移动边缘计算网络安全防护关键技术研究

张振江 刘 赛 常晓林 曾剑隽 刘颖慧

1 北京交通大学 北京 100044

2 北京云驰未来科技有限公司 北京 100012

3 中国联通研究院 北京 100176

引言

随着云计算、大数据、移动互联网、人工智能等技术的蓬勃发展，计算向着资源边缘化的方向不断延伸和发展[1]。物联网技术的发展催生了大量智能终端的涌现，它们在物理位置上处于网络的边缘侧，而且种类多样。根据Statista的数据，到2025年，全球物联网设备的数量将达到386亿台，并有超过50%的数据需要在网络边缘侧分析、处理与储存[2]。网络边缘的设备数量迅速增加，其所产生的数据已达到泽字节(ZB)级别，并且各种设备交互感知。更多的连接、更大的流量、更多的应用，在促进网络的革命性发展。但由于安全标准滞后以及智能设备制造商缺乏安全意识和投入，物联网存在的巨大安全隐患，是个人隐私、企业信息安全甚至国家关键基础设施的头号安全威胁。物联网是与物理世界交互的，在自动驾驶、智能电网、灾害监测等应用场景中，一旦出现安全问题就会涉及生命财产的损失[3]。因此，物联网安全比互联网安全更重要，影响更大。边缘计算的引入为物联网安全的发展带来巨大的机遇，部署在边缘的数据中心可以为终端执行隐私保护算法提供充足的资源，有效地保护终端的隐私数据。物联网设备资源有限，无法执行完整的安全协议，可以借助边缘服务器(节点)进行协议代理，实现数据的端到端安全传输。随着第五代移动通信网络(5G 网络)的商用[4]，移动边缘计算所具有的低时延、高带宽、大容量等优势，解决了传统通信领域的诸多问题，但也导致数据流量的极速增长，因此运营商亟需提供安全、可靠、可行的网络防护能力。

万物互联系统在紧密耦合网络系统与物理世界中的关键性作用决定了其在安全属性和隐私保护方面的需求比在以往任何信息系统中更加重要，安全成为MEC建设必须要考虑的关键问题[5]。针对MEC安全技术问题的相关研究多从MEC结构特征出发，研究其面临的安全威胁。与传统网络相比，靠近网络边缘侧的边缘设备所处的网络环境更加复杂，对终端具有较高的控制权限，导致其在万物互联网络中提高数据传输和处理效率的同时，不可避免地带来新的安全威胁[6]。因此，MEC在实际应用和长期发展的过程中，需要全面地了解新的攻击威胁，及时发现边缘计算安全隐患。

1 需求分析

边缘计算[7]作为新兴计算范式，具有广泛的发展空间。对电信服务提供商而言，边缘应用通过将业务拓展至边缘网络部署新型服务以吸引新客户，从而拓宽业务渠道。随着边缘计算相关技术，特别是物联网(IoT)和传感器技术的进步，数据越来越需要在收集处或近用户端进行处理[8]。由于边缘计算具有内容感知、实时计算、并行处理等开放特性，其服务环境面临移动终端数量庞大、环境复杂等问题，导致MEC平台面临的非授权访问、敏感数据泄露、DDoS攻击、物理攻击等安全风险加剧，使原已存在于云计算的设备安全、数据安全和隐私保护等安全问题在MEC环境下愈发凸显。

在相关标准方面，目前，边缘计算安全特别是MEC安全尚未形成成熟的框架和标准，一些研究机构针对边缘计算安全的部分问题进行了探讨[9]。欧洲电信标准协会ETSI发布的《移动边缘计算介绍性技术白皮书》指出，MEC面临的安全挑战源于将IT应用引入电信领域时，其与现有电信运行环境的合规性要求之间的冲突，并以此提出应用隔离、可信计算、可信第三方应用程序和网络接口保护等多项安全措施；美国工业互联网联盟IIC发布的《IIoT中的边缘计算简介白皮书》认为在工业领域增加更多的信息组件和通信连接引入了新的攻击向量，除需考虑端到端的安全防护外，还应考虑设备和网络的内生安全以及对计算和节点进行安全监测等问题；边缘计算产业联盟ECC发布的《边缘计算安全白皮书》分析了电信运营商、企业和IoT、工业互联网三大典型价值场景下边缘安全面临的挑战和需求，结合典型案例提出了处理相应安全问题的方法组合及边缘安全的参考架构，但在与电信领域紧密结合的MEC方向，所提出的通用性框架尚需结合MEC的具体安全需求对相关技术进行细化。

