信创安全-电信云安全分析与思考.docxVIP

电信云安全分析与思考

0引言

［2］

［3］

［4］

度，简化运维，提高网络资源利用率，提升客户感知［6］。当前的电信云进展迅速，在广泛关注电信云体系

电信云［1］基于NFV

/SDN

/云计算

技术，构建

的稳定性、隔离等问题的基础上，电信云的安全问题

面向未来的云化网络基础设施，支撑业务和能力开放实现网络资源的虚拟化，打造高效、弹性、按需的业务服务网络。电信云以其承载业务的虚拟化、软件化、可编程、通用硬件等特性，打破了传统电信设备及业务的烟囱式体系［5］，所有的业务都可以通过管理和编排系统（MANO——ManagementandOrganization）分配虚拟化资源、实例化虚拟网络功能（VNF——VirtualNetworkFunction），实现新业务快速部署、资源灵活调

——————————

收稿日期：2019-02-28

也越来越受到重视［7］。传统网络中的安全问题，在电信云中也需要分析和防护，如身份伪造、窃听、DDoS攻击、信息泄露、缓冲区溢出攻击和隐私侵犯等［8］。与传统网络相比，电信云以及云化网络的安全问题变得更加复杂，传统云计算中的安全问题也要通盘考虑［9］。电信云体系增加了水平方向的拉通与分层，导致其安全边界的模糊化、分层化，再加上解耦架构引入了多厂商对接，使安全问题难以快速定位和溯源，多层间安全策略难以协同，手工静态配置安全策略无法满足灵活弹性扩缩容的需求。因此，亟需设计新的电信云

以及云化网络安全防护体系，实现动态、主动、全网协

于2个运维管理体系，这也带来了新的安全问题。参

［10］

同、智能运维的纵深安全防护。而且安全是电信网络

考ITU-TX.805

提出的安全模型，NFV电信云架构

的基本需求，只有采用有效的安全举措消除电信云体系中存在的风险，才能切实保障虚拟化电信云系统的安全运行。

1电信云安全架构

电信云是基于NFV分层解耦架构的开放平台，NFV模型各组件之间引入了新的组件和网元，形成了通用资源层的横向拉通与专业应用层的纵向拉通，各个层次彼此混叠，每个纵横层次的交叉点都会同时属

可以建立相似的多层多平面的安全模型，如图1所示。可以看出，NFV的安全模型和NFV架构参考模型一样，分为3个逻辑层，这3个逻辑层在纵向分为2个平面。逻辑层分别是基础设施安全层、电信网络安全层和终端业务安全层。每个层可以分为2个平面，业务资源安全平面和运维管理安全平面。笔者认为终端应用层的安全问题由应用业务本身来解决，本文主要关注安全基础设施层和电信服务层，并考虑跨层跨平面的安全问题［11-13］。

终端业务安全层

视频业务、第三方业务…… 业务管理 业务编排

鉴权ID管理

访问控制

电信网络安全层

虚拟电信网络功能（VNF） VNF管理 VNF编排

完整性

机密性

基础设施安全层

虚拟机、容器、虚拟路由计算、网络、存储

资源管理

资源编排

隐私保护 攻击

资源隔离系统隔离生命周期监控

业务和资源安全 运维和管理安全

安全手段

2电信云安全问题分析

2.1基础设施层安全

图1NFV电信云安全参考架构

这会使传输协议出现故障和网络中断。

d）恶意VM通过非授权的通信路径访问其他VM及其应用。在VM中运行恶意程序和木马病毒，访问

电信云基础设施主要包括了计算、网络、存储类的物理资源和虚拟资源，在目前电信云的发展阶段中，计算资源以虚拟机（VM——VirtualMachine）为主，容器技术尚未大规模应用。VM运行在通用服务器上，VM所在主机的不确定性导致安全边界缺失、模糊化。基础设施层的业务和资源安全平面是连接底层的硬件资源和上层的VM，包含路径、数据交互和处理模型的平面。在此平面内，存在安全问题的主体是VM，一般可以分为以下几种安全威胁［14］。

a）攻击者篡改VM软件镜像，安装恶意程序，通过设备驱动接口的漏洞攻击中间件。该攻击可能发生在VM加载过程或者VM加载之后，会导致VM信息泄露以及宿主机OS的安全风险。

b）攻击者通过VM特殊的虚拟磁盘驱动接口，可绕过虚拟磁盘系统的隔离机制，非法访问其他用户的磁盘空间，降低信息的机密性。

c）恶意VM可能访问一些传输类网元，导致服务面的电信协议遭到攻击，如分