中興通訊將以5G網(wǎng)絡(luò)為目標(biāo)打造出Security in DNA的5G產(chǎn)品安全戰(zhàn)略

5G定義了eMBB（增強移動寬帶）、mMTC（海量機器通信）、和uRLLC（超可靠低時延通信）三大應(yīng)用場景，這些應(yīng)用場景對5G核心網(wǎng)本身和安全防護手段都提出了更高的要求。eMBB支持AR/VR等新興業(yè)務(wù)的同時，也帶來了更多的隱私暴露風(fēng)險，保護隱私尤為迫切；mMTC是物聯(lián)網(wǎng)發(fā)展的基礎(chǔ)，需要使用更輕量級的鑒權(quán)手段，以減少不必要的信令交互；uRLLC應(yīng)用在自動駕駛和遠(yuǎn)程醫(yī)療等低時延業(yè)務(wù)場景時，數(shù)據(jù)安全傳輸必須得到有效保障。

中興通訊將構(gòu)建安全可信的5G網(wǎng)絡(luò)作為目標(biāo)，利用先進方法論，并參考業(yè)界最佳實踐，打造“Security in DNA”的5G產(chǎn)品安全戰(zhàn)略：以最高安全策略為基石，以安全標(biāo)準(zhǔn)和合規(guī)為框架，以安全設(shè)計和架構(gòu)為支撐，以安全編碼和測試為手段，以安全事件響應(yīng)為后盾。

圖1：5G核心網(wǎng)產(chǎn)品安全概覽圖

以最高安全策略為基石

中興通訊核心網(wǎng)產(chǎn)品一直以“聚焦客戶，全面保障，響應(yīng)及時，安全可信”為最高安全策略

聚焦客戶：從客戶的角度來審視產(chǎn)品安全，以更挑剔、更嚴(yán)格的標(biāo)準(zhǔn)踐行中興通訊一直以來奉行的“客戶第一”的根本原則。聚焦NFV/SDN、5G SBA架構(gòu)技術(shù)，針對網(wǎng)絡(luò)安全新態(tài)勢，積極探索，提出了可用于5G安全防護的主動高級威脅防御等創(chuàng)新方案。

全面保障：建立統(tǒng)一的產(chǎn)品安全保障體系，服務(wù)于產(chǎn)品的整個生命周期。5G核心網(wǎng)在設(shè)計之初就以安全為首要目標(biāo)，實現(xiàn)安全研發(fā)流程為基礎(chǔ)，打造安全可信產(chǎn)品。隨著5G商用進程的加快和新興業(yè)務(wù)的迅速發(fā)展，5G核心網(wǎng)以微服務(wù)方式構(gòu)建，通過CI/CD快速響應(yīng)安全需求，以滿足5G不斷發(fā)展的網(wǎng)絡(luò)安全態(tài)勢。

響應(yīng)及時：面對安全事件，第一時間做出響應(yīng)，及時消除安全威脅，中興通訊將安全事件響應(yīng)作為固有機制貫徹執(zhí)行。通過該快速相應(yīng)機制，5G核心網(wǎng)可以更準(zhǔn)確更快速地有效應(yīng)對5G網(wǎng)絡(luò)中可能的安全事件。

安全可信：提供安全和可靠的產(chǎn)品和服務(wù)，是中興通訊產(chǎn)品安全的初衷和目標(biāo)。堅持高可信的設(shè)計目標(biāo)，努力為客戶提供可信5G網(wǎng)絡(luò)。

通過對最高安全策略的不斷踐行，中興通訊5G核心網(wǎng)可以幫助客戶打造一個高可信的核心網(wǎng)絡(luò)環(huán)境。

以安全標(biāo)準(zhǔn)和合規(guī)為框架

中興通訊5G核心網(wǎng)以開放姿態(tài)，采用多個業(yè)界安全標(biāo)準(zhǔn)和法律監(jiān)管規(guī)定來保障產(chǎn)品安全：

以ITU-T X.805和STRIDE等標(biāo)準(zhǔn)規(guī)范作為安全架構(gòu)和安全設(shè)計的依據(jù)，同時嚴(yán)格遵守ISO27001、ISO15408等信息技術(shù)安全性準(zhǔn)則。