构建边缘范式生态系统的主要挑战是安全性。一方面，边缘计算融合了无线传感器网络、MEC和分布式数据存储等多种技术，不同安全域之间的防御策略各异[10]；另一方面，边缘设备更靠近终端用户，所处的网络环境更加复杂、不稳定，传统的安全防御算法难以适应资源有限的边缘节点[11]。因此，需要对安全防御模型进行重新设计。本文基于目前MEC安全发展现状及趋势分析，结合边缘计算安全面临的挑战，着眼于MEC未来的安全需求，针对性地剖析移动边缘计算安全防护需求。

2 MEC安全技术架构设计

本文充分利用互联网安全与云安全的技术理念，重点研究MEC中节点安全、网络安全、数据安全和应用安全四大关键安全问题，充分满足面向万物互联的多样化服务及边缘计算范式对高效隐私保护、数据安全的新需求，采用大数据分析、全网主动防护管理等技术手段，解决安全态势感知、安全管理编排等关键问题，为边缘计算中数据保密性和安全计算迁移提供有效解决方案。本文提出的架构将传统安全方案与边缘计算中并行分布式架构、终端资源受限、大规模数据处理、环境动态变化等特性进行有机结合，对边缘计算中数据安全防护技术、身份认证协议、隐私保护和访问控制系统等关键技术进行总体研究与规划，建立通用协作的边缘计算安全防护体系。

MEC安全服务需要首先考虑以下5点原则：安全功能与MEC特定架构适配；安全功能部署具有灵活性与可扩展性；能够在一定时间内持续抵抗攻击；能在保持基础功能始终运行的前提下容忍一定程度和范围内的功能失效；整个安全系统能够在部分功能失效后快速完全恢复。此外，边缘网络的安全设计还需覆盖MEC架构的各个层级，需要有统一的态势感知、安全管理与编排、身份认证与管理、安全运维体系，才能最大程度地保障整个架构的安全与可靠。

结合特定的应用场景，MEC安全架构设计具体如下：MEC安全功能轻量化，保证安全功能能够在资源受限的物联网设备中部署；海量异构的设备接入使得传统的基于信任的安全模型不再适用，需要按照零信任和最小授权原则分配访问权限；利用关键的节点设备(例如边缘网关)实现网络与域的隔离，对网络攻击进行抵御并将安全风险控制在一定范围内，避免攻击由点到面扩散；将安全态势实时感知无缝嵌入到MEC架构中，实现持续的安全检测与响应。如图1所示，本文提出的移动边缘计算安全防护架构主要分为节点安全、网络安全、数据安全和应用安全4个方面，同时融合了身份认证、访问控制、密钥管理、可信计算、隐私保护、威胁检测与溯源等先进技术。

图1 MEC安全防护总体架构图

3 MEC安全防护关键技术研究

MEC安全涉及到多个层面，相关的关键技术较多，下面详细介绍典型的MEC安全技术。

3.1 网络安全功能虚拟化技术

软件定义的网络和安全一体化编程模型用于支持网络和安全一体化融合应用的开发，关注网络和安全功能的需求描述及实现，其中的编程模型负责实现网络和安全功能的融合逻辑，降低融合软件开发难度。

软件定义的网络和安全一体化编程模型设计的重点是对网络功能和安全功能的处理逻辑进行抽象，并通过软件编程的方式对抽象对象进行编程，编程模型设计的难点是如何在保障网络和安全功能融合逻辑正确性的同时保证网络和安全处理性能。

