建站
咨詢
售后
建站咨詢
新聞中心
在新一代科技革命和產(chǎn)業(yè)變革的浪潮下，全球領先國家無不將工業(yè)互聯(lián)網(wǎng)作為強化本國未來產(chǎn)業(yè)競爭力的戰(zhàn)略方向。工業(yè)互聯(lián)網(wǎng)的基礎在于建設一張能夠滿足工業(yè)生產(chǎn)運營的高可靠、高性能、高靈活性的網(wǎng)絡。5G網(wǎng)絡在無線新空口能力基礎上利用網(wǎng)絡切片、邊緣計算等新技術，具備了大帶寬、低時延、廣連接和可定制等特性，與工業(yè)互聯(lián)網(wǎng)的需求相吻合。
創(chuàng)新互聯(lián)-專業(yè)網(wǎng)站定制、快速模板網(wǎng)站建設、高性價比察哈爾右翼前網(wǎng)站開發(fā)、企業(yè)建站全套包干低至880元,成熟完善的模板庫,直接使用。一站式察哈爾右翼前網(wǎng)站制作公司更省心,省錢,快速模板網(wǎng)站建設找我們，業(yè)務覆蓋察哈爾右翼前地區(qū)。費用合理售后完善，10余年實體公司更值得信賴。
“5G+工業(yè)互聯(lián)網(wǎng)”就是利用第五代移動通信技術(5G)滿足工業(yè)智能化發(fā)展對網(wǎng)絡的需求。5G與工業(yè)互聯(lián)網(wǎng)的融合創(chuàng)新發(fā)展，將推動數(shù)字中國、智慧社會建設，加速中國新型工業(yè)化進程，為中國經(jīng)濟發(fā)展注入新動能。但5G與工業(yè)互聯(lián)網(wǎng)的深度融合在加速產(chǎn)業(yè)數(shù)字化轉(zhuǎn)型的同時，也打破了傳統(tǒng)工業(yè)封閉的生產(chǎn)環(huán)境，帶來了更加嚴峻的安全挑戰(zhàn)。工業(yè)互聯(lián)網(wǎng)安全防護方式需要從被動防護轉(zhuǎn)向主動防御，在此過程中，運營商應充分發(fā)揮5G網(wǎng)絡優(yōu)勢，以5G網(wǎng)絡安全能力場景化賦能工業(yè)互聯(lián)網(wǎng)安全。
工業(yè)互聯(lián)網(wǎng)行業(yè)安全需求
終端管控安全需求
5G與工業(yè)互聯(lián)網(wǎng)的融合使得海量工業(yè)終端接入工業(yè)互聯(lián)網(wǎng)成為可能。大量工業(yè)終端具有功耗低、計算和存儲資源有限的特點，難以部署復雜安全策略。終端設備的漏洞、后門等暴露在相對開放的5G網(wǎng)絡中，容易被利用作為分布式拒絕服務(DDoS)攻擊源，形成規(guī)?；慕┦W(wǎng)絡，對工業(yè)應用和后臺系統(tǒng)等進行攻擊，帶來網(wǎng)絡中斷、系統(tǒng)癱瘓等安全風險。工業(yè)互聯(lián)網(wǎng)企業(yè)越來越重視終端管控安全，需要自主可控對終端的接入進行認證管理。
數(shù)據(jù)保護安全需求
工業(yè)互聯(lián)網(wǎng)企業(yè)內(nèi)部生產(chǎn)管理數(shù)據(jù)、生產(chǎn)操作數(shù)據(jù)、工況狀態(tài)數(shù)據(jù)、外部協(xié)同數(shù)據(jù)等信息一旦泄露，被不法分子濫用、篡改，可引發(fā)系統(tǒng)設備故障，導致生產(chǎn)安全事故，影響生產(chǎn)經(jīng)營安全，甚至威脅公眾安全和國家安全。隨著工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)安全重要性的凸顯，工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)已成為重點攻擊目標，面臨的安全風險日益嚴峻。工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)安全是保障工業(yè)互聯(lián)網(wǎng)企業(yè)生產(chǎn)經(jīng)營正常開展、經(jīng)濟社會健康發(fā)展和國家安全切實保障的重要前提，工業(yè)互聯(lián)網(wǎng)企業(yè)對提升工業(yè)數(shù)據(jù)的安全防護水平存在迫切需求。
