5G數(shù)字蜂窩移動(dòng)通信無線接入網(wǎng)共享安全技術(shù)要求

5G數(shù)字蜂窩移動(dòng)通信無線接入網(wǎng)共享安全技術(shù)要求1范圍本文件規(guī)定了50數(shù)字蜂窩移動(dòng)通信無線接入網(wǎng)共享下的安全技術(shù)要求，內(nèi)容主要包括網(wǎng)絡(luò)安全、網(wǎng)管開放安全、業(yè)務(wù)安全、數(shù)據(jù)安全、安全運(yùn)營管理等方面的安全要求。本文件適用于使用5G多運(yùn)營商核心網(wǎng)(MOCN)網(wǎng)絡(luò)共享架構(gòu)建設(shè)的5G網(wǎng)絡(luò)的安全規(guī)劃、建設(shè)2規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，僅該日期對應(yīng)的版本適用于本文件。不注日期的引用文件，其最新版本(包括所有的修改單)適用于本YD/T3962-20215G核心網(wǎng)邊緣計(jì)算總體技術(shù)要求IETFRFC6083流控制傳輸協(xié)議(SCTP)的數(shù)據(jù)報(bào)傳輸層安全(DTLS)(DatgramTransporLayerSecurity(DTLS)forStreamControlTransmissio3術(shù)語和定義多個(gè)運(yùn)營商共同投資、建設(shè)、維護(hù)和使用同一張5G無線接入網(wǎng)，每個(gè)運(yùn)營商負(fù)責(zé)不同區(qū)域的網(wǎng)絡(luò)投資、建設(shè)、維護(hù)工作，既是承建方，又是共享方。在無線接入網(wǎng)共享的場景下，投資、建設(shè)和維護(hù)無線接入網(wǎng)，對基站具有所有權(quán)、管理在無線接入網(wǎng)共享的場景下，使用無線接入網(wǎng)，對基站只有使用權(quán)，無管理權(quán)的一方。4縮略語下列縮略語適用于本文件。5GC:5G核心網(wǎng)(5GCoreNetwork)5G-RAN:5G無線接入網(wǎng)(5GRadioAccessNetwork)AMF:接入和移動(dòng)性管理功能(AccesandMobilityManagementFunctionN235.2安全框架5G-RAN共享安全框架如圖2所示；針對5G-RAN共享的安全要求，需要考慮安全防護(hù)的整體性。本文件基于對5GMOCN網(wǎng)絡(luò)共享架構(gòu)、典型組網(wǎng)策略、典型業(yè)務(wù)與運(yùn)營需求的安全風(fēng)險(xiǎn)分析(參考附錄A),主要從網(wǎng)絡(luò)安全、網(wǎng)管開網(wǎng)絡(luò)安全部分包括接入、承載、核心等網(wǎng)絡(luò)域，以及5G-RAN共享安全框架如圖2所示；分類分級防護(hù)職責(zé)安全控制采集傳輸存儲(chǔ)處理..接入安全承載安全核心安全切片安全MEC安全圖25G-RAN共享安全框架6網(wǎng)絡(luò)安全要求6.1無線接入網(wǎng)安全要求在5GMOCN網(wǎng)絡(luò)共享架構(gòu)下/gNB組成的5G-RAN連接多個(gè)運(yùn)營商核心網(wǎng)，甚至共享部分回傳網(wǎng)絡(luò)的路由資源。由傳統(tǒng)封閉轉(zhuǎn)向開放的回傳網(wǎng)絡(luò)以及gNB網(wǎng)元，面臨內(nèi)部敏感信息泄露和外部跨網(wǎng)攻擊等安全風(fēng)險(xiǎn)。為應(yīng)對上述安全風(fēng)險(xiǎn)，無線接入網(wǎng)應(yīng)加強(qiáng)回傳通信接口安全防護(hù)，提升網(wǎng)絡(luò)可靠性，并對gNB安全加固、安全環(huán)境、多運(yùn)營商PKI認(rèn)證能力等方面提出如下安全要求6.1.2回傳通信安全gNB應(yīng)支持5GS非服務(wù)化接口安全機(jī)制，應(yīng)通過雙向認(rèn)證、安全隔離等指施，做好接口和鏈路的通信安全防護(hù)。a)非服務(wù)化接口安全：gNB應(yīng)支持對N2、N3和Xn等外部傳輸鏈路，以及gNB和eNB之間的至5GC入口處部署安全網(wǎng)關(guān)，作為IPSceVPN的終結(jié)點(diǎn)。除了IPSce之外，N2、Xn-C接口還應(yīng)支持IETFRFC6083中規(guī)定的DTLS,以提供機(jī)密性、完整性保護(hù)和抗重放保護(hù)b)O&M接口通信安全：應(yīng)對遠(yuǎn)程或本地的OMC-R網(wǎng)管和gNB之間的通信采用雙向認(rèn)證機(jī)制，并提供機(jī)密性和完整性保護(hù)。其中用于身份認(rèn)證和建立安全關(guān)聯(lián)的密鑰，以及遠(yuǎn)程通信的會(huì)話題題6運(yùn)營商B詞營商A運(yùn)營商B區(qū)域a圖4運(yùn)營商間承載網(wǎng)互聯(lián)互通安全6.2.2承載網(wǎng)對接點(diǎn)安全策略BGP路由過濾與控制承載網(wǎng)互聯(lián)互通，應(yīng)通過EBGP方式對接，并配置白名單策略a)只發(fā)布及接受與業(yè)務(wù)相關(guān)的地址網(wǎng)段路由，例如共享gNB、5GC、MEC等。b)不發(fā)布及接受與業(yè)務(wù)無關(guān)的地址網(wǎng)段路由，涉及新增路由白名單需求，應(yīng)通過參與網(wǎng)絡(luò)共享的各方共同認(rèn)定的方式發(fā)起業(yè)務(wù)開通申請，審批后開通，建議采用電子化申請與審批方式c)EBGP白名單策略對新路由地址段進(jìn)行合規(guī)性審核，僅允許合規(guī)源地址流量的訪問。community屬性。業(yè)務(wù)流量控制建議雙方在承載網(wǎng)互聯(lián)互通的接口，配置ACL策略。通過源IP、目的IP、協(xié)議、源端口、目的端口等字段進(jìn)行訪問控制，只允許與業(yè)務(wù)相關(guān)的流量通過，其它流量全部拒絕。6.2.3共享gNB接入承載網(wǎng)安全控制在共享gNB接入承載網(wǎng)的位置，例如承載網(wǎng)接入層設(shè)備，建議在路由控制層面和轉(zhuǎn)發(fā)層面部署相應(yīng)的安全策略進(jìn)行控制，防止業(yè)務(wù)不相關(guān)的流量未經(jīng)授權(quán)訪問承載網(wǎng)。