计算广东电信测速

中华人民共和国国家标准GB/TXXXXX—XXXX信息安全技术边缘计算安全技术要求InformationSecuritytechnology-TechniquesRequirementsforEdgeComputingSecurity(征求意见稿)(本稿完成时间:2021年4月7日)在提交反馈意见时,请将您知道的相关专利连同支持性文件一并附上.
20XX-XX-XX发布20XX-XX-XX实施ICS35.
030CCSL80目次前言II1范围12规范性引用文件13术语与定义14缩略语25概述35.
1边缘计算参考架构35.
2相关方的安全责任35.
3安全防护范围36边缘计算安全框架46.
1安全框架46.
2应用安全46.
3网络安全46.
4数据安全46.
5基础设施安全56.
6安全运维56.
7安全支撑56.
8端边协同安全56.
9云边协同安全57边缘计算安全要求57.
1应用安全技术要求57.
2网络安全技术要求67.
3数据安全技术要求77.
4基础设施安全技术要求87.
5安全运维技术要求97.
6安全支撑技术要求107.
7端边协同安全技术要求117.
8云边协同安全技术要求11附录A(资料性)边缘计算安全挑战13附录B(资料性)边缘计算典型应用场景15参考文献18前言本文件按照GB/T1.
1-2020《标准化工作导则第1部分:标准化文件的结构和起草规则》的规定起草.
本文件由全国信息安全标准化技术委员会(SAC/TC260)提出并归口.
本文件的起草单位:中移(杭州)信息技术有限公司、中国移动通信集团有限公司、中国电子技术标准化研究院、国家计算机应急技术处理协调中心、华为技术有限公司、腾讯云计算(北京)有限责任公司、中电长城网际安全技术研究院(北京)有限公司、公安部第三研究所、国家工业信息安全发展研究中心、深信服科技股份有限公司、联想(北京)有限公司、海信集团有限公司、亚信科技(成都)有限公司、北京百度网讯科技有限公司、新华三技术有限公司北京研究所、阿里云计算有限公司、浪潮电子信息产业股份有限公司、北京科技大学、北京山石网科信息技术有限公司、杭州海康威视数字技术股份有限公司、北京天融信网络安全技术有限公司、大唐微电子技术有限公司、杭州安恒信息技术股份有限公司、启明星辰信息技术集团股份有限公司、之江实验室、深圳市腾讯计算机系统有限公司、中国科学院信息工程研究所、中国电子科技网络信息安全有限公司、北京神州绿盟科技有限公司、上海三零卫士信息安全有限公司、国网新疆电力有限公司电力科学研究院、深圳渊联技术有限公司、广东省电信规划设计院有限公司、上海腾桥信息技术有限公司、北京眼神科技有限公司、北京数字认证股份有限公司、郑州信大捷安信息技术股份有限公司、重庆邮电大学、中国汽车工程研究院股份有限公司、上海观安信息技术股份有限公司、深圳市海梁科技有限公司、恒安嘉新(北京)科技股份公司、飞诺门阵(北京)科技有限公司、罗克韦尔自动化(中国)有限公司、罗克佳华科技集团股份有限公司、工业信息安全(四川)创新中心有限公司、上海依图网络科技有限公司、施耐德电气(中国)有限公司.

本文件主要起草人:路晓明、邱勤、王晨光、鲁青、智绪龙、贾倩、吴君轶、黄一鸣、胡辉、王华景、孙彦、王文磊、许东阳、王永霞、闵京华、张艳、孙岩、叶润国、李汝鑫、高雪松、薛辉、白宇、万晓兰、白常明、宋桂香、林富宏、任亮、周少鹏、王龑、王勇、李剑锋、毕亲波、李振廷、刘玉玲、毕敏、王蕾磊、干露、舒斐、叶思海、陆伟宙、杨媖、尚可、王新华、梁松涛、徐光侠、陈冬梅、谢江、郭剑锋、徐昕白、葛强、彭小波、郭建林、张文科、刘亦珩、程苗.

信息安全技术边缘计算安全技术要求范围本文件给出了边缘计算安全框架,包括边缘计算的应用安全、网络安全、数据安全、基础设施安全、安全运维、安全支撑、端边协同安全和云边协同安全,并针对各部分提出了相应的安全技术要求.
本文件适用于指导边缘计算产品和服务的研发、测试、部署和运营.
规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款.
其中,注日期的引用文件,仅该日期对应的版本适用于本文件;不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件.

