移动边缘计算安全风险分析及解决方案

作者：刘利军，柏洪涛，谭飞越，张双 2020-04-20 09:37:41随着5G网络的到来，移动通信量将面临巨幅的增长，通信量的增长和通信成本的压力促使运营商实施多项变革，以保持用户体验的质量、收入渠道的扩展、网络运营的优化和资源的充分利用。

Labs 导读

移动边缘计算作为将云计算能力下沉到边缘节点的面向5G的新技术，具有路由控制、无线网络能力开放和平台管理三大区别于典型云平台的独特特性。在为终端提供低时延分布式的计算能力、智能节能的运行模式的同时，由于其靠近终端设备、运行资源有限、接入终端设备数据、支持设备移动性等特征，使得边缘计算除了面临云计算系统普遍存在的安全问题之外，还在基础设施、虚拟化特征、数据资源、设备间交互和终端设备移动性等方面面临新的安全威胁。本文将边缘计算区别于一般云平台的新特性入手，分析技术新特性带来的安全问题并给出解决方案。

随着5G网络的到来，移动通信量将面临巨幅的增长，通信量的增长和通信成本的压力促使运营商实施多项变革，以保持用户体验的质量、收入渠道的扩展、网络运营的优化和资源的充分利用。同时，随着物联网技术的快速发展和物联网应用的不断涌现，物联网连接设备的爆发式增长将进一步堵塞网络，因此网络运营商需要进行本地流量分析，采用网络切片以缓解网络拥塞带来的影响。企业希望能够通过更高效、安全和低延迟的连接方式来支持并与客户接触，应用程序和内容提供商在连接到云时也面临网络延迟的挑战，而云计算的集中处理模式在大规模物联网连接背景下存在无法满足实时性需求、终端设备隐私数据信息上传至云端数据中心会增加隐私泄露的风险、连接数的增加带来的云计算中心能耗问题等方面的不足，万物互联的需求催生出了边缘计算模型。

1、移动边缘计算

在2018年年底，中国电子技术标准化研究院、阿里云等单位共同编制并发布了一份《边缘云计算技术与标准化白皮书》，定义了边缘云计算的概念[1]，将移动边缘计算设备部署在移动网络边缘、无线接入网络(RAN)内、靠近终端，为附近移动设备提供IT服务能力和云计算功能。移动边缘计算设备可以直接访问设备的上下文信息，如精确的地理位置、设备网络状态甚至终端设备的移动行为信息等。由于边缘计算将计算能力直接下沉到靠近设备终端，不在网络中进行长距离传输，因此可以降低敏感信息被泄露窃取的风险[2]。但边缘计算设备是终端设备数据的直接入口，能够获取到大量的用户敏感信息数据，这就对边缘计算设备的隐私保护机制提出了更高的要求。

移动边缘计算将边缘计算平台的部署限制在5G等移动网络基础设施上，在某些情况下，设备本身可以参与服务提供过程。在移动边缘计算中，有几类不同的用户实体：云服务提供商、边缘计算服务提供商和用户。电信运营商可以成为移动边缘计算的提供商，因为他们拥有部署边缘数据中心的移动网络基础设施。第三方服务提供商可以与运营商密切合作，开发移动边缘计算的专用服务。这样的服务就可以被广泛地测试，并可能以定制的方式集成。面对不同的用户实体，其访问资源的权限是不同的，在大规模的物联网连接下，需要对不同的用户实体满足其最大限度享受资源共享需求的基础上，实现对用户访问权限的管理，防止信息被非授权篡改和滥用。

移动边缘计算是一个与RAN相邻的高性能和电信级云平台，允许在网络边缘进行计算。它同时处理从云服务主机到移动终端的下游数据和从移动终端到云主机的上游数据。移动边缘计算平台可以由标准IT 服务器 和基站内外的网络设备组成，第三方应用程序在由网络设备互连的虚拟机中部署和执行。也可以简单地使用标准IT服务器构建移动边缘计算平台，其中网络设备作为软件实体实现。其架构如图1所示。

