LTE網絡安全部署研究

高楓+李一喆+馬錚+張峰

為適應LTE/EPC網絡的引入，解決LTE/EPC網絡建設和演進中存在的安全問題，分析了LTE網絡面臨的安全威脅，在此基礎上提出并構建涵蓋LTE網絡安全域劃分、EPC網絡安全部署、IP承載網安全部署、LTE網絡邊界安全部署的整體網絡安全部署方案。

網絡安全 ? ?LTE網絡安全域劃分 ? ?EPC網絡安全部署 ? ?IP承載網安全部署 ? ?LTE網絡邊界安全部署

1 ? 引言

隨著移動通信技術的發展，3GPP標準組織啟動了面向無線網絡演進計劃的長期演進（Long Term Evolution，LTE）以及面向核心網絡演進計劃的系統框架演進（System Architecture Evolution，SAE）項目，以滿足高用戶數據速率、大系統容量、無縫覆蓋的網絡演進需求。

LTE網絡架構變化為移動通信發展帶來新的契機。與此同時，扁平的網絡結構、全IP化的網絡等特征也為LTE網絡帶來一定的安全威脅。

為適應LTE/EPC網絡的引入，解決LTE/EPC網絡建設和演進中存在的安全問題，本文將從LTE網絡演進特點及LTE網絡安全威脅分析入手，通過分析LTE網絡面臨的安全威脅，探索并提出LTE網絡安全部署解決方案。

2 ? LTE網絡安全威脅分析

LTE/SAE的關鍵特性主要表現為：

（1）網絡架構全面分組化：網絡全IP化，只有分組域，語音業務由分組域配合IMS域提供，提升網絡效率和性能。

（2）網絡架構扁平化：網絡結構趨于簡單，通過S-GW和P-GW的可選合設達到網絡扁平化的目的，簡化網絡部署，縮短時延。

（3）支持多接入技術：支持與現有3GPP系統的互通，同時支持非3GPP網絡的接入，支持用戶在3GPP及非3GPP網絡間的漫游和切換。

（4）高速率：峰值速率可以達到下行100Mbit/s，上行50Mbit/s。

（5）部署快：由于網絡的簡單化，可以快速部署網絡，以適應業務不斷豐富化發展的趨勢。

LTE網絡結構和業務的特征如圖1所示。

由于LTE網絡架構和業務特征的變化，使得LTE網絡面臨特定的安全威脅，主要表現在以下幾個方面：

（1）扁平的網絡結構

缺少對在回傳網上的數據的保護，數據存在泄漏風險;來自終端和eNB的攻擊可直達EPC。

（2）全IP化

無連接及開放的IP網絡使攻擊更容易;IP網絡的安全問題將被引入LTE網絡。

（3）高帶寬與終端智能化

高帶寬使得攻擊移動終端成為可能，移動終端面臨成為DDoS的攻擊工具的風險;終端的智能化及應用的多樣化，使得信令風暴愈演愈烈，針對SCTP和GTP的攻擊增多。

3 ? LTE網絡安全部署方案

針對LTE網絡安全威脅，需要全面考慮LTE網絡安全問題，設計LTE網絡安全部署方案。根據LTE網絡安全建設需求，構建涵蓋LTE網絡安全域劃分、EPC網絡安全部署、IP承載網安全部署、LTE網絡邊界安全部署的整體網絡安全部署方案，如圖2所示。