網(wǎng)絡隔離安全需求
隨著工業(yè)互聯(lián)網(wǎng)企業(yè)數(shù)字化轉(zhuǎn)型進程加速，傳統(tǒng)專網(wǎng)技術難以滿足工業(yè)互聯(lián)網(wǎng)企業(yè)日新月異的信息化業(yè)務需求?！?G+工業(yè)互聯(lián)網(wǎng)”在滿足工業(yè)互聯(lián)網(wǎng)企業(yè)數(shù)字化轉(zhuǎn)型需求的同時，也將企業(yè)網(wǎng)絡從工廠內(nèi)網(wǎng)延伸到外部5G移動通信網(wǎng)。傳統(tǒng)工業(yè)封閉生產(chǎn)環(huán)境被打破，工業(yè)互聯(lián)網(wǎng)企業(yè)迫切需要外部5G網(wǎng)絡提供專屬網(wǎng)絡通道，與其他公眾網(wǎng)絡業(yè)務和行業(yè)應用業(yè)務進行安全隔離，保障企業(yè)的業(yè)務安全。5G網(wǎng)絡運營商需要結合工業(yè)互聯(lián)網(wǎng)行業(yè)用戶的業(yè)務需求，為其提供量身定制的網(wǎng)絡服務。
邊緣計算安全需求
為了滿足工業(yè)互聯(lián)網(wǎng)低時延業(yè)務的需求，引入5G邊緣計算技術，將計算能力和IT服務環(huán)境下沉到移動通信網(wǎng)絡邊緣，就近向用戶提供服務。當5G核心網(wǎng)網(wǎng)元UPF下沉部署在工業(yè)互聯(lián)網(wǎng)園區(qū)，網(wǎng)絡邊界模糊，傳統(tǒng)物理邊界防護難以應用。邊緣計算節(jié)點承載著工業(yè)互聯(lián)網(wǎng)行業(yè)各種應用服務，成為黑客的首選攻擊目標，需要完善安全能力，抵抗多種類、高強度的網(wǎng)絡攻擊，為MEC應用提供安全的部署環(huán)境。工業(yè)互聯(lián)網(wǎng)企業(yè)需要根據(jù)運營以及攻擊行為的變化，集中管理編排安全防護策略，并按需靈活動態(tài)地為邊緣計算應用提供安全服務。
網(wǎng)絡運營商“5G+工業(yè)互聯(lián)網(wǎng)”安全能力
如圖1所示，5G網(wǎng)絡作為工業(yè)互聯(lián)網(wǎng)的重要基礎設施，可以提供終端接入安全、用戶數(shù)據(jù)安全、網(wǎng)絡隔離安全、邊緣計算安全等能力。
圖1 “5G+工業(yè)互聯(lián)網(wǎng)”典型組網(wǎng)及安全能力
終端接入安全包括終端的接入認證和訪問控制等?？梢远x多重接入認證方式，從網(wǎng)絡級認證、切片認證到數(shù)據(jù)網(wǎng)認證，根據(jù)不同的業(yè)務靈活配置認證策略，滿足不同行業(yè)的接入認證安全需求。也可以根據(jù)業(yè)務及位置信息，按照工業(yè)互聯(lián)網(wǎng)行業(yè)個性化需求，設置不同的訪問控制策略。
用戶數(shù)據(jù)安全包括數(shù)據(jù)傳輸安全和用戶標識安全等?？梢愿鶕?jù)工業(yè)互聯(lián)網(wǎng)企業(yè)需求，定義數(shù)據(jù)加密方式，提供用戶面數(shù)據(jù)保護及用戶標識隱私保護。
網(wǎng)絡隔離安全包括RAN隔離、承載隔離和核心網(wǎng)隔離。5G網(wǎng)絡可以利用專網(wǎng)技術和切片技術等實現(xiàn)端到端的網(wǎng)絡安全隔離，為工業(yè)互聯(lián)網(wǎng)企業(yè)提供可定制的安全網(wǎng)絡。
邊緣計算安全能力包括邊緣數(shù)據(jù)安全(用戶數(shù)據(jù)不出園區(qū))、APP安全防護等。部署邊緣計算安全能力可以滿足工業(yè)互聯(lián)網(wǎng)企業(yè)數(shù)據(jù)不出園區(qū)需求，并防止惡意APP 對 MEP攻擊、APP間非法互訪等安全問題。
“5G+工業(yè)互聯(lián)網(wǎng)”安全能力場景化解決方案
終端接入安全
- 切片認證
