Labs简介移动边缘计算作为面向5G的将云计算??能力下沉到边缘节点的新技术，与典型的存在三大差异：路由控制、无线网络能力开放、以及平台管理。云平台的独特功能。边缘计算在为终端提供低延迟分布式计算能力和智能节能运行模式的同时，不仅面临着云计算由于靠近终端设备、运行资源有限、访问终端无处不在的安全问题。计算系统的基础设施、虚拟化特性、数据资源、设备间交互、终端设备移动性等方面也面临着新的安全威胁。本文从边缘计算不同于一般云平台的新特性入手，分析该技术新特性带来的安全问题，并给出解决方案。随着5G网络的到来，移动流量将面临巨大的增长。流量的增长和通信成本的压力促使运营商实施多项变革，以保持用户体验质量、拓展收入渠道和优化网络运营。并充分利用资源。同时，随着物联网技术的快速发展和物联网应用的不断涌现，物联网连接设备的爆发式增长将进一步加剧网络拥堵。因此，网络运营商需要进行本地流量分析，并使用网络切片来缓解网络拥塞。影响。企业希望通过更高效、安全和低延迟的连接来支持和联系客户。应用程序和内容提供商在连接到云时也面临着网络延迟的挑战。在网络连接的背景下，存在无法满足实时性要求的不足，将终端设备隐私数据信息上传到云端数据中心会增加隐私泄露的风险，连接数的增加会带来云计算中心的能源消耗。万物互联的需求边缘计算模型应运而生。1.移动边缘计算2018年底，中国电子标准化研究院、阿里云等单位联合编制发布了文档《边缘云计算技术与标准化白皮书》，定义了边缘云计算的概念[1]，将移动边缘计算设备部署在移动网络边缘、无线接入网（RAN）内、靠近终端，为就近的移动设备提供IT服务能力和云计算功能。移动边缘计算设备可以直接访问设备上下文信息，例如终端设备的精确地理位置、设备网络状态，甚至移动行为信息。由于边缘计算将计算能力直接下沉到设备终端，不在网络中进行远距离传输，因此可以降低敏感信息被泄露和被盗的风险[2]。然而，边缘计算设备是终端设备数据的直接入口，可以获得大量的用户敏感信息数据，这对边缘计算设备的隐私保护机制提出了更高的要求。移动边缘计算将边缘计算平台的部署限制在5G等移动网络基础设施中，在某些情况下，设备本身可以参与服务提供过程。在移动边缘计算中，有几种不同类型的用户实体：云服务提供商、边缘计算服务提供商和用户。电信运营商可以成为移动边缘计算的提供商，因为他们拥有部署边缘数据中心的移动网络基础设施。第三方服务提供商可以与运营商紧密合作，开发移动边缘计算专用服务。然后可以对此类服务进行广泛测试，并可能以定制方式进行集成。面对不同的用户实体，他们对资源的访问权限是不同的。大规模物联网连接下，需要在满足不同用户主体需求的基础上，实现对用户访问权限的管理，最大限度地享受资源共享。,以防止未经授权的篡改和滥用信息。移动边缘计算是一种RAN相邻的高性能和运营商级云平台，允许在网络边缘进行计算。它同时处理从云服务主机到移动终端的下行数据和从移动终端到云主机的上行数据。移动边缘计算平台可由基站内外的标准IT服务器和网络设备组成，第三方应用在网络设备互连的虚拟机中部署和执行。也可以简单地使用标准的IT服务器来构建移动边缘计算平台，其中网络设备作为软件实体实现。其架构如图1所示。移动边缘计算平台的基本功能包括路由模块、网络能力开放模块和平台管理模块[3]。路由模块负责移动边缘计算平台、RAN和移动核心网之间以及移动边缘计算平台内部的数据包转发。网络能力开放模块允许开放无线网络信息服务(RNIS)和无线资源管理(RRM)的授权功能。平台管理模块支持第三方应用的认证、授权、计费和管理[4]，涉及应用部署的编排和网络能力开放的授权。图1移动边缘计算架构下面分析移动边缘计算框架涉及的三个模块中的安全问题并给出解决方案。