CN109951440A - 一种5g网络切片实例动态切换方法和功能 - Google Patents

Abstract

本发明提供一种5G网络切片实例动态切换方法和功能。该方法包括：收集待防护网络的网络状态信息，包括安全威胁信息和用户设备与接入网络切片实例之间的连接状态信息；根据安全威胁信息和连接状态信息判断用户设备是否满足设定的网络切片实例切换条件；若满足则向网络切片选择功能发起网络切片实例切换请求，该请求包含用户设备信息、原网络切片实例信息以及新网络切片实例选择标准；并将接收到的响应消息转发至网络管理功能，以供网络管理功能通知原网络切片实例和新网络切片实例进行网络切片实例切换。该动态切换功能包括网络状态信息收集模块、安全感知模块、定时器模块和切换请求模块。本发明能够实现主动防御，保障UE的通信安全。

Description

一种5G网络切片实例动态切换方法和功能

技术领域

本发明涉及移动通信网络安全防护技术领域，尤其涉及一种5G网络切片实例动态切换方法和功能。

背景技术

面向2020年及未来，第五代移动通信网（5G）将会满足多样化的应用场景，现行单一化网络架构难以满足差异化的性能指标。网络切片（Network Slicing, NS）作为一种新出现的网络技术，可为不同应用需求提供定制化的虚拟网络，不仅能为用户提供质量保障的网络服务，也可通过共享资源而改善资源利用效率，降低成本。网络切片的实现是以网络功能虚拟化技术（Network Function Virtualization, NFV）为基础，NFV可实现传统的网元设备的软件与硬件分离，将网络设备功能以软件的形式运行在通用性硬件之上，资源可以充分灵活共享。NS是由不同的虚拟网络功能（Virtual Network Function, VNF）集合构成，并以虚拟网络的形式共享同一底层网络设施，在提高设备资源使用效率的同时也引入了开放环境下新的安全威胁。恶意攻击者可通过与目标用户共存于相同的物理设备来发起攻击，进而获取用户的重要数据信息或者破坏相关通信进程。

虚拟化环境中移动用户面临的主要安全威胁：

同驻攻击：攻击者利用虚拟机放置策略的漏洞将恶意虚拟机放置在与目标用户相同的物理机器上，并利用其它技术检测放置是否成功，同驻成功后攻击者就可能绕过虚拟机之间的隔离措施，窃取受害者的机密信息。

侧信道攻击（Side Channel Attack, SCA）：针对加密电子设备在运行时间中的时间消耗、功率消耗或电磁辐射之类的侧信道信息泄露而对加密设备进行攻击，这种攻击的有效性极高，可获取加密用户的秘钥或其他隐私信息。

DOS攻击：攻击者通过发送参数配置合理的通信消息，耗尽设备的资源，导致单点网络设备瘫痪，网络无法正常提供服务。

ETSI等相关组织对于以上攻击手段已设计相应的防护措施，但截至目前来说，单一的静态防护手段效果不够理想。

发明内容

为解决现有技术中存在的上述问题，本发明提供一种5G网络切片实例动态切换方法和功能，根据主动防御的思想，利用资源的动态性抵御虚拟化环境中通过共享物理基础设施发起的恶意攻击，对移动通信网中的用户信息进行安全防护。

一方面，本发明提供一种5G网络切片实例动态切换方法，该方法主要包括以下步骤：

步骤1、收集待防护网络的网络状态信息，所述网络状态信息包括安全威胁信息和用户设备与接入网络切片实例之间的连接状态信息；

步骤2、根据所述安全威胁信息和所述连接状态信息判断用户设备是否满足设定的网络切片实例切换条件；

步骤3、若满足设定的网络切片实例切换条件，则向网络切片选择功能发起网络切片实例切换请求，所述网络切片实例切换请求包含用户设备信息、原网络切片实例信息以及新网络切片实例选择标准；并将接收到的响应消息转发至网络管理功能，以供所述网络管理功能通知原网络切片实例和新网络切片实例进行网络切片实例切换。

进一步地，所述连接状态信息包括：用户设备与接入网络切片实例之间的共存时间和传输流量。

进一步地，所述步骤2具体为：

若根据所述安全威胁信息获知网络设备或用户设备存在安全威胁，或若用户设备与接入网络切片实例之间的共存时间超过预设时间阈值，或若用户设备与接入网络切片实例之间的传输流量超过预设流量阈值，则认为所述用户设备满足网络切片实例切换条件。

