欧盟发布《5G网络安全风险评估报告》，并未将中国列入威胁

dallor

% K* ~3 J! b" E0 C7 p: s2 V9 L9 c, _

10月9日，在欧盟委员会和欧盟网络安全机构的支持下，欧盟成员国发布了名为《report on the EU coordinated risk assessment on cybersecurity in Fifth Generation (5G) networks》（5G网络安全风险评估报告）的报告。

2 O, u8 C. c; f7 ?' |1 x$ K/ u

该报告是基于所有欧盟成员国网络安全风险评估的结果形成的，报告识别了主要的威胁和威胁单元、最敏感的资产、主要的漏洞（包括技术漏洞和其他方面的漏洞）、以及其他的战略风险。
7 c$ ~+ X3 T1 r7 J' p/ R2 }' R

, P! z1 `; D; n; X
5G网络是未来数字化经济和社会的骨干和基础。关系到数十亿互联的对象和系统，包括能源、交通、银行、监控等关键领域，以及承载敏感信息和支持安全系统的工控系统。因此，确保5G网络的安全和弹性是非常必要的。
$ H  [" F. [; G# N& Z

2 e: e4 _* z3 K1 Q( z4 L) C! ^. }

1 `5 @0 y: b+ d5 V$ ^- ]* r

报告背景

* S2 H; R1 p9 N+ D欧盟层面：2019年3月，在得到欧盟议会支持后，欧盟委员会采纳了针对5G网络安全的建议，具体是建议欧盟成员国完成国家级的5G风险评估，审查国家级的预防措施，并在欧盟层面上进行风险评估和形成缓解措施通用工具集。
# r  j8 }, J- o6 T# w
( P+ G* i6 V$ l$ s. \6 r
国家层面：国家级的风险评估主要分析影响5G网络的主要威胁和威胁者、敏感5G资产和相关漏洞等。

下一步计划

" [6 J1 C7 N5 h) d

2019年12月31日前，合作小组将就解决识别的网络安全风险的工具集达成一致。

' c2 ^: B, h+ r
2020年10月1日前，欧盟成员国将与欧盟委员会协作来评估建议的效果，以确定下一步行动。 

7 U: d. l9 ?* x) t) _  ]+ u6 a

报告主要观点

      
8 Q+ S: z& \; a
! a7 @3 w/ u; p% a8 i# G1 n1. 为识别国家级和欧盟级应用的缓解措施提供了基础。
1 C  z, [, o" T6 m. j# V
' K; Z3 p' f; {9 ?2 ~4 L+ \

2. 识别了大量重要的网络安全挑战，与现有网络相比，5G网络的主要安全挑战体现在：5G技术的关键创新；供应商在构建和运营5G网络中的角色，以及对单个供应商的依赖性。
2 b& C" C& f1 G: L. z3 \ 
% R) [3 D: R4 D! ]' ^3. 5G网络的发布将带来的主要影响有：
( x. A* s$ C7 @/ g. p( a% \1 n（1）增加攻击面和更多的潜在攻击入口。因为5G网络更多地依赖软件，因此产生了很多相关安全漏洞的风险。攻击者可以更容易地插入后门到产品中，并且更加难以检测。（2）由于5G网络架构的新特点和功能，一些网络组件和功能变得更加敏感，比如基站和网络的关键技术管理功能。（3）移动网络运营商对供应商的依赖相关的风险。这会引发大量攻击者可以利用的攻击路径，并增加此类攻击的潜在影响的严重程度。其中非欧盟成员国和有国家背景的风险是最严重的。（4）网络可用性和完整性的威胁成为主要的安全考虑。除了机密性和完整性的威胁外，5G网络有望成为许多关键IT应用的骨干，这些网络的完整性和可用性将成为国家安全的主要威胁，以及欧盟的主要安全挑战。
1 @4 L& {9 q/ l' `" D
2 {1 M' {1 Y, x" ?2 V- k9 `# O8 V4. 欧盟提出一个新的安全图谱，因此需要重新评估适用于相关机构和生态的当前政策和安全框架，欧盟成员国也需要采取必要的缓解措施。为完善欧盟成员国的安全评估报告，欧盟网络安全局正在制作与5G网络相关的威胁图谱映射。
# j, T4 ~" x* A  M, t- t5 r

