《5G網絡雲基礎設施安全指南》第I部分發布

盡管雲計(jì)算(suàn)将在5G網絡的成功落地中發揮着關鍵作(zuò)用(yòng)，但(dàn)任何新技術的應用(yòng)都會(huì)帶來(lái)安全問題，雲計(jì)算(suàn)也(yě)不例外(wài)。美(měi)國國家安全局(NSA)和(hé)網絡安全與基礎設施安全局(CISA)近期發布了(le)《5G網絡雲基礎設施安全指南第I部分：防止和(hé)檢測橫向移動》(以下(xià)簡稱“指南”)。 該指南圍繞零信任理(lǐ)念展開(kāi)，主要面向參與構建和(hé)配置5G雲基礎設施的服務提供商和(hé)系統集成商，關注安全隔離網絡資源、數據保護以及确保雲基礎架構的完整性等重點問題，涉及包括雲環境下(xià)的邊界加固防護、内生安全、軟件安全、API安全等在内的六大(dà)重點内容： 1. 身份認證和(hé)訪問管理(lǐ) 企業組織無論部署任何種類的訪問控制模型，虛拟機(VM)、容器或其他(tā)産品，其目的都是爲了(le)能(néng)夠充分緩解5G雲環境中的漏洞和(hé)橫向移動的威脅。從(cóng)IAM的角度來(lái)看(kàn)，統一身份認證、最小(xiǎo)訪問控制權限、多因素身份驗證等基本的安全控制和(hé)實踐可以大(dà)有作(zuò)爲。企業組織可使用(yòng)證書來(lái)實現(xiàn)傳輸層安全(mTLS)和(hé)證書鎖定，以驗證證書持有者的身份。除此之外(wài)，借助日志記錄快(kuài)速識别異常行爲，并及時(shí)實施自(zì)動修複功能(néng)也(yě)很(hěn)重要。 2. 及時(shí)更新軟件 雲環境複雜(zá)性強的原因之一是大(dà)量的軟件源，其中包括爲5G雲消費者提供服務的開(kāi)源和(hé)專有軟件。因此，5G雲供應商實施穩健安全的軟件開(kāi)發流程至關重要，例如建立NIST的安全軟件開(kāi)發框架(SSDF)以及成熟的漏洞管理(lǐ)程序和(hé)操作(zuò)流程。該漏洞管理(lǐ)程序應包含所有公開(kāi)已知(zhī)的漏洞(無論是否有補丁)、零日漏洞，程序還應具備補丁管理(lǐ)功能(néng)。 3. 安全的5G網絡配置 企業組織的雲安全部署可能(néng)各不相同，并且有很(hěn)多層，例如虛拟私有雲(VPC)、主機、容器和(hé)Pod。因此建議(yì)企業組織根據資源敏感性的區(qū)别對(duì)資源進行分組，并通過微分段限制爆炸半徑。 網絡配置和(hé)通信隔離是5G網絡環境下(xià)雲安全防護的關鍵所在。由于雲的多租戶性質和(hé)軟件定義網絡 (SDN) 的引入，需要一種新型的、可實現(xiàn)的、穩定的安全防護方法。指南建議(yì)使用(yòng)雲原生功能(néng)(例如網絡訪問控制列表和(hé)防火牆規則)來(lái)正确限制網絡路徑，這(zhè)對(duì)防止攻擊者在雲環境中橫向移動具有關鍵意義，因爲，如果攻擊者破壞了(le)單個VPC或子網，這(zhè)可以避免它成爲攻擊者在雲環境中繼續攻擊其他(tā)VPC和(hé)子網的樞紐點。 指南的其他(tā)建議(yì)還包括，通過防火牆的的默認拒絕條款和(hé)出入站(zhàn)流量的訪問控制列表，以及通過使用(yòng)服務網格來(lái)控制東西向流量。 4. 鎖定隔離網絡功能(néng)之間的通信 雖然5G雲環境的網絡實施和(hé)架構非常複雜(zá)，但(dàn)還應确保所有通信會(huì)話(huà)都經過适當授權和(hé)加密。如開(kāi)篇所述，企業組織應積極使用(yòng)微分段，以最小(xiǎo)化環境中任何特定網絡分段危害的“爆炸半徑”。 5. 監測橫向移動威脅 5G網絡環境下(xià)的雲安全離不開(kāi)适當的監控、檢測、警報(bào)和(hé)補救措施，涉及監控用(yòng)戶行爲異常和(hé)可疑網絡流量行爲等活動，例如與已知(zhī)錯誤的外(wài)部地址通信。 6. 引入AI等新型技術 複雜(zá)且動态的5G雲環境需要使用(yòng)增強的技術和(hé)功能(néng)來(lái)進行安全防護，以适應5G活動和(hé)遙測的規模，例如AI技術等。在許多複雜(zá)的雲原生環境中，安全團隊根本無法跟上(shàng)活動的範圍或規模。通過使用(yòng)CSP和(hé)第三方功能(néng)，安全團隊可憑借自(zì)動化技術來(lái)速識别和(hé)限制惡意活動。自(zì)動化是實施零信任架構的關鍵支柱，5G雲安全也(yě)是如此。 來(lái)源：51CTO