核心網安全技術探討

王宇??

【摘要】移動通信網發展的目標是為用戶提供質量更佳的移動語音、寬帶移動數據和移動多媒體服務，提供更大的系統容量和更高的頻譜利用率，滿足人們對通信個性化的需求。為了適應移動數據業務和多媒體業務的發展，核心網也將隨之發生相應的變化。核心網將憑借先進的網絡架構提供更好的語音服務，并可更好地處理數據業務和多媒體業務。本文闡述了核心網的體系結構及安全域的劃分方式，核心網各安全域內應該包含的主要設備，并在此基上詳細分析了核心網安全性技術應用。

【關鍵詞】核心網；網絡架構；安全機制；安全域

Discussion on core network security technology

Wang Yu

（Tianyuan Ruixin Communication Technology Co.， LtdXi'anShaanxi710075）

【Abstract】Mobile communication network development goal is to provide users with better quality of mobile voice and broadband mobile data and mobile multimedia services， provide greater system capacity and higher spectrum efficiency， meet the personalized requirements of the communication. In order to adapt to the development of mobile data business and multimedia business， the core network will change accordingly. The core network will provide better voice services with the advanced network architecture and better handle the data business and multimedia business. This paper expounds the core network architecture and the classified methods of security domain， core network should contain the main equipment inside each security domain， and base on this core network security technology are analyzed in detail.

【Key words】Core network；Network architecture；Security mechanism；Security domain

1. 核心網技術組成以及核心安全

隨著移動通信、數據通信和光纖通信的飛速發展，通信業務需求日益膨脹。通信業務的不斷發展和頻譜資源的日益短缺，驅動了移動通信從最初的2G，發展到現在的5G，中間經歷了各種不同技術的競爭，也出現了不同的發展方向。目前大家都在思考具體應該使用哪種技術，哪種技術更適合我們，誰才是標準。不管是哪種傳輸技術，哪個頻段，最終應用的目的都是使手機能夠連到互聯網上。任何跟互聯網有關的東西都不可避免地要受到病毒與攻擊的侵擾，這已經成為互聯網的一個揮之不去的陰影。尤其是在當前全網IP化的趨勢下，該問題尤為突出。所以網絡安全問題，特別是核心網的安全問題很值得我們深思。

核心網包括了實現傳統語音業務的電路域和提供數據接入的分組域兩個部分。核心網具備處理所有與話音呼叫、數據連接以及與外部網絡相關的交換、連接、路由的功能，因而明確核心網安全域的劃分原則，并全面地分析核心網所面臨的安全威脅對于安全至關重要。

核心網的體系結構主要包含以下網元實體：

1.1媒體網關MGW（Media Gateway）。

（1）CS-MGW用來定義CS域的媒體網關。針對一個定義的網絡來說，MGW可以認為是PSTN/PLMN傳輸的終止點，包含斷點承載和媒體處理設備（如碼轉換器、回波補償設備等）。

（2）MGW 可以終結從一個電路交換網絡和分組網絡（如，IP網中的RTP流等）的承載信道。在Iu接口上，MGW可以支持媒體轉化、承載控制和有效載荷處理（編解碼器、回升補償設備以支持不同的CS域業務的Iu接口選項 （基于AAL2/ATM，也可以基于 RTP/UDP/IP）。

1.2MSC sever。

MSC Server主要負責移動始發和移動終接的CS域呼叫的呼叫控制。 它終結用戶到網絡的信令并將其轉換成網絡到網絡的信令。它包含一個VLR以保持移動用戶的簽約數據以及CAMEL相關數據。

1.3GMSC Server （Gateway MSC Server）。

網關MSC（GMSC）是用于連接核心網CS域與外部的PSTN的實體。通過GMSC，可以完成CS域與PSTN的互通。它主要功能是為PSTN與CS域的互聯提供物理連接，并且在固定用戶呼叫移動用戶時具有向HLR要漫游號碼的功能。

1.4T-SGW（傳輸信令網關）。

當電路域采用IP傳輸時，需要處理的是IP信令。T-SGW作為信令網關，處理3G-CN和PSTN/ISDN網之間的信令轉換。

1.5R-SGW（漫游信令網關）。

R-SGW作為漫游信令網關，完成2G PLMN和3G PLMN之間的漫游信令轉換。endprint

1.6SGSN。

SGSN 是GPRS業務支持節點，是PS域網絡的核心。它對MS的位置進行跟蹤，完成安全鑒權功能與接入控制，并與GGSN共同完成PDP連接的建立、維護與刪除工作。對于3G基站來說，SGSN是通過Iu接口與3G RNS相連接。