2.路由控制模块2.1安全风险分析通过路由控制模块，用户平面流量（上行链路或下行链路）被传递到监控、修改或控制流量的应用程序，然后再将其发送回原始连接。边缘环境的终端设备移动性强，路由模块要实现业务连续性。路由模块应具备在移动终端切换到连接不同移动边缘计算平台的接入点时中断和消除会话的能力。路由模块负责移动边缘计算平台内虚拟机之间的流量转发，支持网络虚拟化以方便灵活的数据包转发背板，并将网络和安全服务分发给背板中可按需编程和管理的虚拟机。在移动5G网络中，需要加速内容的交付，以便移动用户能够及时检索数据。为了实现优化的数据传输，在基站和核心网络之间引入了一个名为TCP性能增强代理(PEP)的中间件[5]。引导移动网络外的TCP服务器向移动终端传输数据，并将无线信道容量的近实时信息插入到无线网络TCP数据包的选项字段中。TCP服务器可以利用这一点来提高移动网络的利用率。由于路由模块需要负责流量的传输，而边缘节点的能力与云计算中心相比相对有限，容易受到流量攻击。虽然单个边缘节点被破坏，附近的网络会很快找到最近的替代节点进行调整，损害不大，但如果黑客将捕获的边缘节点作为“肉鸡”攻击其他服务器，使用大量僵尸节点短时间内访问服务器，会导致服务器瘫痪，影响整个网络。2.2解决方案建议在转发流量时划分流量类型，在中心和分支之间设置防火墙。在某些情况下，边缘计算设备可能根本不需要连接到企业网络，例如在没有访问客户数据的情况下运行农场或使用边缘站点自动化工厂。边缘的微型数据中心应具有冗余保护级别的集群，并对传输的数据实施机密性、完整性和抗重放保护。调用移动边缘计算平台API时需要进行鉴权和授权。移动边缘计算平台应进行安全防护，实现最小化原则，关闭所有不需要的端口和服务，敏感数据（如用户中的位置信息、无线网络信息等）应安全存储，未经授权的访问被禁止。移动边缘计算平台应具有DDoS防护功能等。对于部署在虚拟化边缘环境的虚拟机，可以加强虚拟机之间的隔离，对不安全的设备进行严格隔离，防止用户流量流入恶意虚拟机。此外，还可以实时监控虚拟机的运行状态，有效监控恶意虚拟机的行为，防止恶意虚拟机的迁移感染其他边缘数据中心。3.开放无线网络能力3.1安全风险分析在移动边缘计算架构中，边缘设备可以安全地提供从底层移动网络中提取的服务和功能给第三方使用。同时，这些开放的API也给移动边缘计算带来了一定的安全威胁。如参考文献[6]所述，为用户、虚拟机和其他数据中心等各种参与者提供服务的API集，以及其他网络应用的接入点，为攻击者提供了相当数量的攻击面，增加了攻击矢量尺寸。边缘计算客户端越智能，它就越容易受到恶意软件和安全漏洞的攻击。同时，网络边缘高度动态的环境也使得网络更加脆弱和不受保护，从而带来隐私泄露、权限提升、服务操纵等安全问题。隐私泄露：边缘设备主要存储和处理来自附近实体的信息，在某些特殊情况下（如分布式服务器、迁移的虚拟机等），它可以处理来自其他位置的数据。这些边缘设备通常能够提取有关用户的敏感信息[7]。因此，隐私泄露是边缘计算开放网络能力的主要威胁之一。提权：开放的网络能力为外部对手控制其服务提供了更多的攻击面，使得这些基础设施配置很容易被篡改，内部攻击者也很容易被恶意利用和篡改权限。服务操纵：一旦边缘数据中心被恶意分子控制，他们可以通过提升权限或滥用自己的权限成为合法管理员来操纵数据中心的服务，从而导致选择性拒绝服务提供和选择性的安全风险信息篡改。3.2解决方案在对外提供服务接口的基础上，加强数据面网关的安全性，保证接口安全，保护敏感数据，防止物理接触攻击，使用户数据根据导流正确转发战略。