a)控制平面：在共享gNB業(yè)務(wù)流量接入承載網(wǎng)的位置，配置ACL策略，通過源IP、目的IP、協(xié)議、源端口、目的端口等字段進(jìn)行訪問控制，只允許與業(yè)務(wù)相關(guān)的流量通過，其它流量全部拒絕接入。例如，運(yùn)營商A承建的共享方gNB在接入運(yùn)營商A承載網(wǎng)時(shí)，嘗試未經(jīng)授權(quán)訪問運(yùn)營商A的承載網(wǎng)核心路由設(shè)備、邊緣MEC、SGC,此類業(yè)務(wù)不相關(guān)流量應(yīng)被拒絕接入在共享gNB業(yè)務(wù)流量接入承載網(wǎng)的位置，根據(jù)對業(yè)務(wù)流量模型的預(yù)估，設(shè)置轉(zhuǎn)發(fā)流量的合理峰值限制。6.2.4承載網(wǎng)內(nèi)安全隔離建議在承載網(wǎng)內(nèi)提供不同運(yùn)營商業(yè)務(wù)流量間的安全隔離，強(qiáng)化路由的訪問安全，防止泄露敏感路由如果承載網(wǎng)內(nèi)未部署安全隔離手段，建議采取以下安全控制措施。路由可采用星型結(jié)構(gòu)進(jìn)行組網(wǎng)，盡量不采用fullmesh結(jié)構(gòu)，提升路由的訪問安全和可擴(kuò)展性。b)維護(hù)界面限制如果存在開放5G承載網(wǎng)網(wǎng)管能力的運(yùn)營管理需求，建議限制共享方的數(shù)據(jù)獲取范圍，不允許共享方查看、導(dǎo)出承載網(wǎng)內(nèi)的路由信息。6.2.5承載網(wǎng)可靠性在承載網(wǎng)互聯(lián)互通場景下，應(yīng)強(qiáng)化路由設(shè)備安全加固、實(shí)施網(wǎng)絡(luò)高可靠保護(hù)措施，確保網(wǎng)絡(luò)的可靠性和可用性。路由設(shè)備安全加固路由設(shè)備的安全域可以劃分為管理平面、控制平面、轉(zhuǎn)發(fā)平面等三大平面，每個(gè)平面應(yīng)部署相應(yīng)的安全策略，防范承載網(wǎng)可能受到的攻擊。1)應(yīng)根據(jù)最小權(quán)限分配原則，結(jié)合4A系統(tǒng)對設(shè)備管理賬號進(jìn)行權(quán)限管理、定期口令更新與2)登錄設(shè)備應(yīng)使用SSH,并通過ACL限制HTTPS等安全協(xié)議，采集協(xié)議應(yīng)采用SNMPv2c或以上版本。3)關(guān)閉設(shè)備上不必要的服務(wù)，如HTTP,FTP、TFTP、IP源路由，若有使用需求，應(yīng)在受控的條件下使用，使用結(jié)束后回退到關(guān)閉狀態(tài)。b)控制平面安全2)針對EBGP協(xié)議，應(yīng)啟用路由協(xié)議認(rèn)證功能，確保與可信方進(jìn)行路由協(xié)議交互，同時(shí)啟用BGPGTSM功能檢查TTL值是否符合預(yù)期，或配置MAX-HOP功能。3)使用前綴列表部署路由策略，避免接收或發(fā)布不安全的路由信息。4)按需部署最大條目路由限制措施，預(yù)防可能遭受的路由沖擊。c)轉(zhuǎn)發(fā)平面安全1)配置安全訪問控制列表，過濾掉己知安全攻擊數(shù)據(jù)包2)應(yīng)對典型協(xié)議報(bào)文的攻擊進(jìn)行防護(hù)，包括但不限于PingofDeath攻擊、SYN攻擊、Teardrop攻擊、Smurf攻擊、Land攻擊，配置防護(hù)策略，如進(jìn)行限速、過濾、丟棄。網(wǎng)絡(luò)高可靠保護(hù)a)承載網(wǎng)互聯(lián)互通的對接點(diǎn)，應(yīng)采用雙節(jié)點(diǎn)口字型互聯(lián)結(jié)構(gòu)。b)當(dāng)運(yùn)營商間共享承載網(wǎng)路由時(shí)，共享路由段應(yīng)采用冗余的物理組網(wǎng)結(jié)構(gòu)，例如物理成環(huán)、雙上c)應(yīng)對路由光纜資源、網(wǎng)絡(luò)設(shè)備的運(yùn)行狀態(tài)和負(fù)載進(jìn)行持續(xù)監(jiān)控與高負(fù)荷預(yù)警。參與網(wǎng)絡(luò)共享的各方應(yīng)共同協(xié)商明確高負(fù)荷預(yù)警閾值，以便主動(dòng)、及時(shí)地實(shí)施擴(kuò)容與負(fù)載均衡d)建議部署雙向轉(zhuǎn)發(fā)檢測(BFD)、快速重路由等故障檢測與收斂技術(shù)。8在核心網(wǎng)入口處，特別是在核心網(wǎng)中與共享5G-RAN對接的網(wǎng)元AMF、UPF,需要防范由于5G-RAN共享引起的未知接入源帶來的安全風(fēng)險(xiǎn)，以及承載網(wǎng)互通可能引發(fā)的潛在跨網(wǎng)攻擊威脅，應(yīng)部署保護(hù)核心網(wǎng)接入安全、可靠性的安全防護(hù)策略6.3.2核心網(wǎng)接入安全為了防止由于多運(yùn)營商網(wǎng)絡(luò)共享5G-RAN引起的未知接入源帶來的安全問題，需要針對核心網(wǎng)中與基站直接通信的網(wǎng)元AMF、UPF,新增部署安全策略。a)路由過濾策略：應(yīng)在AMF、UPF的N2、N3接口配置路由過濾策略，過濾除規(guī)劃業(yè)務(wù)相關(guān)IP段以外的IP地址(共享gNB的IP地址一般成段分配),對報(bào)文訪問的目的地址和目的端口做出限制，防止非規(guī)劃內(nèi)的未知接入源嘗試接入核心網(wǎng)網(wǎng)元。b)非服務(wù)化接口安全按需對N2、N3接口啟用非服務(wù)化接口安全機(jī)制，通過基于IPSeeESP和IKEV2證書的認(rèn)證，對非服務(wù)化的接口的網(wǎng)元間通信提供機(jī)密性、完整性和抗重放保護(hù)。6.3.3核心網(wǎng)可靠性核心網(wǎng)側(cè)需要具備安全防護(hù)手段和控制手段，應(yīng)對異常突發(fā)場景，如共享基站受到攻擊向多個(gè)核心網(wǎng)接入管理網(wǎng)元AMF惡意灌包。