3.1 ?LTE網絡安全域

通過劃分安全域，能夠在一定程度上隔離/減輕各安全域之間安全威脅的擴散或相互影響，從而提高全網的安全性、可靠性和可控性。

安全域劃分的原則為，劃分在同一安全域內的網絡設備需要具有相同的安全保護需求、安全保護等級、安全訪問控制策略、邊界控制策略，各網絡設備之間能相互信任。

據此，可將LTE網絡劃分為6個安全域：

（1）E-UTRAN安全域，包括eNB、PTN、CE、SEG。

（2）核心網安全域，包括MME、S-GW、P-GW、BG、CE、DNS。

（3）計費安全域，包括CG、計費服務器。

（4）用戶信息安全域，包括HSS、BOSS前置機。

（5）互聯網安全域，包括互聯網接入路由器。

（6）OMC安全域，包括LTE網管服務器、工作終端、安全管理設備、防火墻以及組成本域網絡的數據通信設備等。

3.2 ?LTE網絡邊界安全

LTE網絡邊界安全包括LTE核心網與OMC之間、LTE核心網與互聯網之間、LTE核心網與其他PLMN之間的安全3個部分。

（1）LTE核心網與OMC之間

LTE核心網與OMC之間網元需要配置單獨的物理接口，與其它業務流量獨立;為防止對核心網設備的攻擊，需要在OMC接口配置嚴格的授權訪問機制，同時在核心網端進行狀態檢測和設置ACL包過濾機制。

（2）LTE核心網與互聯網之間

LTE核心網與互聯網邊界配置防火墻，防火墻及安全策略為：在防火墻安全區，配置包過濾，建議采用狀態防火墻;針對外網對內網的攻擊，配置針對典型攻擊的安全策略;在核心網與出口路由器之間進行路由控制，防止泄漏核心網的內部拓撲信息。

（3）LTE核心網與其他PLMN之間

LTE核心網與其他PLMN之間的安全涉及S8、S9和S10等接口，在邊界部署BG、防火墻等設備，控制GTP、DNS、路由數據的傳輸，防止來自其它PLMN的安全問題。

邊界防護策略主要有ACL包過濾（可用防火墻實現）;IP攻擊防護（可用防火墻實現）;支持GTP協議解析功能的防火墻;采用加密的動態路由協議等。

3.3 ?EPC網絡安全

EPC網絡安全包括業務安全機制和設備安全這2個方面。endprint

（1）業務安全機制

NAS層、IRAT互操作的安全機制符合3GPP TS 33.401要求。接入控制：NAS信令完整性和機密性保護、AKA、GUTI分配、IMEI識別等;EUTRAN內和EUTRAN和GERAN/UTRAN之間切換場景下的安全機制;支持UE IP地址反盜用功能（Anti-spoofing）。

（2）設備安全機制

設備安全機制涵蓋管理面、控制面以及用戶面。管理面的安全保護主要是安全的網管連接，特別是遠程連接，同時管理用戶的認證、授權和審計;控制面的安全保護主要為設備防火墻，關閉不必要的端口，開啟路由協議的安全認證;用戶面的安全保護主要為采用訪問控制列表（ACL），對攻擊流量進行有效限制和跟蹤。

3.4 ?IP承載網安全

IP承載網安全主要包括業務接入安全策略和協議保護2個方面。

（1）業務接入安全策略

采取措施以充分保證業務系統接入IP承載網的安全。業務之間通過MPLS VPN進行隔離;應用系統配置防病毒軟件，關鍵業務節點應通過防火墻保護;IP承載網應采取路由過濾、路由限制、流量過濾、uRPF相關的安全措施控制流量沖擊帶來的安全風險，以保證PE的安全。

（2）協議保護措施

◆BGP保護

限定合法PEER路由器IP地址和所在AS號;在Access端口上采用嚴格反向路徑查找技術，過濾來自其他網絡的偽造源地址的BGP攻擊包，對不能支持嚴格反向路徑查找的設備，通過ACL過濾源地址實現類似功能;在所有Access端口上采用分組過濾策略拒絕非法的EBGP協議數據包[1]。

◆NTP保護

IP承載網通過分組過濾限制從外網進入承載網的NTP數據包，同時在NTP會話上進行MD5認證[2]。

◆組播保護

Access端口上利用分組過濾技術缺省禁止組播數據流，對MSDP進行MD5認證，在RP上對SA消息進行過濾。

◆SNMP

實施MD5認證和DES加密，通過MIB View限制對包含大數據量的表類型變量的訪問（路由表和CEF表）[2]。

3.5 ?網絡操作安全管理

網絡操作安全管理涵蓋對網絡管理員、網絡口令、網絡功能端口的管理和安全策略。

（1）網絡管理員

對網絡管理員進行分權和分級制，對網絡訪問的權限進行嚴格控制，避免由內部管理員誤操作帶來的安全隱患;高級網管員可以修改配置、刪除賬號;低級管理員只能察看網管界面，不能做任何改動。