移动边缘计算平台的基本功能包括路由模块、网络能力开放模块和平台管理模块[3]。路由模块负责移动边缘计算平台、RAN和移动核心网之间以及移动边缘计算平台内的分组转发。网络能力开放模块允许无线网络信息服务(RNIS)和无线资源管理(RRM)的授权功能开放。平台管理模块支持对第三方应用程序进行认证、授权、计费和管理[4]，涉及应用程序部署的编排和对网络能力开放的授权。

图1 移动边缘计算架构

下面对移动边缘计算框架中涉及的3个模块中存在的安全问题做分析并给出解决方案。

2、路由控制模块

2.1 安全风险分析

通过路由控制模块，用户平面流量(上行链路或下行链路)被传递到一个应用程序，该应用程序可对流量进行监控、修改或控制，然后将其发送回原始连接。边缘环境下的终端设备具有很强的移动性，因此路由模块应该实现业务连续性。路由模块应具有在移动终端切换到连接不同移动边缘计算平台的接入点时，中断并消除会话的能力。

路由模块负责在移动边缘计算平台内部虚拟机之间进行流量转发，支持网络虚拟化以促进灵活的分组转发背板，在背板中根据需要分配网络和安全服务给可进行编程管理的虚拟机。

在移动5G网络中，需要加速内容的交付，以便移动用户及时检索数据。为了实现优化的数据传输，在基站和核心网络之间引入了名为TCP性能增强代理(PEP)的中间箱[5]。引导移动网络外部的TCP服务器向移动终端传输数据，并将无线信道容量的近实时信息插入无线网络TCP数据分组的选项字段中。TCP服务器可以利用它来提高移动网络的利用率。由于路由模块需要负责流量的传输，并且边缘节点的能力相较于云计算中心比较有限，容易遭到流量攻击，尽管单个边缘节点被破坏，附近网络会迅速找到最近的可替代节点进行调节，损害并不大，但如果黑客将攻陷的边缘节点作为“肉鸡”去攻击其它服务器，在短时间内用大量的僵尸节点去访问服务器，会导致服务器瘫痪进而会对整个网络造成影响。

2.2解决方案

在进行流量转发时建议划分流量类型，并在中心和分支之间设置防火墙。在某些情况下，边缘计算设备可能根本不需要连接到企业网络，例如使用边缘网站运营农场或自动化工厂，就不需要访问客户数据。边缘的微数据中心应具有冗余保护级别的集群，并对传输的数据进行机密性和完整性、防重放保护，调用移动边缘计算平台的 API 时应进行认证和授权，移动边缘计算平台应进行安全防护，实现最小化原则，关闭所有不必要的端口和服务，敏感数据(如用户中的位置信息、无线网络的信息等)应进行安全存储，禁止非授权访问。移动边缘计算台应具备 DDoS 防护功能等。

对于部署在虚拟化边缘环境中的虚拟机，可以加强虚拟机之间的隔离，对不安全的设备进行严格隔离，防止用户流量流入到恶意虚拟机中。另外，可以实时监测虚拟机的运行情况，有效监控恶意虚拟机行为，避免恶意虚拟机迁移对其它边缘数据中心造成感染。

3、开放无线网络能力

3.1 安全风险分析

移动边缘计算架构中，边缘设备可以通过开放的网络能力利用同构的应用程序编程接口(API)将从底层移动网络中提取的服务和功能安全的提供给第三方应用。与此同时，这些开放的 API 也给移动边缘计算带来了一定的安全威胁。

在参考文献[6]中提到，给各参与者如用户、虚拟机和其它数据中心等提供服务的 API 集以及其它网络应用的接入点给攻击者提供了数量可观的攻击面，增加了攻击向量维度。边缘计算客户端越智能，越容易遭受恶意软件和安全漏洞攻击。同时，网络边缘高度动态的环境也使网络变得更加脆弱和不受保护，从而带来隐私泄露、权限升级和服务操纵等安全问题。