5G網(wǎng)絡可以通過切片認證，限制特定終端接入工業(yè)互聯(lián)網(wǎng)企業(yè)專屬切片。網(wǎng)絡切片是一組帶有特定無線配置和傳輸配置的網(wǎng)絡功能的集合，可在同一套物理設備上提供多個端到端的虛擬網(wǎng)絡，這些功能可以靈活部署在網(wǎng)絡的任何節(jié)點(接入、邊緣、核心)。工業(yè)互聯(lián)網(wǎng)企業(yè)使用切片技術，可對不同切片間的數(shù)據(jù)進行隔離，只有授權的終端才能訪問切片內(nèi)的數(shù)據(jù)，由此保證終端接入安全。
可以通過配置IMSI(International Mobile Subscriber Identity，國際移動用戶識別碼)與園區(qū)切片S-NSSAI(Single Network Slice Selection Assistance Information)對應關系，由AMF(Access and Mobility Management Function，接入和移動性管理功能)對5G工業(yè)互聯(lián)網(wǎng)終端發(fā)起切片接入認證流程，限制僅在工業(yè)互聯(lián)網(wǎng)企業(yè)認可的IMSI清單內(nèi)的終端才可以接入到企業(yè)專屬切片，確保接入切片終端合法。
- 二次認證
面向?qū)K端有多重接入控制需求的工業(yè)互聯(lián)網(wǎng)企業(yè)，5G網(wǎng)絡可以為其提供底層認證通道，由企業(yè)自己選擇或定制具體的認證算法和協(xié)議，實現(xiàn)自主可控的二次認證。
5G工業(yè)互聯(lián)網(wǎng)終端在接入工業(yè)互聯(lián)網(wǎng)企業(yè)DN(Data network，數(shù)據(jù)網(wǎng)絡)前，首先需要完成與5G核心網(wǎng)UDM(Unified Data Manager，統(tǒng)一數(shù)據(jù)管理平臺)網(wǎng)元及AUSF(Authentication Server Function，認證服務器功能)網(wǎng)元之間的主認證鑒權流程。主認證通過后，SMF(Session Management Function，會話管理功能)網(wǎng)元在建立用戶面數(shù)據(jù)通道前，會根據(jù)簽約信息發(fā)起二次身份認證流程。SMF 網(wǎng)元向AAA(Authentication、Authorization、Accounting，認證、授權、計費) 服務器發(fā)出認證開始的消息，并建立起5G工業(yè)互聯(lián)網(wǎng)終端與AAA服務器之間的認證通道，由AAA服務器對5G工業(yè)互聯(lián)網(wǎng)終端進行二次認證。二次認證通過之后，5G 核心網(wǎng)才會為5G工業(yè)互聯(lián)網(wǎng)終端建立到數(shù)據(jù)網(wǎng)絡的連接。
AAA 服務器可以由工業(yè)互聯(lián)網(wǎng)企業(yè)自部署，通過UPF(User Plane Function，用戶平面功能)網(wǎng)元與SMF網(wǎng)元連接，也可以由5G網(wǎng)絡運營商直接部署在通信機房中與SMF網(wǎng)元連接，5G網(wǎng)絡運營商提供云上AAA服務，工業(yè)互聯(lián)網(wǎng)企業(yè)用戶以租戶形式實現(xiàn)對入網(wǎng)終端的二次身份認證。
- 業(yè)務訪問控制
5G網(wǎng)絡運營商可以將終端標識信息開放給工業(yè)互聯(lián)網(wǎng)企業(yè)用戶，將終端標識信息通過SMF轉(zhuǎn)發(fā)給該企業(yè)業(yè)務訪問控制系統(tǒng)，企業(yè)可以根據(jù)終端標識信息自主實現(xiàn)業(yè)務控制。對于有業(yè)務訪問控制需求，但無法自部署業(yè)務訪問控制系統(tǒng)的工業(yè)互聯(lián)網(wǎng)企業(yè)，5G網(wǎng)絡運營商可以提供云上業(yè)務訪問控制服務，企業(yè)以租戶形式實現(xiàn)對入網(wǎng)終端的業(yè)務訪問控制。
- 終端接入位置控制