MEC安全防护框架利用虚拟化技术实现安全功能组件的动态加载与编排调度。在硬件平台上实现安全功能虚拟化是软件定义MEC安全防护框架的基础。安全功能组件承担一个或多个网络安全功能，如防火墙、入侵防护、Web应用防火墙(WAF)、负载均衡等。网络功能虚拟化旨在将传统网络功能以软件形式运行在高性能通用服务器上，实现功能与设备解耦，达到灵活部署、简化管理、节约成本的目的。安全功能虚拟化是网络功能虚拟化在安全设备上的应用，通过虚拟化技术，把安全功能组件以虚拟机形态运行在承载服务器上，如图2所示，通过安全功能虚拟化把传统安全设备转换成一个虚拟网络单元，通过对安全组件进行统一编排和管理，根据应用需求定义为不同的业务链，使不同业务流经过不同业务链内的安全组件进行处理，从而实现各种复杂的安全业务逻辑。

图2 安全功能虚拟化技术

安全功能虚拟化技术的难点在于将安全设备的硬件和软件解耦，并提供接近于物理硬件上的运行效能。本文采用虚拟机形态和容器形态相结合的模式，其中虚拟机形态适应性更好，很多传统网络组件都能提供虚拟机形态的模式；容器形态解决虚拟机效率低的问题，它只是系统隔离技术，并不需要硬件CPU支持虚拟化，执行效率接近主机性能，其劣势是对网络组件的改造比较大，并不是所有组件都能改造成容器形态。因此本文采用虚拟机和容器形态统一管理的方式，既有虚拟机形态的广泛适用性，又具有容器形态的高性能优势。

3.2 安全云服务联动技术

安全云服务联动涉及到策略自动下发和统一策略接口下发功能，其主要功能是在检测到有威胁日志后，根据威胁日志自动响应，下发相应的防火墙策略，无须人工干预，形成安全云服务联动过程，该过程是将安全运营相关的工具、技术、流程和人员等各种能力整合到一起的一种协同工作方式。

为了实现安全策略自动下发功能，本文研发了一个策略编排与自动响应平台，可以无需编写代码即可实现自动化响应流程。通过可视化工具，基于应用编排出实际的安全服务场景剧本，实现无人值守全自动化操作。应用是将企业和组织安全运营过程中用到的各种安全设施通过应用程序编程接口(API)或图形用户界面(GUI)标准化统一封装后形成的安全能力，并以服务的方式对外呈现出来。

安全联动是将企业和组织在安全运营过程中涉及的不同系统或者同一系统内部不同组件的安全功能通过API封装后形成的安全能力和人工检查点按照一定的逻辑关系组合到一起，以完成某个特定的安全运营过程和规程。整个安全联动自动下发的流程被称为一个剧本。剧本是安全运营流程在联动流程系统中的形式化表述，通常在编辑器中的工作流引擎驱动下执行。编写剧本的过程就是将安全运营流程和规程转换为剧本，并在剧本中将各种应用编排到一起的过程，也是将人读安全运营流程转换为机读工作流的过程。图3是一个安全联动的实例。

如图3所示，安全联动策略自动下发技术首先通过WebHook控制器监听安全产品的威胁日志，在监听到威胁日志后，自动触发“策略下发”应用下发相应的防火墙策略，并将下发成功或者失败的结果显示出来。其中核心应用是“策略下发”，主要实现根据WebHook控制器的结果下发相应防火墙策略的功能，“策略下发”应用串接了威胁日志监听和自动解析，根据解析结果调用统一的策略下发接口，并下发对应的防火墙阻断策略。图3中的平台可以监控策略下发安全联动这个剧本的执行情况，包括总执行次数、各应用执行情况，使整个安全联动过程具备可控性。

3.3 安全服务编排技术

安全服务编排技术将进入目标虚拟机的业务流量自定义串联多个安全网元，从而实现对进出租户的网络流量的编排，使流量依次进入安全防护的网元中，待安全网元对流量进行清洗、处理后，再进入到目标地址，具体编排流程如图4所示。

图4 安全服务链拓扑图

安全服务编排技术着眼于安全服务本身以及安全服务间的组合、重构与集成，以跨网交换系统的安全需求为导向，按照功能需求和业务逻辑生成服务链，提供高层次的安全功能，其具体分项功能如下。

