5G網(wǎng)絡(luò)信令流量安全監(jiān)測研究

鄭濤、謝澤鋮、張曼君、陸勰、王姍姍
5G與垂直行業(yè)的深度融合使得攻擊者更易利用網(wǎng)絡(luò)的暴露面發(fā)起攻擊,而網(wǎng)絡(luò)流量正是攻擊行為的載體,各企業(yè)防護(hù)的難度也越來越高。

本文來自微信公眾號“郵電設(shè)計(jì)技術(shù)”,作者/鄭濤、謝澤鋮、張曼君、陸勰、王姍姍。

5G與垂直行業(yè)的深度融合使得攻擊者更易利用網(wǎng)絡(luò)的暴露面發(fā)起攻擊,而網(wǎng)絡(luò)流量正是攻擊行為的載體,各企業(yè)防護(hù)的難度也越來越高。在此背景下,除了傳統(tǒng)的安全防護(hù)手段之外,運(yùn)營商和5G行業(yè)客戶均希望能夠?qū)?G流量進(jìn)行安全分析監(jiān)測,彌補(bǔ)其他安全工具的不足之處。通過主動監(jiān)測5G信令交互異常行為,對可能遭受的信令攻擊和終端異常等事件進(jìn)行預(yù)警,有助于全面掌握5G網(wǎng)絡(luò)的安全態(tài)勢,打造更加安全的5G網(wǎng)絡(luò)。

引言

自2019年商用以來,5G網(wǎng)絡(luò)已經(jīng)邁入高速發(fā)展期,各種現(xiàn)象級應(yīng)用層出不窮,5G用戶的單用戶流量跟4G用戶的單用戶流量相比有了極大的提升[1]。目前,5G網(wǎng)絡(luò)的接入流量、業(yè)務(wù)流量仍在持續(xù)大規(guī)模增加中。5G網(wǎng)絡(luò)與各種垂直行業(yè)的融合在深度和廣度上也都得到了大幅提升,這種深度融合使得原來封閉的園區(qū)網(wǎng)絡(luò)和運(yùn)營商網(wǎng)絡(luò)向著縱深開放轉(zhuǎn)變,攻擊者更易利用網(wǎng)絡(luò)的暴露面發(fā)起攻擊,而網(wǎng)絡(luò)流量正是攻擊行為的載體,使得各企業(yè)進(jìn)行安全防護(hù)的難度越來越高。

在此背景下,除了傳統(tǒng)的安全防護(hù)手段之外,運(yùn)營商和5G垂直行業(yè)客戶均希望能夠通過有效的流量監(jiān)測技術(shù)手段,對5G專網(wǎng)流量進(jìn)行安全分析監(jiān)測,以便更加快速地發(fā)現(xiàn)安全事件并進(jìn)行威脅溯源,彌補(bǔ)其他安全工具的不足之處。

0 1

傳統(tǒng)流量監(jiān)測技術(shù)簡介

網(wǎng)絡(luò)流量分析技術(shù)(Network Traffic Analysis,NTA)于2013年被首次提出,并且在2016年逐漸興起。2017年,NTA被Gartner評選為2017年十一大信息安全新興技術(shù)之一,同時也被認(rèn)為是5種檢測高級威脅的手段之一。在Gartner的定義里,NTA是以網(wǎng)絡(luò)流量為基礎(chǔ),應(yīng)用人工智能、大數(shù)據(jù)處理等先進(jìn)技術(shù),基于流量行為進(jìn)行實(shí)時分析并展示異常事件的客觀事實(shí)[2]。后來,隨著技術(shù)的發(fā)展,在NTA基礎(chǔ)上逐漸增加了檢測和響應(yīng)的功能,Gartner于2020年提出了NDR(Network Detection and Response)的概念,成為業(yè)界的主流。文獻(xiàn)[3]提出對無線網(wǎng)絡(luò)流量的分析和準(zhǔn)確預(yù)測是無線網(wǎng)絡(luò)管理與安全領(lǐng)域的重要研究內(nèi)容之一,在網(wǎng)絡(luò)規(guī)劃、網(wǎng)絡(luò)監(jiān)控、流量趨勢分析、網(wǎng)絡(luò)優(yōu)化以及入侵檢測和異常檢測等方面發(fā)揮著重要作用,并介紹了DPI(Deep Packet Inspection)、DFI(Deep/Dynamic Flow Inspection)等典型的無線網(wǎng)絡(luò)流量分析的模型與常用流量分析方法。文獻(xiàn)[4]介紹了將DPI技術(shù)與DPF技術(shù)結(jié)合進(jìn)行全流量分析的方法。文獻(xiàn)[5]介紹了NetStream、Netflow、sFlow等基于端口的分析技術(shù)和基于DPI網(wǎng)絡(luò)探針等網(wǎng)絡(luò)流量的分析技術(shù)。文獻(xiàn)[6]介紹了5G場景下的全流量安全檢測與分析技術(shù),采集5G全流量、資產(chǎn)信息、漏洞信息、設(shè)備日志、安全事件等信息,進(jìn)行全網(wǎng)5G安全事件監(jiān)測分析、5G終端資產(chǎn)管理、漏洞管理、原始攻擊報(bào)文存儲、5G安全事件溯源及處置、5G安全威脅態(tài)勢感知等。