（2）網絡口令管理

對設備的訪問實施AAA集中管理控制，避免采用設備本身的認證;采用TACACS+等加密的認證方式，保證用戶名和密碼在網上的傳遞是經過加密的[1]，采用One-Time密碼，防止密碼強制攻擊等手段;同時網絡口令需要有審計的功能，防止密碼被盜用的現象發生。

（3）網絡功能和端口

根據應用的不同，關閉不必要的端口和功能（如ICMP Redirect、Direct Broadcast、Proxy ARP），防止利用這些功能攻擊網絡系統。

4 ? 結束語

LTE網絡架構變化為移動通信發展帶來新的契機，與此同時，扁平的網絡結構、全IP化的網絡等特征也為LTE網絡帶來一定的安全威脅。為適應LTE/EPC網絡的引入，解決LTE/EPC網絡建設和演進中存在的安全問題，分析了LTE網絡面臨的安全威脅，在此基礎上提出并構建涵蓋LTE網絡安全域劃分、EPC網絡安全部署、IP承載網安全部署、LTE網絡邊界安全部署的整體網絡安全部署方案。網絡安全攻防技術動態演進發展，因此網絡安全部署需要不斷升級改造，隨著LTE網絡的建設運營及移動網絡攻擊技術的變化，未來可能出現新的安全問題，因此需要不斷跟進和進一步深入研究網絡安全部署方案。

參考文獻：

[1] 林秋輝. 城域網設計方案研究[D]. 北京： 北京郵電大學， 2010.

[2] 左爽. 聯通IP承載網規劃與設計[D]. 天津： 天津大學， 2007.

[3] 3GPP TS 23.401. Evolved Universal Terrestrial Radio Access Network （E-UTRAN） Access[S]. 2013.

[4] 3GPP TS 33.401. 3GPP System Architecture Evolution （SAE）; Security Architecture[S]. 2013.

[5] 3GPP TS 33.310. Network Domain Security （NDS）[S]. 2013.

[6] 3GPP TS 33.210. 3G Security Network Domain Security IP Network Layer Security[S]. 2013.

[7] 方頡翔，蔣睿，石清泉. LTE網間切換安全機制的形式化分析[J]. 東南大學學報：自然科學版， 2011（1）： 6-10.

[8] 邵震，曹敏，李一明. LTE的新技術展望[J]. 電信科學， 2013（2）： 8-12.★endprint

（1）業務安全機制

NAS層、IRAT互操作的安全機制符合3GPP TS 33.401要求。接入控制：NAS信令完整性和機密性保護、AKA、GUTI分配、IMEI識別等;EUTRAN內和EUTRAN和GERAN/UTRAN之間切換場景下的安全機制;支持UE IP地址反盜用功能（Anti-spoofing）。

（2）設備安全機制

設備安全機制涵蓋管理面、控制面以及用戶面。管理面的安全保護主要是安全的網管連接，特別是遠程連接，同時管理用戶的認證、授權和審計;控制面的安全保護主要為設備防火墻，關閉不必要的端口，開啟路由協議的安全認證;用戶面的安全保護主要為采用訪問控制列表（ACL），對攻擊流量進行有效限制和跟蹤。

3.4 ?IP承載網安全

IP承載網安全主要包括業務接入安全策略和協議保護2個方面。

（1）業務接入安全策略

采取措施以充分保證業務系統接入IP承載網的安全。業務之間通過MPLS VPN進行隔離;應用系統配置防病毒軟件，關鍵業務節點應通過防火墻保護;IP承載網應采取路由過濾、路由限制、流量過濾、uRPF相關的安全措施控制流量沖擊帶來的安全風險，以保證PE的安全。

（2）協議保護措施

◆BGP保護

限定合法PEER路由器IP地址和所在AS號;在Access端口上采用嚴格反向路徑查找技術，過濾來自其他網絡的偽造源地址的BGP攻擊包，對不能支持嚴格反向路徑查找的設備，通過ACL過濾源地址實現類似功能;在所有Access端口上采用分組過濾策略拒絕非法的EBGP協議數據包[1]。