3.2 解决方案

在对外提供服务接口的基础上，要对数据面网关进行安全加固、保障接口安全、保护敏感数据以及防护物理接触攻击，实现用户数据能够按照分流策略进行正确的转发。具体包括数据面与移动边缘计算之间、数据面与交互的核心网网元之间应进行相互认证;应对数据面与移动边缘计算之间的接口、数据面与交互的核心网网元之间的接口上的通信内容进行机密性、完整性和防重放的保护;应对数据面上的敏感信息(如分流策略)进行安全保护;数据面是核心网的数据转发功能网元，从核心网下沉到接入网，应防止攻击者篡改数据面网元的配置数据、读取敏感信息等。

针对权限升级和服务操纵问题，可考虑基于区块链的信任安全架构，中心思想是不自动信任任何内部或外部的用户或终端，在进行授权之前对任何试图接入的设备进行验证，限制黑客的横向移动，防止攻击者渗透端点设备成功后，在整个环境中横向移动或者利用网络钓鱼获得准入凭证从而直接到达目标资产所在的数据中心。

4、平台管理

4.1安全风险分析

平台管理模块对其它模块和本地IT基础设施进行管理，支持对网络能力开放模块和分配给第三方应用程序的本地IT基础设施资源进行认证、授权和计费操作。对本地IT基础设施的管理主要部署为基础设施即服务(IaaS)[8]，如OpenStack。平台管理模块由控制计算、存储和网络资源的硬件池的相互关联的组件组成，以便能够根据第三方应用程序的要求规划和协调IT资源。在平台管理的IaaS中，存在两个方面的安全问题：终端的数据安全与不同终端间的数据安全。由于边缘设备是数据的直接入口，终端用户的可公开数据与隐私数据都是直接经过边缘设备进行传输与处理，这就需要边缘设备对这些数据进行分别处理，对隐私数据进行加密保护，保证数据的安全和隔离，避免隐私数据被泄露和窃取。不同终端之间的数据是不同的，有些终端数据是不能外泄的。这就需要对不同终端间的数据进行隔离，保证各个终端的数据间的准确和安全。

平台管理模块对网络能力开放和路由模块的管理是作为PaaS实体构建的，包括中间件的创建、删除、认证和注册。它应提供标准化环境，以便移动边缘计算平台能够容纳来自不同供应商的组件，管理层同样存在移动网络遭受错误或恶意API调用的干扰的安全问题。

管理模块和网络能力开放模块可以对路由模块启动路由策略设置。管理模块应具备网络安全系统处理特定功能的能力和对加载到本地网络的用户流量进行收费。管理模块的权限较大，如果遭到攻击将会对平台造成很大的影响。移动边缘计算平台由于相对有限的计算与存储资源，无法部署全局的入侵检测系统，并且在大规模物联网环境下，基础设备的结构、协议、服务提供商都是不同的，没有统一的规范，因此难以检测内部攻击和外部攻击。

4.2 解决方案

平台的安全管理同传统网络的安全管理一样，涉及到账号、密钥的安全、授权管理和日志的安全等，要确保只有授权用户才能执行操作。用于访问设备的密钥不能是简单的或者默认密钥，应采用强密码或多因素身份认证，尤其是管理员和root-access账户。

由于边缘计算是将计算能力下沉到了边缘，一些操作与计算过程不经过核心网，是在小范围进行计算和数据传输，缺少了对这些操作的监管。当边缘计算包括做出关键决策的能力时，需要额外关注它接收到的数据或命令，包括检查传统的网络安全威胁如输入错误，也必须包括对有效数据的完整性检查。同时，建议对边缘计算平台的日志数据进行定时审计，以便及时发现上述攻击事件与安全问题。

5、结束语

通过移动边缘计算，使无线接入网具有计算和存储能力，将各类计算服务从云侧推到网络边缘，可以确保更短的响应时间和更好的可靠性，同时也可以大幅节省数据传输的带宽[9]。使用移动边缘计算增强的RAN能够依靠其边缘服务器或云资源向移动终端提供上下文感知服务，并进行用户流量转发。