建議在5GC入口處的防火墻上，配置TCP/P攻擊防范、ARP攻擊防范等功能，并為5GC-CE或DC-GW配置CPCAR防護(hù)策略。a)TCP/IP攻擊防范；配置TCP/IP防范策略，防止從共享基站、承載網(wǎng)互通節(jié)點(diǎn)針對核心網(wǎng)網(wǎng)絡(luò)設(shè)備的攻擊。b)ARP攻擊防范：配置ARP報(bào)文合法性檢查，ARP嚴(yán)格學(xué)習(xí)等安全防范策略，對ARP攻擊進(jìn)行防范、檢測和解決，防范針對ARP協(xié)議的攻擊。c)CPCAR防攻擊；通過對不同的報(bào)文設(shè)置不同的CAR規(guī)則，降低報(bào)文的相互影響，達(dá)到保護(hù)CPU的目的。6.4MEO部署安全要求在運(yùn)營商間共建共享5G-RAN、承載網(wǎng)互聯(lián)互通的場景下，由于各運(yùn)營商獨(dú)立建設(shè)核心網(wǎng)，根據(jù)共享方的業(yè)務(wù)場景和建設(shè)方式不同，共享方的邊緣MECUPF主要有如下的兩種部署方式：a)方式一：業(yè)務(wù)需求觸發(fā)共享方邊緣MECUPF與承建方路由設(shè)備對接(圖5)。二邊緣UPF的安全防護(hù)需考慮YD/T1032-2019中6.6、7.2提出的安全需求，除此以外，還應(yīng)考慮接入應(yīng)按照6.3.2章節(jié)的核心網(wǎng)接入安全要求，針對邊緣UPF部署安全措施，包括路由過濾策略、非服務(wù)化接口安全機(jī)制等。b)與5GC間的流量安全控制應(yīng)支持對邊緣UPF向5GC間的流量進(jìn)行安全控制，如N4、N9接口，應(yīng)支持對此類接口的信令流量速率、協(xié)議類型、目的地址/端口進(jìn)行限制1)針對有INTERNET訪問需求的場景，應(yīng)為邊緣UPF部署抗DDoS能力。2)對于邊緣UPF,應(yīng)采取安全措施確保設(shè)備硬件、物理基礎(chǔ)設(shè)施的物理安全，如果涉及運(yùn)營商間責(zé)任分工，應(yīng)協(xié)商明確防護(hù)職責(zé)，并采取統(tǒng)一的物理安全防護(hù)要求。6.5切片部署安全要求在運(yùn)營商間共建共享5G-RAN、承載網(wǎng)互聯(lián)互通場景下，運(yùn)營商間的切片運(yùn)營管理系統(tǒng)(如CSMF、NSMF、NSSMF)通常通過能力開放，或新建電子化平臺打通雙方切片運(yùn)營管理系統(tǒng)的方式實(shí)現(xiàn)切片需求與策略信息的傳遞，以及切片運(yùn)營管理能力共享(圖7)。應(yīng)針對具體的建設(shè)和運(yùn)營方案，在本小節(jié)提出的安全要求的基礎(chǔ)上進(jìn)行進(jìn)一步擴(kuò)展和細(xì)化。圖7運(yùn)營商間切片運(yùn)營管理系統(tǒng)能力共享6.5.2部署安全要求a)安全域劃分與隔離：明晰內(nèi)網(wǎng)安全域邊界，部署防火墻進(jìn)行隔離，并采取訪問控制策略。b)分權(quán)分域與訪問控制：根據(jù)共同協(xié)商的分工界面，通過分權(quán)分域的方式對切片運(yùn)營管理系統(tǒng)或新建的電子化平臺進(jìn)行有限授權(quán)開放，并部署訪問控制策略，拒絕與業(yè)務(wù)無關(guān)的訪問請求。c)安全傳輸：針對承建方和共享方的切片運(yùn)營管理系統(tǒng)間傳輸?shù)闹噶詈蛿?shù)據(jù)，采取認(rèn)證、加密、完整性保護(hù)、抗重放攻擊等安全保護(hù)措施。d)日志與安全審計(jì)切片運(yùn)營管理系統(tǒng)，或新建的電子化平臺，應(yīng)具備記錄接入登錄、配置操作、數(shù)據(jù)導(dǎo)出等動(dòng)作的日志能力，并采取安全措施確保日志存儲(chǔ)的機(jī)密性和完整性，安全審計(jì)。e)數(shù)據(jù)安全管理針對切片運(yùn)營管理系統(tǒng)間傳輸、共享的數(shù)據(jù)，如業(yè)務(wù)需求數(shù)據(jù)、切片網(wǎng)絡(luò)數(shù)據(jù)、用戶數(shù)據(jù)等等，按照第9章中提出的安全要求進(jìn)行分類分級和全生命周期安全管理。a)切片安全一致性：應(yīng)支持(無線側(cè))切片安全需求與策略信息在承建方和共享方的切片運(yùn)營管理系統(tǒng)間進(jìn)行傳遞，并確保安全策略最終一致地執(zhí)行b)切片安全狀態(tài)監(jiān)控承建方AN-NSSMF應(yīng)支持對切片關(guān)鍵KPI和切片安全狀態(tài)信息進(jìn)行監(jiān)控并按需向共享方提供共享方無線子切片的監(jiān)控?cái)?shù)據(jù)。c)切片安全管理能力開放：建議支持(無線側(cè))切片安全管理能力開放，按需向共享方提供有限授權(quán)操作、安全數(shù)據(jù)可視、安全日志共享、安全事件通知等安全管理能力7網(wǎng)管開放安全要求為了滿足共享方對網(wǎng)絡(luò)的生產(chǎn)運(yùn)營需求，承建方一般通過反拉維護(hù)絡(luò)端或開放北向開放無線網(wǎng)管能力。反拉維護(hù)終端，即通過部署專線的方式將承建方OMC-R的終端反拉至共享方，實(shí)現(xiàn)無線網(wǎng)管能力開放。開放北向接口，即承建方通過新增開放北向接口的方式，按照共享方的北向接口規(guī)范的配置、性能、告警等多類數(shù)據(jù)通過部署的專線傳送至共享方。網(wǎng)管能力開放過程中涉及到的網(wǎng)絡(luò)與信息安全風(fēng)險(xiǎn)主要有敏感信息泄從安全域隔離、訪問控制與權(quán)限管理、傳輸安全、反拉維護(hù)終端安全、日志與安全審計(jì)防護(hù)。應(yīng)加強(qiáng)OMC-R網(wǎng)管的安全管理，做好網(wǎng)管設(shè)備、接口、終端的安全域劃分，明晰安全域邊界，落實(shí)各邊界接入要求及安全策略。a)網(wǎng)管域外部邊界隔離應(yīng)在網(wǎng)管城外部邊界部署防火墻，對安全域邊界進(jìn)行安全隔離，如圖8所示。