进一步地，在步骤2之前还包括：

根据用户设备类型或网络服务类型设定用户设备与接入网络切片实例之间的时间阈值和流量阈值。

进一步地，所述新网络切片实例选择标准包含以下至少3个条件：

A.新网络切片实例和原网络切片实例之间的网络服务类型相同；

B.新网络切片实例不包含存在安全威胁的网络设备；

C.新网络切片实例与原网络切片实例在设定的时间周期内不包含相同网络设备。

另一方面，本发明还提供一种5G网络切片实例动态切换功能，该动态切换功能主要包括：

网络状态信息收集模块，用于收集待防护网络的网络状态信息，所述网络状态信息包括安全威胁信息和用户设备与接入网络切片实例之间的连接状态信息；

安全感知模块，用于根据所述安全威胁信息判断用户设备是否满足设定的网络切片实例切换条件；

定时器模块，用于根据所述连接状态信息判断用户设备是否满足设定的网络切片实例切换条件；

切换请求模块，用于当满足设定的网络切片实例切换条件时向网络切片选择功能发起网络切片实例切换请求，所述网络切片实例切换请求包含用户设备信息、原网络切片实例信息以及新网络切片实例选择标准；并将接收到的响应消息转发至网络管理功能，以供所述网络管理功能通知原网络切片实例和新网络切片实例进行网络切片实例切换。

进一步地，所述连接状态信息包括：用户设备与接入网络切片实例之间的共存时间和传输流量。

进一步地，所述安全感知模块具体用于：

当根据所述安全威胁信息获知网络设备或用户设备存在安全威胁时，则认为所述用户设备满足网络切片实例切换条件；

所述定时器模块具体用于：

当用户设备与接入网络切片实例之间的共存时间超过预设时间阈值时，或

当用户设备与接入网络切片实例之间的传输流量超过预设流量阈值时，则认为所述用户设备满足网络切片实例切换条件。

进一步地，所述定时器模块还用于：根据用户设备类型或网络服务类型设定用户设备与接入网络切片实例之间的时间阈值和流量阈值。

进一步地，所述新网络切片实例选择标准包含以下至少3个条件：

A.新网络切片实例和原网络切片实例之间的网络服务类型相同；

B.新网络切片实例不包含存在安全威胁的网络设备；

C.新网络切片实例与原网络切片实例在设定的时间周期内不包含相同网络设备。

本发明的有益效果：

本发明提供的一种5G网络切片实例切换方法和功能，通过在5G网络中添加切片实例动态切换功能，在保证通信正常，满足电信运营商的高可靠性的前提下，通过网络资源的灵活切换策略，主动地完成对虚拟化环境中已知和未知安全威胁的防御，保障UE的通信安全，达到无感防护的效果。

附图说明

图1为本发明实施例提供的一种5G网络切片实例切换方法的流程示意图；

图2为本发明实施例提供的一种5G网络切片实例切换功能的接入示意图；

图3为本发明实施例提供的一种5G网络切片实例切换功能的结构示意图；

图4为本发明又一实施例提供的一种5G网络切片实例切换功能的流程示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在虚拟化环境中，物理基础设施的共享虽然提高了资源利用率，但也带来新的安全威胁。为了主动防御通过共享资源发起的同驻攻击等，本发明实施例提供了一种5G网络切片实例动态切换方法，结合图1和图2所示，通过将5G网络切片实例动态切换功能（下称动态切换功能）通过服务化接口接入5G网络，网络切片实例动态切换方法主要包括以下步骤：

S101、收集待防护网络的网络状态信息，所述网络状态信息包括安全威胁信息和用户设备与接入网络切片实例之间的连接状态信息；

具体地，动态切换功能收集网络管理功能对于整个网络状态的监视信息，一种是安全威胁信息，例如网络设备是否遭受攻击以及运行状态是否正常，哪些用户终端（即UE）存在安全威胁等。另一种是UE与接入网络切片实例（即接入NSI）的连接状态信息，例如UE与接入NSI之间的共存时间和传输流量。

S102、根据所述安全威胁信息和所述连接状态信息判断用户设备是否满足设定的网络切片实例切换条件；

具体地，动态切换功能根据步骤S101收集到的网络状态信息进行数据分析，判断用户终端是否满足两种切换策略的切换条件。所述的两种动态切换策略指：安全感知切换策略和定时切换策略。