5GC維護IMSI與工業(yè)互聯(lián)網(wǎng)園區(qū)切片S-NSSAI對應關系和TAI與園區(qū)切片S-NSSAI對應關系兩類清單。當規(guī)劃園區(qū)TAI list屬于5G網(wǎng)絡運營商大網(wǎng)TAI list的子集時，可實現(xiàn)終端進入園區(qū)以后允許使用園區(qū)業(yè)務和大網(wǎng)業(yè)務，離開園區(qū)以后僅允許訪問大網(wǎng)業(yè)務。當園區(qū)TAI list獨立規(guī)劃，不與5G網(wǎng)絡運營商大網(wǎng)TAI list有重合時，可實現(xiàn)終端僅允許使用園區(qū)業(yè)務，離開園區(qū)以后不允許訪問園區(qū)業(yè)務，也不允許訪問大網(wǎng)業(yè)務。對于有更高終端位置精度需求的工業(yè)互聯(lián)網(wǎng)企業(yè)，5G網(wǎng)絡運營商也可以結合5G蜂窩網(wǎng)絡定位能力，提供終端位置服務。
用戶數(shù)據(jù)安全
- 數(shù)據(jù)傳輸安全
對于工業(yè)互聯(lián)網(wǎng)敏感業(yè)務數(shù)據(jù)，5G網(wǎng)絡可以保障用戶面空口數(shù)據(jù)傳輸安全。5G基站gNodeB根據(jù)5G核心網(wǎng)網(wǎng)元SMF發(fā)送的安全策略，可以激活開啟UE(User Equipment,用戶設備)和gNodeB之間的用戶面數(shù)據(jù)的機密性保護、完整性保護和防重放保護，保護空口用戶面數(shù)據(jù)傳輸安全。
- 用戶標識安全
針對用戶標識在網(wǎng)絡上明文傳輸，讓黑客有機會在空口竊取用戶標識，威脅用戶隱私安全的問題，5G網(wǎng)絡運營商可以提供用戶標識隱私保護服務。工業(yè)互聯(lián)網(wǎng)終端使用內(nèi)置5G網(wǎng)絡公鑰的5G SIM卡，將SUPI(SUbscription Permanent Identifie，用戶永久標識符)加密為SUCI(SUbscription Concealed Identifie，用戶隱藏標識)傳輸，加密后的SUCI只能通過在5G核心網(wǎng)中的私鑰解密，可有效杜絕在網(wǎng)絡傳輸過程中暴露用戶標識。
網(wǎng)絡安全隔離
- 無線接入網(wǎng)隔離
無線接入網(wǎng)的隔離主要面向無線頻譜資源和基站處理資源，利用專網(wǎng)技術或者切片技術實現(xiàn)，主要實現(xiàn)方式為獨立基站、頻譜獨享、PRB(Physical Resource Block，物理資源塊)獨享等。
面向最高安全等級(比如工業(yè)控制類)應用或者僅僅服務工業(yè)互聯(lián)網(wǎng)應用的局部區(qū)域，比如礦山、無人工廠等，可以采用獨立基站的形式實現(xiàn)RAN隔離。面向較高資源隔離和業(yè)務質(zhì)量保障需求的工業(yè)互聯(lián)網(wǎng)應用，可以采用資源頻譜獨享的方式，在運營商頻譜資源中劃分出一部分，單獨分配給工業(yè)互聯(lián)網(wǎng)應用服務。面向有一定資源隔離和業(yè)務質(zhì)量保障需求的工業(yè)互聯(lián)網(wǎng)應用，可以采用PRB獨享的方式，配置一定比例的PRB給工業(yè)互聯(lián)網(wǎng)應用切片專用，PRB 的正交性保證了切片的隔離性。
- 承載網(wǎng)隔離
承載網(wǎng)隔離主要實現(xiàn)方式有FlexE 隔離和VLAN 隔離。FlexE隔離基于時隙調(diào)度將一個物理以太網(wǎng)端口劃分為多個以太網(wǎng)彈性管道(邏輯端口)，使得承載網(wǎng)絡具備類似于時分復用的獨占時隙、隔離性好的特性。VLAN 隔離通過VLAN 標簽與網(wǎng)絡切片標識的映射實現(xiàn)，根據(jù)切片標識為不同的切片數(shù)據(jù)映射封裝不同的VLAN 標簽，通過VLAN 隔離實現(xiàn)切片的承載隔離。
- 核心網(wǎng)隔離
5G核心網(wǎng)由很多種不同網(wǎng)絡功能的虛擬化網(wǎng)元構建，可以針對工業(yè)互聯(lián)網(wǎng)企業(yè)不同的安全需求，采用多重隔離機制。主要實現(xiàn)方式有以下4種。