GB/T25069-2010信息安全技术术语GB/Txxxxx-xxxx信息安全技术网络数据处理安全规范GB/T20271-2006信息安全技术信息系统通用安全技术要求GB/T25068.
3-2010信息技术安全技术IT网络安全第3部分:使用安全网关的网间通信安全保护GB/T25068.
4-2010信息技术安全技术IT网络安全第4部分:远程接入的安全保护GB/T35273-2020信息安全技术个人信息安全规范GB/T37988-2019信息安全技术数据安全能力成熟度模型GB/T35279-2017信息安全技术云计算安全参考架构GB/T37044-2018信息安全技术物联网安全参考模型及通用要求术语与定义GB/T25069-2010、GB/T20271-2006、GB/T25068.
4-2010、GB/T35273-2020、GB/T37988-2019界定的以及下列术语和定义适用于本文件.
3.
1边缘计算edgecomputing一种在网络边缘侧对数据进行存储和处理的分布式计算形式,就近提供边缘服务,满足业务大连接、低时延的需求.
3.
2边缘计算节点edgecomputingnode在网络边缘侧提供存储、计算、网络等资源,实现就近数据处理和存储的实体,边缘计算节点通常有边缘服务器和边缘网关等形态.
3.
3边缘计算提供者edgecomputingprovider提供边缘计算服务的参与方.
3.
4边缘计算使用者edgecomputinguser为使用边缘计算服务而处于一定业务关系中的参与方.
3.
5边缘计算开发者edgecomputingdeveloper提供边缘计算的开发、测试和集成的参与方.
3.
6边缘应用edgecomputingapplication部署并运行在边缘节点上的应用程序,在边层实现对数据的本地处理和业务逻辑的本地执行.
3.
7边缘基础设施edgecomputinginfrastructure承载边缘计算服务的硬件设备、系统软件以及用于监控或管理边缘节点的软件工具等基础设施.
3.
8边缘网络edgecomputingnetwork边缘计算系统中端层、边层和云层之间的通信网络.
3.
9边缘数据edgecomputingdata在边缘计算过程中,由边层、端层和云层采集、生成、处理或存储的数据.
缩略语下列缩略语适用于本文件:AI人工智能(ArtificialIntelligence)API应用程序接口(ApplicationProgrammingInterface)APP应用程序(Application)APT高级持续性威胁(AdvancedPersistentThreat)DDoS分布式拒绝服务攻击(DistributedDenialofService)IDS入侵检测系统(IntrusionDetectionSystems)IoT物联网(InternetofThings)IPS入侵防御系统(IntrusionPreventionSystem)MEC多接入边缘计算(Multi-accessEdgeComputing)NFV网络功能虚拟化(NetworkFunctionsVirtualization)NFVI网络功能虚拟化基础设施(NetworkFunctionsVirtualizationInfrastructure)OS操作系统(OperatingSystem)SQL结构化查询语言(StructuredQueryLanguage)SSL安全套接字协议(SecureSocketsLayer)TCP传输控制协议(TransmissionControlProtocol)VM虚拟主机(VirtualMachine)VPN虚拟专网(VirtualPrivateNetwork)WAFWeb应用防火墙(WebApplicationFirewall)概述边缘计算参考架构边缘计算是一种在网络边缘侧对数据进行存储和处理的分布式计算形式,边缘计算的边缘是指从数据源到云计算中心之间的任意计算资源和网络资源.
典型边缘计算参考架构由端层、边层和云层以及三层之间的网络组成,如图1所示.
其中:端层位于网络末端,具备有限的计算、存储和通信能力,通常为工业互联网设备、IoT设备、用户终端等;边层位于端层与云层之间,能够就近提供高性能、低时延、高带宽的数据处理与分析等能力,并具备对一个或多个边缘计算节点的管理能力,边层主要以边缘网关、边缘服务器、云等方式实现;云层具有强大的计算和存储资源,为边层和端层提供大量数据的存储、分析和处理服务,通常以云计算方式实现.
图1边缘计算参考架构相关方的安全责任边缘计算产品和服务的研发、测试、部署和运营过程中,涉及的相关方包括边缘计算提供者、边缘计算开发者和边缘计算使用者.
边缘计算提供者:提供边缘计算服务、边缘计算系统运维,并确保边缘计算服务的交付.
包括边缘计算系统运维者、边缘计算业务运营者、边缘计算安全运营者等.
边缘计算开发者:负责边缘计算产品开发、测试和集成.
包括边缘计算硬件开发者、边缘计算软件开发者、边缘计算应用开发者、边缘计算测试者以及边缘计算系统集成者.
边缘计算使用者:边缘计算服务的使用者.
包括边缘计算个人用户、企业用户.
安全防护范围边缘计算安全包括"端边云"三层自身安全以及三层之间协同的安全.
其中,云层安全与端层安全遵从已有云计算安全和物联网安全标准,参见GB/T35279-2017和GB/T37044-2018.
本文件主要考虑边层安全,以及边层与端层和云层之间的协同安全,如图2所示.
图2边缘计算安全防护范围边缘计算安全框架安全框架本文件基于边缘计算安全防护范围,抽象出边缘计算安全框架,如图3所示.
图3边缘计算安全框架应用安全边缘计算的应用安全是指在应用开发、上线到运维的全生命周期内,通过身份鉴别、访问控制、接口安全、应用加固、应用管控等防护措施,提升边缘计算上应用的安全可靠性以及边缘计算节点对应用的安全管理和运维.