) A5 G8 l9 g* k( T) \& c

报告主要内容

9 h5 Y" P. j# c' q; b  K" V) O

1. 评估方法
& K4 x6 F1 N. V3 y8 `! S5 o
* `7 \; q: k1 n+ B8 k1 ]
3 P- ~* @4 r" u7 \  Z7 ^  p+ O; u
评估使用的是ISO/ISC：27005风险评估方法。评估过程中的一些参数，包括：5G网络的主要威胁类型；主要威胁单元；主要资产和敏感程度；主要的漏洞；主要风险和相关场景。
- i3 e& s3 ]! L/ }0 m0 V6 D  Q
3 n' l* I5 K+ b5 x8 w; ]1 U
/ C; y* N6 G' E, x9 {: t& A) U
  f6 }# n. J$ R- z6 N2. 主要威胁


/ T  ]0 L2 W/ s# u6 e2 f1 i
2 Q2 b+ w' }( t5G网络部署引发的网络安全风险主要是增加了供应链攻击的风险。


具体来看，与5G网络安全相关的威胁场景主要考虑：
9 S9 n  a: [2 \& S+ ~5 L

• 本地和全球5G网络的破坏（对可用性的威胁）
  
• 对5G网络基础设施的流量和数据的监控（对机密性的威胁）
  ! [5 O1 ?5 Q4 u
• 5G网络基础设施流量和数据的修改或重路由（完整性和机密性的威胁）
  
• 对经过5G网络的其他数字基础设施或信息系统的破坏或修改（对完整性和机密性的破坏）
  7 e/ v6 t9 H4 `

 
8 A" N2 Y" z/ s与5G网络相关的特定威胁场景的严重程度是根据以下因素确定的：

# c* F- a- l: K& a) n& }5 L
• 受影响的用户数量和类型
  
• 事件发生后检测或修复所花费的时间
  , |: X5 S+ f3 C! |1 @) `2 e: p* s
• 受影响的服务类型，破坏和经济损失的程度和范围
  
• 信息泄露的类型
  ! ]+ I) J/ I" b7 {  v

- {% Z5 b7 k; j! E8 W( i
! v, S, l+ s# }' k$ r3. 威胁单元


% U4 I  F& `$ \2 s4 u/ j  b
下面介绍了欧盟成员国发现的不同类型的威胁单元：

( P3 B/ F$ _8 e6 \: ?) X
图：威胁单元的种类
: |  @# v! d* H; ~7 m

- f' Z! W* }3 d. f! b1 X2 E4. 资产


网络资产的评估是按照逻辑和功能部分进行评估的：
2 g& r& l# p; o. i# u) h- m0 ?3GPP标准中定义的功能有：

1 a0 ?' A0 ]8 Y2 E, d! J* v( A( |
• 核心功能。指为订阅用户提供服务的功能。
  
• 访问功能。连接订阅用户和网络提供商的功能。
  

 
3GPP标准中未定义的底层功能有：
* K4 {7 X- _- a) P

1 j3 }9 Q# u1 _, o  U$ ^1 M
• 传输功能。将访问网络连接到核心网的功能。
  
• 网络交换功能。使不同网络互联的功能。
  
• 管理系统和支撑服务。负责管理端到端网络分组和其他非关键服务。 
  $ P! B0 u: t6 J

4 Q& R! l: G. b# G  t. z& m' T6 ?1 `! b
- R4 C) x# U* |. x3 R- U5. 漏洞
- r/ g" |( ]0 X1 H3 t
) x- J% X. {9 X

2 H$ m6 u9 a5 B3 X& Y漏洞是指与硬件、软件、过程和政策相关的漏洞。
( c7 K1 h, m. [1 a
" ~' x3 N: x& Z7 M$ l# \
: A3 V* u3 p: B" P对移动网络运营商和供应商等相关利益方来说：
/ Z& {. L4 |/ J, I* s9 p3 E

