LTE网络安全部署研究.docVIP

LTE网络安全部署研究 　　为适应LTE/EPC网络的引入，解决LTE/EPC网络建设和演进中存在的安全问题，分析了LTE网络面临的安全威胁，在此基础上提出并构建涵盖LTE网络安全域划分、EPC网络安全部署、IP承载网安全部署、LTE网络边界安全部署的整体网络安全部署方案。 　　网络安全 LTE网络安全域划分 EPC网络安全部署 IP承载网安全部署 LTE网络边界安全部署 　　1 引言 　　随着移动通信技术的发展，3GPP标准组织启动了面向无线网络演进计划的长期演进（Long Term Evolution，LTE）以及面向核心网络演进计划的系统框架演进（System Architecture Evolution，SAE）项目，以满足高用户数据速率、大系统容量、无缝覆盖的网络演进需求。 　　LTE网络架构变化为移动通信发展带来新的契机。与此同时，扁平的网络结构、全IP化的网络等特征也为LTE网络带来一定的安全威胁。 　　为适应LTE/EPC网络的引入，解决LTE/EPC网络建设和演进中存在的安全问题，本文将从LTE网络演进特点及LTE网络安全威胁分析入手，通过分析LTE网络面临的安全威胁，探索并提出LTE网络安全部署解决方案。 　　2 LTE网络安全威胁分析 　　LTE/SAE的关键特性主要表现为： 　　（1）网络架构全面分组化：网络全IP化，只有分组域，语音业务由分组域配合IMS域提供，提升网络效率和性能。 　　（2）网络架构扁平化：网络结构趋于简单，通过S-GW和P-GW的可选合设达到网络扁平化的目的，简化网络部署，缩短时延。 　　（3）支持多接入技术：支持与现有3GPP系统的互通，同时支持非3GPP网络的接入，支持用户在3GPP及非3GPP网络间的漫游和切换。 　　（4）高速率：峰值速率可以达到下行100Mbit/s，上行50Mbit/s。 　　（5）部署快：由于网络的简单化，可以快速部署网络，以适应业务不断丰富化发展的趋势。 　　LTE网络结构和业务的特征如图1所示。 　　由于LTE网络架构和业务特征的变化，使得LTE网络面临特定的安全威胁，主要表现在以下几个方面： 　　（1）扁平的网络结构 　　缺少对在回传网上的数据的保护，数据存在泄漏风险;来自终端和eNB的攻击可直达EPC。 　　（2）全IP化 　　无连接及开放的IP网络使攻击更容易;IP网络的安全问题将被引入LTE网络。 　　（3）高带宽与终端智能化 　　高带宽使得攻击移动终端成为可能，移动终端面临成为DDoS的攻击工具的风险;终端的智能化及应用的多样化，使得信令风暴愈演愈烈，针对SCTP和GTP的攻击增多。 　　3 LTE网络安全部署方案 　　针对LTE网络安全威胁，需要全面考虑LTE网络安全问题，设计LTE网络安全部署方案。根据LTE网络安全建设需求，构建涵盖LTE网络安全域划分、EPC网络安全部署、IP承载网安全部署、LTE网络边界安全部署的整体网络安全部署方案，如图2所示。 　　3.1 LTE网络安全域 　　通过划分安全域，能够在一定程度上隔离/减轻各安全域之间安全威胁的扩散或相互影响，从而提高全网的安全性、可靠性和可控性。 　　安全域划分的原则为，划分在同一安全域内的网络设备需要具有相同的安全保护需求、安全保护等级、安全访问控制策略、边界控制策略，各网络设备之间能相互信任。 　　据此，可将LTE网络划分为6个安全域： 　　（1）E-UTRAN安全域，包括eNB、PTN、CE、SEG。 　　（2）核心网安全域，包括MME、S-GW、P-GW、BG、CE、DNS。 　　（3）计费安全域，包括CG、计费服务器。 　　（4）用户信息安全域，包括HSS、BOSS前置机。 　　（5）互联网安全域，包括互联网接入路由器。 　　（6）OMC安全域，包括LTE网管服务器、工作终端、安全管理设备、防火墙以及组成本域网络的数据通信设备等。 　　3.2 LTE网络边界安全 　　LTE网络边界安全包括LTE核心网与OMC之间、LTE核心网与互联网之间、LTE核心网与其他PLMN之间的安全3个部分。 　　（1）LTE核心网与OMC之间 　　LTE核心网与OMC之间网元需要配置单独的物理接口，与其它业务流量独立;为防止对核心网设备的攻击，需要在OMC接口配置严格的授权访问机制，同时在核心网端进行状态检测和设置ACL包过滤机制。 　　（2）LTE核心网与互联网之间 　　LTE核心网与互联网边界配置防火墙，防火墙及安全策略为：在防火墙安全区，配置包过滤，建议采用状态防火墙;针对外网对内网的攻击，配置针对典型攻击的安全策略;在核心网与出口路由器之间进行路由控制，防止泄漏核心网的内部拓扑信