网络安全边缘计算的网络安全是指通过建立纵深防御体系,从接入安全、通信安全、网络安全检测、安全态势感知综合防护边缘计算节点的网络安全.
数据安全边缘计算的数据安全是指在边缘计算节点上以及云边、端边协同中数据采集、传输、存储、处理、分发、销毁环节的数据安全保护.
基础设施安全边缘计算的基础设施安全是指在边缘基础设施自身硬件、操作系统和虚拟化层的安全.
安全运维安全运维是指为了保证边缘计算节点安全运行,在系统监控、冗余与灾备、安全应急响应、安全评估和安全开发与测试等方面的安全要求.
安全支撑安全支撑是指为了保证边缘计算节点的安全运行,在预警分级、预警研判、应急响应和安全事件报告等方面的安全要求.
端边协同安全端边协同安全是指保障端层和边层之间协同的接入、通信、数据和网络安全监测的安全要求.
云边协同安全云边协同安全是指保障云层和边层之间协同时的应用、网络、数据和应急响应的安全要求.
边缘计算安全要求应用安全技术要求7.
1.
1身份鉴别对于边缘计算节点上部署的应用,边缘计算开发者和边缘计算提供者在身份鉴别方面应满足以下要求:建立应用标识体系,为每个应用分配唯一的身份标识;支持对部署的应用进行身份合法性认证,只允许经过认证的应用部署到边缘计算节点;支持对访问边缘计算使用者进行身份鉴别的功能,宜采用两种或两种以上多因素身份鉴别技术进行身份鉴别,其中至少一种鉴别技术应使用密码技术来实现.
7.
1.
2访问控制对于边缘计算节点上部署的应用,边缘计算开发者和边缘计算提供者在访问控制方面应满足以下要求:具备对边缘计算使用者调用应用自身功能、接口和数据的访问控制能力;支持对边缘计算使用者分级分组,可根据不同使用者等级、分组分配不同的访问权限,只允许授权的边缘计算使用者访问指定的业务内容,以及对业务执行相应操作;支持对不同的边缘计算使用者分配不同的访问权限,只允许授权使用者访问指定的应用.
7.
1.
3接口安全对于边缘计算节点上部署的应用,边缘计算开发者和边缘计算提供者在接口安全方面应满足以下要求:支持主动对接口进行检测的功能,在对外提供能力开放接口时,防止恶意的接口访问;支持对接口的访问频率进行限制,对超过正常请求范围的进行预警;支持对应用接口的调用进行鉴权(例如证书、密钥等)的功能,对资源范围、操作权限进行限定.
7.
1.
4应用加固对于边缘计算节点上部署的应用,边缘计算开发者在应用加固方面应满足以下要求:支持对关键代码进行加固,防止应用二次打包、篡改和防逆向反编译;支持对应用中的日志和配置文件等关键信息进行加密处理的功能;支持应用防篡改保护功能,防止边缘计算应用程序的代码、资源文件、配置、布局等被增加、修改或删除;支持应用反调试保护功能,防止边缘计算应用在运行时被动态调试攻击、动态代码注入攻击.
7.
1.
5应用管控边缘计算提供者在应用管控方面应满足以下要求:支持对应用安装、运行、更新、卸载等过程进行安全监控,禁止恶意、存在漏洞的软件安装;支持对部署在边缘计算节点上的应用来源合法性进行验证,例如通过应用签名进行验证;支持对边缘应用的性能、流量、带宽占用、行为等进行实时监测、分析和报警;支持对边缘应用的监测结果记录日志并进行审计,及时发现应用的违规、越权和异常行为;支持在边缘应用安装或升级时对应用安装包或升级文件的完整性检测.
网络安全技术要求7.
2.
1接入安全边缘计算提供者和边缘计算开发者在接入安全方面应满足以下要求:保证边缘计算节点具备唯一的标识;对接入网络的设备或对云端的访问进行身份鉴别,确保访问边缘计算节点身份合法性.
7.
2.
2通信安全边缘计算提供者和边缘计算开发者在通信方面应满足以下要求:采用安全协议保证通信协议自身安全性,例如在原有协议上增加安全层、增加通信模块或通信网关、采用VPN、SSL等安全通道传输;支持防止通信过程中被重放攻击的功能,例如采用时间戳技术防止重放攻击等;支持防伪基站攻击、防中间人攻击等功能;满足GB/T25068.
4-2010的通信安全的技术要求.
7.
2.
3网络安全检测边缘计算提供者在网络安全检测方面应满足以下要求:支持网络流量检测功能,实时监控传输流量,及时发现异常并响应,防止边缘计算节点遭受网络攻击;建立完善的网络应急响应机制,根据流量分析和规则匹配,及时对攻击做出响应,防止攻击流量破坏边缘计算节点;支持常见网络攻击的检测功能,例如DDoS攻击、APT攻击、僵木蠕等.
7.
2.
4安全态势感知边缘计算提供者在安全态势感知方面应满足以下要求:支持云层态势感知平台对边缘计算节点的安全状态采集功能,包括将边缘计算节点的进程运行、资源使用等实时状态上传至态势感知平台;支持根据云层态势感知平台的指令进行安全处置响应.
数据安全技术要求7.
3.
1采集安全边缘计算提供者在数据采集安全方面应满足以下要求:支持数据格式的标准化、规范化采集;确保数据的完整性,保证数据收集过程中对边缘应用上重点数据的安全管控,避免出现数据丢失或采集不完整的情况;满足GB/T37988-2019第6章中数据采集的要求;满足GB/T35273-2020第5章中个人信息采集的要求.
7.
3.
2存储安全边缘计算提供者在数据存储安全方面应满足以下要求:根据不同的数据类型、数据容量、业务需求建立相应的数据存储逻辑;明确数据分享、禁止使用和数据清除的有效期,支持对数据存储时效性配置功能的访问控制;具备将涉及国家安全、社会公共秩序、公民个人隐私等的重要数据进行异地备份和保护的功能,确保数据的完整性和安全性;具备数据备份后进行可用性、完整性校验的功能;在系统异常情况下自动进行数据备份,且对存储的边缘计算节点数据进行保护;满足GB/T37988-2019第8章中的技术要求;满足GB/TXXXXX-XXXX5.