所述的安全感知切换策略主要依赖网络管理功能收集到的攻击检测信息或者工作异常信息。当检测到网络攻击或者服务异常时，即若根据安全威胁信息获知网络设备或用户设备存在安全威胁，动态切换功能将会执行步骤S103，进行网络切片实例的重新选择，并隔离受攻击的网络设备。若网络中一直未发现恶意攻击行为，动态切换功能将不会触发安全感知策略的NSI切换条件。

所述的定时切换策略主要依赖于统计到的UE与NSI的连接状态信息，根据时间阈值或流量阈值是否执行步骤S103，即若UE与接入NSI之间的共存时间超过预设时间阈值，或若UE与接入NSI之间的传输流量超过预设流量阈值时，则定时进行网络切片实例的主动切换，防止恶意攻击手段获取足够信息量以还原出可用数据，或者定位出通信网络的关键功能便于发起精确攻击。

需要说明的是，如果在未满足定时切换策略设定的触发条件时，动态切换功能触发了由安全威胁引起的NSI切换，则定时切换策略中的设定条件在新的NSI中进行重新计算。

S103、若满足设定的网络切片实例切换条件，则向网络切片选择功能发起网络切片实例切换请求，所述网络切片实例切换请求包含用户设备信息、原网络切片实例信息以及新网络切片实例选择标准；并将接收到的响应消息转发至网络管理功能，以供所述网络管理功能通知原网络切片实例和新网络切片实例进行网络切片实例切换。

具体地，网络切片选择功能（即NSSF）接收到NSI切换请求时，在同一类型的网络切片内基于请求信息中携带的新网络切片实例选择标准选择新的NSI进行切换。

在基于服务的5G网络架构中，NSSF的功能是根据不同的用户请求和核心网返回参数列表选择相应的NSI，使用其为UE提供网络服务。NSI的切换是由核心网网络管理功能发起的请求，是UE无感知的通信流程，在核心网网络内部完成。同一类型的网络切片可能拥有多个不同的NSI，但提供相同的网络服务，可以基于安全策略或负载均衡等进行不同NSI的接入控制。

动态切换功能发起NSI切换请求时，NSSF为UE选择新的网络切片实例。与原来的NSI相比，新的NSI选择标准至少包含以下三点：1）新的NSI必须提供相同的网络服务，即不能选择跨服务类型的NSI；2）新的NSI不能含有受到安全威胁的网络设备；3）新的NSI与原NSI在设定的时间周期内不能含有相同网络设备交集。在实际应用中，时间周期取决于安全威胁的类型，可以由管理员预先设定；或者也可根据网络统计的安全威胁数据进行适应性调整。例如，在安全威胁等级较高时，则缩短时间周期。

本发明实施例提供的一种5G网络切片实例动态切换方法，通过在5G网络中添加切片实例动态切换功能，在保证通信正常，满足电信运营商的高可靠性的前提下，通过网络资源的灵活切换策略，主动地完成对虚拟化环境中已知和未知安全威胁的防御，保障UE的通信安全，达到无感防护的效果。

在上述实施例的基础上，在步骤S102之前还包括：

根据用户设备类型或网络服务类型设定用户设备与接入网络切片实例之间的时间阈值和流量阈值。

具体地，动态切换功能通过设计相同物理资源的使用时间、传输流量等门限值，当UE接受服务的进程满足门限值条件后，动态切换功能则触发定时切换策略的切换条件。

在实际应用中，动态切换功能通过监控同一NSI为UE提供服务的时间或流量总量，当其达到门限值时，触发NSI切换条件，动态切换功能向NSSF发起UE对应网络切片实例的重选请求，在请求中携带相应UE和NSI的信息作为重新选择的参考，NSSF完成选择后进行NSI切换，保障UE的通信安全。

图3为本发明实施例提供的一种5G网络切片实例动态切换功能的内部结构示意图。如图3所示，5G网络切片实例动态切换功能包括：网络状态信息收集模块301、安全感知模块302、定时器模块303和切换请求模块304。其中：