具体而言，数据平面与移动边缘计算之间、数据平面与交互的核心网元之间应相互认证；数据平面与移动边缘计算、数据平面与交互核心网元之间的接口接口上通信内容的机密性、完整性和抗重放保护；应保护数据平面上的敏感信息（例如流量分配策略）；数据平面是核心网的数据转发功能网元，从核心网下沉到接入网时，应防止攻击者篡改数据平面网元的配置数据和读取敏感信息。对于权限提升和服务操纵的问题，可以考虑基于区块链的信任安全架构。其中心思想是不自动信任任何内部或外部用户或终端，并在授权之前验证任何尝试访问的设备，以限制黑客的横向移动，以防止攻击者成功渗透端点设备，横向移动整个环境或使用网络钓鱼获取访问凭证以直接到达目标资产所在的数据中心。4.平台管理4.1安全风险分析平台管理模块管理其他模块和本地IT基础设施，支持对网络能力开放模块和分配给第三方应用的本地IT基础设施资源的认证、授权和计费操作。本地IT基础设施的管理主要部署为基础设施即服务(IaaS)[8]，例如OpenStack。平台管理模块由相互关联的组件组成，这些组件控制计算、存储和网络资源的硬件池，以根据第三方应用程序的要求规划和协调IT资源。在平台管理的IaaS中，存在两个安全问题：终端数据安全和不同终端之间的数据安全。由于边缘设备是数据的直接入口，终端用户的公共数据和私有数据直接通过边缘设备进行传输和处理，这就需要边缘设备对这些数据进行单独处理，对私有数据进行加密保护，确保数据安全隔离，避免隐私数据泄露和被盗。不同终端之间的数据是不一样的，有些终端数据是不能泄露的。这就需要对不同终端之间的数据进行隔离，以保证终端之间数据的准确性和安全性。平台管理模块对网络能力暴露和路由模块的管理构建为一个PaaS实体，包括中间件的创建、删除、认证和注册。它应该提供一个标准化的环境，以便移动边缘计算平台可以容纳来自不同供应商的组件，管理层也有移动网络被错误或恶意API调用干扰的安全问题。管理模块和网络能力开放模块可以启动路由模块的路由策略设置。管理模块应具有网络安全系统处理特定功能的能力，并对加载到本地网络的用户流量进行收费。管理模块权限比较大，如果被攻击，对平台影响很大。由于移动边缘计算平台的计算和存储资源相对有限，无法部署全球入侵检测系统，在大规模物联网环境下，基础设备的结构、协议、服务提供商各不相同，没有统一的规范。难以检测内部和外部攻击。4.2解决方案平台的安全管理与传统网络的安全管理相同，涉及账户、密钥安全、授权管理、日志安全等，需要保证只有授权用户才能进行操作。用于访问设备的密钥不能是简单密钥或默认密钥，应使用强密码或多因素身份验证，尤其是对于管理员和根访问帐户。由于边缘计算将算力下沉到边缘，一些操作和计算过程不经过核心网，计算和数据传输都在小范围内进行，缺乏对这些操作的监管。虽然边缘计算包括做出关键决策的能力，但需要额外注意它接收到的数据或命令，包括检查输入错误等传统网络安全威胁，还必须包括对有效数据的完整性检查。同时，建议定期审计边缘计算平台的日志数据，以便及时发现上述攻击事件和安全问题。5.结语通过移动边缘计算，无线接入网络具备计算和存储能力，将各种计算服务从云端推送到网络边缘，可以保证更短的响应时间和更好的可靠性，也可以大大节省数据传输带宽[9]。移动边缘计算增强的RAN可以依靠其边缘服务器或云资源为移动终端提供上下文感知服务并转发用户流量。本文从移动边缘计算的架构出发，分析了路由转发、无线网络开放和平台管理三个模块的具体功能和相关安全风险，并提出了解决方案。在防范移动边缘计算安全风险的基础上，对于安全等级要求高的移动边缘计算应用，未来还应该考虑如何通过安全服务的形式，为移动边缘计算应用提供网络安全能力。能力开放。在满足安全需求的同时，支持更多商业模式的拓展，创造更大的网络价值。