2的技术要求.
7.
3.
3传输安全边缘计算提供者在数据传输安全方面应满足以下要求:保证数据传输时的安全性,对传输的重要数据进行加密保护;使用符合国家密码技术相关政策及规范的密码技术,在中国国内优先使用国密算法.
7.
3.
4处理安全边缘计算提供者在数据处理安全方面应满足以下要求:具备对数据处理过程进行实时监测的功能,避免数据在处理过程中丢失、窃取、篡改;具备对数据溯源的功能,确保所有数据的流向都可查询,对数据的流转进行记录,可按筛选条件进行查询;具备对数据的传输路径和访问行为进行综合分析并可视化展示的功能,支持实时检测数据流转异常并产生告警;具备去重、压缩操作的能力,保证处理后的数据可还原成原始数据,不影响对数据完整性的审计.
7.
3.
5分发安全边缘计算提供者在数据分发安全方面应满足以下要求:在数据分发前对数据敏感性进行评估,如果涉及重要的核心数据需要进行脱敏;建立数据安全共享机制,防止数据被恶意传播;支持对数据分发过程进行审计并记录分发的过程状态,如分发时间、分发数据内容、数据接收方等.
7.
3.
6销毁安全边缘计算提供者在数据销毁安全方面应满足以下要求:建立数据销毁策略,明确销毁对象,规范销毁流程;根据数据的分类相应建立数据销毁机制,明确不同的数据类型的销毁方式和销毁的具体要求;配置必要的数据销毁工具,保证销毁后的数据不可以再逆向恢复.
基础设施安全技术要求7.
4.
1资产识别边缘计算提供者在资产识别方面应满足以下要求:具备识别边缘计算中涉及资产的能力,资产包括硬件服务器、主机系统、镜像、宿主机、虚拟机和容器等;基于资产类别、资产重要性和支撑业务的重要性,对资产进行优先级排序;建立规范的资产清单列表,并进行定期维护更新,并对基础设施资产管理过程中涉及的工具进行记录;能够确定并记录资产识别的方式.
7.
4.
2硬件安全边缘计算提供者在硬件安全方面应满足以下要求:在显著位置设置标签,以便进行查找和明确责任;在关键部件(包括硬盘、主板、网卡等)设置标签,防止关键部件被随意替换;选择性能、安全性更高的硬件设备,避免硬件设备被破解;满足软件系统基本运行的要求,关键的部件应有数据校验的功能;具备容错、冗余或者热备份的安全功能,以提供连续不间断运行功能.
7.
4.
3系统安全边缘计算提供者在系统安全方面应满足以下要求:支持普通操作模式和系统维护模式;具备系统安全启动机制,系统启动应按照边缘计算使用者设定的方式,建立初始环境,监督安全启动过程;支持开机校验,系统启动后对操作系统、内核等进行校验,避免非授权的应用加载,防止攻击的发生;及时发现系统的漏洞并打补丁,对漏洞进行修补,对CNVD、CNNVD已公布的高危及以上等级漏洞应在90天内完成修补.
7.
4.
4虚拟化安全7.
4.
4.
1镜像安全边缘计算提供者在镜像安全方面应满足以下要求:支持虚拟机镜像、快照完整性校验功能,防止虚拟机镜像被恶意篡改;应采取加密、漏洞扫描、病毒扫描或其他技术手段防止虚拟机镜像、快照中可能存在的敏感资源被非法访问;针对重要业务系统提供加固的操作系统镜像.
7.
4.
4.
2宿主机安全边缘计算提供者在宿主机安全方面应满足以下要求:对登录宿主机的边缘计算使用者进行身份鉴别;避免不必要的硬件、冗余软件和服务端口的暴露;严格限制默认帐户的访问权限,并确保默认账户没有通用默认口令.
7.
4.
4.
3虚拟机安全边缘计算提供者在虚拟机安全方面应满足以下要求:支持虚拟化平台自身安全防护,抵抗面向虚拟化平台的入侵、篡改等攻击;支持虚拟机之间的安全隔离,避免利用虚拟机之间的漏洞,发起针对虚拟机之间或者对外发起的攻击;保证不同虚拟机之间CPU指令、内存、I/O端口的隔离.
7.
4.
4.
4容器安全边缘计算提供者在容器安全方面应满足以下要求:支持容器编排、管理等组件本身的安全保护,保证边缘计算节点容器安全;支持容器之间的安全隔离,加强容器逃逸安全问题的防护;对部署在边缘环境中的容器进行隔离,防止恶意边缘计算使用者的流量流入到容器中.
安全运维技术要求7.
5.
1系统监控边缘计算提供者在系统监控方面应满足以下要求:对边缘计算节点运行状况进行监控,及时发现并分析系统问题,并进行预警通告;支持对边缘计算节点运行情况进行记录,进行日志记录,以便提供意外事件的溯源依据;针对边缘计算节点的系统监控情况定期生成运维报告,比如支持日报、周报或月报.
7.
5.
2冗余与灾备边缘计算提供者在冗余与灾备方面应满足以下要求:建立备份的主机系统及网络系统,保障在灾难发生时边缘计算相关业务的快速恢复,不影响业务方的正常生产运行;在灾难发生时能够快速留存边缘计算节点上最新的业务数据,对数据进行备份,防止重要业务数据在意外情况下的损坏;配备必要的备份通信线路及网络设备,满足在灾难演练和灾难恢复期间的通信网络要求.
7.
5.
3安全评估边缘计算提供者在安全评估方面应满足以下要求:建立边缘计算节点的安全评估的机制,例如使用漏洞扫描工具、弱口令识别技术及时发现边缘网关、边缘服务器等脆弱性,记录设备的脆弱性程度、系统类别等;对边缘计算节点上部署的应用、开放接口和数据传输协议等网络体系进行安全评估;支持对关键数据在收集、存储、传输、备份等过程中进行分析和评估,及时发现可能导致关键数据损失的严重隐患,并提出改进措施;针对已存在的漏洞及时建立脆弱性关闭机制.
7.
5.