為保障承建方、共享方內(nèi)網(wǎng)安全的可靠性，建議雙方都使用雙防火墻的對接一備實(shí)現(xiàn)防單點(diǎn)故障和負(fù)載均衡。同時(shí)在防火墻上配置安全策略，實(shí)現(xiàn)對共享wswss題圖B網(wǎng)絡(luò)域外部邊界安全隔離組網(wǎng)b)網(wǎng)管系統(tǒng)隔離網(wǎng)管系統(tǒng)可通過統(tǒng)一管理和獨(dú)立管理兩種方式，對共享基站和非共享基站進(jìn)行管理。統(tǒng)一管理，指的是共享基站與非共享基站納入同一個(gè)網(wǎng)管系統(tǒng)統(tǒng)一管理。獨(dú)立管理，指的是將共享基站割接至獨(dú)立的新網(wǎng)管系統(tǒng)，與非共享基站分網(wǎng)管管理。不同的管理方式下，應(yīng)采取不同的安全控制手段確保共享基站與非共享基站的網(wǎng)管系統(tǒng)隔離。應(yīng)通過嚴(yán)格的分權(quán)分域策略進(jìn)行管理控制，基于承建方、共享方的角色，分別從設(shè)備操作維護(hù)、數(shù)據(jù)配置層面，管理其下屬網(wǎng)管賬號的訪問控制權(quán)限，確保共享方僅能訪問到共享基站。承建方自有的非共享基站對共享方不可見、不可管理。此外，建議在部署網(wǎng)管數(shù)據(jù)庫時(shí)，提供共享基站與非共享基站的數(shù)據(jù)存儲(chǔ)隔離能力，即邏輯隔離。2)獨(dú)立管理建議采用獨(dú)立的新網(wǎng)管系統(tǒng)管理共享基站，與承建方其它網(wǎng)管系統(tǒng)實(shí)現(xiàn)隔離，便于后續(xù)安全策略的實(shí)施注1:在獨(dú)立管理場景中，針對NSA模式下的共享gNB,可按雷將承建方白有的描點(diǎn)eNB同步割接至新網(wǎng)管基于網(wǎng)絡(luò)監(jiān)控需求，需要向內(nèi)外部用戶長期提供網(wǎng)管系統(tǒng)賬號和訪問權(quán)限，且參與網(wǎng)絡(luò)運(yùn)維優(yōu)化的人員數(shù)量多、角色復(fù)雜(包括內(nèi)部人員、合作方人員、外包人員等),承建方與共享方應(yīng)統(tǒng)一網(wǎng)管系統(tǒng)的訪問控制策略和權(quán)限管理原則，并借助電子化管理的手段實(shí)現(xiàn)操作流程可追溯、可審計(jì)、可管理。7.3.1訪問控制IP地址與端口白名單策略：應(yīng)限制共享方接入的服務(wù)可達(dá)范圍，只能訪問共享5G網(wǎng)管，承建方其他網(wǎng)內(nèi)設(shè)備共享方均不可達(dá)。在承建方側(cè)安全域邊界的防火墻上設(shè)置訪問控制規(guī)則：a)限制共享方側(cè)接入的IP地址的訪問權(quán)限，僅開放共享50網(wǎng)管的IP,默認(rèn)其他所有IP地址關(guān)b)限制共享方側(cè)接入的端口的訪問權(quán)限，如只開放網(wǎng)管各項(xiàng)功能應(yīng)用的對應(yīng)端口。雙向NAT:建議采取雙向NAT的方式接入訪問承建方網(wǎng)管，雙方網(wǎng)絡(luò)路由不通告對方IP地址段，減少各自內(nèi)網(wǎng)地址暴露面及地址沖突等安全問題。a)共享方將承建方網(wǎng)管的IP地址一一映射為共享方的DCN規(guī)劃地址，提供給共享方用戶訪問。b)應(yīng)嚴(yán)格禁止兩端的一對多NAT(如下掛二級路由器、wif等可以二次NAT的設(shè)備),造成有多個(gè)IP可以同時(shí)訪問對端網(wǎng)絡(luò)的情況。VPN接入：在實(shí)際應(yīng)用過程中，如果網(wǎng)管系統(tǒng)使用NAT方式存在問題，建議采取VPN的接入方式訪問對方網(wǎng)管。7.3.2權(quán)限管理賬號權(quán)限控制應(yīng)基于承建方、共享方的角色，管理其下屬網(wǎng)管賬號的訪問控制權(quán)限。例如，承建方網(wǎng)管賬號具備網(wǎng)管配置、操作權(quán)限，共享方網(wǎng)管賬號僅有只讀權(quán)限。a)賬號的訪問控制權(quán)限包括但不限于查詢、配置(操作)、導(dǎo)出等。b)應(yīng)根據(jù)網(wǎng)管訪問控制權(quán)限的敏感性、高危性，對網(wǎng)管賬號進(jìn)行安全分級，對承建方和共享方的網(wǎng)管賬號進(jìn)行細(xì)粒度的授權(quán)管理和備案。c)賬號權(quán)限分配應(yīng)道循工作相關(guān)化和權(quán)限最小化“原則，嚴(yán)格與崗位職責(zé)匹配，并根據(jù)使用人員角色的崗位進(jìn)行授權(quán)。賬號安全內(nèi)控要求：承建方與共享方應(yīng)共同制定并遵循統(tǒng)一的賬號安全內(nèi)控要求。a)賬號應(yīng)符合統(tǒng)一認(rèn)證系統(tǒng)要求，按“一自然人一賬號“和-分權(quán)、分域、分級“進(jìn)行賬號設(shè)置，落實(shí)賬號實(shí)名制管理。b)網(wǎng)管系統(tǒng)應(yīng)開啟賬號口令相關(guān)策略，如口令復(fù)雜度檢測和定期強(qiáng)制修改口令等。)賬號在人員發(fā)生崗位調(diào)整或離職后應(yīng)立即實(shí)施相應(yīng)的賬號及權(quán)限關(guān)閉和或注銷。d)建議對網(wǎng)管系統(tǒng)的賬號申請、注銷、權(quán)限變更等動(dòng)作實(shí)行電子化審批存檔，定期組織開展核查工作，形成管理臺賬。共享gNB及其5G網(wǎng)管的所有O&M流量都應(yīng)受到保護(hù)，以避免在路徑上被篡改或泄露。網(wǎng)管系統(tǒng)與共享方之間專線上傳輸?shù)腛&M流量應(yīng)采取傳輸鏈路隔離、加密、可靠性保障等安全手段，如圖9所示。9圖9傳輸鏈路安全協(xié)議保護(hù)a)傳輸鏈路建議以物理專線方式隔離，物理鏈路設(shè)計(jì)采用冗余結(jié)構(gòu)，避免因單鏈路失效而導(dǎo)致一個(gè)接入節(jié)點(diǎn)整體失效，起碼保證雙路由冗余。b)應(yīng)采用SSH/SFTP、TLS、HTTPS、FTPS和IPSec等安全協(xié)議進(jìn)行通信，為O&M流量提供服務(wù)器認(rèn)證、數(shù)據(jù)機(jī)密性及信息完整性保護(hù)。