本文从移动边缘计算的架构入手，分析了路由转发、无线网络开放和平台管理3个模块的具体功能和相关的安全风险，并提出了解决建议。在防范移动边缘计算安全风险的基础上，对于有高安全级别需求的移动边缘计算应用，未来还应考虑如何通过能力开放，将网络的安全能力以安全服务的方式提供给移动边缘计算应用，在满足安全需求的同时，支撑扩展更多的商业模式，创造更大的网络价值。

你认为公司财务部门与会计部门的工作职责有何区别与联系

在现实经济生活中，“财务”与“会计”像是一对孪生兄弟，是那样密不可分，经常成对出现。 过去，我们有国家统一制定的财务制度和会计制度。 如“两则两制”包括《企业财务通则》、《企业会计准则》以及分行业的财务制度和会计制度。 财务与会计各司其职。 财务定政策，解决对经济业务事项的确认和计量问题，如固定资产的标准、计提折旧的方法等都由财务制度规定；会计定方法，解决对经济业务事项的记录、报告问题，规定会计科目和会计报表的设置，具体经济业务应借记（或贷记）什么会计科目，以及会计报表项目的口径和列示。 现在，国家出台了统一的会计核算制度，如《企业会计制度》、《金融企业会计制度》，即将出台《小企业会计制度》，发布了一系列具体会计准则，新的会计制度和具体会计准则不仅包含对会计要素的记录和报告内容，还包括对会计要素确认和计量内容，恢复了会计制度的本来面目。 也就是说新的会计核算制度涵盖了原来财务制度的内容。 同时，近年来在社会上形成了一股会计热，会计打假、不做假账的呼声很高，在一些人的观念中，似乎会计已经取代了财务，财务的概念已经淡漠甚至含糊不清了。 思想是行动的先导，近年来，在实际工作中，一些从事财务管理的同志理不直，气不壮了。 特别是随着国有企业改革和转换企业经营机制的深入，进一步扩大企业理财自主权，财务管理有进一步弱化的倾向。 那么，什么是财务，什么是会计，两者到底有无区别与联系呢？财务与会计的关系给我们带来许多困惑和不解。 一、财务与会计的区别笔者认为，财务与会计应有一个客观的界限，其区别主要体现在以下方面：1.概念不同。 财务是在一定的整体目标下，关于资产的购置、投资、融资和管理的决策体系。 而会计是以货币为主要计量单位，采用专门方法，对单位经济活动进行完整、连续、系统地核算和监督，通过对交易或事项确认、计量、记录、报告，并提供有关单位财务状况、经营成果和现金流量等信息资料的一种经济管理活动。 2.职能作用不同。 会计基本职能是核算和监督，侧重于对资金的反映和监督。 而财务的基本职能是预测、决策、计划和控制，侧重于对资金的组织、运用和管理。 3.依据不同。 会计核算的依据是国家的统一会计制度，具体会计政策、会计估计的选用由企业根据国家统一会计政策，结合企业实际情况选定的。 而财务管理的依据则是在国家政策法律允许范围内，根据管理当局的意图。 单位制定内部财务管理办法，享有独立的理财自主权、自主决策权。 4.面向的时间范围不同。 会计是面向过去，必须以过去的交易或事项为依据，是对过去的交易或事项进行确认和记录。 而财务是注重未来，是基于一定的假设条件，在对历史资料和现实状况进行分析以及对未来情况预测和判断的基础上，侧重对未来的预测和决策。 经济业务或事项应不应该发生、应发生多少，是财务需要考虑的问题。 5.目的和结论不同。 会计的目的是要得出一本“真账”，结论具有合法性、公允性、一贯性，相对来讲结论是“死的”，不同的人对相同的会计业务进行核算，在所有重大方面不应存在大的出入。 而财务的目的在于使企业财富的最大化或价值最大化，其结论相对来讲是“活的”，它没有极值，只有恰当的、合理的，其结果不是唯一的。 不同的人，由于经验、取舍、偏好等的不同，得出的结论可能差异较大。 需要说明的是，财务管理是一门科学，但不是一门硬科学，而是一门软科学。 有理性一面，也由非理性的成分。 因为它赖以存在的基本条件都是假定的，是经验值（如平均资金成本）。 财务难就难在要对不确定性的东西，要依据经验、判断、推理做出决策。 6.影响其结果的因素不同。 会计结论主要受会计政策和会计估计的影响。 企业选定的有关会计政策、会计估计，既受到国家统一会计制度的限制，同时受到会计人员专业判断能力的制约。 而财务管理目标实现的程度，主要受到企业投资报酬率、风险；以及投资项目、资本结构和股利分配政策的影响。 7.分类不同。 会计包括财务会计（对外报告会计）和管理会计（对内报告会计），财务分为出资人财务和经营者财务。 这里的出资人是指独立于经营者之外的投资者、债权人，既包括现实的出资人，也包括潜在的出资人，如尚未出资但准备对某单位进行投资或借款的人。 出资人往往关心被出资单位对外提供的财务会计资料，而经营者在按要求对外提供财务会计资料的同时，更关心内部管理会计资料。 二、财务与会计的联系财务与会计既有区别，但同时又相互作用、相互影响，有着非常紧密的联系。 其联系主要体现在：1.两者都是为特定对象服务的。 即存在财务主体和会计主体，作用的对象都是单位资金的循环与周转，主要对价值形态进行管理。 2.会计是财务的基础，财务离不开会计。 会计基础薄弱，财务管理必将缺乏坚实的基础，财务预测、决策、计划和控制将缺乏可靠的依据。 新的具体会计准则和新会计制度普遍采用谨慎性和实质重于形式的会计原则，有利于为企业财务管理和决策提供客观、真实、完整的会计信息资料，减少财务决策风险。 3.财务与会计在机构和岗位设置上有交叉现象，在内容上没有明确的界限。 单位在机构、岗位的设置上，除不相容职务以外，财务与会计岗位可以重叠。 单位会计机构负责人（会计主管人员），同时也可以是单位财务负责人。 有的财务部门或计财部门包括会计机构，同时履行财务、会计的职能。 单位会计人员可以根据单位要求，独立或参与单位财务计划的编制、利润分配方案的制定，以及财务管理和重大财务的决策。 实务中，单位内部财务管理与内部会计控制可有机结合。 4.会计从业人员必须掌握有关财务知识，熟悉单位的内部财务规定，如差旅费、医药费等报销的规定等。 每年注册会计师、会计师考试科目，都包括财务成本管理内容。 同样，财务人员必须懂会计，能熟练分析和运用相关会计信息资料。