4安全开发与测试边缘计算开发者在安全开发与测试方面应满足以下要求:对不同场景下部署的边缘计算节点进行渗透测试,如边缘网关、边缘服务器等,通过模拟攻击方式,分别从内网和外网对系统进行抗入侵攻击能力测试,并模拟一旦边缘计算节点遭受攻击后可能受到的破坏影响程度;在安全测试阶段,制定具有保障可控性和完整性的测试方案;具备软件开发流程审计功能,包括对软件结构设计、编程语言规范、编程代码质量及软件安全漏洞测试方案等进行检查与评估,提高代码整体安全水平.
安全支撑技术要求7.
6.
1预警分级边缘计算提供者在预警分级方面应满足以下要求:支持将预警事件分为不同等级,比如可分为四级:由高到低依次用红色、橙色、黄色和蓝色表示.
7.
6.
2预警研判边缘计算提供者在预警研判方面应满足以下要求:能够根据相应的预警分级结果,对事件的严重程度进行初步判断,比如确定是特别严重、较严重、严重和一般严重的安全事件;根据告警事件的基本信息对告警事件进行研判,比如:告警开始时间、受攻击情况、攻击时长等信息;结合预警事件级别以及研判结果,给出响应的具体措施.
7.
6.
3应急响应边缘计算提供者在应急响应方面应满足以下要求:规范应急响应流程,支持对关键的边缘计算节点意外宕机、无法启动时的快速排查;建立安全事件应急响应机制,在边缘计算节点发生网络与信息安全事件时,能够及时响应并下发处置,快速阻断攻击行为;实现自动化和自适应安全应急策略,提高响应时效性,降低平均响应时间;满足GB/T20271-20064.
2.
6的应急响应的技术要求.
7.
6.
4事件报告边缘计算提供者在安全事件报告方面应满足以下要求:具备根据已发生的安全事件形成安全事件的分析报告的能力,内容不限于攻击事件、事件级别、事件分析过程、处置的措施以及事件造成的影响等;能够根据不同的需求,形成相应个性化的安全事件报告,报告内容可以是针对一个安全事件,也可针对过去一天、一周、一月等的安全事件.
端边协同安全技术要求7.
7.
1接入协同边缘计算提供者在端边接入协同方面应满足以下要求:在端边协同时,支持端层与边层之间的双向身份鉴别,避免端层与边层间的非法访问;对接入边层的各种终端设备建立标识,每个设备只有唯一的标识,保障边层对终端设备的安全调度.
7.
7.
2通信协同边缘计算提供者和边缘计算开发者在端边通信协同方面应满足以下要求:使用安全的加密协议,保证端边协同传输时的数据安全;建立安全的通信信道或路径,保障通信数据的保密性、完整性;满足通信协议健壮性要求,防范异常报文攻击;支持时间同步功能;保证数据传输安全,使用稳定可靠的通信传输介质;满足GB/T25068.
3—2010的通信安全的技术要求.
7.
7.
3数据协同边缘计算提供者在端边数据协同方面应满足以下要求:在收集异构数据时能够对数据标准化,并进行数据完整性校验,保证数据在传输时的完整性;具备在边缘计算节点上对端侧设备上传的敏感数据进行安全存储和安全处理的能力,只允许授权的用户对数据进行处理;具备在边缘计算节点对端侧设备的数据进行经授权的删除功能,支持在删除前对该操作进行确认.
7.
7.
4网络安全监测边缘计算提供者在端边网络安全监测方面应满足以下要求:建立端边协同时端侧设备接入的监测机制,能够对终端设备的运行情况进行监控并记录运行情况;建立端边协同实时的安全监测机制,实时监测端边协同时的网络安全,防止通过边缘计算节点或者终端设备发起恶意请求;支持对产生的安全告警事件进行分级分类,针对不同的告警级别选择不同的处置方式,对在处置结束后对告警事件进行记录.
云边协同安全技术要求7.
8.
1应用协同边缘计算提供者在云边应用协同方面应满足以下要求:具备对云层与边层互调用的应用接口进行身份鉴别的功能,建立对相关接口的访问控制机制,例如只允许白名单内的访问;具备利用现有隔离技术对应用进行网络隔离以及物理隔离的功能,以保证云层对边缘计算节点承载业务的编排安全,防止某应用被攻击者控制后对边缘节点上部署的其他应用造成危害;使用安全的应用接口,支持对接口进行安全检测,保证云边协同的安全.
7.
8.
2网络协同边缘计算提供者在云边网络协同方面应满足以下要求:建立边层与云层之间的网络安全检测机制,具备对常见的网络层和应用层攻击进行检测的能力;保证云边之间进行信息交互的可靠性和低时延,使用安全的介质或者通信网络,例如使用专网保证传输的实时性和安全性;在云边协同传输时使用安全的网络协议,使用的密码技术应符合国家密码技术相关政策及规范,在中国国内优先使用国密算法.
7.
8.
3数据协同边缘计算提供者在云边数据协同方面应满足以下要求:保证数据在云边协同传输时的完整性,建立数据完整性校验机制,保证数据在上传和下载时不被恶意篡改;保证数据在云边协同时的安全存储,应包括边层上传至云层和云层下达至边层的数据完整性和可用性,避免数据丢失或损坏.
保证数据在云边协同时的安全分发、处理和销毁,只允许授权的用户对云边协同时涉及的数据进行处理.
7.
8.
4应急响应协同边缘计算提供者在云边应急响应协同方面应满足以下要求:具备对云边协同整体安全监测功能,能够监测边层与云层之间协同时的攻击态势,支持对DDoS攻击、APT攻击等攻击行为的监测;可根据告警事件的严重程度,对告警事件进行分类分级;具备完善的安全应急响应机制,根据告警事件分类结果选择相应的处置方式;支持对攻击事件进行记录并形成报告,报告内容应包括攻击时间、攻击类型、攻击事件的严重情况等.
(资料性)边缘计算安全挑战边缘计算就近提供计算、存储和网络资源,可实现本地分析与存储、低时延传输.
边缘计算就近缓存流化内容,可以加快交付速度并改善使用体验,尽管如此,边缘计算在边缘应用、边缘基础设施、边缘网络、边缘数据等层面仍面临着诸多安全挑战.

