2023智联可信5G视频安全白皮书

中国电信智联可信 5G视频安全白皮书 中国电信集团有限公司中星微技术股份有限公司 2023年4月 目录 1前言3 25G赋能视频监控发展4 2.15G新特征4 2.25G为视频监控带来的价值4 3视频监控安全的挑战和要求5 3.1安全挑战5 3.2安全要求8 45G视频监控安全参考架构12 55G网络视频监控系统安全能力15 5.15G安全能力增强15 5.2端到端安全隔离15 6视频监控安全能力和实现17 6.1前端设备17 6.2接入20 6.3系统和环境21 6.4视频和图像数据23 6.5应用24 6.6安全管理26 75G视频监控安全应用场景及案例27 7.1车载应用场景27 7.2临时部署应用场景29 7.3无人机应用场景31 7.4布线困难应用场景35 7.5中国电信面向中小型用户的5G视频监控运营服务37 8总结与展望38 附录一：术语及缩略语40 附录二：参与编写单位和编写人员41 1前言 视频监控业务系统可以直观、准确、实时地采集音视频信息，实现对关键区域的实时监控。视频监控系统按照功能可以分为前端采集、传输、存储、管理和显示共五层功能架构。 安全对视频监控系统而言是至关重要的，它涉及视频监控系统的各个层面，包括终端和接入安全、网络承载安全、数据安全和应用安全等构成的整体安全。 随着移动网络承载能力和安全能力的发展，5G在接入安全、网络切片等方面较之前的移动网络有很大的提升，因此可以在很多场景下取代有线方式，成为视频监控业务的重要承载方式。 中国电信联合中星微技术，针对公共安全监控、政务系统的视频监控、企业视频监控和家庭视频监控等方面的安全需求进行了分析，基于中国电信自主可控技术为5G赋能视频监控系统安全提供参考。 25G赋能视频监控发展 2.15G新特征 5G的愿景与需求，是为了应对未来爆炸性的移动数据流量增长、海量的设备连接、不断涌现的各类新业务和应用场景，同时与行业深度融合，满足垂直行业终端互联的多样化需求，实现真正的“万物互联”，构建社会经济数字化转型的基石。 ITU为5G定义了eMBB（增强移动宽带）、mMTC（海量大连接）、uRLLC （低时延高可靠）三大场景。实际上不同行业往往在多个关键指标上存在差异化要求，通过对5G系统的可靠性、时延、吞吐量、定位、计费、安全、可用性的定制组合可以满足。 eMBB典型应用包括4K高清视频、虚拟现实、增强现实、远程会诊、远程教育等。这类场景首先对带宽要求极高，关键的性能指标包括100Mbps用户体验速率、Gbps峰值速率、10Tbps/平方公里流量密度等。其次涉及到交互类操作的应用还对时延敏感，例如虚拟现实沉浸体验对时延要求在十毫秒量级。 uRLLC典型应用包括工业控制、配电自动化、无人机控制、面向自动驾驶的V2X应用、运动控制、触觉交互等。这类场景聚焦对时延和可靠性极其敏感的业务，往往同时还伴随高精度定位要求。 mMTC典型应用包括智慧城市、智能家居、工业信息化、智能物流等。这类应用对连接密度要求较高，同时呈现行业多样性和差异化。 2.25G为视频监控带来的价值 视频监控业务除了需要稳定的大带宽，更需要安全可靠的承载链路，因此一直以来，视频监控业务基本上都是以有线承载为主。 5G的到来将有效改变这一现状。5G除了可以支持大带宽，在安全方面也有很大的增强。5G网络除了延续了4G网络中信令完整性保护、信令和数据的加密保护、安全密钥算法、接入认证等部分安全机制，在信令保护、数据保护、认证授权、网络切片、承载安全等方面的安全能力增强能够为视频监控业务提供基础安全保障。 总体来说，5G网络的eMBB业务能力以及比4G更突出的安全能力为视频监控业务向无线承载转移提供了非常有利的条件，可以极大地拓展视频监控业务的应用场景，例如车辆监控，无人机，政府（城管、公安），智慧工地监控，防疫，工业互联网，明厨亮灶，天翼云眼等有线部署比较困难的场景，以及智慧工厂等需要剪辫子的场景等等，5G都可以提供为这些视频监控业务提供安全可靠的承载。 