环境问题的本质是？

环境问题的本质以及产生的主要原因 环境问题产生的主要原因有三个方面： （1）人口压力 世界人口的迅猛增长，主要是发展中国家和地区人口增长过快，对物质资料的需求的增长超出环境供给资源和消化废物的能力，进而出现种种资源和环境问题 （2）资源的不合理利用 人口的持续增长和经济迅速发展超过了自然资源补给、再生和增殖的周期，加剧了资源的耗竭速度；掠夺式开发导致生态系统的破坏，自然生产力下降，导致恶性循环。 如盲目扩大耕地面积、毁林开荒、过度放牧等 （3）片面追求经济的增长 传统发展模式只关注经济本身，目标是产值和利润的增长，甚至损害环境效益以追求经济效益。 先污染后治理，实质没有充分考虑污染给整个社会造成的实际代价，生活质量并不与经济效益成正比。 环境问题的本质： 是发展问题，是在发展过程中产生的，必须在发展的过程中解决

河北省有旅游事故处理中心吗？

有，2010年石家庄旅游事故调节处理中心和事故鉴定委员会的挂牌成立，在河北省内游客参团出游遭遇人身伤害时，可以在以上两机构将协调保险公司对旅行社进行积极赔偿，从而有效维护游客的合法权益。 50万元以下的游客人伤案将在石家庄本地审定，而不用再到北京排队处理。 为避免游客在选择旅行社参团出游过程中伤人、伤心又伤财，国家2010年度旅行社责任保险统保示范产品2010年２月开始在河北省试运行。 新的旅责险统保示范项目，将交通意外、食物中毒、飞机延误等诸多常见旅游意外均纳入责任险承保范围内，对旅行社规避风险和游客安全出游提供了有效保障。