2024年6G数字孪生网络安全技术白皮书（1.0）

前言 随着“数字孪生、智慧泛在”的6G愿景成为业界共识，数字孪生技术也将在未来网络演进中发挥重要作用。未来6G网络具备空天地广域覆盖、分布式自治组网、海量异构终端接入等特征，面临安全风险难识别、安全需求难统一、安全效果难评估等挑战。数字孪生技术可以为6G安全提供新的思路与解决方案，助力实现低成本试错、智能化安全决策、高效率安全创新和预测性安全维护，从而提升6G网络安全确定性、自主性和智能性。 本白皮书旨在探讨数字孪生对6G网络安全的推动作用以及赋能6G网络安全的典型场景，并提出了数字孪生网络安全框架及关键技术。期望能够为6G数字孪生安全研究提供可参考的需求分析和技术方向，推动业界对6G数字孪生安全达成共识，保障6G网络安全、稳定和可持续发展。 本白皮书的版权归中国移动所有，未经授权，任何单位或个人不得复制或拷贝本建议之部分或全部内容。 目录 1.数字孪生概述1 1.1.数字孪生网络的发展1 1.2.数字孪生对网络安全的推动作用2 2.数字孪生赋能6G安全4 2.1.6G网络安全挑战4 2.2.基于数字孪生的6G安全典型场景6 2.2.1.安全推演评估6 2.2.2.差异化安全能力交付7 2.2.3.主机威胁防护8 2.2.4.异常流量访问控制9 2.2.5.安全态势感知10 3.数字孪生网络安全框架1 3.1.设计原则1 3.2.总体框架1 3.3.物理网络层2 3.4.南北向接口2 3.5.网络安全数字孪生层2 3.5.1.安全数据处理2 3.5.2.孪生安全模型3 3.5.3.安全编排3 3.6.网络安全应用层4 4.数字孪生网络安全关键技术5 4.1.数据安全采集技术5 4.2.网络威胁数字化建模技术6 4.3.面向安全的可编程协议栈技术6 4.4.网络攻防知识图谱构建技术7 4.5.安全策略验证与优化技术7 4.6.安全态势呈现技术9 4.7.网络数字孪生安全保障技术9 4.7.1.数据安全9 4.7.2.模型安全10 4.7.3.指令安全10 5.总结与展望11 缩略语12 参编单位及人员13 1.数字孪生概述 1.1.数字孪生网络的发展 数字孪生概念最先为美国教授M.Grieves提出，由物理对象、虚拟对象和两者的交互三部分组成，并在美国国家航空航天局构建未来飞行器项目中进行应用与发展。近年来，基于数字孪生技术的应用研究成为热点，已在民航、水利、能源、教育、医疗、信息技术等多个领域开展广泛运用。2023年ITU发布的《IMT面向2030及未来发展的框架和总体目标建议书》中，提出数字孪生是面向2030及未来6G移动通信的重要发展趋势之一，将实现人、机、物的连接，实现物理世界和虚拟世界的实时同步。 将数字孪生技术应用于网络，创建物理网络设施的虚拟镜像，即可搭建与物理网络网元一致、拓扑一致、数据一致的数字孪生体。各种网络管理与应用可以利用网络的数字孪生体，基于数据和模型对物理网络进行高效的分析、诊断、仿真和控制，可以实现低成本试错、智能化决策、高效率创新和预测性维护，进而助力网络实现极简化和智慧化运维。 中国移动发布的《数字孪生网络（DTN）白皮书》中提出了“三层三域双闭环”网络架构：三层指构成数字孪生网络系统的物理网络层、孪生网络层和网络应用层；三域指孪生网络层数据域、模型域和管理域，分别对应数据共享仓库、服务映射模型和网络孪生体管理三个子系统；“双闭环”是指孪生网络层内基于服务映射模型的“内闭环”仿真和优化，以及基于三层架构的“外闭环”对网络应用的控制、反馈和优化。 图1数字孪生网络“三层三域双闭环”架构 1.2.数字孪生对网络安全的推动作用 数字孪生技术可以为网络安全领域提供新的思路与解决方案，基于数据和安全模型对物理网络进行高效的安全分析、安全仿真和安全控制，使网络安全具备数往知来、虚实结合、由点及面的特征。 数往知来 数往知来是指可以从历史数据、实时状态中探索未知的安全风险，获取未来的安全趋势，从时间维度提升网络安全分析的确定性。 在安全风险识别方面，数字孪生可以帮助实现从基于规则判定已知风险到基于数据预测未知风险的转变。