3视频监控安全的挑战和要求 3.1安全挑战 视频监控市场正如火如荼发展中但负面消息从未间断。 近年来,视频监控技术在AI、大数据、云平台的加持下大规模落地于各个行业，从智慧城市、平安城市到智能交通、园区监控、景区监控，乃至楼宇监控、电子警察、特种监控,甚至在私密性极强的家居场景也不乏网络摄像头。后疫情时代,人们更是对机器视觉催生出的人脸识别、无接触测温、远程办公、远程医疗、在线教育等一众智能应用愈发地依赖。随着视频监控网络设备的种类以及平台与数量不断上升，视频监控网络事实上已成为一张承载海量终端与数据的视联网。然而在视频监控系统中采集、传输、存储大量包含个人和单位的视频图像以及生物特征信息，甚至承载了许多单位机密的信息，视频泄漏导致的个人隐私泄漏、商业机密泄漏、不良社会影响等事件层出不穷。 2014年，国内某视频监控头部企业的DVR和NVR产品返修数量非正常升高,公司发现系网络攻击导致。黑客持续利用美国、瑞典、荷兰等境外服务器资源,直接通过初始密码Telnet登录，并植入脚本文件，进而挟持、破坏设备固件。公安系统设备甚至也可能暴露于攻击范围内。 2016年，美国互联网服务供应商Dyn遭受数次通过Mirai僵尸网络发起的大型DDoS攻击，从而导致许多网站在美国东海岸无法登陆访问，其中包括GitHub、Twitter、Reddit、Netflix和Airbnb等。当Mirai病毒扫描到一个物联网设备（比如网络摄像头）后就尝试使用默认或弱密码进行登陆，一旦登陆成功，这台物联网设备就进入“肉鸡”名单并成为僵尸网络的节点，开始被黑客操控攻击 其他网络设备。 2018年，外媒报道，数以万计的某品牌视频监控设备的登陆密码被缓存在搜索引擎的搜索结果中,这些密码适用于运行有老旧固件的DVR，攻击者在对应端口上发送特殊的有效载荷，设备将以DDNS凭证响应从而访问设备和其他数据,并以明文形式进行响应。 2019年，温州警方曾破获了一起非法贩卖某品牌APP扫描工具以及利用 APP扫描工具对他人的摄像头进行扫描、控制达到数十万只的案件。 2020年，黑客攻击了美国硅谷初创公司Verkada提供的基于云的摄像头服务, 采集了摄像机数据,并盗取了15万个监控摄像头的实时视频,涉及医院、诊所、公司、警察部门、监狱、学校、精神病院等众多场景,尤为引发关注的是,其中还包括特斯拉工厂和仓库内的222个摄像头。 2022年3月，某情报中心监测到匿名者与其他支持乌克兰的黑客组织接管400+台俄罗斯摄像头，同时behindenemylines网站分享控制摄像头的实时信息，对俄罗斯多个敏感机构的工作环境和内容进行直播，带来严重危害。 视频监控业务随智慧城市、智慧交通、智慧园区、智慧物流的兴起，把视频监控的应用范围进一步推广到各个领域，也成为关键信息基础设施的支撑产业之一，同时视频监控的信息安全重视程度从商业层面上升到国家安全层面。3.1.1前端设备安全 弱口令、溢出等安全漏洞隐患不断。 视频监控网络中的前置摄像头和网络设备存在大量弱口令、溢出等安全漏洞隐患。针对前端摄像机接入形成的网络边界，需制定技术可靠、安全防护性高的、基于终端准入认证的前端摄像机访问控制技术措施。防止前端摄像机被非法替换、终端非法接入、网络非法访问等安全问题的发生。还需对摄像头运行状态实时监测，对异常状态及时统一分级报警，实现各类状态的数据汇总和集中展示。 此外，视频监控网络中存在部分PC终端（windows操作系统），需要对这些终端进行注册管理，达到与其他设备统一管理，如果存在安全漏洞或者配置不完善，则容易遭受蠕虫病毒攻击、黑客攻击或泄漏重要信息，给内部网络带来安 全隐患。 3.1.2接入安全 端与端之间缺乏隔离、可信、验证能力。 