對于TLS協(xié)議，應(yīng)采用TLS1.2及以上的協(xié)議版本，c)為滿足長遠(yuǎn)的應(yīng)用需求，雙方網(wǎng)管機(jī)房間的物理傳輸鏈路帶寬建議不低于2*10Gbps,并在實(shí)際生產(chǎn)運(yùn)營過程中按需提前進(jìn)行擴(kuò)容。d)當(dāng)存在大業(yè)務(wù)量數(shù)據(jù)采集需求時(shí)，建議配置單獨(dú)鏈路進(jìn)行傳輸。在不具備條件的情況下，應(yīng)針對業(yè)務(wù)設(shè)置不同的Q0S等級，保證OMC-R上正常的監(jiān)控、查詢操作及告警等數(shù)據(jù)能實(shí)時(shí)傳7.5維護(hù)終端安全為確保共享網(wǎng)管系統(tǒng)的網(wǎng)絡(luò)與信息安全，應(yīng)對反拉至承建方與共享方的維護(hù)終端提出以下安全要求。a)安全防護(hù)1)維護(hù)終端的IP地址、物理位置要相對固定。2)維護(hù)終端自身要定期更新安全相關(guān)的補(bǔ)丁。3)各維護(hù)終端管理員應(yīng)及時(shí)更新系統(tǒng)補(bǔ)丁，對于無法更新的系統(tǒng)補(bǔ)丁，應(yīng)采取關(guān)閉相關(guān)端口或其他補(bǔ)救措施以規(guī)避漏洞所帶來的風(fēng)險(xiǎn)。4)維護(hù)終端應(yīng)安裝防病毒軟件，并實(shí)時(shí)更新病毒庫。5)應(yīng)根據(jù)安全策略設(shè)置登錄維護(hù)終端的操作超時(shí)鎖定b)接入認(rèn)證維護(hù)終端安全管理應(yīng)包括接入網(wǎng)絡(luò)認(rèn)證的要求，只允許合法授權(quán)的用戶終端接入網(wǎng)絡(luò)。g)安全審計(jì)2)建議對維護(hù)終端的網(wǎng)絡(luò)接入記錄進(jìn)行審計(jì)。3)建議對維護(hù)終端網(wǎng)絡(luò)狀態(tài)以及網(wǎng)絡(luò)流量等信息進(jìn)行監(jiān)控和審計(jì)7.6日志與安全審計(jì)應(yīng)強(qiáng)化網(wǎng)管系統(tǒng)訪問控制與權(quán)限管理的效果，要求具備相應(yīng)的安全事件日志記錄與安全審計(jì)能力，對各類日志信息和安全事件信息進(jìn)行統(tǒng)一分析審計(jì)。7.6.1安全事件日志a)安全事件日志記錄網(wǎng)管系統(tǒng)應(yīng)支持以日志的方式記錄安全事件，至少包括以下事件：1)記錄用戶非正確登錄系統(tǒng)的嘗試，記錄數(shù)據(jù)包括用戶名、接入地址、鑒權(quán)結(jié)果、時(shí)間戳2)記錄有系統(tǒng)權(quán)限的用戶帳號的接入嘗試，記錄數(shù)據(jù)包括用戶名、接入地址、時(shí)間戳3)記錄所有帳號的管理行為，包括配置、刪除，開啟、關(guān)閉，記錄數(shù)據(jù)包括管理員用戶名、被管理賬號、執(zhí)行行為(配置、刪除、開啟、關(guān)閉)、時(shí)間戳。4)記錄組員資格或帳號任何變更，記錄數(shù)據(jù)包括管理員用戶名、被管理賬號、執(zhí)行行為(加入或退出某組)、時(shí)間戳。5)記錄網(wǎng)絡(luò)設(shè)備配置的變更，記錄數(shù)據(jù)包括用戶名、變更行為、變更前狀態(tài)、時(shí)間戳。6)記錄對網(wǎng)絡(luò)設(shè)備的重啟或關(guān)機(jī)操作，或網(wǎng)絡(luò)設(shè)備崩潰事件，記錄數(shù)據(jù)包括用戶名(用于特定行為)、操作行為(重啟、關(guān)機(jī)、崩潰等)、時(shí)間戳。7)記錄網(wǎng)絡(luò)設(shè)備上接口的狀態(tài)變化(如端口開啟或關(guān)閉),記錄數(shù)據(jù)包括接口名稱和類型、狀態(tài)、時(shí)間截。1)網(wǎng)管系統(tǒng)應(yīng)支持將安全事件日志記錄數(shù)據(jù)轉(zhuǎn)發(fā)到外部系統(tǒng)或上傳到集中預(yù)設(shè)位置2)日志服務(wù)器應(yīng)限制可訪問該服務(wù)器的IP地址或網(wǎng)段，未經(jīng)許可禁止日志服務(wù)器與其他網(wǎng)段進(jìn)行任何通信。3)安全日志應(yīng)配置訪問控制策略，只有具備訪問權(quán)限的用戶才能訪問日志4)應(yīng)部署相應(yīng)的安全措施確保安全日志的完整性、一致性5)安全日志留存時(shí)間不得少于3個(gè)月，建議不少于6個(gè)月。7.6.2安全審計(jì)承建方、共享方應(yīng)定期組織開展對網(wǎng)管系統(tǒng)的安全審計(jì)，審計(jì)要求包括但不限于：a)訪問權(quán)限安全審計(jì)應(yīng)對網(wǎng)管系統(tǒng)的用戶賬號和訪問權(quán)限開展定期審計(jì)，減少未經(jīng)授權(quán)或不適當(dāng)?shù)膶ο到y(tǒng)或數(shù)據(jù)進(jìn)行訪問而帶來的風(fēng)險(xiǎn)。b)業(yè)務(wù)操作安全審計(jì)1)審計(jì)內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件。2)審計(jì)記錄應(yīng)包括事件的日期、時(shí)間、類型、主體標(biāo)識、客體標(biāo)識和結(jié)果等3)應(yīng)保護(hù)審計(jì)記錄，避免受到未預(yù)期的刪除、修改或覆蓋等，操作日志保存時(shí)間不少于6個(gè)4)應(yīng)遵循統(tǒng)一的時(shí)間同步服務(wù)器，便于各系統(tǒng)時(shí)間保持一致。8業(yè)務(wù)安全要求在運(yùn)營商間共建共享5G-RAN的場景下，參與共建共享的運(yùn)營商各自負(fù)責(zé)整個(gè)共享區(qū)域中不同部分區(qū)域的網(wǎng)絡(luò)投資、建設(shè)、維護(hù)，既是承建方，也是共享方。