9 R% x9 }3 h1 I
• 缺乏专业的人员来保证5G网络的安全，并进行监控和维护。
  
• 缺乏足够的内部安全控制、监控实践、安全管理系统，并且风险管理实践不够充分。
  . p- q& B6 l( ?# V* Z- h2 c5 o
• 安全或运营维护流程缺乏或不足，比如软件补丁/更新管理。
  

/ y5 i# I( S1 {; R; e
6 R2 g2 B/ W1 j9 J8 F" ^对移动网络运营商来说：
- e" v7 g1 C8 R+ z

# Y' H( V" K/ G, F1 _0 N
• 网络设计和架构存在不足
  
• 网络和IT基础设施的物理安全存在不足
  
• 到网络组件的本地和远程访问策略存在不足
  2 r( [4 H4 U& i" V% g, }
• 采购流程的安全需求存在不足
  & e0 j" Q- n2 X. C9 M9 l- `6 @6 r3 t
• 变更管理流程存在不足
  4 l2 f8 c5 i1 r/ v& w

对单一供应商依赖产生的漏洞：

& j$ w8 u' P( z. N) j6 C
• 在单个网络中，对单个供应商的依赖会造成对特定解决方案的依赖，最终导致难以从其他供应商采购解决方案，这对那些无法实现全交互的方案来说更是如此。
    b) O( X: U8 T# h# N3 t3 ~

7 H& X8 b3 I! P  y0 g- y! }. O
因此，过度依赖单一设备供应商的基于欧盟的运营商已经暴露了大量由于商业（经济）压力引发的风险，包括是企业合并、并购或被制裁。
' A: {' z) w& C6 m8 \- R  i
9 ]/ p$ o: o# k$ X4 {
& z; m8 Y0 {6 c5 a, o从国家和欧盟层面来看，在供应商方面缺乏多样性会增加5G基础设施的漏洞。依赖与单个或多个网络也会明显影响国家和欧盟范围内的弹性，并引发单点失败率。供应商数量太少会降低开发出更安全产品的积极性。
7 |0 l# K( [( w- {3 N

& Z: U. X$ F  z" ~7 U6. 总结


5 \3 T; U* H6 c. b欧盟5G网络安全评估报告中提到最重要的安全风险还是关键基础设施和供应链的安全风险。中国5G技术在全球处于领先水平是不争的事实，以美国为首的西方国家认为5G技术中国领先会其带来国家安全、经济安全带来潜在威胁。欧盟报告中虽然强调了关键基础设施和供应链的安全风险，但没有明确将中国及华为公司列为威胁。
9 i0 Y& s) d1 H

* b0 x- A+ T+ i

欢迎选购本所最新力作《人工智能全球格局：未来趋势与中国位势》↓↓↓

) D' E1 h# F5 a( \' Y
9 f5 s4 C) h* d. E* W

! r& ~) F: O2 m
7 m' I& m, A& w1 p

: L4 K% d( C' t研究所简介
6 F7 Z- V0 e/ I6 u
+ Q- n% y+ _% z. D6 S
' a% I7 V) w  T国际技术经济研究所（IITE）成立于1985年11月，是隶属于国务院发展研究中心的非营利性研究机构，主要职能是研究我国经济、科技社会发展中的重大政策性、战略性、前瞻性问题，跟踪和分析世界科技、经济发展态势，为中央和有关部委提供决策咨询服务。“全球技术地图”为国际技术经济研究所官方微信账号，致力于向公众传递前沿技术资讯和科技创新洞见。



- g$ |- O6 f; ~7 ^1 y地址：北京市海淀区小南庄20号楼A座
电话：010-82635522
微信：iite_er

5 W  l5 M  M; {
9 ~& H" h+ K& K; b  U  O$ `9 B+ C  u


来源：http://mp.weixin.qq.com/s?src=11&timestamp=1571920205&ver=1932&signature=6daNlv7YIuMAPlfdgyDyPeOUQ8lhD7EIcFbG9*JMpi7MJ98uKyMCAEK-PAjUmcvg*urw-K0JFMdkLsDJ8rfxZc6m302WxzrDreZ7eTxIK66abvnV9pFpSu6MAjH9K4fg&new=1
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！