可定义的6G安全架构*

刘国荣，沈军，白景鹏

（1.中国电信股份有限公司研究院，广东 广州 510630；2.移动互联网系统与应用安全国家工程实验室，上海 200120）

0 引言

随着新一轮科技革命和产业变革加速演进，数字经济蓬勃发展，信息化、数字化正深刻改变人们的生产生活方式，在应对疫情影响方面，新一代信息技术作为数字经济的重要引擎，作用更加凸显。5G作为信息化关键基础设施，也在如火如荼地开展网络建设，当前已进入规模商用阶段。

按照移动通信发展大约10年一代的规律，5G商用开启的同时，各国也开启了6G预研，在新的赛道展开竞争，2018年7月，国际电信联盟成立了2030网络技术的研究组，我国工信部、科技部也已于2019年组织成立了国内的研发团队开启了研究。

虽然当前业界对6G尚无统一定义，但对6G研究、发展方向已部分趋同或形成共识[1-2]，如覆盖广度的提升，推动卫星通信与地面通信的融合，全面覆盖陆海空天；网络传输速率的进一步提升，利用更宽的频谱通信，如钛赫兹频段、可见光通信；网络智能化提升，网络与计算融合、AI大规模的应用；网络采用更简洁、更灵活的架构。

安全是信息化、数字化发展的关键基础，6G对社会生产生活的深入渗透，对安全提出了更高的要求，也是6G研究的重点方向。

1 6G发展与安全需求

1.1 6G发展与需求驱动

6G网络将实现全场景的万物互联，包括陆海空天在内的全球无缝覆盖，数字世界与物理世界深度融合。社会管理、经济生产、生活服务等各类活动将愈发依赖可靠的网络运行，如智能交通、智慧医疗等智能城市管理服务，以分布式制造、规模化定制生产为特征的工业4.0等。大量涉及社会管理、经济运行的重要数据和个人隐私信息通过网络传输存储，对安全提出了更高的要求。

新技术的发展与成熟，将有望在6G网络得以应用，如柔性网络与SDN、SDSec技术、网络智能化与AI技术、空天地一体化与卫星通信技术[3]、去中心化网络与区块链等新型网络架构和技术。新技术的应用在提升网络能力的同时，也增加了网络防护难度，对安全提出了新的要求，而AI、量子计算对攻击能力的提升，将使6G网络面临诸多前所未有的安全挑战。

另一方面，区块链、零信任、软件定义安全、基于AI的安全防御、免疫安全等安全技术和理念的发展，也为6G安全提供了新的防护手段，提升6G安全能力。

1.2 6G安全需求

6G除延续传统移动网络的认证、密钥管理、空口安全等基础安全需求外[4]，需针对新业务、新架构、新技术及安全形势的变化，进一步将网络安全模式向可定义、能力原生、自主决策、协同控制等方向演进[5]，提供灵活可扩展的安全架构、动态适配的差异化安全能力、智能自适应的安全决策和泛在协同的安全控制，并针对新技术提供可信与安全增强，以适应复杂业务和柔性网络的安全需求。

（1）可扩展的安全架构：传统移动网络采用单一集中控制架构，中心化架构存在扩展性、性能瓶颈等问题，难以应对复杂网络、业务及海量终端安全需求。6G网络需支持从体域网、行业定制专网、行业互联网络到卫星网络在内的各种异构网络和海量终端，需要提供可扩展的安全架构。

（2）安全能力原生支持：传统网络采用补丁、外挂式的安全，安全能力在网络之上叠加，不仅投入成本大，且防护效果有限。6G网络中，安全将成为网络架构设计时同步考虑的因素，成为与网络功能高度融合的原生能力。

（3）差异化安全能力的灵活适配：为支持万物互联及复杂业务场景，6G网络将异构、融合多种技术体系，需要提供差异化的安全能力，并根据网络柔性、动态扩展的特点，要求安全能力能够适配网络、终端环境和业务场景的动态需求，按需进行快速调度、弹性部署。