一是CPF和UPF獨享，主要面向電網(wǎng)等安全需求最高的場景。在該方式下核心網(wǎng)的所有控制面網(wǎng)元(包括AMF、AUSF、 UDM、UDR、PCF、SMF)、用戶面網(wǎng)元UPF均為工業(yè)互聯(lián)網(wǎng)行業(yè)用戶專用獨享。
二是CPF部分獨享、UPF獨享，主要面向工業(yè)控制等有較高網(wǎng)絡安全隔離需求的工業(yè)互聯(lián)網(wǎng)企業(yè)。在該方式下核心網(wǎng)的控制面網(wǎng)元部分獨享，用戶面網(wǎng)元UPF為工業(yè)互聯(lián)網(wǎng)行業(yè)用戶專用獨享。UPF可根據(jù)容量、時延等要求，選擇在核心機房或者邊緣機房建設。
三是CPF全部共享、UPF獨享，主要面向工廠、園區(qū)等有一定數(shù)據(jù)安全隔離要求，且對UPF部署位置有嚴格要求的工業(yè)互聯(lián)網(wǎng)企業(yè)。在該方式下核心網(wǎng)的控制面網(wǎng)元全部共享，用戶面網(wǎng)元UPF 新建，為工業(yè)互聯(lián)網(wǎng)行業(yè)用戶專用獨享，可部署在工業(yè)互聯(lián)網(wǎng)企業(yè)園區(qū)。
四是CPF和UPF全部共享，切片虛擬資源隔離，主要面向有一定數(shù)據(jù)安全隔離需求，對UPF部署位置無要求的工業(yè)互聯(lián)網(wǎng)行業(yè)用戶。在該方式下核心網(wǎng)的控制面網(wǎng)元、用戶面網(wǎng)元UPF全部共享為工業(yè)互聯(lián)網(wǎng)行業(yè)用戶服務，通過切片進行虛擬資源隔離。
邊緣計算安全能力
- 數(shù)據(jù)不出園
企業(yè)數(shù)據(jù)對工業(yè)互聯(lián)網(wǎng)企業(yè)至關重要，工業(yè)互聯(lián)網(wǎng)企業(yè)對用戶面數(shù)據(jù)不出園區(qū)具有強烈需求。對此，運營商可以通過數(shù)據(jù)不出園的網(wǎng)絡架構設計及出園數(shù)據(jù)的識別阻斷，為工業(yè)互聯(lián)網(wǎng)企業(yè)提供數(shù)據(jù)不出園服務。5G網(wǎng)絡運營商可以將5G用戶面網(wǎng)元UPF部署在工業(yè)互聯(lián)網(wǎng)園區(qū)，通過工業(yè)互聯(lián)網(wǎng)終端簽約約束，實現(xiàn)用戶面數(shù)據(jù)不出園。在UPF的信令管理面部署流量探針，智能分析并識別，僅信令及OM相關數(shù)據(jù)可以流出，確保沒有業(yè)務數(shù)據(jù)流出工業(yè)互聯(lián)網(wǎng)園區(qū)。
- APP安全防護
在邊緣計算平臺開放架構下，工業(yè)互聯(lián)網(wǎng)企業(yè)非常關注對第三方APP的安全防護。APP安全防護包括APP網(wǎng)絡安全隔離、APP訪問控制和應用清單安全管理等。對于共享物理鏈路的不同APP，在網(wǎng)絡層應進行邏輯區(qū)隔，實現(xiàn)MEP與APP、APP與APP的安全隔離，并部署不同的vFW(Virtual Fire Wall，虛擬防火墻)等進行防護。可以應用存儲加密、鏡像加密及完整性校驗等手段，防止因APP之間訪問無防護導致的容器級攻擊、資源層橫向移動攻擊、應用層攻擊和業(yè)務流量攻擊。可以采集MEC資產(chǎn)清單，對租戶的文件和APP開展安全分析，進行應用黑白名單管理。
5G為工業(yè)互聯(lián)網(wǎng)企業(yè)提供了網(wǎng)絡連接和計算處理平臺等方面的支撐。安全是確保工業(yè)互聯(lián)網(wǎng)在各生產(chǎn)領域能夠落地實施的前提，更是產(chǎn)業(yè)安全和國家安全的重要基礎和保障。我們必須高度重視工業(yè)互聯(lián)網(wǎng)安全，以5G自身安全能力為基礎，結合工業(yè)互聯(lián)網(wǎng)業(yè)務特征與運營模式，提供具有針對性的安全防護方案，增強工業(yè)互聯(lián)網(wǎng)安全防護能力。
當前文章：“5G+工業(yè)互聯(lián)網(wǎng)”安全能力及場景化解決方案
URL網(wǎng)址：http://m.5511xx.com/article/dpdsipd.html