◆NTP保護

IP承載網通過分組過濾限制從外網進入承載網的NTP數據包，同時在NTP會話上進行MD5認證[2]。

◆組播保護

Access端口上利用分組過濾技術缺省禁止組播數據流，對MSDP進行MD5認證，在RP上對SA消息進行過濾。

◆SNMP

實施MD5認證和DES加密，通過MIB View限制對包含大數據量的表類型變量的訪問（路由表和CEF表）[2]。

3.5 ?網絡操作安全管理

網絡操作安全管理涵蓋對網絡管理員、網絡口令、網絡功能端口的管理和安全策略。

（1）網絡管理員

對網絡管理員進行分權和分級制，對網絡訪問的權限進行嚴格控制，避免由內部管理員誤操作帶來的安全隱患;高級網管員可以修改配置、刪除賬號;低級管理員只能察看網管界面，不能做任何改動。

（2）網絡口令管理

對設備的訪問實施AAA集中管理控制，避免采用設備本身的認證;采用TACACS+等加密的認證方式，保證用戶名和密碼在網上的傳遞是經過加密的[1]，采用One-Time密碼，防止密碼強制攻擊等手段;同時網絡口令需要有審計的功能，防止密碼被盜用的現象發生。

（3）網絡功能和端口

根據應用的不同，關閉不必要的端口和功能（如ICMP Redirect、Direct Broadcast、Proxy ARP），防止利用這些功能攻擊網絡系統。

4 ? 結束語

LTE網絡架構變化為移動通信發展帶來新的契機，與此同時，扁平的網絡結構、全IP化的網絡等特征也為LTE網絡帶來一定的安全威脅。為適應LTE/EPC網絡的引入，解決LTE/EPC網絡建設和演進中存在的安全問題，分析了LTE網絡面臨的安全威脅，在此基礎上提出并構建涵蓋LTE網絡安全域劃分、EPC網絡安全部署、IP承載網安全部署、LTE網絡邊界安全部署的整體網絡安全部署方案。網絡安全攻防技術動態演進發展，因此網絡安全部署需要不斷升級改造，隨著LTE網絡的建設運營及移動網絡攻擊技術的變化，未來可能出現新的安全問題，因此需要不斷跟進和進一步深入研究網絡安全部署方案。

參考文獻：

[1] 林秋輝. 城域網設計方案研究[D]. 北京： 北京郵電大學， 2010.

[2] 左爽. 聯通IP承載網規劃與設計[D]. 天津： 天津大學， 2007.

[3] 3GPP TS 23.401. Evolved Universal Terrestrial Radio Access Network （E-UTRAN） Access[S]. 2013.

[4] 3GPP TS 33.401. 3GPP System Architecture Evolution （SAE）; Security Architecture[S]. 2013.

[5] 3GPP TS 33.310. Network Domain Security （NDS）[S]. 2013.

[6] 3GPP TS 33.210. 3G Security Network Domain Security IP Network Layer Security[S]. 2013.

[7] 方頡翔，蔣睿，石清泉. LTE網間切換安全機制的形式化分析[J]. 東南大學學報：自然科學版， 2011（1）： 6-10.

[8] 邵震，曹敏，李一明. LTE的新技術展望[J]. 電信科學， 2013（2）： 8-12.★endprint

（1）業務安全機制

NAS層、IRAT互操作的安全機制符合3GPP TS 33.401要求。接入控制：NAS信令完整性和機密性保護、AKA、GUTI分配、IMEI識別等;EUTRAN內和EUTRAN和GERAN/UTRAN之間切換場景下的安全機制;支持UE IP地址反盜用功能（Anti-spoofing）。

（2）設備安全機制

設備安全機制涵蓋管理面、控制面以及用戶面。管理面的安全保護主要是安全的網管連接，特別是遠程連接，同時管理用戶的認證、授權和審計;控制面的安全保護主要為設備防火墻，關閉不必要的端口，開啟路由協議的安全認證;用戶面的安全保護主要為采用訪問控制列表（ACL），對攻擊流量進行有效限制和跟蹤。