遵從GDPR、PCI DSS等監(jiān)管規(guī)定或合規(guī)性要求，并理解這些法律法規(guī)在軟件開發(fā)中的限制條件。將監(jiān)管規(guī)定中的適用部分映射為軟件控制說明書，通過軟件安全指南來確保合規(guī)性工作的高效完成。

例如為了有效識別和保障個人識別信息(PII)，核心網(wǎng)產(chǎn)品在設(shè)計時依照GDPR的“目的控制”和“數(shù)據(jù)最小化”原則，按照不同用戶權(quán)限來確定個人數(shù)據(jù)的顯示范圍和導(dǎo)出能力；可提供脫敏工具，該工具通過安全算法和加鹽機制對個人數(shù)據(jù)處理，可以確保導(dǎo)出數(shù)據(jù)中符合GDPR規(guī)范要求。

以安全設(shè)計和架構(gòu)為支撐

致力于端到端的安全設(shè)計和架構(gòu)。自主研發(fā)了硬件級保護芯片，通過硬件芯片杜絕非法版本，識別高仿應(yīng)用，防止惡意代碼篡改系統(tǒng)文件；自研OS CGSL也提供了多樣性編譯技術(shù)，通過全局符號表隨機化、關(guān)鍵數(shù)據(jù)結(jié)構(gòu)隨機化和地址空間隨機化來杜絕惡意代碼的植入和傳播；自主研發(fā)主動防御平臺，通過語義建模、機器學(xué)習(xí)、概率分析等手段，阻止外聯(lián)攻擊、內(nèi)網(wǎng)滲透和未知威脅擴散。

這些自底向上的安全設(shè)計和架構(gòu)都是5G核心網(wǎng)安全的保證。

以安全編碼和測試為基礎(chǔ)

編碼是產(chǎn)品安全的一個重要環(huán)節(jié)，編碼期間往往最容易出現(xiàn)緩沖區(qū)溢出、整數(shù)溢出、SQL注入、ROP/JOP（Return Oriented Programming面向返回/Jump Oriented Programming跳轉(zhuǎn)）的攻擊等安全漏洞。

中興通訊長期對開發(fā)人員進行安全培訓(xùn)，并通過使用業(yè)界知名的代碼掃描工具來發(fā)現(xiàn)和減少此類安全隱患。

編碼期間嚴(yán)格遵循各種語言對應(yīng)的安全編碼規(guī)范，把靜態(tài)代碼安全掃描工具嵌入Devops工具鏈中，將代碼安全掃描作為每次提交代碼和進入制品庫的必要條件，真正做到編碼期的“安全溶入血脈”。

除了常規(guī)的脆弱性掃描之外，還設(shè)計了大量的濫用用例和自動化安全測試用例，在每次測試都會將已有安全功能驗證一次，做到無遺漏、無死角。通過“藍(lán)軍”部隊，在項目不知情的情況下，有針對性的對設(shè)備進行一些滲透性破壞和提權(quán)測試，模擬外部攻擊場景，提前暴漏安全隱患。

以安全事件響應(yīng)為后盾

產(chǎn)品發(fā)布后的商用期間可能會面臨一些安全事件，這些事件不是開發(fā)和驗證階段引入，但卻需要產(chǎn)品及時響應(yīng)解決。

中興通訊外場安全事件響應(yīng)統(tǒng)一由ZTE?PSIRT（ZTE Product Security Incident Response Team）負(fù)責(zé)，其職責(zé)包括：響應(yīng)和處理客戶提交的安全事件，響應(yīng)和處理行業(yè)協(xié)會公布的安全事件，制定公司信息安全事件管理策略和安全事件處理方案，分析系統(tǒng)軟件提供商和專業(yè)安全廠商發(fā)布的漏洞及補丁。

5G核心網(wǎng)根據(jù)外部安全事件的實際情況和PSIRT統(tǒng)一要求會第一時間推出：

緊急安全方案：快速響應(yīng)，提供臨時規(guī)避手段，減少現(xiàn)場損失；

完整解決方案：分析根因，制作和發(fā)布產(chǎn)品補丁/新版本，徹底解決外場隱患。

中興5G核心網(wǎng)遵循最高安全策略，將安全要素貫穿整個產(chǎn)品的生命開發(fā)周期，真正做到“安全融入血脈”，成為客戶最信賴的產(chǎn)品。