目前國內(nèi)外安全企業(yè)已經(jīng)提供了多款網(wǎng)絡(luò)流量安全分析監(jiān)測類系統(tǒng),用于監(jiān)測和解決企業(yè)互聯(lián)網(wǎng)場景下IT網(wǎng)絡(luò)所面臨的安全問題。同時,NTA技術(shù)在移動通信網(wǎng)絡(luò)中也有應(yīng)用,一般用于分析基于HTTP(Hyper Text Transfer Protocol)、FTP(File Transfer Protocol)等傳統(tǒng)傳輸協(xié)議的用戶流量,進(jìn)行Web(World Wide Web)應(yīng)用攻擊、數(shù)據(jù)庫攻擊、網(wǎng)絡(luò)惡意程序等安全攻擊事件的監(jiān)測和識別,適用于日常異常流量監(jiān)測、攻防演練等場景,如圖1所示,缺乏根據(jù)網(wǎng)絡(luò)流量特點(diǎn)及5G網(wǎng)絡(luò)業(yè)務(wù)特點(diǎn)進(jìn)行分析的信令流量監(jiān)測技術(shù)。

1.png

圖1傳統(tǒng)流量安全監(jiān)測流程

隨著5G網(wǎng)絡(luò)應(yīng)用場景的不斷擴(kuò)展以及5G網(wǎng)絡(luò)個性化安全需求的不斷增加,現(xiàn)有NTA技術(shù)和流量安全分析監(jiān)測類系統(tǒng)無法實(shí)現(xiàn)針對5G網(wǎng)絡(luò)特有的交互流量協(xié)議,如PFCP(Packet Forwarding Control Protocol)、NGAP(Protocol for NG Interface)等協(xié)議的識別、解析和威脅發(fā)現(xiàn),缺少針對5G網(wǎng)絡(luò)場景類交互異常和威脅感知的能力,無法滿足5G網(wǎng)絡(luò)場景的流量監(jiān)測需求。目前業(yè)內(nèi)多將信令消息用于DPI話單回填,對于基于5G特有的業(yè)務(wù)流程交互、5G信令特點(diǎn)進(jìn)行流量監(jiān)測的研究較少。因此,研究5G網(wǎng)絡(luò)場景下的信令流量監(jiān)測,對發(fā)現(xiàn)5G網(wǎng)絡(luò)威脅及進(jìn)行威脅溯源,提高5G網(wǎng)絡(luò)全網(wǎng)安全態(tài)勢感知能力,有著重要的意義。

0 2

5G信令流量安全監(jiān)測技術(shù)