A.
1使用不安全通信协议边缘计算因其高带宽、低时延的特点,服务于较多的垂直行业,在不同的应用场景下涉及不同的网络协议,但是这些网络协议在安全性方面的考虑是不足的.
尤其在工业环境、物联网场景中,其设备设计简单,多使用未考虑安全风险的私有协议,缺少加密、认证等措施,易于被窃听和篡改;在电信运营商边缘计算场景下,多采用的是基于WPA2的无线通信协议,为保证正常的通信,往往会较多的考虑通信的性能,对传输过程中数据的机密性、完整性、真实性和不可否认性等方面缺少安全设计.

A.
2数据防护缺失边缘计算系统就近提供服务,远离核心的数据机房,对于边缘计算节点的数据在收集、存储、传输中缺少相应的安全措施,可能会导致攻击者在数据边缘对证据进行销毁.
如果数据防护能力(例如不具备数据备份、数据恢复功能)不足的边缘计算节点被黑客利用,恶意操作边缘计算节点上承载的核心数据,则会存在数据被泄露或破坏的风险.

A.
3隐私保护不足多数边缘计算节点受自身资源限制,缺乏对数据加密或解密的功能,这使得它容易受到攻击者的攻击.
而且边缘计算节点上的数据多是涉及用户隐私的核心数据.
因此提升边缘计算节点的隐私安全保护功能,保护用户隐私数据不被窃取、泄露,对于边缘计算的数据安全至关重要.

