【作者姓名】张振江1 刘 赛1 常晓林1 曾剑隽2 刘颖慧3
【作者单位】1 北京交通大学 2 北京云驰未来科技有限公司 3 中国联通研究院
摘 要：随着物联网和5G网络的快速发展，纯挚依赖云打算的集中式数据处理办法将无法知足以物联网感知为背景的大规模数据处理需求。移动边缘打算(MEC)作为新兴打算范式，是云打算的有力补充。但MEC的开放特性加剧了其面临的非授权访问、敏感数据透露、网络攻击等安全风险。文章基于MEC在5G网络环境中面临的安全风险，结合MEC网络根本支撑统一化、能力做事化、流程编排化等特点，提出移动边缘打算网络安全防护方案，打破安全功能高效虚拟化、安全云做事联动、安全做事动态编排、安全功能自适应支配与协同调度、态势感知和高等威胁检测等技能瓶颈，形成移动边缘打算网络安全纵深防御体系，对付推进移动通信网络信息安全培植具有主要意义。
关键词：移动边缘打算；安全防护；资源虚拟化；做事编排；组件协同联动
弁言
随着云打算、大数据、移动互联网、人工智能等技能的发达发展，打算向着资源边缘化的方向不断延伸和发展[1]。物联网技能的发展催生了大量智能终真个呈现，它们在物理位置上处于网络的边缘侧，而且种类多样。根据Statista的数据，到2025年，环球物联网设备的数量将达到386亿台，并有超过50%的数据须要在网络边缘侧剖析、处理与储存[2]。网络边缘的设备数量迅速增加，其所产生的数据已达到泽字节(ZB)级别，并且各种设备交互感知。更多的连接、更大的流量、更多的运用，在促进网络的革命性发展。但由于安全标准滞后以及智能设备制造商缺少安全意识和投入，物联网存在的巨大安全隐患，是个人隐私、企业信息安全乃至国家关键根本举动步伐的头号安全威胁。物联网是与物理天下交互的，在自动驾驶、智能电网、磨难监测等运用处景中，一旦涌现安全问题就会涉及生命财产的丢失[3]。因此，物联网安全比互联网安全更主要，影响更大。边缘打算的引入为物联网安全的发展带来巨大的机遇，支配在边缘的数据中央可以为终端实行隐私保护算法供应充足的资源，有效地保护终真个隐私数据。物联网设备资源有限，无法实行完全的安全协议，可以借助边缘做事器(节点)进行协议代理，实现数据的端到端安全传输。随着第五代移动通信网络(5G 网络)的商用[4]，移动边缘打算所具有的低时延、高带宽、大容量等上风，办理了传统通信领域的诸多问题，但也导致数据流量的极速增长，因此运营商亟需供应安全、可靠、可行的网络防护能力。
万物互联系统在紧密耦合网络系统与物理天下中的关键性浸染决定了其在安全属性和隐私保护方面的需求比在以往任何信息系统中更加主要，安全成为MEC培植必须要考虑的关键问题[5]。针对MEC安全技能问题的干系研究多从MEC构造特色出发，研究其面临的安全威胁。与传统网络比较，靠近网络边缘侧的边缘设备所处的网络环境更加繁芜，对终端具有较高的掌握权限，导致其在万物互联网络中提高数据传输和处理效率的同时，不可避免地带来新的安全威胁[6]。因此，MEC在实际运用和长期发展的过程中，须要全面地理解新的攻击威胁，及时创造边缘打算安全隐患。
1 需求剖析
边缘打算[7]作为新兴打算范式，具有广泛的发展空间。对电信服务供应商而言，边缘运用通过将业务拓展至边缘网络支配新型做事以吸引新客户，从而拓宽业务渠道。随着边缘打算干系技能，特殊是物联网(IoT)和传感器技能的进步，数据越来越须要在网络处或近用户端进行处理[8]。由于边缘打算具有内容感知、实时打算、并行处理等开放特性，其做事环境面临移动终端数量弘大、环境繁芜等问题，导致MEC平台面临的非授权访问、敏感数据透露、DDoS攻击、物理攻击等安全风险加剧，使原已存在于云打算的设备安全、数据安全和隐私保护等安全问题在MEC环境下愈发凸显。
