中兴通讯安全解决方案助电信云网络融合创新发展

发布时间:2018-09-27 作者:王全,方琰崴(中兴通讯) 阅读量:

NFV(Network Function Virtualization)作为一种先进的、颠覆性的技术变革,让电信运营商的网络架构更开放,业务部署更灵活。NFV使软硬件解耦,即通过使用虚拟化技术,使得X86 等通用硬件可以承载电信功能软件,维护更加便利,从而大幅降低电信运营商的CAPEX和OPEX。但在NFV架构下,为实现各层面的互操作性,NFV组件之间必须具备开放性,带来组件交互的开放性安全风险;相对于传统网络,NFV增加了MANO(Management and Orchestration,管理和编排)和Hypervisor(管理程序),新网元及虚拟化平台的引入也带来安全性方面的新挑战。


安全是电信网络的基本需求。中兴通讯安全方案能够消除NFV系统中存在的安全风险,切实保障虚拟化电信云网络系统的安全运行。

NFV系统安全解决方案架构


在构建电信云网络之初,运营商需要基于ETSI NFV架构,以全方位视角审视NFV系统面临的安全威胁,构建无“安全盲区”的NFV系统。

中兴通讯在CSA(Cloud Security Alliance)规范基础上,按照业界最佳安全实践组建电信网络的各个组件,在NFV产品生命周期内,在各阶段建立云安全检查点,把通过云安全检查点作为该环节关闭的必要条件,从物理安全、NFVI安全、VNF安全、MANO安全和公用安全方面制定一系列的安全举措,形成如图1所示的NFV安全解决方案架构。

 


NFVI安全架构和关键技术


可靠的NFVI安全架构能够满足NFVI层面的安全增强需求,为NFV多租户网络提供SECaaS(Security as a Service,安全即服务)。中兴通讯安全方案采用电信级操作系统作为NFV的Host OS,并针对云安全进行优化,在安全加固方面采取了多项关键技术。

● NFVI组网安全

安全的组网部署可以实现VNF组件之间、基础设施及VNF业务之间的网络隔离。基础设施网络分成云管理网络、存储网络、业务网络和带外管理网络,四类网络物理必须隔离。还可以部署基于SDN(Software Designed Network)的网络安全业务链。

● 安全启动和增强的Hypervisor

中兴通讯安全方案为电信云网络提供CPU隔离、内存隔离、网络隔离和存储隔离,保证虚拟机的资源独立及信息安全,并提供Guest/Host的指令空间隔离,禁止某个虚拟机运行在高特权模式下威胁到另一个虚拟机的情况。同时,还对虚拟机VM进行一系列QoS保障,虚拟机的CPU、内存、网络I/O、存储I/O资源都设置上限、下限及优先级控制,既能开展普通业务,又保证关键业务的运行。为了避免虚拟机逃逸攻击的威胁,中兴通讯云平台提供良好的虚拟机资源隔离机制,通过认证机制保证共享资源的组件是可信的。

● 数据安全

中兴通讯安全方案提供密码管理功能,管理租户的密码生命周期和访问控制权限,账号密码需要符合复杂度管理要求,并使用MD5(Message Digest Algorithms5,消息摘要算法第五版)进行加密保存。中兴通讯电信云网络平台在传输用户密码时,使用HTTPS安全连接,防止用户密码在传输中泄露;具备存储加密功能,将虚拟机数据写入磁盘之前对其进行加密,保证用户数据的隐私性;块存储中的卷在挂载到主机上时对其进行加密,再将加密后的块设备提供给虚拟机使用。

VNF安全方案和关键技术

VNF是电信网元的功能逻辑实现,是NFV系统的核心信息资产,其安全性至关重要。中兴通讯安全方案为VNF设计可信的安全方案,保证VNF整个生命周期及业务流程的安全。

● 业务组网

业务组网首先要考虑业务网络隔离。VNF网络包括VNF内部互通网络、VNF外部互通网络。VNFC(VNF Component)的每个互通网络平面都有一个专用的虚拟网口,通过vSwitch或SR-IOV(Single-Root I/O Virtualization)连接到外部物理网络。根据VNF的安全风险等级,将VNF划分成多个安全域,跨越安全域的VNF间互通流量需经过防火墙隔离,安全域内VNF之间的互通不需要经过防火墙。

● 虚拟机生命周期

完备的VM安全贯穿整个虚拟机的生命周期,体现在生命周期的各个阶段:在VNF模板中,NFV需采用数字签名及MD5等,支持NSD、VNFD 在注册、加载、更新时的完整性验证和来源鉴权。通过VNF的安全需求设计亲和、反亲和原则,限制携带敏感数据的VNF与具有外部访问接口的VNF共用物理服务器。而VM的镜像、快照必须存储在安全的路径下,采取存储加密功能,防止被非法授权访问后出现恶意篡改行为。

MANO安全加固和关键技术

MANO是NFV的管控节点,中兴通讯针对MANO的特点制定了安全解决方案,防范全局性系统安全风险。

● 统一接入门户和控制节点认证

中兴通讯安全方案实现NFV系统的统一认证、单点登录及操作日志。采用反向代理,提供集中账号管理,建立基于唯一身份标识的全局实名制管理。通过集中访问控制和细粒度的命令级授权策略,基于最小权限原则,实现集中有序的运维操作管理。通过集中安全审计,对用户从登录到退出的全程操作行为进行审计,监控用户对目标设备的所有敏感操作,聚焦关键事件,实现对安全事件地及时发现预警,及准确可查。

● NFVO、VNFM安全加固

中兴通讯安全方案对NFVO(Network Function Virtualization Orchestrator)、VNFM(Virtual Network Function Manager)进行多项安全加固,确保虚拟机安全、端到端安全、接口交互安全、镜像存储安全。

● 日志集中审计和资源安全回收协同

中兴通讯安全方案支持集中采集及分析NFV系统中各节点的日志,这使得运维人员能够实时了解系统的安全事件和运行状况。在日志采集和存储中,可以收集并存储NFV系统产生的操作类日志、安全类日志和系统类日志,全面记录系统运行状况。

基于NFV虚拟化的电信云网络,相对传统网络更加复杂、灵活、开放,为电信网络IT化提供技术基础。而同时,NFV系统也带来了更多的安全风险,对NFV商用网络造成潜在的危害和挑战。电信运营商需要基于ETSI NFV架构,全面审视NFV中潜在的安全威胁,形成多维度、纵深安全防护方案,封堵NFV系统中的安全漏洞。并且,在日常运维中,运营商需建立专业的网络安全服务团队,组建可持续的电信网络安全服务保障体系,为电信云网络安全保驾护航。