网络状态信息收集模块301用于收集待防护网络的网络状态信息，所述网络状态信息包括安全威胁信息和用户设备与接入网络切片实例之间的连接状态信息；安全感知模块302用于根据所述安全威胁信息判断用户设备是否满足设定的网络切片实例切换条件；定时器模块303用于根据所述连接状态信息判断用户设备是否满足设定的网络切片实例切换条件；切换请求模块304用于当满足设定的网络切片实例切换条件时向网络切片选择功能发起网络切片实例切换请求，所述网络切片实例切换请求包含用户设备信息、原网络切片实例信息以及新网络切片实例选择标准；并将接收到的响应消息转发至网络管理功能，以供所述网络管理功能通知原网络切片实例和新网络切片实例进行网络切片实例切换。

具体地，动态切换功能通过服务化接口接入5G网络，根据不同的安全等级选择是否执行，即不影响网络的正常工作，且该功能的升级、弹性扩展等操作可单独执行。

网络状态信息收集模块301作为网络功能数据流的入口，进行网络状态信息接收，并将网络状态信息分别转发至安全感知模块302和定时器模块303进行处理。安全感知模块302和定时器模块303根据相应的配置策略进行数据分析，作出决策结果：选择保持NSI继续提供服务或者执行切换策略，若需要进行NSI切换，则将该决策结果发送到切换请求模块304，通知其携带必要信息（例如UE进行切换所必要的流程交互信息）向NSSF发起NSI切换请求。

切换请求模块304作为动态切换功能的输出端，在接受到安全感知模块302和定时器模块303的通知后，将相关请求信息发送到NSSF，协助完成新NSI的选择，并通知网络管理功能完成网络切片切换前的准备工作，以UE无感的方式完成NSI切换，保证通信安全。

下面通过对动态切换功能的工作流程的介绍以对本发明实施例的技术方案作进一步地详细说明。如图4所示，动态切换功能的工作流程具体包括以下步骤：

S401、UE依照标准通信流程选择提供服务的网络切片实例，建立网络承载并提供服务，核心网网络管理功能将UE和对应网络切片实例的相关信息进行登记。

S402、动态切换功能中的网络状态信息收集模块301通过网络管理功能接受和分析网络状态数据，不同的数据信息分别交给安全感知模块302和定时器模块302进行处理，以便于进行相应的策略执行。

S403、动态切换功能根据网络状态信息，根据不同的安全需求和配置，选择执行相应的切换策略，切换策略包含以下几种：

安全感知模块302收集到安全威胁，标记受到影响的网络设备和UE，将相应信息（例如受影响网络设备和UE的MAC地址）发送给切换请求模块304，通知其发起NSI切换请求，并协助NSSF选择安全的NSI提供服务；

定时器模块303分析UE与对应NSI之间的共存时间信息、传输流量信息，根据配置的时间门限值或流量门限值，选择是否进行NSI切换，若定时器模块303检测到共存时间信息或者传输流量信息超过设定的安全阈值则将决策信息（即需要执行NSI切换）发送给切换请求模块304，通知其发起NSI切换请求，并协助NSSF选择新的NSI提供服务；

安全感知模块302和定时器模块303的切换条件未满足时，保持原有的NSI继续提供网络服务，不发生切换。

S404、根据安全防护需求，切换请求模块304向NSSF发起网络切换实例切换请求，请求中携带相关UE和原NSI的信息，协助选择新的合适的NSI提供服务。

S405、NSSF根据网络切片实例切换请求为UE选择新的NSI，并将相关信息（例如新的NSI的接口地址，服务类型，包含的网络设备等信息）包含在响应中，返回切片实例动态切换功能。

S406、动态切换功能通知网络管理功能准备NSI切换，并提供相应参数，包含原NSI、新NSI以及UE的相关信息等。例如原NSI的服务类型、包含的网络设备以及遭受的安全威胁类型；新NSI的接入方式，以及接入地址需要的验证参数；UE的鉴权验证参数，以及UE的设备状态信息。

S407、网络管理功能通知原NSI准备和新NSI进行切换，主要进行相关数据的备份和转移。

S408、原NSI完成准备工作后，响应网络管理功能。

S409、网络管理功能通知新NSI准备和原NSI进行通信，完成备份数据工作。

S410、原NSI与新NSI建立连接，完成数据备份和转移，准备为UE提供服务。

S411、UE与新NSI建立承载，新NSI为UE提供服务。

由上述内容可知，本发明实施例提供的动态切换功能通过服务化接口接入5G网络，在基于服务的5G网络架构中以虚拟网络功能的形式存在,根据收集到的网络状态信息选择不同的网络切片实例切换策略，将受到安全威胁的UE切换到新的NSI中，保障通信安全。本发明充分利用了网络功能虚拟化的资源灵活调度优势，可实现对恶意网络攻击的主动防御，保障用户设备的通信安全。