3.4 ?IP承載網安全

IP承載網安全主要包括業務接入安全策略和協議保護2個方面。

（1）業務接入安全策略

采取措施以充分保證業務系統接入IP承載網的安全。業務之間通過MPLS VPN進行隔離;應用系統配置防病毒軟件，關鍵業務節點應通過防火墻保護;IP承載網應采取路由過濾、路由限制、流量過濾、uRPF相關的安全措施控制流量沖擊帶來的安全風險，以保證PE的安全。

（2）協議保護措施

◆BGP保護

限定合法PEER路由器IP地址和所在AS號;在Access端口上采用嚴格反向路徑查找技術，過濾來自其他網絡的偽造源地址的BGP攻擊包，對不能支持嚴格反向路徑查找的設備，通過ACL過濾源地址實現類似功能;在所有Access端口上采用分組過濾策略拒絕非法的EBGP協議數據包[1]。

◆NTP保護

IP承載網通過分組過濾限制從外網進入承載網的NTP數據包，同時在NTP會話上進行MD5認證[2]。

◆組播保護

Access端口上利用分組過濾技術缺省禁止組播數據流，對MSDP進行MD5認證，在RP上對SA消息進行過濾。

◆SNMP

實施MD5認證和DES加密，通過MIB View限制對包含大數據量的表類型變量的訪問（路由表和CEF表）[2]。

3.5 ?網絡操作安全管理

網絡操作安全管理涵蓋對網絡管理員、網絡口令、網絡功能端口的管理和安全策略。

（1）網絡管理員

對網絡管理員進行分權和分級制，對網絡訪問的權限進行嚴格控制，避免由內部管理員誤操作帶來的安全隱患;高級網管員可以修改配置、刪除賬號;低級管理員只能察看網管界面，不能做任何改動。

（2）網絡口令管理

對設備的訪問實施AAA集中管理控制，避免采用設備本身的認證;采用TACACS+等加密的認證方式，保證用戶名和密碼在網上的傳遞是經過加密的[1]，采用One-Time密碼，防止密碼強制攻擊等手段;同時網絡口令需要有審計的功能，防止密碼被盜用的現象發生。

（3）網絡功能和端口

根據應用的不同，關閉不必要的端口和功能（如ICMP Redirect、Direct Broadcast、Proxy ARP），防止利用這些功能攻擊網絡系統。

4 ? 結束語

LTE網絡架構變化為移動通信發展帶來新的契機，與此同時，扁平的網絡結構、全IP化的網絡等特征也為LTE網絡帶來一定的安全威脅。為適應LTE/EPC網絡的引入，解決LTE/EPC網絡建設和演進中存在的安全問題，分析了LTE網絡面臨的安全威脅，在此基礎上提出并構建涵蓋LTE網絡安全域劃分、EPC網絡安全部署、IP承載網安全部署、LTE網絡邊界安全部署的整體網絡安全部署方案。網絡安全攻防技術動態演進發展，因此網絡安全部署需要不斷升級改造，隨著LTE網絡的建設運營及移動網絡攻擊技術的變化，未來可能出現新的安全問題，因此需要不斷跟進和進一步深入研究網絡安全部署方案。

參考文獻：

[1] 林秋輝. 城域網設計方案研究[D]. 北京： 北京郵電大學， 2010.

[2] 左爽. 聯通IP承載網規劃與設計[D]. 天津： 天津大學， 2007.

[3] 3GPP TS 23.401. Evolved Universal Terrestrial Radio Access Network （E-UTRAN） Access[S]. 2013.

[4] 3GPP TS 33.401. 3GPP System Architecture Evolution （SAE）; Security Architecture[S]. 2013.

[5] 3GPP TS 33.310. Network Domain Security （NDS）[S]. 2013.

[6] 3GPP TS 33.210. 3G Security Network Domain Security IP Network Layer Security[S]. 2013.

[7] 方頡翔，蔣睿，石清泉. LTE網間切換安全機制的形式化分析[J]. 東南大學學報：自然科學版， 2011（1）： 6-10.

[8] 邵震，曹敏，李一明. LTE的新技術展望[J]. 電信科學， 2013（2）： 8-12.★endprint