视频网前端由于分布广泛，人力无法在物理位置进行时刻防范，易被攻击者仿冒IP/MAC入侵网络，造成数据泄漏、恶意攻击的安全风险，同时被替换设备可能是无线AP、无线小路由等网络设备，为更多非法设备提供入侵渠道，安全管理员在如此庞大基数的网络中无技术手段发现与规避。 数据中心与前端设备、客户端间往往不具备双向认证的机制，缺少安全隔离能力。部分前端设备老旧，没有采用基于前端设备、客户端的IP/MAC地址或数字证书的访问控制的机制导致，同时不具备针对不符合要求（内容、格式、类型）的视频流、视频信令拥有过滤能力，所以导致接入方面出现较大的安全风险隐患。3.1.3系统和环境安全 网络边界接入点多，环境复杂，破解风险大。 视频监控网络边界接入环境复杂，边界接入平台多种多样，网络中可能存在互联网通路，大大扩展了视频监控网络的网络边界，且其安全性较差，容易遭到破解，是对网络边界完整性的重大破坏。 视频监控网络中的监控PC终端大都为windows系统，缺乏有效的防病毒和补丁管理措施、usb外设管理措施，病毒和恶意代码可通过usb接口对监控终端进行感染，由于监控终端之间没有隔离措施，病毒会在整个监控网络中肆意传播，导致摄像机被恶意挖矿、发起DDoS攻击，导致设备故障，视频监控无法正常调取查看等严重后果。 3.1.4视频和图像数据安全 视频数据读得到、看得到、取得走的问题不在少数。 由于视频数据是明文传输且编码方式具有标准化特征，攻击者可通过伪造相同编码格式视频数据替换原有采集视频数据，导致视频数据被篡改。而视频在传输过程中采用网络旁路或通过非法途径从后台下载的方式截获视频数据。鉴于视频数据对存储要求高容易要求大，所以服务商往往为了减少安全存储成本而未加强相应安全手段，容易造成泄露、勒索甚至毁坏等风险。 3.1.5应用安全 应用漏洞存在潜在威胁和薄弱点。 应用的安全关系到互联网生态的健康发展和国家关键信息基础设施的安全保障，随着市场的快速发展，应用安全问题层出不穷，例如应用越权访问、应用被破解、日志记录不全、注入漏洞、身份验证失败、敏感数据泄露、XML外部实体注入、受损的访问控制等，漏洞的应用程序容易被攻击者利用，造成用户的重要数据泄漏、程序被篡改或破坏，引发安全事故。 3.1.6安全管理 缺乏安全管理平台，导致风险不可控。 视频摄像头作为视频监控网络重要组成部分，基数大且部署分散，品牌多样，边界接入设备缺乏有效的认证与监管，目前无技术工具自动统计。另外对于大型机构一般采取分布式管理，权限分散，无集中式管理平台，且无法贯彻落实视频网络建设要求。 资产管理混乱，设备信息录入不准确，设备运行数据采集不全面，固件更新不及时，造成安全管理困难。视频摄像头、交换机、路由器、防火墙、视频网业务服务器、运维终端等是视频监控网络全部组成部分，无技术手段鉴别是否存在非视频监控网终端的接入，无法规避由此引发的安全事件。 3.2安全要求 3.2.1法律法规及标准 2016年，《网络安全法》正式出台，主要覆盖网络运行安全、个人信息保护和网络内容管理等方面。 随着5G、物联网等技术发展普及，在DDos攻击、勒索病毒等传统网络安全问题依旧突出的同时，数据作为数字经济的基础性战略资源，逐渐凸显为安全的重点。在此背景下，《数据安全法》于2021年正式出台，成为我国数据安全领域基础性法律。《数据安全法》对数据分类分级、重要（核心）数据管理、数据安全审查等作出了明确规定。 密码技术作为确保数据安全的基础，在身份鉴别等领域也获得广泛应用，已 经成为数字时代的基础性核心技术之一；谁掌控密码技术的先导权，谁就拥有控制相应网络与信息的能力。2020年1月开始施行的《中华人民共和国密码法》，为国产密码行业和技术的发展奠定了基础，创造了发展机遇。 以上述法律为依据，陆续出台一系列的配套法规、规章和规范性文件，逐步形成了完整的体系。 其中按照《网络安全法》第二十一条要求（实行网络安全等级保护制度，以下简称“等保”）,一系列等保标准发布，包括GB/T22239-2019《信息安全技术网络安全等级保护