因此，應(yīng)對業(yè)務(wù)安全策略、網(wǎng)絡(luò)關(guān)鍵策略參數(shù)進(jìn)行統(tǒng)一地規(guī)劃、分配、管理和沖突檢測，避免業(yè)務(wù)安全性、可靠性與可用性受到影響8.2業(yè)務(wù)安全策略一政如果同一業(yè)務(wù)覆蓋的地理范國跨越了不同運(yùn)營商承建的共享區(qū)域，應(yīng)確保在不同共享區(qū)域內(nèi)接入的共享網(wǎng)絡(luò)，能夠給同一業(yè)務(wù)提供相同等級的安全策略保障，避免出現(xiàn)業(yè)務(wù)安全性不平衡、安全降級的問題。無線接入側(cè)典型的業(yè)務(wù)安全策略包括但不限于：a)通過網(wǎng)管配置gNB允許的AS安全算法列表，包括一個(gè)完整性算法列表和一個(gè)機(jī)密性算法列表，共建共享雙方應(yīng)共同協(xié)商決定列表中算法的優(yōu)先順序排列。b)開啟/關(guān)閉AS用戶面數(shù)據(jù)流量的機(jī)密性和完整性保護(hù)c)開啟/關(guān)閉基于IPSeeVPN的Xn/N2/N3接口數(shù)據(jù)安全加密和完整性保護(hù)此外，應(yīng)支持在切片資源編排與能力配置的過程中，同時(shí)向不同運(yùn)營商的無線側(cè)子切片管理系統(tǒng)下發(fā)一致的業(yè)務(wù)安全策略，確保共享5G-RAN下業(yè)務(wù)安全策略的一致性8.3策略與參數(shù)沖突檢測網(wǎng)絡(luò)參數(shù)、策略發(fā)生沖突，有可能導(dǎo)致共享5G-RAN出現(xiàn)信令風(fēng)暴、資源過載、基站偶發(fā)性斷鏈、計(jì)費(fèi)錯(cuò)誤等安全問題，影響業(yè)務(wù)可用性。如果參數(shù)、策略支持獨(dú)立配置，建議選擇獨(dú)立配置。對于不支持或不選擇獨(dú)立配置，并且有可能引發(fā)業(yè)務(wù)沖突的參數(shù)、策略，承建方和共享方應(yīng)進(jìn)行統(tǒng)一規(guī)劃，部署相應(yīng)的沖突檢測能力，應(yīng)將沖突檢測動(dòng)作納入入網(wǎng)的規(guī)劃流程、建設(shè)流程、日常維護(hù)作業(yè)計(jì)劃中進(jìn)行管理控制。9數(shù)據(jù)安全要求數(shù)據(jù)安全要求，主要適用于在運(yùn)營商間共享5G-RAN的過程中，數(shù)據(jù)在承建方與共享方之間全量或部分共享的場景。此處，數(shù)據(jù)指的是共享5G-RAN及其網(wǎng)管系統(tǒng)產(chǎn)生的全量數(shù)據(jù)，通常在網(wǎng)管能力開放的基礎(chǔ)之上實(shí)現(xiàn)共享為了確保數(shù)據(jù)的安全性，承建方與共享方應(yīng)共同明確數(shù)據(jù)共享的范圍、數(shù)據(jù)分類分級、數(shù)據(jù)安全防護(hù)職責(zé)分工，并共同制定數(shù)據(jù)全生命周期的安全管理要求。9.2數(shù)據(jù)分類分級應(yīng)針對不同類別、不同分級的數(shù)據(jù)明確不同的安全防護(hù)方案和訪問權(quán)限，從而提高數(shù)據(jù)的安全性，有效防范敏感數(shù)據(jù)泄露，為數(shù)據(jù)共享提供便利9.2.1數(shù)據(jù)分類數(shù)據(jù)分類可根據(jù)企業(yè)的生產(chǎn)經(jīng)營管理現(xiàn)狀和企業(yè)自身管理特點(diǎn)進(jìn)行，典型的分類方法可參考：a)以承建方、共享方各自企業(yè)內(nèi)的數(shù)據(jù)分類標(biāo)準(zhǔn)為基礎(chǔ)，制定符合雙方需求的分類方法。b)參考現(xiàn)有的相關(guān)行業(yè)標(biāo)準(zhǔn)、國家標(biāo)準(zhǔn)，制定新的分類方法，例如YD/T3813-2020。c)根據(jù)實(shí)際明確共享的數(shù)據(jù)的特點(diǎn)，制定新的分類方法。除此之外，在明確數(shù)據(jù)分類方法的過程中，還應(yīng)參考以下原則：a)數(shù)據(jù)分類標(biāo)識應(yīng)能完全覆蓋將要進(jìn)行共享的所有數(shù)據(jù)。b)數(shù)據(jù)分類的結(jié)果，應(yīng)利于數(shù)據(jù)分級的進(jìn)行，如果某類別下的數(shù)據(jù)同時(shí)包含敏感性高和敏感性低的數(shù)據(jù)字段，應(yīng)嘗試進(jìn)一步進(jìn)行分類，或重新分類。c)新制定的共享數(shù)據(jù)分類方法，建議與企業(yè)正在實(shí)行的數(shù)據(jù)分類方法具備一定程度的映射關(guān)系，便于實(shí)際工作的開展在運(yùn)營商間共享5G-RAN的過程中，可參考表1中舉例的數(shù)據(jù)分類方法，將共享數(shù)據(jù)分為網(wǎng)絡(luò)資源類數(shù)據(jù)、業(yè)務(wù)信令類數(shù)據(jù)、網(wǎng)絡(luò)運(yùn)行類數(shù)據(jù)等三類，每個(gè)類別下又可以細(xì)分為子類表15G-RAN共享網(wǎng)絡(luò)數(shù)據(jù)分類(A3-3)天饋系統(tǒng)配置數(shù)據(jù)(A4-1)系統(tǒng)配置數(shù)據(jù)(A4-2)基站和小區(qū)配置數(shù)據(jù)(A4-3)接口/協(xié)議配置數(shù)據(jù)(A4-4)天線參數(shù)配置數(shù)據(jù)(A4-5)軟件/補(bǔ)丁版本類數(shù)據(jù)(A4-6)拓?fù)漕悢?shù)據(jù)(B類)業(yè)務(wù)信(B1-1)小區(qū)級跟蹤記錄(B1-2)用戶級跟蹤記錄(B2-1)事件觸發(fā)的測量報(bào)告樣本數(shù)據(jù)(MRE)(B2-3)測量報(bào)告統(tǒng)計(jì)數(shù)據(jù)(B3-1)呼叫的終屆特征信息(B3-2)呼叫建立特征信息(B3-3)呼叫過程行為信息(B3-4)呼叫釋放相關(guān)信息(B3-5)其他對呼叫分析相關(guān)的關(guān)鍵信息(C類)網(wǎng)絡(luò)運(yùn)(C1-1)硬件故障告警數(shù)據(jù)(Ci-2)軟件故障告警