在干系标准方面，目前，边缘打算安全特殊是MEC安全尚未形成成熟的框架和标准，一些研究机构针对边缘打算安全的部分问题进行了磋商[9]。欧洲电信标准协会ETSI发布的《移动边缘打算先容性技能白皮书》指出，MEC面临的安全寻衅源于将IT运用引入电信领域时，其与现有电信运行环境的合规性哀求之间的冲突，并以此提出运用隔离、可信打算、可信第三方运用程序和网络接口保护等多项安全方法；美国工业互联网同盟IIC发布的《IIoT中的边缘打算简介白皮书》认为在工业领域增加更多的信息组件和通信连接引入了新的攻击向量，除需考虑端到真个安全防护外，还应考虑设备和网络的内平生安以及对打算和节点进行安全监测等问题；边缘打算家当同盟ECC发布的《边缘打算安全白皮书》剖析了电信运营商、企业和IoT、工业互联网三大范例代价场景下边缘安全面临的寻衅和需求，结合范例案例提出了处理相应安全问题的方法组合及边缘安全的参考架构，但在与电信领域紧密结合的MEC方向，所提出的通用性框架尚需结合MEC的详细安全需求对干系技能进行细化。
构建边缘范式生态系统的紧张寻衅是安全性。一方面，边缘打算领悟了无线传感器网络、MEC和分布式数据存储等多种技能，不同安全域之间的防御策略互异[10]；另一方面，边缘设备更靠近终端用户，所处的网络环境更加繁芜、不稳定，传统的安全防御算法难以适应资源有限的边缘节点[11]。因此，须要对安全防御模型进行重新设计。本文基于目前MEC安全发展现状及趋势剖析，结合边缘打算安全面临的寻衅，着眼于MEC未来的安全需求，针对性地阐发移动边缘打算安全防护需求。
2 MEC安全技能架构设计
本文充分利用互联网安全与云安全的技能理念，重点研究MEC中节点安全、网络安全、数据安全和运用安全四大关键安全问题，充分知足面向万物互联的多样化做事及边缘打算范式对高效隐私保护、数据安全的新需求，采取大数据剖析、全网主动防护管理等技能手段，办理安全态势感知、安全管理编排等关键问题，为边缘打算中数据保密性和安全打算迁移供应有效办理方案。本文提出的架构将传统安全方案与边缘打算中并行分布式架构、终端资源受限、大规模数据处理、环境动态变革等特性进行有机结合，对边缘打算中数据安全防护技能、身份认证协议、隐私保护和访问掌握系统等关键技能进行总体研究与方案，建立通用协作的边缘打算安全防护体系。
MEC安全做事须要首先考虑以下5点原则：安全功能与MEC特定架构适配；安全功能支配具有灵巧性与可扩展性；能够在一定韶光内持续抵抗攻击；能在保持根本功能始终运行的条件下容忍一定程度和范围内的功能失落效；全体安全系统能够在部分功能失落效后快速完备规复。此外，边缘网络的安全设计还需覆盖MEC架构的各个层级，须要有统一的态势感知、安全管理与编排、身份认证与管理、安全运维体系，才能最大程度地保障全体架构的安全与可靠。
结合特定的运用处景，MEC安全架构设计详细如下：MEC安全功能轻量化，担保安全功能能够在资源受限的物联网设备中支配；海量异构的设备接入使得传统的基于信赖的安全模型不再适用，须要按照零信赖和最小授权原则分配访问权限；利用关键的节点设备(例如边缘网关)实现网络与域的隔离，对网络攻击进行抵御并将安全风险掌握在一定范围内，避免攻击由点到面扩散；将安全态势实时感知无缝嵌入到MEC架构中，实现持续的安全检测与相应。如图1所示，本文提出的移动边缘打算安全防护架构紧张分为节点安全、网络安全、数据安全和运用安全4个方面，同时领悟了身份认证、访问掌握、密钥管理、可信打算、隐私保护、威胁检测与溯源等前辈技能。
图1 MEC安全防护总体架构图
3 MEC安全防护关键技能研究
MEC安全涉及到多个层面，干系的关键技能较多，下面详细先容范例的MEC安全技能。
3.1 网络安全功能虚拟化技能
软件定义的网络和安全一体化编程模型用于支持网络和安全一体化领悟运用的开拓，关注网络和安全功能的需求描述及实现，个中的编程模型卖力实现网络和安全功能的领悟逻辑，降落领悟软件开拓难度。