A.
4缺少轻量级的身份鉴别对于边缘计算系统而言,应考虑对边缘计算节点接入、边缘计算使用者接入和第三方应用接入的认证,防止非法访问.
边缘计算环境下终端具有很强的移动性,边缘计算节点如何实现对边缘设备切换时的高效认证至关重要.
但是由于边缘计算节点资源有限,因此适用于部署轻量级的身份鉴别,保证边缘计算节点的接入安全.

A.
5不安全的接口边缘计算除了在边缘侧提供计算、存储功能,同时也能通过开放的接口对外提供服务.
攻击者可能通过开放的接口利用漏洞恶意接入,向边缘计算应用发起攻击.
因此在提供对外能力开放的同时,也要确保边缘计算的接口安全,对接口的访问进行限制,防止未授权的非法访问.

A.
6访问控制策略不足在不影响资源共享基础上,实现对边缘计算节点访问权限的管理,防止信息被非授权访问,保证系统安全、保护个人隐私.
在边缘计算中,访问控制难以实施的主要原因在于:1)边缘计算服务提供商需具备在多角色接入环境下的访问控制功能;2)访问控制应支持边缘计算使用者基本信息和策略信息的远程提供;3)支持访问控制信息的定期更新;4)需具备高分布式且动态异构数据的访问控制.
实现以上4点的安全访问控制策略是边缘计算在安全研发、测试、部署和运营过程中的重要考虑.

A.
7不安全的系统与组件边缘计算节点与边缘计算使用者、中心云之间的信息交互存在信任问题,在不同的边缘计算场景下,例如电信运营商、工业边缘计算、企业和IoT边缘计算场景下,如果边缘计算节点使用不安全的操作系统,一旦被攻击者恶意利用其存在的漏洞,通过权限升级或者恶意软件入侵边缘数据中心,进而获取控制权限,则会导致边缘计算上承载的业务连续性被破坏.

A.
8恶意的边缘计算节点由于边缘计算覆盖场景、实体比较多,导致边缘计算涉及的安全层面比较多,尤其是边缘计算节点位于基站或路由器侧,甚至在无线接入点的网络边缘,使得边缘计算安全防护较为困难.
由于软件安全防护能力弱,恶意边缘计算使用者很容易通过系统漏洞入侵和控制部分边缘计算节点,发起非法监听流量的行为等.
现有的安全监测技术,例如IPS、防火墙、蜜罐等难以实现全面的安全防护.