數(shù)據(jù)(C1-3)服務(wù)質(zhì)量告警數(shù)據(jù)(C1-4)電源故障告警數(shù)據(jù)(C1-5)傳輸系統(tǒng)故障告警數(shù)據(jù)(C1-6)基站內(nèi)外部通信告警數(shù)據(jù)(C1-7)環(huán)境系統(tǒng)故障告警數(shù)據(jù)(C1-8)系統(tǒng)運(yùn)行異常告警數(shù)據(jù)(Cl-10)時(shí)鐘告警數(shù)據(jù)(Cl-11)設(shè)各網(wǎng)管設(shè)置的告警屏蔽和過濾規(guī)則(C2-2)傳輸性能統(tǒng)計(jì)數(shù)據(jù)(C3-1)無線質(zhì)量測試數(shù)據(jù)(如：路測(DT)數(shù)據(jù)、呼叫質(zhì)量撥打測試(CQT)數(shù)據(jù))(C3-2)設(shè)備單元(主控單元、基帶板、射頻模塊、傳輸單板)測試數(shù)據(jù)(C3-3)信令鏈路測試數(shù)據(jù)(如：XnNG接口的SCTP、維護(hù)接口的OAM鏈路等)(C4-1)資源報(bào)表類數(shù)據(jù)(C4-2)告警報(bào)表類數(shù)據(jù)(C4-3)性能報(bào)表類數(shù)據(jù)(C4-4)負(fù)荷報(bào)表類數(shù)據(jù)(C5-1)設(shè)備網(wǎng)管系統(tǒng)日志(C5-2)網(wǎng)元操作日志(C5-3)SON功能執(zhí)行日志(C5-4)安全日志(C5-5)網(wǎng)元事件日志(C5-6)北向接口日志(06)工單類數(shù)據(jù)處理工單等)(06-2)網(wǎng)絡(luò)調(diào)整工單數(shù)據(jù)(06-3)投訴工單數(shù)據(jù)9.2.2數(shù)據(jù)分級在數(shù)據(jù)分類基礎(chǔ)上，應(yīng)根據(jù)數(shù)據(jù)重要程度以及泄露后對國家安全、社會(huì)秩序、企業(yè)經(jīng)營管理、用戶利益造成的影響和危害程度，對數(shù)據(jù)資源進(jìn)行分級。典型的分級方法可參考：a)以承建方、共享方各自企業(yè)內(nèi)的數(shù)據(jù)安全性分級標(biāo)準(zhǔn)為基礎(chǔ)，制定符合雙方需求的分級方法。b)參考現(xiàn)有的相關(guān)行業(yè)標(biāo)準(zhǔn)、國家標(biāo)準(zhǔn)，制定新的分級方法，例如YD/T3813-2020。除此之外，在明確數(shù)據(jù)分級方法的過程中，還應(yīng)參考以下原則：a)數(shù)據(jù)等級應(yīng)能完全覆蓋將要進(jìn)行共享的所有數(shù)據(jù)。b)新制定的共享數(shù)據(jù)分級方法，建議與企業(yè)正在實(shí)行的數(shù)據(jù)分級方法具備一定程度的映射關(guān)系，便于實(shí)際工作的開展。9.3數(shù)據(jù)安全防護(hù)職責(zé)分工明確承建方、共享方的數(shù)據(jù)安全防護(hù)職責(zé)與分工界面，是數(shù)據(jù)全生命周期安全管理的重要基礎(chǔ)，應(yīng)參考以下原則：a)數(shù)據(jù)安全防護(hù)職責(zé)分工應(yīng)覆蓋數(shù)據(jù)全生命周期，包括采集、傳輸、存儲(chǔ)、處理、交換、銷毀等b)數(shù)據(jù)安全防護(hù)職責(zé)分工應(yīng)針對數(shù)據(jù)的機(jī)密性、完整性、可用性等三個(gè)方面9.4數(shù)據(jù)全生命周期安全管理數(shù)據(jù)全生命周期包括采集、傳輸、存儲(chǔ)、處理、交換、銷毀等階段，在不同的階段下，應(yīng)根據(jù)數(shù)據(jù)的安全分級，選取不同的安全防護(hù)措施a)數(shù)據(jù)采集階段1)采集緩存數(shù)據(jù)管理：嚴(yán)格限制采集過程中臨時(shí)數(shù)據(jù)緩存區(qū)域，并將緩存區(qū)域納入統(tǒng)一安全控制范疇。2)無接收系統(tǒng)數(shù)據(jù)管理：對無接收系統(tǒng)的采集數(shù)據(jù)在采集環(huán)節(jié)及時(shí)刪除。3)采集數(shù)據(jù)保護(hù)：針對數(shù)據(jù)采集過程實(shí)施數(shù)據(jù)防泄漏安全技術(shù)措施，如采集數(shù)據(jù)的加密、采集鏈路加密、專線傳輸?shù)?，確保在采集過程中數(shù)據(jù)不被泄露。b)數(shù)據(jù)傳輸階段1)數(shù)據(jù)完整性校驗(yàn)：具備數(shù)據(jù)完整性校驗(yàn)手段，支持對傳輸數(shù)據(jù)完整性的檢查，能夠檢測數(shù)據(jù)傳輸過程中的丟失或損壞，并具備相應(yīng)的恢復(fù)措施。2)數(shù)據(jù)機(jī)密性保護(hù)：采用加密或其他有效措施實(shí)現(xiàn)數(shù)據(jù)傳輸保密性，防止數(shù)據(jù)被泄露c)數(shù)據(jù)存儲(chǔ)階段1)數(shù)據(jù)完整性檢測：具備數(shù)據(jù)完整性檢測機(jī)制，能夠發(fā)現(xiàn)數(shù)據(jù)存儲(chǔ)階段造成的數(shù)據(jù)損壞和丟失，并具備相應(yīng)的恢復(fù)措施。2)數(shù)據(jù)認(rèn)證與訪問控制：采取鑒權(quán)、數(shù)字簽名等安全措施保障數(shù)據(jù)存儲(chǔ)安全，防止對數(shù)據(jù)的未授權(quán)訪問、損害。3)數(shù)據(jù)機(jī)密性保護(hù)：采用加密或其他保護(hù)措施實(shí)現(xiàn)數(shù)據(jù)存儲(chǔ)機(jī)密性d)數(shù)據(jù)處理階段1)數(shù)據(jù)操作審批：對數(shù)據(jù)進(jìn)行操作應(yīng)確保操作有審批、有記錄。