软件定义的网络和安全一体化编程模型设计的重点是对网络功能和安全功能的处理逻辑进行抽象，并通过软件编程的办法对抽象工具进行编程，编程模型设计的难点是如何在保障网络和安全功能领悟逻辑精确性的同时担保网络和安全处理性能。
MEC安全防护框架利用虚拟化技能实现安全功能组件的动态加载与编排调度。在硬件平台上实现安全功能虚拟化是软件定义MEC安全防护框架的根本。安全功能组件承担一个或多个网络安全功能，如防火墙、入侵防护、Web运用防火墙(WAF)、负载均衡等。网络功能虚拟化旨在将传统网络功能以软件形式运行在高性能通用做事器上，实现功能与设备解耦，达到灵巧支配、简化管理、节约本钱的目的。安全功能虚拟化是网络功能虚拟化在安全设备上的运用，通过虚拟化技能，把安全功能组件以虚拟机形态运行在承载做事器上，如图2所示，通过安全功能虚拟化把传统安全设备转换成一个虚拟网络单元，通过对安全组件进行统一编排和管理，根据运用需求定义为不同的业务链，使不同业务流经由不同业务链内的安全组件进行处理，从而实现各种繁芜的安全业务逻辑。
图2 安全功能虚拟化技能
安全功能虚拟化技能的难点在于将安全设备的硬件和软件解耦，并供应靠近于物理硬件上的运行效能。本文采取虚拟机形态和容器形态相结合的模式，个中虚拟机形态适应性更好，很多传统网络组件都能供应虚拟机形态的模式；容器形态办理虚拟机效率低的问题，它只是系统隔离技能，并不须要硬件CPU支持虚拟化，实行效率靠近主机性能，其劣势是对网络组件的改造比较大，并不是所有组件都能改造成容器形态。因此本文采取虚拟机和容器形态统一管理的办法，既有虚拟机形态的广泛适用性，又具有容器形态的高性能上风。
3.2 安全云做事联动技能
安全云做事联动涉及到策略自动下发和统一策略接口下发功能，其紧张功能是在检测到有威胁日志后，根据威胁日志自动相应，下发相应的防火墙策略，无须人工干预，形成安全云做事联动过程，该过程是将安全运营干系的工具、技能、流程和职员等各种能力整合到一起的一种协同事情办法。
为了实现安全策略自动下发功能，本文研发了一个策略编排与自动相应平台，可以无需编写代码即可实现自动化相应流程。通过可视化工具，基于运用编排呈现实的安全做事场景剧本，实现无人值守全自动化操作。运用是将企业和组织安全运营过程中用到的各种安全举动步伐通过运用程序编程接口(API)或图形用户界面(GUI)标准化统一封装后形成的安全能力，并以做事的办法对外呈现出来。
安全联动是将企业和组织在安全运营过程中涉及的不同系统或者同一系统内部门歧组件的安全功能通过API封装后形成的安全能力和人工检讨点按照一定的逻辑关系组合到一起，以完成某个特定的安全运营过程和规程。全体安全联动自动下发的流程被称为一个剧本。剧本是安全运营流程在联动流程系统中的形式化表述，常日在编辑器中的事情流引擎驱动下实行。编写剧本的过程便是将安全运营流程和规程转换为剧本，并在剧本中将各种运用编排到一起的过程，也是将人读安全运营流程转换为机读事情流的过程。图3是一个安全联动的实例。
图3 策略自动下发联动
如图3所示，安全联动策略自动下发技能首先通过WebHook掌握器监听安全产品的威胁日志，在监听到威胁日志后，自动触发“策略下发”运用下发相应的防火墙策略，并将下发成功或者失落败的结果显示出来。个中核心运用是“策略下发”，紧张实现根据WebHook掌握器的结果下发相应防火墙策略的功能，“策略下发”运用串接了威胁日志监听和自动解析，根据解析结果调用统一的策略下发接口，并下发对应的防火墙阻断策略。图3中的平台可以监控策略下发安全联动这个剧本的实行情形，包括总实行次数、各运用实行情形，使全体安全联动过程具备可控性。
3.3 安全做事编排技能