（4）智能泛在的安全协同：AI、大规模协同计算等新技术在6G中的广泛应用将提升攻击能力，形成局部难以防范的攻击威胁，要求6G网络具备安全能力的智能化调度，实现安全防护能力的协同，共同应对复杂攻击。同时，6G网络智能化、无处不在的算力资源，也为智能协同提供了基础。

综上，为满足深入使能全连接世界的发展愿景，6G网络应具备柔性、灵活、动态等特性，网络应可灵活定义和定制，相应地，安全也需具备灵活定义、定制能力。

2 可定义的6G安全架构初探

2.1 可定义的6G安全架构模型

网络安全原生的愿景，不能脱离网络而存在，为阐述安全与网络的关系，首先设想具备网络定义、智能决策、协同控制、高效转发等特征的6G网络架构模型，图1左侧为6G网络架构模型、右侧为相应的安全架构模型。

图1 可定义的6G网络与安全架构模型

为满足6G向千行百业深度赋能的愿景、适应需求迥异的各类场景，网络应是柔性、可弹性伸缩和灵活扩展的[6]，并且面向不同场景的网络是可协同发展的，因此网络应具备可定义的能力，能够基于底层基础设施，包括基础承载网络、计算和存储等资源，定制出不同网络/网络切片。网络定义、演进的基础，称之为网络定义面。定义/定制出来的网络，称为一个网络实例。

当前5G网络具备数据面、控制面，6G将在此基础上发展并支持高效转发、协同控制等特性，并基于计算网络、AI、平行伴生网络[7]等技术，定制出智能决策面，为网络运营、运维提供决策支持。数据面、控制面、智能决策面对应图1垂直方向的三个平面，共同组成了一个网络实例示意。

相应地，安全也是可定义、定制的，且和网络同步定制、原生支持，图1示意的网络实例定义了纵向集成于网络的三个安全能力平面：信任、防御、监测，横向发展出的与网络决策、控制平面相对应的安全决策、安全能力控制两个支撑面，以及面向多网络协同，实现跨域、跨网协同的协作平面。

2.2 安全平面的组成和作用

安全各个平面侧重解决或支撑解决某类安全问题，如信任面面向客户，侧重于解决用户与网络之间的信任、信任域边界隔离、网络可信方面的问题，防御面针对攻击者，侧重于解决网络受到攻击时的防御能力调度、事件响应和处置，监测面面向运维，侧重于解决全网安全可视化问题，并为决策提供数据支持。网络定义及安全定义面向业务，可针对不同业务应用/场景按需定义、定制出网络实例，及其原生的安全实例。安全决策、安全能力控制、协作面等几个支撑面，则支撑各安全能力面的运转和协作。

上述所谓安全平面，是由基础安全能力/技术组合而成，并以多种方式内嵌于网络，既可是网络协议的一部分，如与网络协议同时定义的身份验证、传输加密等能力，也可是网络动态定义、组合的控制点，将安全能力动态加载、集成到该控制点，或者将业务流程引入基础安全能力池，组合形成安全控制体系。

2.3 安全平面间及与网络的协作

安全各个平面不能孤立存在，与网络平面之间也具有紧密关系。

安全定义面是整个网络定义面的一个子集，与网络定义能力共同作用，并通过网络定义能力，定义、定制出网络+安全实例，实例的安全能力作为网络的一部分能力原生于网络。

安全决策、安全能力控制两个支撑平面，作为网络实例的安全能力决策、控制中枢，一方面需要监测平面的数据支持，同时，也通过安全能力控制平面，将安全策略反馈到各安全能力平面，将安全能力动态集成到各安全能力平面，作用于网络。

各安全能力平面虽各有侧重，但需交互协作，共同保障网络的整体安全。其中，信任是网络运作、业务正常开展的基础，也是安全监测/防御体系的基础，防御能力持续为网络提供安全保障，并通过监测能力感知网络安全状态，为安全决策提供依据，当网络环境、安全状态发生变化时，安全决策做出响应指示，安全能力控制指示安全防御做出策略调整，或调用安全防御能力进行响应、处置，各安全能力的共同作用，形成“检测、响应、预测、预防”一体化的自适应安全体系[8]。