本发明能够主动防御虚拟化环境中带来的新的安全威胁，以虚拟网络功能的形式进行开发安装，具有服务调度的灵活性和资源使用的高效性，而且在出现故障的情况下不影响网络的正常工作。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (10)

1.一种5G网络切片实例动态切换方法，其特征在于，包括：

步骤1、收集待防护网络的网络状态信息，所述网络状态信息包括安全威胁信息和用户设备与接入网络切片实例之间的连接状态信息；

步骤2、根据所述安全威胁信息和所述连接状态信息判断用户设备是否满足设定的网络切片实例切换条件；

步骤3、若满足设定的网络切片实例切换条件，则向网络切片选择功能发起网络切片实例切换请求，所述网络切片实例切换请求包含用户设备信息、原网络切片实例信息以及新网络切片实例选择标准；并将接收到的响应消息转发至网络管理功能，以供所述网络管理功能通知原网络切片实例和新网络切片实例进行网络切片实例切换。

2.根据权利要求1所述的方法，其特征在于，所述连接状态信息包括：用户设备与接入网络切片实例之间的共存时间和传输流量。

3.根据权利要求2所述的方法，其特征在于，所述步骤2具体为：

若根据所述安全威胁信息获知网络设备或用户设备存在安全威胁，或若用户设备与接入网络切片实例之间的共存时间超过预设时间阈值，或若用户设备与接入网络切片实例之间的传输流量超过预设流量阈值，则认为所述用户设备满足网络切片实例切换条件。

4.根据权利要求3所述的方法，其特征在于，在步骤2之前还包括：

根据用户设备类型或网络服务类型设定用户设备与接入网络切片实例之间的时间阈值和流量阈值。

5.根据权利要求1所述的方法，其特征在于，所述新网络切片实例选择标准包含以下至少3个条件：

A.新网络切片实例和原网络切片实例之间的网络服务类型相同；

B.新网络切片实例不包含存在安全威胁的网络设备；

C.新网络切片实例与原网络切片实例在设定的时间周期内不包含相同网络设备。

6.一种5G网络切片实例动态切换功能，其特征在于，包括：

网络状态信息收集模块，用于收集待防护网络的网络状态信息，所述网络状态信息包括安全威胁信息和用户设备与接入网络切片实例之间的连接状态信息；

安全感知模块，用于根据所述安全威胁信息判断用户设备是否满足设定的网络切片实例切换条件；

定时器模块，用于根据所述连接状态信息判断用户设备是否满足设定的网络切片实例切换条件；

切换请求模块，用于当满足设定的网络切片实例切换条件时向网络切片选择功能发起网络切片实例切换请求，所述网络切片实例切换请求包含用户设备信息、原网络切片实例信息以及新网络切片实例选择标准；并将接收到的响应消息转发至网络管理功能，以供所述网络管理功能通知原网络切片实例和新网络切片实例进行网络切片实例切换。

7.根据权利要求6所述的动态切换功能，其特征在于，所述连接状态信息包括：用户设备与接入网络切片实例之间的共存时间和传输流量。

8.根据权利要求7所述的动态切换功能，其特征在于，所述安全感知模块具体用于：

当根据所述安全威胁信息获知网络设备或用户设备存在安全威胁时，则认为所述用户设备满足网络切片实例切换条件；

所述定时器模块具体用于：

当用户设备与接入网络切片实例之间的共存时间超过预设时间阈值时，或

当用户设备与接入网络切片实例之间的传输流量超过预设流量阈值时，则认为所述用户设备满足网络切片实例切换条件。

9.根据权利要求8所述的动态切换功能，其特征在于，所述定时器模块还用于：根据用户设备类型或网络服务类型设定用户设备与接入网络切片实例之间的时间阈值和流量阈值。

10.根据权利要求6所述的动态切换功能，其特征在于，所述新网络切片实例选择标准包含以下至少3个条件：

A.新网络切片实例和原网络切片实例之间的网络服务类型相同；

B.新网络切片实例不包含存在安全威胁的网络设备；

C.新网络切片实例与原网络切片实例在设定的时间周期内不包含相同网络设备。