安全无“盲区”!如何守护虚拟化的5G网络安全?：博鱼·体育 

NFV／SDN技术使得5G网络朝着对外开放、标准化、物理边界消失的虚拟化形态发展。网络以虚拟世界功能网元形式，部署在云化基础设施上；网络功能由软件构建，可实现按需弹限、灵活性部署，高效利用资源，转变了传统网络功能网元以物理安全设备隔绝的现状。

虚拟化网络共享物理资源，物理的安全性边界仍然不存在。对外开放的NFV架构突显安全性风险NFV使得传统以物理实体为核心的安全性防水技术在新的环境中早已仍然限于；网络虚拟化、对外开放化使得反击更容易，安全性威胁传播更加慢、波及更加甚广。图1NFV风险点NFV架构的多层解法耦带给了组件交互的开放性安全性风险；引进新的网元、网元功能软件化及虚拟化平台的引进都会带给新的安全性风险点。

NFVI面对的安全性风险主要在hostOS安全性、可靠运营、资源隔绝、运营数据安全、组网安全性等方面。VNF面对的安全性风险主要在VM生命周期安全性、VNF组网安全性、业务数据存储安全性等方面。MANO面对的安全性风险主要在模块交互安全性、权限安全性、组网安全性等方面。中兴通讯NFV安全性解决方案，打造出无“安全性盲区”的5G网络安全性不仅与安全性特征的物理部署有关，更加最重要的是与虚拟世界资产部署的安全性特征有关，必须创建起以虚拟世界资源和虚拟世界功能为目标的安全性防水体系，研究虚拟化基础设施可靠运营及资源隔绝。

中兴通讯NFV安全性架构，具备如下特点：针对性：射击ETSINFV架构，安全性强化；全面性：云、网安全性融合，分层维护；及时性：部署应急预案，安全事件较慢号召；保密性：环绕CA中心建构全方位的可靠的安全性通信；图2中兴通讯NFV安全性架构层层优化，确保电信级NFVI安全性在NFVI层，首先要确保HOSTOS系统安全，作好Hypervisor的资源安全性隔绝，保证NFVI用于的数据安全，并且展开网络安全组网。系统修整精简系统，配备优化，漏洞扫瞄，账号及口令变得复杂日志与审核监控核心文件和目录；审核信息可追溯；日志上载集中于审核服务器文件采访定义文件级安全性采访策略，禁令文件共享网络白名单自定义易懂的策略原作工具，原作对外开放端口范围利用安全设备和虚拟化隔绝技术，作好Hypervisor的资源安全性隔绝，确保虚拟机独立国家安全性运营和信息安全隔绝。

在数据传输、存储、备份、数据生命周期管理等方面增强NFVI数据安全。图3NFVI数据安全在NFVI的基础设施网络组网中，独立国家部署物理网卡及Leaf交换机，云管理、存储、业务和带外管理网络做物理分离出来；在业务网络Overlay网络中再行粗分为更好的业务网络平面。

仅有生命周期确保VNF安全性VNF安全性主要包括生命周期安全性、业务组网安全性、个人隐私数据安全等。VNF模板安全性数字签名及MD5获取登记、读取、改版时的完整性维护和证书，利用反亲和原则容许装载敏感数据的VNF与具备外部采访的VNF共用物理服务器；VM镜像安全性VM的安全漏洞扫瞄和安全性配备基线审查；VM的镜像、快照存储在安全性路径下，并加密存储，避免被蓄意伪造；VM镜像包在在登记、读取、改版时必需展开完整性校验；VM移动安全性不容许VM横跨安全性域迁入；部署独立国家的VM迁入及弹性支撑网络；加密VM的脆弱信息，避免VM迁入过程中泄漏敏感数据；完全读取原有存储区间的脆弱信息，避免数据泄漏；VM中止安全性被中止的VM原本闲置的物理内存和存储资源可能会被重新分配给其他VM，这些资源必需被彻底清除。

VNF在安全性层面上不会区分为五个安全性域：曝露域、非曝露域、敏感数据域、业务管理域、平台管理域；更进一步区分为VNF内部互通网络和VNF外部互通网络。VNF内部互通网络是VNF内多个VNFC之间的互通流量，还包括管理、掌控与媒体；VNF外部互通网络是VNF与其他VNF之间的互通网络，还包括信令、媒体、管理及计费。

VNF的数据，特别是在是个人数据，我们获取KMS／HSM等安全性存储，确保可信赖的个人隐私维护。图4VNF个人数据保护MANO安全性，确保运维运营安全性统一安全性终端门户、组件安全性交互、日志审核等措施更进一步增强MANO安全性。

使用运维网关、单点指定SSO等技术，构建整张网络的统一安全性管理；云管理节点的组件之间采访的证书及许可机制，融合PKI／CA、TLS等技术，使用安全性的数据传输协议，容许API模块采访的方式，确保通信的完整性和加密性；NFVO、VNFM基于虚拟机方式部署，对GuestOS展开最小化自定义，容许对外开放的端口、采访权限和运营服务，增加管理节点攻击面；安全性日志展开动态分析审核和监测号召，协助管理员动态理解系统的安全事件和运行状况。公共安全机制，做日常安全性以CSA规范为指南，制定NFV产品安全研发流程，打造出安全性的NFV产品；持续改版的安全性服务，快捷的事后应急号召机制，更进一步夯实了日常安全性。

扫瞄工具定期扫瞄NFV系统集成产品，及时改版NFV产品安全漏洞修整基线，并启动时给存量局点升级继续执行；紧密注目CVE漏洞公告，得出安全漏洞解决方案，检验后公布给客户；遵循CISBenchmark，构成NFV产品安全配备修整基线，有效地减少安全性风险再次发生的概率；安全事件号召。号召和处置客户递交的安全事件；号召和处置行业协会发布的安全事件。

风物长宜放眼量。毫无疑问，虚拟化技术为5G网络带给革命化的弹性架构以及面向未来的能力对外开放网络。

中兴通讯虚拟化安全性解决方案，仅有维度、层次化、全天候为业界获取可信安全性的虚拟化网络，引导移动通信技术革新。

本文来源：博鱼(boyu·中国)-www.rebeckaoftedal.com