不同于傳統(tǒng)的NTA流量分析技術(shù),5G信令流量安全監(jiān)測技術(shù)更多基于5G網(wǎng)絡(luò)的業(yè)務(wù)特點(diǎn)和5G網(wǎng)絡(luò)的協(xié)議特點(diǎn)去做分析,例如5G網(wǎng)絡(luò)中N1/N2接口的NGAP協(xié)議、N3接口的GTP-U(GPRS Tunnelling Protocol for the User plane)協(xié)議、N4接口的PFCP協(xié)議等,并根據(jù)5G網(wǎng)絡(luò)用戶的特點(diǎn)和業(yè)務(wù)特點(diǎn)構(gòu)建流量分析模型,對5G網(wǎng)絡(luò)的安全監(jiān)測更有針對性。通過采集5G網(wǎng)絡(luò)N1(UE-AMF之間接口)、N2(RAN-AMF之間接口)、N4(UPF-SMF之間接口)、N8(AMF-UDM之間接口)、N10(SMF-UDM之間接口)、N11(AMF-SMF之間接口)、N12(AMF-AUSF之間接口)、N14(AMF-AMF之間接口)、N15(AMF-PCF之間接口)、N16(SMF-SMF之間接口)、N22(AMF-NSSF之間接口)、N26(AMF MME之間接口)、N28(PCF-CHF之間接口)、N29(SMF-NEF之間接口)、N32(SEPP-SEPP之間接口)、N33(AF-NEF之間接口)、N40(SMF-CHF之間接口)等信令交互接口的原始流量,運(yùn)用大數(shù)據(jù)、機(jī)器學(xué)習(xí)算法,按不同應(yīng)用協(xié)議識別處理、解析、還原和分析流量,對網(wǎng)絡(luò)安全事件進(jìn)行深度挖掘,從而分析網(wǎng)元間信令攻擊和可能遭受的網(wǎng)絡(luò)攻擊事件,對網(wǎng)絡(luò)安全態(tài)勢做出評估;并結(jié)合5G專網(wǎng)用戶特點(diǎn)和行為特征,識別異常終端設(shè)備,從而有效管控終端。

2.1技術(shù)架構(gòu)

5G網(wǎng)絡(luò)流量安全監(jiān)測的技術(shù)架構(gòu)如圖2所示。數(shù)據(jù)源為5G網(wǎng)絡(luò)中N1、N2、N4、N8、N10、N11、N12、N14、N15、N16、N22、N26、N28、N29、N32、N33、N40等接口的信令流量,涵蓋NGAP、PFCP、HTTP2、GTP等各類協(xié)議。數(shù)據(jù)采集解析包括流量采集、信息回填、協(xié)議識別、數(shù)據(jù)分類、數(shù)據(jù)存儲等,將采集的原始流量解析處理成全接口統(tǒng)計(jì)話單日志、N1N2話單日志、N4話單日志、異常XDR話單日志等,向上提供給信令流量監(jiān)測分析使用。信令流量監(jiān)測結(jié)合5G網(wǎng)絡(luò)特點(diǎn)及其流量特征,根據(jù)安全模型對信令面流量進(jìn)行異常流量檢測與分析,包括異常終端監(jiān)測、網(wǎng)元非法接入監(jiān)測、信令風(fēng)暴監(jiān)測、異常信令監(jiān)測、異常服務(wù)網(wǎng)元監(jiān)測等。

1.png

圖2 5G網(wǎng)絡(luò)信令流量安全監(jiān)測技術(shù)架構(gòu)

2.2關(guān)鍵特性

5G信令流量安全監(jiān)測關(guān)鍵特性可分為異常終端監(jiān)測、網(wǎng)元非法接入監(jiān)測、信令風(fēng)暴監(jiān)測、異常信令監(jiān)測和異常服務(wù)網(wǎng)元監(jiān)測這五大特性。

2.2.1異常終端監(jiān)測

5G網(wǎng)絡(luò)中的終端數(shù)量巨大、類型多樣,一些物聯(lián)網(wǎng)終端性能較低,安全防護(hù)能力弱,面臨著被黑客劫持從而攻擊網(wǎng)絡(luò)的風(fēng)險(xiǎn)。例如5G網(wǎng)絡(luò)中非法終端頻繁地發(fā)起注冊請求,但是由于鑒權(quán)流程不通過導(dǎo)致注冊失敗,憑空浪費(fèi)大量的無線及網(wǎng)絡(luò)資源;一部分合法終端可能因?yàn)樽陨砘虮缓诳涂刂频仍蚍磸?fù)進(jìn)行開關(guān)機(jī)、周期性地發(fā)送大量信令、反復(fù)切換等行為,浪費(fèi)網(wǎng)絡(luò)資源。

基于N1、N2接口的信令流量,通過對注冊流程的檢測和解析,識別來歷不明的非法終端,監(jiān)測頻繁發(fā)起網(wǎng)絡(luò)接入用戶、頻繁開關(guān)機(jī)用戶、頻繁發(fā)起連接業(yè)務(wù)請求用戶、信令交互量過大用戶、頻繁發(fā)起5G內(nèi)切換用戶、頻繁發(fā)起4G/5G切換用戶等;通過解析終端接入切片的信令消息,識別試圖接入非本終端簽約切片的異常終端行為,為運(yùn)營商及行業(yè)客戶提供發(fā)現(xiàn)異常終端的運(yùn)維手段。