安全做事编排技能将进入目标虚拟机的业务流量自定义串联多个安全网元，从而实现对进出租户的网络流量的编排，使流量依次进入安全防护的网元中，待安全网元对流量进行洗濯、处理后，再进入到目标地址，详细编排流程如图4所示。
图4 安全做事链拓扑图
安全做事编排技能着眼于安全做事本身以及安全做事间的组合、重构与集成，以跨网交流系统的安全需求为导向，按照功能需求和业务逻辑天生做事链，供应高层次的安全功能，其详细分项功能如下。
1)安全需求分解：将安全需求进行分解，包括安全做事的种类、安全资源的占用(带宽、性能)等。
2)安全做事评估：剖析运行中的安全做事是否可以知足安全需求，如果知足跳转到5)，如不知足则打算出须要新增的安全做事。
3)安全资源评估：评估现有的安全资源是否可以支撑新增的安全做事；如果不能则提示返回失落败。
4)安全做事加载：根据需求向安全资源库申请干系安全资源，天生新的安全做事，并对其进行策略配置。
5)安全功能链构建：根据分配的安全做事设计数据引流策略。
6)策略下发：将数据引流策略下发到各个物理交流设备和虚拟交流设备。
安全功能链借鉴做事功能链的思想，构建串行和并行结合的安全功能凑集，提高安全检讨效率[12]。以一组数据交流的安全需求为例，如果交流需求为交流权限检讨、数据透露防护、文档格式检讨和恶意代码查杀等安全功能，则构建由安全检讨功能凑集构成的安全功能链，包括串行和并行的安全功能。由于交流权限是决定能否进行数据交流的先决条件，故须要和其他安全功能进行串行检讨。数据透露防护、文档格式检讨、恶意代码查杀等安全功能没有逻辑上的先后顺序，故可以并行进行安全检讨。末了，汇总所有的安全检讨结果，确保均通过后才可以进行数据交流。
安全做事能力基于资源池构建，针对不同跨网交流任务基于预置策略对安全处理流程进行编排，当安全做事需求发生变革时，安全处理流程也随之动态调度。例如，当安全做事需求发生变更时，须要增加数据脱敏的安全做事，则安全处理流程做如下调度：首先，数据脱敏设备(或虚拟的数据脱敏功能)向安全资源池注册，进入安全资源池的管理。其次，启动数据脱敏功能并进行策略配置，对现有安全功能链进行重新编排，增加数据脱敏处理流程，然后制订干系策略，并下发到干系网络设备或虚拟安全功能实行，终极实现安全功能的增加和安全做事的动态调度。编排框架利用开放API和模型驱动模板，与第三方SDN掌握器、网络管理系统和编排平台集成，以管理和折衷由多个技能域和供应商域的物理和虚拟资源组成的做事，同时支持虚拟网络和物理网络。
3.4 安全组件协同联动技能
MEC安全防护模块具备高集成度、安全防护能力多样等多种上风，同时具备软件定义安全的技能根本。安全组件协同联动技能可以实现安全组件协同防御、自适应安全等高等安全特性，进一步提升MEC安全防护模块处理威胁的效果和安全增益。
在安全组件协同联动方面，Gartner认为须要“预测→防御→监控→回溯(PPDR)”四个阶段。如图5所示，PPDR自适应安全模型构建协同安全架构通过全方位采集办法网络各安全组件的数据，进行归一化过滤处理后上报到自适应安全主体，掌握平面根据掌握指令天生动态安全策略，再由集中管理的自适应安全主体下发到安全组件中，完成自适应安全能力构建。
图5 自适应安全模型构建协同安全架构
MEC安全防护模块可以利用网络流量的监控手段剖析、监控云平台的数据流量，从网络信息流、安全组件上报安全事宜等多个方面对安全威胁进行关联感知；基于大数据、数据建模及领悟技能，建立多源层次化安全态势感知模型，对资源性能、运行状态信息、行为日志、安全日志、流量日志等各种安全要素进行关联剖析，实时感知最新安全状况。通过机器学习算法建立安全态势预测模型，根据网络系统安全需求、安全状态、特定用户需求等，选择最佳的网络配置变革元素组合来应对潜在的攻击，以知足特定等级的安全需求。充分利用MEC安全防护模块所具有的可编程性，动态更新网络配置元素种类、网络策略来应对新的威胁，担保持续演进。