2)數(shù)據(jù)處理需求：在使用數(shù)據(jù)前，必須明確數(shù)據(jù)使用的范圍和使用需求，確保數(shù)據(jù)處理階段數(shù)據(jù)的使用不超過原始數(shù)據(jù)的授權(quán)范圍和安全使用要求，保證數(shù)據(jù)不被濫用3)用戶數(shù)據(jù)處理要求：對涉及用戶相關(guān)信息的數(shù)據(jù)進(jìn)行查詢、展現(xiàn)、統(tǒng)計(jì)等操作時(shí)，承建方和共享方應(yīng)對其進(jìn)行模糊化或脫敏處理后再展示；承建方若因生產(chǎn)需求需要處理共享方的用戶相關(guān)數(shù)據(jù)時(shí)，需經(jīng)過授權(quán)、審批流程，未經(jīng)授權(quán)不得進(jìn)行訪問、處理。4)開發(fā)測試要求；在開發(fā)測試時(shí)避免使用此類數(shù)據(jù)，如確有需要，應(yīng)先進(jìn)行脫敏處理，測試完成后全部刪除e)數(shù)據(jù)交換階段1)數(shù)據(jù)交換風(fēng)險(xiǎn)評估：應(yīng)對導(dǎo)出、共享的數(shù)據(jù)進(jìn)行鳳險(xiǎn)評估，數(shù)據(jù)必須經(jīng)過審核、審批才能導(dǎo)出、共享2)數(shù)據(jù)保護(hù)要求；數(shù)據(jù)轉(zhuǎn)移過程中，應(yīng)具備完善的數(shù)據(jù)保護(hù)機(jī)制，如數(shù)據(jù)加密等0數(shù)據(jù)銷毀階段1)數(shù)據(jù)超出保存期限管理；數(shù)據(jù)超出保存期限時(shí)對數(shù)據(jù)進(jìn)行及時(shí)銷毀。2)存儲(chǔ)介質(zhì)銷毀：對不再使用的數(shù)據(jù)存儲(chǔ)介質(zhì)，維護(hù)人員應(yīng)及時(shí)通過消磁、粉碎等技術(shù)手段3)設(shè)備處理承載數(shù)據(jù)的設(shè)備下線時(shí)，應(yīng)采取消磁、粉碎等不可逆技術(shù)手段對設(shè)備進(jìn)行處理。10安全運(yùn)營管理要求為滿足參與網(wǎng)絡(luò)共享的各運(yùn)營商對5G-RAN等共享網(wǎng)絡(luò)資源的安全運(yùn)營管理需求，網(wǎng)絡(luò)的安全運(yùn)營管理平臺應(yīng)具備安全事件聯(lián)合處置能力，并按需開放安全運(yùn)營能力10.2安全事件聯(lián)合處置能力共享5G-RAN分別是多個(gè)5G網(wǎng)絡(luò)中的無線網(wǎng)絡(luò)域，當(dāng)發(fā)現(xiàn)安全事件時(shí)，應(yīng)具備聯(lián)合處置能力，快速、高效地應(yīng)對安全事件，防止安全威脅進(jìn)一步向多個(gè)5G網(wǎng)絡(luò)的其它網(wǎng)絡(luò)域滲透建議通過部署安全事件電子化交互平臺的方式，為承建方和共享方聯(lián)合處置安全事件提供平臺。平臺應(yīng)支持的能力包括但不限于：a)安全事件信息傳遞共享1)5G-RAN的承建方發(fā)現(xiàn)安全漏洞或攻擊等安全事件時(shí)，能夠通過平臺向共享方及時(shí)通告安全漏洞或攻擊的相關(guān)信息，便于后續(xù)開展聯(lián)合處置。2)安全事件信息應(yīng)包括但不限于發(fā)生地點(diǎn)、受影響范圍、涉及網(wǎng)元、事件定級、詳細(xì)描述、處理時(shí)限要求等關(guān)健信息，具體信息模板由承建方和共享方共同協(xié)商確定。3)安全事件信息應(yīng)能夠在安全事件電子化交互平臺和承建方、共享方自有的安全運(yùn)營管理平臺之間傳遞、映射。b)安全事件處置任務(wù)管理1)當(dāng)存在聯(lián)合處置安全事件需求時(shí)，如攻擊流量封堵、溯源，平臺應(yīng)支持以發(fā)起任務(wù)的方式請求承建方或共享方聯(lián)合處置安全事件2)平臺應(yīng)提供安全事件處置任務(wù)每個(gè)階段的管理能力，如創(chuàng)建、發(fā)起、處理、恢復(fù)、結(jié)束等3)安全事件處置任務(wù)應(yīng)能夠在安全事件電子化交互平臺和承建方、共享方自有的安全運(yùn)營管理平臺之間以任務(wù)或工單的形式傳遞、映射。c)安全事件全流程記錄平臺應(yīng)支持以電子化記錄的方式，記錄每個(gè)安全事件全流程的關(guān)鍵信息，包括安全事件通告、安全事件分析、安全事件處理、安全事件總結(jié)等階段。為后續(xù)的復(fù)盤和審計(jì)工作提供數(shù)據(jù)信息。10.3安全運(yùn)營能力開放為滿足安全運(yùn)營需求，建議承建方將5G-RAN等網(wǎng)絡(luò)資源納入自身的安全運(yùn)營管理體系中，實(shí)現(xiàn)如安全資產(chǎn)管理、安全監(jiān)測、安全態(tài)勢感知、安全審計(jì)等安全運(yùn)營能力，并按需向共享方進(jìn)行能力開放。網(wǎng)絡(luò)的安全運(yùn)營管理平臺，建議支持以下的能力開放方式：a)開放安全管理平臺北向接口，向共享方傳輸滿足其格式要求的、共享網(wǎng)絡(luò)資源相關(guān)的安全數(shù)據(jù)。b)通過反拉維護(hù)終端與賬號授權(quán)的形式，向共享方提供接入安全管理平臺的能力，同時(shí)需要進(jìn)行嚴(yán)格的分權(quán)分域、訪問控制與權(quán)限管理。安全運(yùn)營能力開放過程中，不可避免的將產(chǎn)生安全數(shù)據(jù)的共享，如安全運(yùn)營日志分析結(jié)果，應(yīng)滿足第9章提出的數(shù)據(jù)安全要求。50數(shù)字蜂窩移動(dòng)通信無線接入網(wǎng)共享安全風(fēng)險(xiǎn)分析為了高效實(shí)現(xiàn)5G網(wǎng)絡(luò)覆蓋，快速形成5G服務(wù)能力，我國電信運(yùn)營商正積極探索和實(shí)踐運(yùn)營商間共建共享5G網(wǎng)絡(luò)。3GPP在R16協(xié)議規(guī)范TS23.501中明確說明，5G系統(tǒng)僅支持共享無線接入網(wǎng)，僅支持5G多運(yùn)營商核心網(wǎng)(5GMOCN)網(wǎng)絡(luò)共享架構(gòu)。A.2網(wǎng)絡(luò)架構(gòu)5GMOCN網(wǎng)絡(luò)共享架構(gòu)下，多個(gè)運(yùn)營商的5G核心網(wǎng)連接到同一個(gè)5G-RAN(圖A.1)。共