1.7GGSN。

GGSN是3G網關支持節點?？梢詫GSN理解為連接核心網分組域與外部網絡的網關。核心網PS域通過GGSN與外部的分組網相連。

1.8HLR/AuC。

（1）歸屬位置寄存器（HLR）是系統的數據中心，它存儲著所有在該HLR簽約的移動用戶的位置信息、業務數據、帳戶管理等信息，并可實時地提供對用戶位置信息的查詢和修改，及實現各類業務操作，包括位置更新、呼叫處理、鑒權、補充業務等，完成移動通信網中用戶移動性管理。

（2）鑒權中心（AuC）用于系統的安全性管理，AuC存儲著鑒權信息和加密密鑰，用來防止無權用戶接入系統和保證通過無線接口的移動用戶通信的安全。

1.9EIR。

移動設備識別寄存器（EIR）存儲著移動設備的國際移動設備識別碼（IMEI），通過核查白色清單、黑色清單或灰色清單這三種表格，在表格中分別列出準許使用的、出現故障需監視的、失竊不準使用的移動設備的IMEI號碼，使得運營部門對于不管是失竊還是由于技術故障或誤操作而危及網絡正常運行的UE設備，都能采取及時的防范措施，以確保網絡內所使用的移動設備的唯一性和安全性。

2.安全機制替代傳統模式

安全性是網絡系統中一項重要要求，傳統的思路并不將網絡安全性視為基礎架構核心能力的組成部分。隨著網絡演進提速和安全威脅加劇，則需要改變傳統思維模式，確立以安全性為中心的理念，開展網絡構架和相關元素的開發工作。

2.1針對網絡高速發展中面臨的安全隱患，應該通過建立完整的不同于傳統模式的監控機制來應對安全隱患，防患于未然要比出了問題再處理更有效。啟用嚴格的網絡安全機制，通過隔離過濾、監測、認證等各種加密手段來降低用戶遭受攻擊的可能性，并且檢查和記錄攻擊發生的可溯源性。

2.2新技術組合的現身。目前針對核心網安全漏洞的全面監測與治理機制已納入網絡安全解決方案的設計中，通過安全評估來指導網絡管理、滲透測試、集成工程設計，以保證網絡系統內部不被入侵者突破最后防線。

2.3鏈接成為無線網絡安全新威脅。網絡鏈接已經成為垃圾郵件和網絡釣魚活動的新媒介，部分原因是對部署這些服務的設備所采用的技術和程序防御措施尚不成熟，或未像應用于其他平臺的防御措施那樣廣泛部署。對攻擊者而言，任何移動通信終端均可使用，與智能手機相比，它們擁有更龐大的目標用戶群。解決辦法仍是設備級保證和小容量MSC技術。

2.4設備級保證。MSC SERVER硬件系統可采用單板備份、負荷分擔、冗余配置等可靠性設計方法，并通過優化單板和系統來檢測和提高系統可維護性。軟件系統可采用模塊化設計，通過專業的容錯能力、對故障的監視系統及對故障的合理處理來保證設備的可靠性。MGW中，可采用模塊化設計，使部分模塊變化不會對其他功能模塊造成影響。設備的業務單板應支持多種備份和負荷分擔方式，避免單點故障。

2.5我國出臺的《信息安全技術信息系統災難恢復規范》中明確定義：災難是由于人為或自然的原因，造成信息系統運行嚴重故障或癱瘓，使信息系統支持的業務功能停頓或服務水平不可接受、達到特定的時間的突發性事件，通常導致信息系統需要切換到備用場地運行。事實上，要保持業務連續性，最大的威脅是受到諸如人為錯誤、流程缺陷等事件的威脅。所以災備系統的建設，不僅僅是IT技術上的實現，更多的是整個體系以及災備流程的建設。

（1）基于存儲鏡像復制技術?；诖鎯︾R像復制技術的災備方案的核心是利用存儲陣列自身的盤陣對盤陣的數據塊復制技術實現對生產數據的遠程拷貝，從而實現生產數據的災難保護。