2.2.2非法網(wǎng)元接入監(jiān)測

5G網(wǎng)絡(luò)為了給垂直行業(yè)客戶提供低時延、更個性化的服務(wù),將網(wǎng)絡(luò)能力和計(jì)算能力延伸到了網(wǎng)絡(luò)邊緣和用戶邊緣,但是下沉的UPF網(wǎng)元更靠近用戶側(cè),增加了網(wǎng)絡(luò)的暴露面,網(wǎng)元更容易被攻擊者控制和仿冒。為了監(jiān)測和防范此風(fēng)險(xiǎn),針對非運(yùn)營商登記資產(chǎn)進(jìn)行監(jiān)控,通過信令流量數(shù)據(jù)解析,主動探測5G網(wǎng)絡(luò)中的各網(wǎng)元,及時發(fā)現(xiàn)不屬于5G網(wǎng)絡(luò)的基站、UPF等非法網(wǎng)元,避免攻擊者仿冒5G網(wǎng)元向運(yùn)營商網(wǎng)絡(luò)及業(yè)務(wù)平臺發(fā)動攻擊。

2.2.3信令風(fēng)暴監(jiān)測

5G網(wǎng)絡(luò)中大量終端接入網(wǎng)絡(luò)時將產(chǎn)生大量的接入信令,尤其是大量物聯(lián)網(wǎng)用戶同時開機(jī)接入網(wǎng)絡(luò)時會產(chǎn)生大量接入網(wǎng)絡(luò)請求,一旦網(wǎng)絡(luò)收到的終端信令請求超過了網(wǎng)絡(luò)各項(xiàng)信令資源的處理能力,將會引發(fā)網(wǎng)絡(luò)擁塞以至于產(chǎn)生雪崩效應(yīng),導(dǎo)致網(wǎng)絡(luò)不可用。依據(jù)關(guān)鍵信令訪問量構(gòu)建信令風(fēng)暴模型,根據(jù)對N1N2話單的注冊流程、SR(Service Request)流程、PDU(Packet Data Unit)建立流程以及N4話單的會話流程和PFCP節(jié)點(diǎn)類信令流程的統(tǒng)計(jì)分析,監(jiān)測5G網(wǎng)元維度的信令負(fù)荷情況,發(fā)現(xiàn)基站、AMF、SMF等關(guān)鍵網(wǎng)元的信令風(fēng)暴,預(yù)警空口信令風(fēng)暴攻擊行為,避免5G網(wǎng)元被攻擊,影響客戶網(wǎng)絡(luò)質(zhì)量和業(yè)務(wù)正常運(yùn)行。

2.2.4異常信令監(jiān)測

由于5G網(wǎng)絡(luò)承載的業(yè)務(wù)重要性越來越高,對于黑客的吸引力也越來越大,攻擊者的攻擊能力和攻擊手段在不斷更新提升,要防止攻擊者通過構(gòu)造畸形消息、異常方向攻擊引發(fā)5G網(wǎng)絡(luò)設(shè)備處理異常,影響客戶網(wǎng)絡(luò)服務(wù)和業(yè)務(wù)運(yùn)行。通過對5G網(wǎng)絡(luò)信令流量的解析識別,根據(jù)各接口雙向的信令消息進(jìn)行智能關(guān)聯(lián)分析,發(fā)現(xiàn)交互過程中的協(xié)議異常、格式異常、方向異常、服務(wù)異常等行為,綜合判定疑似受攻擊的用戶及5G網(wǎng)元,識別通過構(gòu)造異常信令等方式發(fā)起信令攻擊的威脅。

2.2.5異常服務(wù)網(wǎng)元監(jiān)測

5G網(wǎng)絡(luò)中的物聯(lián)網(wǎng)終端、行業(yè)客戶的專網(wǎng)終端的位置較為固定,因此為其提供服務(wù)的AMF、SMF、UPF、gNB等網(wǎng)元也相對固定??紤]專網(wǎng)用戶的部署特點(diǎn),通過監(jiān)測信令流量中為固定位置終端提供服務(wù)的網(wǎng)元,可及時發(fā)現(xiàn)網(wǎng)元異常變更行為,從而進(jìn)一步挖掘出可能受到攻擊的5G網(wǎng)元。

