集中化安全数据的分析, 输出安全态势、威胁情报、安全策略等; 安全配置策略的分析与生成, 并通过安全策略控制单元下发; 安全编排方案的分析与生成, 并与资源编排与调度能力中心联动, 实现安全能力的编排; 与数字孪生网络联动, 实现安全运维的分析与调优; 安全智能中心还作为安全能力与服务对外的输出接口, 实现安全服务能力的整合与输出.
(5) 安全管理中心. 安全管理中心的必要功能包括: 系统管理、审计管理、安全管理、集中管控等能力, 并能呈现安全态势等供安全管理员分析与决策.
通过上述 6G 网络内生安全架构和安全能力部署, 可实现如下目标: 在安全管理中心的指导下,以 6G 网络中已具备的安全能力为基础、配合柔性安全能力资源池、协同智能分析与编排机制, 构建可靠、灵活、弹性、至简的安全防护体系, 并具备对外安全服务能力, 达到主动免疫、信任共识、协同弹性的目标.