A.
9易遭受和发起分布式拒绝服务由于边缘设备使用简单的处理器和操作系统,只有有限的计算资源和带宽资源,未能提供纵深防御方案防止黑客入侵.
攻击者可以利用边缘设备的弱点,控制此设备对核心的边缘计算业务发起大流量的DDoS攻击.
因此,提升边缘计算网络安全,防止因设备漏洞带来的安全风险,是边缘计算的一个巨大挑战.

A.
10硬件安全支持不足由于边缘计算节点远离云层,靠近设备侧,因此被恶意攻击的可能性很大.
边缘计算节点可由虚拟化容器实现,容器需要共享底层操作系统,由于缺少必要的安全隔离导致安全威胁更加严重.
边缘计算节点在提供可靠服务同时,要求边缘计算的基础设施以较高性能提供安全可靠的服务.

以上是边缘计算面临的安全挑战,本文件针对不同的安全威胁均提供了相应的安全技术要求,见表A.
1.
表A.
1安全挑战与技术要求对应关系序号安全挑战技术要求1A.
17.
2.
22A.
27.
33A.
37.
3.
2、7.
3.
34A.
47.
1.
15A.
57.
1.
36A.
67.
1.
27A.
77.
48A.
87.
2.
3、7.
2.
49A.
97.
1.
5、7.
2.
310A.
107.
4.
1(资料性)边缘计算典型应用场景B.
1智慧园区安防系统解决方案传统的视频监控系统只存储视频,需要云平台实现视频分析处理,消耗大量存储、计算和带宽资源.
通过在边缘计算节点实现视频实时预处理、智能存储和推理,将初步分析结果上传至云端的智能分析系统,通过人脸识别和视频分析,对园区内进行安全态势感知,实现全面化的安全运营.

图B.
1智能园区安防系统解决方案通过边缘计算端到端的智能园区监控解决方案,大大简化了监控系统对云端依赖,并降低处理时延和资源消耗.
但是在整个边缘计算安全解决方案中,也存在着相应的安全风险,例如:数据隐私泄露风险:边缘计算节点缺乏保护措施,可能导致视频数据泄露、视频识别结果篡改、设备被盗等;安全存储:边缘设备由于受资源限制,以及存储位置位于网络边缘侧,存在数据存储安全风险;云边协同:在视频的数据从边缘层上传至云端时,存在安全风险;传输安全:数据上传云平台过程中可能被恶意截获或篡改;网络攻击风险:边缘设备增加了系统网络暴露面,甚至可能加剧DDoS攻击规模.
对于在智慧园区安防系统的边缘计算节点存在以上安全风险,本文件提出了在数据安全、云边协同、网络安全等方面的安全技术要求.
B.
2工业互联网场景下解决方案传统的工业互联网随着人力成本不断增长、物质需求不断提升,逐步向工业智能化发展.
但是在工业互联网场景下,边缘设备只能处理局部数据,全局信息的融合需要依托云平台,因此工业互联网场景是云边协同的典型应用.
工业互联网借助边缘计算智能设备以处理局部的数据,因此数据的基础分析时延几乎为零;边缘层将初步分析的结果上传至云端,由云端对数据进行进一步分析和处理.

图B.
2工业互联网场景下解决方案工业现场中的边缘计算节点能够支持自主地计算和存储,及时检测异常以预防单节点故障导致工业控制系统业务中断.
云端对位于边缘的节点进行管理,将上传的数据进行存储、分析和态势感知,全方位监控和管理位于工业现场中的边缘计算节点.
但是在上述解决方案中,边缘计算仍存在如下的安全风险:数据安全风险:边缘侧设备远离核心位置,所处环境复杂,数据的存储、备份等存在安全风险;云边协同安全风险:边缘设备将初步分析结果上传至云端,通过云边协同进行数据交互,存在应用、数据、网络协同的安全风险;安全运维风险:由于处于边缘层靠近设备侧,分布式部署,涉及的设备数量比较多,所以在安全运维方面存在安全风险.
对于工业互联网场景下边缘计算节点存在的安全风险,本文件提出了在数据安全、云边协同、安全运维等方面的安全技术要求.
B.
3运营商场景下解决方案MEC改变了4G中网络和业务分离的状态,通过对传统无线网络增加MEC平台网元,将业务平台(包含内容、服务、应用)下沉到移动网络边缘,并提供计算和数据存储服务.
5G时代下,MEC技术将会推动云平台同移动网络融合,并可能在技术及商业生态上带来新一轮的变革和颠覆.
边缘计算在5G场景里的形式是MEC,MEC实现了就近提供计算、存储资源,节省了传输时延,满足了5G场景下大带宽、低时延的需求.