5G架构已变，4G防御思维正在失效
|
去年五一期间，我负责某省级运营商的5G核心网安全测试——这本该是场“常规操作”，结果却让我后背发凉。按照4G时代的防御逻辑，我们在核心网边界部署了DPI流量分析系统，预设了200多条基于端口和协议的检测规则，结果呢？攻击者用gNB-CU和gNB-DU之间的F1接口漏洞，直接绕过了所有边界防护，在核心网内横向移动了17分钟才被发现——这要是真实攻击，数据早被偷光了。为什么？因为5G的架构变了，4G那套“边界防御+特征库匹配”的思维，根本跟不上。
文章配图，仅供参考 4G的核心网是EPC（演进分组核心网），架构像座“围城”——用户面（S1-U）和控制面（S1-MME）严格分离，所有流量都得经过PGW（分组数据网络网关）这个“大门”，防御重点就是守住这道门。但5G的SBA（服务化架构）直接把“围城”拆了，核心网功能变成了一堆微服务（AMF、SMF、UPF…），通过HTTP/2协议互相调用，就像把原来的“大仓库”拆成了“分布式小超市”，每个服务都能直接和外部交互。我实测过，某地市的5G核心网，UPF（用户面功能）和外部数据网的接口从4G的1个变成了5G的12个，攻击面直接扩了12倍——4G时代只需要防“大门”，5G得防12扇“小窗”，这防御难度能一样吗？更要命的是，5G的“切片”技术让防御彻底失效——去年我参与测试的某工业互联网5G专网，企业把生产数据、监控数据、办公数据分成了3个切片，每个切片用不同的QoS（服务质量）策略。结果攻击者利用切片管理接口的漏洞，先入侵了低安全等级的办公切片，再通过切片间的资源共享机制，横向渗透到了生产切片——4G时代哪有这种“切片间跳板攻击”？传统的基于IP段的隔离规则，在5G切片里完全不管用，因为同一个物理设备可能同时承载多个切片，IP地址根本无法区分安全等级。这就像用4G的“小区门禁”去管5G的“单元楼门禁+房间门禁”，门禁系统直接瘫痪。 有人可能会说：“那升级防御系统不就行了？”但现实是，4G的防御工具根本“看不懂”5G的协议——我试过把5G的NGAP（下一代应用协议）流量喂给4G时代的DPI设备，结果设备直接报错“未知协议”，因为NGAP的编码方式、字段定义和4G的S1-AP完全不同。去年某运营商的5G核心网被攻击，就是攻击者利用了NGAP协议中的“未初始化指针”漏洞，而当时的防御系统连“NGAP”是什么都不知道，更别说检测漏洞了。这就像用4G的“收音机”去收5G的“数字电视信号”，根本不在一个频道上。 我主观判断——5G的安全防御，必须彻底抛弃4G的“边界思维”，转向“零信任+动态防御”。比如，针对SBA架构的微服务特性，防御系统得能实时识别每个服务的身份（比如AMF的唯一标识），而不是只盯着IP地址；针对切片技术，得用“基于业务属性的隔离”代替“基于IP段的隔离”，比如根据数据的敏感等级（生产数据>监控数据>办公数据）动态调整访问权限；针对新协议（NGAP、HTTP/2），得开发专门的检测引擎，而不是硬塞进4G的老设备里。去年我在某实验室试过一套基于AI的5G防御方案，它能自动学习5G核心网的正常通信模式，一旦出现异常（比如某个服务突然频繁调用另一个服务），就立刻触发告警——这种“动态防御”，才是5G时代的安全刚需。 当然，我也承认局限——5G的安全标准还在演进，比如3GPP的R18版本刚定义了“网络功能虚拟化安全增强”，但具体怎么落地，运营商还在摸索。下一步我打算联合设备厂商，把5G核心网的实时流量数据接入AI模型，训练出更精准的攻击检测模型——毕竟，5G的安全，不能靠“老经验”，得靠“新技术”硬刚。 （编辑：站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