1)安全需求分解：将安全需求进行分解，包括安全服务的种类、安全资源的占用(带宽、性能)等。

2)安全服务评估：分析运行中的安全服务是否可以满足安全需求，如果满足跳转到5)，如不满足则计算出需要新增的安全服务。

3)安全资源评估：评估现有的安全资源是否可以支撑新增的安全服务；如果不能则提示返回失败。

4)安全服务加载：根据需求向安全资源库申请相关安全资源，生成新的安全服务，并对其进行策略配置。

5)安全功能链构建：根据分配的安全服务设计数据引流策略。

6)策略下发：将数据引流策略下发到各个物理交换设备和虚拟交换设备。

安全功能链借鉴服务功能链的思想，构建串行和并行结合的安全功能集合，提高安全检查效率[12]。以一组数据交换的安全需求为例，如果交换需求为交换权限检查、数据泄露防护、文档格式检查和恶意代码查杀等安全功能，则构建由安全检查功能集合构成的安全功能链，包括串行和并行的安全功能。由于交换权限是决定能否进行数据交换的先决条件，故需要和其他安全功能进行串行检查。数据泄露防护、文档格式检查、恶意代码查杀等安全功能没有逻辑上的先后顺序，故可以并行进行安全检查。最后，汇总所有的安全检查结果，确保均通过后才可以进行数据交换。

安全服务能力基于资源池构建，针对不同跨网交换任务基于预置策略对安全处理流程进行编排，当安全服务需求发生变化时，安全处理流程也随之动态调整。例如，当安全服务需求发生变更时，需要增加数据脱敏的安全服务，则安全处理流程做如下调整：首先，数据脱敏设备(或虚拟的数据脱敏功能)向安全资源池注册，进入安全资源池的管理。其次，启动数据脱敏功能并进行策略配置，对现有安全功能链进行重新编排，增加数据脱敏处理流程，然后制定相关策略，并下发到相关网络设备或虚拟安全功能执行，最终实现安全功能的增加和安全服务的动态调整。编排框架利用开放API和模型驱动模板，与第三方SDN控制器、网络管理系统和编排平台集成，以管理和协调由多个技术域和供应商域的物理和虚拟资源组成的服务，同时支持虚拟网络和物理网络。

3.4 安全组件协同联动技术

MEC安全防护模块具备高集成度、安全防护能力多样等多种优势，同时具备软件定义安全的技术基础。安全组件协同联动技术可以实现安全组件协同防御、自适应安全等高级安全特性，进一步提升MEC安全防护模块处理威胁的效果和安全增益。

在安全组件协同联动方面，Gartner认为需要“预测→防御→监控→回溯(PPDR)”四个阶段。如图5所示，PPDR自适应安全模型构建协同安全架构通过全方位采集方式收集各安全组件的数据，进行归一化过滤处理后上报到自适应安全主体，控制平面根据控制指令生成动态安全策略，再由集中管理的自适应安全主体下发到安全组件中，完成自适应安全能力构建。

图5 自适应安全模型构建协同安全架构

MEC安全防护模块可以利用网络流量的监控手段分析、监控云平台的数据流量，从网络信息流、安全组件上报安全事件等多个方面对安全威胁进行关联感知；基于大数据、数据建模及融合技术，建立多源层次化安全态势感知模型，对资源性能、运行状态信息、行为日志、安全日志、流量日志等各种安全要素进行关联分析，实时感知最新安全状况。通过机器学习算法建立安全态势预测模型，根据网络系统安全需求、安全状态、特定用户需求等，选择最佳的网络配置变化元素组合来应对潜在的攻击，以满足特定等级的安全需求。充分利用MEC安全防护模块所具有的可编程性，动态更新网络配置元素种类、网络策略来应对新的威胁，保证持续演进。

4 结束语

移动边缘计算作为一种新的计算范式，在为物联网带来巨大发展机遇的同时，不可避免地引入新的安全挑战，传统的安全解决方案无法有效地应用于MEC系统。本文结合MEC网络基础支撑统一化、能力服务化、流程编排化等特点，重点研究了MEC网络安全防护技术，突破了安全功能高效虚拟化、安全云服务联动、安全服务动态编排、安全功能自适应部署与协同调度、态势感知和高级威胁检测等技术瓶颈，形成软件定义MEC网络安全纵深防御体系，推进了其在5G、工业互联网、超高清视频及AI等典型行业中的应用，为5G商业化提供了有力的安全支持。未来，MEC安全研究将构建全方位、多维度的安全防护解决方案，促进5G网络安全保障体系的建设，支持5G全面落地应用。