5G网络风险评估方法与实践

汤 凯 王继刚 翟亚红

1(移动网络和移动多媒体技术国家重点实验室 广东深圳 518057)

2(中兴通讯股份有限公司 广东深圳 518057)

3(中国网络安全审查技术与认证中心 北京 100020)

(etangkai@outlook.com)

5G网络(5th generation mobile networks)引入了SDN/NFV(software defined network/network function virtualization),SBA(service based architecture)等软件化、服务化、虚拟化技术，解耦了CU/DU(centralized unit/distributed unit)，通过MEC(mobile edge computing)提供了边缘化计算能力，定义了网络切片，实现了面向产业互联网的“可编程网络”.

大量新技术、新理念在移动网络中第1次大规模地使用，使得5G网络的架构、生态、商业模式、信任关系与风险特征呈现出更加复杂的态势(1)中兴通讯5G 行业应用安全白皮书(https://res-www.zte.com.cn/mediares/zte/Files/PDF/white_book/201908271502CN.pdf?la=zh-CN).复杂性是风险的主要来源之一，如何在动态变化中同时保证5G网络的灵活性与安全性是5G的重要挑战.

与5G网络一样，5G安全平面也是一个多层次的复杂系统，需要考虑生态、业务、网络、供应链、基础设施等多个不同级别的安全需求与风险态势.本文基于ISO(International Organization for Standardization) 27005的框架[1]，引入了一种风险评估模型，对5G网络空间的高级别风险(简称5G网络风险)进行评估，并给出相应的安全矩阵模型作为5G网络风险的对策.

1 风险评估模型

目前存在多种不同的风险评估模型分别针对不同的上下文类型.文献[2]描述了一种基于UML(unified markup language)扩展的安全系统的需求描述与开发方法，主要针对基于UML的产品开发，对使用者要求较高.文献[3]描述了一种基于DFD(data flow diagram)的威胁建模方法，主要面向以数据流为中心的业务.X.805标准[4]为端到端通信系统给出了一个比较高抽象层次的分层分面的安全模型，但并未在具体风险识别、分析方法层面给出任何……