2.3部署應(yīng)用

5G信令流量安全監(jiān)測的適用場景廣泛,通過交換機(jī)鏡像或者分光器復(fù)制5G網(wǎng)絡(luò)信令流量的方式,將網(wǎng)絡(luò)流量引流后進(jìn)行分析監(jiān)測,可實(shí)時、快速地監(jiān)測到第2.2節(jié)提到的異常終端、非法網(wǎng)元接入、信令風(fēng)暴、異常信令、異常服務(wù)網(wǎng)元等各類網(wǎng)絡(luò)安全威脅。一方面可以為運(yùn)營商提供網(wǎng)絡(luò)安全監(jiān)測態(tài)勢預(yù)警,另一方面可以使行業(yè)客戶及時發(fā)現(xiàn)異常行為的終端,從而提升發(fā)現(xiàn)5G網(wǎng)絡(luò)威脅和態(tài)勢感知的能力。圖3給出了5G信令流量安全監(jiān)測的部署應(yīng)用示意。

1.png

圖3部署應(yīng)用示意

0 3

結(jié)束語

本文梳理了現(xiàn)有的流量安全監(jiān)測技術(shù)及其應(yīng)用場景,并對信令流量安全監(jiān)測技術(shù)架構(gòu)和關(guān)鍵特性進(jìn)行了介紹,通過加強(qiáng)5G網(wǎng)絡(luò)信令面流量的識別和解析能力,能夠有效擴(kuò)充對于信令攻擊的威脅發(fā)現(xiàn)能力、拓展5G安全監(jiān)測的維度。根據(jù)信令流量的靜態(tài)特征和動態(tài)特性,運(yùn)用大數(shù)據(jù)及智能檢測技術(shù),主動監(jiān)測5G信令交互異常并進(jìn)行深度挖掘和評估,對可能遭受的信令攻擊和終端異常等事件進(jìn)行預(yù)警,充分考慮了行業(yè)用戶和專網(wǎng)用戶的行為特點(diǎn),切實(shí)滿足了行業(yè)客戶和5G專網(wǎng)對于全流量檢測和態(tài)勢感知的需求,有助于全面掌握5G網(wǎng)絡(luò)的安全態(tài)勢,打造更加安全的5G網(wǎng)絡(luò)。

參考文獻(xiàn)

[1]何麗華,王少波,程玉松,等.2G/4G/5G核心網(wǎng)融合組網(wǎng)架構(gòu)下信令監(jiān)測系統(tǒng)建設(shè)思路研究[J].數(shù)據(jù)通信,2021(3):26-28.

[2]中國信息通信研究院,F(xiàn)reeBuf咨詢.中國網(wǎng)絡(luò)流量監(jiān)測與分析產(chǎn)品研究報(bào)告(2020年)[EB/OL].[2023-05-04].http://www.caict.

ac.cn/kxyj/qwfb/ztbg/202009/P020200929395414861521.pdf.

[3]程定國,曾浩洋.無線通信網(wǎng)絡(luò)中流量分析技術(shù)綜述[J].電訊技術(shù),2023,63(3):441-447.

[4]王陳喜.基于網(wǎng)絡(luò)全流量行為分析的異常威脅檢測[C]//2022年西湖論劍·網(wǎng)絡(luò)安全大會——數(shù)字城市安全治理論壇論文集.杭州:《信息安全研究》雜志社,2022:105-107.

[5]周耀勝.網(wǎng)絡(luò)流量分析技術(shù)的應(yīng)用及方案比較[J].現(xiàn)代電信科技,2009,39(7):62-67.

[6]王濤,潘樂榮,鄒初建.5G場景下的全流量安全檢測與分析[C]//2022年網(wǎng)絡(luò)安全優(yōu)秀創(chuàng)新成果大賽論文集.北京:《信息安全研究》雜志社,2022:66-69.

作者簡介

鄭濤,工程師,碩士,主要從事網(wǎng)絡(luò)與信息安全管理工作;

謝澤鋮,工程師,碩士,主要從事網(wǎng)絡(luò)與信息安全研究工作;

張曼君,高級工程師,博士,主要從事網(wǎng)絡(luò)與信息安全研究工作;

陸勰,工程師,碩士,主要從事網(wǎng)絡(luò)與信息安全研究工作;

王姍姍,工程師,博士,主要從事網(wǎng)絡(luò)與信息安全研究工作。

THEEND

最新評論(評論僅代表用戶觀點(diǎn))

更多
暫無評論