4 结束语
移动边缘打算作为一种新的打算范式，在为物联网带来巨大发展机遇的同时，不可避免地引入新的安全寻衅，传统的安全办理方案无法有效地运用于MEC系统。本文结合MEC网络根本支撑统一化、能力做事化、流程编排化等特点，重点研究了MEC网络安全防护技能，打破了安全功能高效虚拟化、安全云做事联动、安全做事动态编排、安全功能自适应支配与协同调度、态势感知和高等威胁检测等技能瓶颈，形成软件定义MEC网络安全纵深防御体系，推进了其在5G、工业互联网、超高清***及AI等范例行业中的运用，为5G商业化供应了有力的安全支持。未来，MEC安全研究将构建全方位、多维度的安全防护办理方案，促进5G网络安全保障体系的培植，支持5G全面落地运用。
参考文献
[1] Mao Bomin, Liu Jiajia, Wu Jiajia, et al. Security and Privacy on 6G Network Edge: A Survey. IEEE Communications Surveys & Tutorials, 2023,25(2):1095-1127
[2] 杜璞.移动边缘打算环境下5G通信网络数据安全与隐私保护技能研究[J].长江信息通信,2022,35(10):211-214
[3] 李剑,张辉,戎国庆,等.5G边缘打算端到端安全防护剖析[J].广西通信技能,2022,146(1):41-44
[4] 刘京,段续,李阳,等.物联网环境下移动边缘打算安全问题[J].打算机与网络,2021,47(3):58-60
[5] 张伟成,卫红权,刘树新,等.移动边缘打算安全防护机制研究[J].信息工程大学学报,2021,22(5):523-529
[6] 梁启锋.边缘打算安全威胁现状及防护技能剖析[J].网络安全技能与运用,2020,232(4):9-10
[7] Liang Wei, Xie Songyou, Cai Songyou, et al. Novel private data access control scheme suitable for mobile edge computing[J]. China Communications,2021,18(11):92-103
[8] Tomasz W Nowak, Mariusz Sepczuk, Zbigniew Kotulski,et al. Verticals in 5G MEC-Use Cases and Security Challenges[J].IEEE Access, 2021,9:87251-87298
[9] 刘贤刚,邱勤,王晨光,等.边缘打算安全技能与标准研究[J].信息技能与标准化,2021,436(4):25-31
[10] 陈璐,汤红波,游伟,等.移动边缘打算安全防御研究[J].网络与信息安全学报,2021,7(1):130-142
[11] Zhao Gang, Zhang Feng, Yu Le, et al. Collaborative 5 G M u l t i a c c e s s C o m p u t i n g S e c u r i t y : T h r e a t s ,Protection Requirements and Scenarios[C].2021 ITU Kaleidoscope: Connecting Physical and Virtual Worlds(ITU K), Geneva, Switzerland:1-8
[12] 谢娜,谭文安,曹彦,等.移动边缘打算中安全信息流建模与剖析[J].打算机工程,2022,48(5):35-42,52
编辑：王丹瑛
校审：王钐杉