安全作为网络原生能力，作用过程同样需要通过网络能力统一、集成调度，如安全监测作为网络监测体系的一部分，监测数据需统一定制和分流，安全决策需要网络智能决策面的支持，安全能力控制面作为整个网络控制平面的一部分，对各安全能力的策略下发、能力调度，同样需要通过网络控制能力统一作用。

3 基于软件定义的安全架构

可定义的6G安全架构模型的实现，要求安全能力与底层实现解耦、动态编排和调度管理，软件定义安全的理念可实现6G安全能力灵活定义的诉求。

软件定义安全是从软件定义网络引申而来[9]，原理是将物理及虚拟的网络安全设备与其接入模式、部署方式、实现功能进行了解耦，底层抽象为安全资源池里的资源，顶层统一通过软件编程的方式进行智能化、自动化的业务编排和管理，以完成相应的安全功能，从而实现灵活的安全能力体系。基于软件定义网络和软件定义安全技术，可构建可定义、灵活的6G网络与安全架构，形成差异化的、可定义的、快速调度部署的原生安全能力，实现安全能力、业务环节、客户需求之间的高效联动与协同效应。

（1）安全资源池化与统一编排管理

利用虚拟化技术、软件定义网络和安全技术，定义统一的、标准化的安全设备类型、能力、应用接口，实现安全能力抽象和资源池化，将差异化的安全设备抽象为多个具有不同安全能力的统一资源池，集中管理，统一部署。安全设备资源池化打破了传统硬件资源的封闭性，为不同设备厂商、不同功能的安全设备提供了管理和部署方面的便利，有助于上层安全控制平台根据策略需求动态调度和编排安全能力，满足6G多场景下的差异化安全保护需求。

图2 基于软件定义的6G安全架构

（2）基于软件定义的安全架构

通过将安全的控制平面和数据平面分离，构建以安全决策控制为核心的软件定义安全架构，架构由安全资源层、安全定义层、安全能力层、安全决策控制层组成。安全定义层和资源层进行交互，对安全资源池进行管理和调度，并提供封装后的安全能力，同时与网络控制器、云、网络/安全管理平台等互通。安全定义层内部标准化定义资源管理、应用管理、策略解析等基础功能模块，并能够按需通过软件编程创建定制的功能模块。

（3）安全控制与网络控制联动协同

在业务网络层面，安全与网络实例通过策略联动，将相应的策略下发到基础网络的资源抽象与管理编排，安全策略控制指令通过标准接口与网络资源抽象与管理编排层进行交互，实现底层流量的安全检测和策略的下发和控制。网络SDN控制器根据来自安全控制层的策略，对流量进行编排、管理。MANO系统实现对安全功能需要的虚拟化资源的编排、管理，以及虚拟安全网元的生命周期管理。安全控制与网络控制联动协同，可保证网络层面流量和策略的一致性、高效性。

（4）安全域间控制协同

对于划分了多个安全域的网络、或者跨网络的协同需求，可在每个网络域构建专属的SDN和SDS架构，部署专用的网络控制器和安全控制器。各安全域的域间控制协同可通过东西向接口进行实时交互，或由集中的安全管理控制系统对各域的子系统进行统一的策略分发、资源编排管理。在进行域间协同防御时，可通过情报传递、服务请求的方式请求其它安全域同步部署安全检测防护措施。

4 结束语

6G使能全连接世界、推进社会信息化和数字化的发展的愿景，需要柔性、灵活、可扩展的网络和安全架构满足差异化的业务和安全需求，软件定义的理念，将在6G网络和安全中发挥重要作用，通过基础网络资源与业务逻辑的解耦，定义定制满足各类需求的网络和安全实例，满足6G适应各类差异化的场景需求。在此基础上，与AI、算力网络等技术和理念结合，将进一步推动网络朝着智能化、自动化等方向发展，实现网络的自适应、自演进，为社会信息化发展提供更大的动能。