（2）基于SAN網絡復制技術?；赟AN網絡復制技術，是近年來比較新的一種技術，此技術實質是在SAN網絡中增加一個虛擬存儲管理設備。

（3）基于操作系統卷復制技術?；诓僮飨到y卷復制技術工作在主機的卷管理器這一層，通過磁盤卷的鏡像或復制，實現數據的容災。這種方式也不需要在兩邊采用同樣的存儲設備，具有一定的靈活性。

（4） 基于數據庫邏輯復制技術?；跀祿斓膹椭萍夹g是一種邏輯復制技術，支持異構存儲、甚至是異構操作系統平臺。它的工作原理為通過分析生產數據庫的重做日志，生成通用或私有的SQL語句，然后傳輸到備份數據庫上進行APLY應用。

（5）雙平面網元的安全保障仍需要加強。STP、TMSC、GMSC：單網元能力不足，單平面出現故障時，另一平面不能完全接管。 現有的技術體制要求匯接層面的網元都實行雙平面組網。隨著業務規模的發展，雙平面組網的網元通過擴容方式保持安全備份。

3. 核心網的安全域劃分方式

3.1安全域劃分的原則：安全域是指同一系統內有相同的安全保護需求和安全等級，相互信任，并具有相同的安全訪問控制和邊界控制策略的子網或網絡。相同的安全域共享一樣的安全策略。劃分安全域，可以限制系統中不同安全等級域之間的相互訪問，滿足不同安全等級域的安全需求，從而提高系統的安全性、可靠性和可控性。

3.2核心網域所包括的范圍：CS核心網、PS核心網；鑒于PS核心網結構對GPRS核心網的繼承性以及互通要求，在安全要求部分將計劃改造的GPRS核心網也納入核心網域范圍。核心網CS核心網安全域劃分為：電路域、Gom域和計費接口域。核心網PS安全域劃分為：Gn域、Gp域、Gi域、Gom域和計費接口域。

3.3核心網安全威脅分析。

（1） CS域安全威脅分析。

電路安全域是CS核心網的核心，如果出現安全事故則直接影響業務和服務的提供。電路安全域又可以繼續細分為信令組網和承載組網兩部分。信令組網的安全更高于承載組網的安全。電路安全域組網可以是TDM或ATM或IP的方式，也可以是其中兩種或兩種以上的方式混合組網。對于TDM和ATM組網，因屬于專網組網或直接的點對點組網，安全性威脅不大。

（2）Gom域安全威脅分析。

基于通用操作系統平臺的主機，易遭受口令攻擊、端口掃描、IP欺騙、緩存溢出、木馬程序、蠕蟲病毒、等各種攻擊。外部流量通過竊聽、欺騙等手段獲取、篡改用戶數據并進行重放攻擊；由于帳號、口令管理存在的不安全因素造成從維護接口進來的攻擊計費接口域同Gom域。

（3）PS域安全威脅分析。

主要是Gp/Gn域的安全威脅，外部數據網絡對安全域內設備的攻擊。

同Gn/Gp域相連的承載網，可能存在惡意入侵與攻擊類型，攻擊的目標可能是Gn/Gp域設備。最常見的威脅有拒絕服務攻擊：產生大量的數據包發送到邊界網關，侵占邊界網關的帶寬，正常的業務無法通過，影響網絡的正常運行。拒絕攻擊同樣可以使DNS服務器和GTP數據溢出，大量的錯誤的DNS查詢使DNS服務器無法正常工作。

4. 結論

綜上所述， 核心網部分有可能引入新的安全風險，因此在建網之前就要對核心網存在的安全威脅從不同層次、不同角度進行分析，并明確核心網安全域的劃分方式，從而為核心網建設、維護提供安全方面的指導和依據。

參考文獻

[1]萬曉榆，樊自甫. 下一代網絡安全技術[M]. 北京： 人民郵電出版社，2007： 56 - 57.

[2]郭愛鵬，周光濤，唐雄燕. 面向多層次的IP 承載網安全策略[C]. 北京： 2009 年北京青年通信科技，2009： 199- 202.

[3]饒元，李毅，張帆，王汝傳.LTE 網管系統安全威脅分析及安全域劃分[J].信息化研究，2010（01）.endprint