通过从移动通信网络的终端、基站、核心网和网管中采集到的多源异构全量实时数据，以及对过往安全状态进行快照存档，利用数据分析和仿真推演等方式可以进行安全风险研判和趋势预测。 在安全措施制定方面，数字孪生可以帮助实现从依据经验设置措施到迭代优化探索最优策略的转变。在高拟真度的网络数字孪生环境中，能够对安全措施进行验证，使用效果评价指标对不同安全措施进行评估，基于评估结果对措施进行优化，持续循环执行上述过程以实现闭环迭代，可帮助指导安全能力部署及配置 的决策，不断逼近网络安全自治。结合对下一时刻网络的仿真和推演，可提前做出网络下一时刻的安全决策和安全规划。 虚实结合 虚实结合是指数字孪生将数字和物理实体相结合，将理论、仿真和实际运行相结合，从而丰富安全分析的方法，增加安全分析结果的准确性，从程度维度提升网络安全分析的确定性。 数字孪生基于映射模型以及从实体网络空间采集的真实网络运行数据，实现对网络的高保真呈现，可以作为网络安全应用或设施的试验平台，在不影响实体网络运行的情况下得到贴近实体网络的试验结果。同时，使用数字孪生的网络管理、配置能力，根据理论假设的结果对数字孪生中的网络实体状态进行设定，比如安全风险发生的时间、概率、影响等，也可以在数字孪生体上通过仿真手段模拟安全漏洞、安全攻击等安全风险，在仿真风险后按照孪生体的网络运行逻辑运行并观察风险后果。基于概率分析、仿真风险、真实数据、数字孪生体真实运行四者的虚实结合，丰富了分析情境，减少了推演时间，贴近了真实场景，便于更充分更准确地实现对攻击效果的预测和安全策略的验证。 由点及面 由点及面是指基于数字孪生可以根据需求进行单点网络风险观测或者全面安全态势感知。网络数字孪生无需也难以100%复现物理实体网络，可根据网络安全场景需求，选择需要跟踪的对象时段、对象网络、对象过程、安全风险、安全措施、安全状态等进行建模。可用于观测单点或局部故障对网络范围内的影响，观测多个攻击对指定网元/网络的叠加影响。也可构建复杂、大型推演场景，对如DDoS攻击、漏洞与病毒等在大型网络环境下的破坏力、传播力等进行推演与验证，以及观测多安全措施在安全、性能、效率等多方面的表现，以此提升网络安全分析在空间维度的确定性。 2.数字孪生赋能6G安全 2.1.6G网络安全挑战 作为关键信息基础设施，移动通信网络的安全影响国家安全、国计民生、公共利益。从2G到5G移动通信网络安全不断进化，支持更全面的数据安全和隐私保护、更丰富的认证机制以及更灵活的网络间信息保护。但现有安全防护建立在X.805框架的基础上，主要以分域隔离、边界防御为手段，基于已知的攻击特征和规则匹配形成被动防护，缺乏对新型威胁、未知风险的安全感知能力和应对手段，缺乏对网络攻击的主动防御能力。 6G作为下一代数字信息基础设施，将在5G三大典型场景基础上继续深化和增强，拓展无线感知和泛在智能等新场景，提升网络性能、丰富服务能力，全面推动经济社会数字化浪潮，促使人类进入一个数字孪生、万物智联的全新时代。而6G新场景、新架构、新技术也带来新的安全挑战： 安全风险难识别。6G网络将会引入人工智能、云计算、区块链等新技术，新技术引入提升网络性能的同时也带来了更多未知的安全风险。6G网络架构服务化会使网络功能逐渐解耦，网络攻击路径也会呈指数级增加，6G网络面临的安全攻击将会更加的多样性和智能化。传统的外挂式和补丁式的安全防护机制己无法对抗未来6G网络潜在的泛在攻击与不确定性安全隐患。 安全需求难统一。6G网络将实现真正的万物互联，支持如卫星网络、行业网络、体域网等异构网络和海量终端，同时，沉浸式XR、全息通信、感官互联、通感一体、智慧内生等新业务不断涌现。不同的网络、业务对安全的需求不同，6G网络需要具备自主适应、智能协同及可扩展的安全能力，保证安全架构的健壮性和灵活性。 安全效果难评估。6G网络架构部署将继续向异构组网和分布式网络方向演进，网络的复杂度将进一步提升。安全能力的简单叠加可能会造成网络性能下降，安全能力的多样化部署可能引入网络设计复杂、资源效率低等问题。如何选择合适的安全能力、合适的交付时机、合适的组合部署方式，来平衡安全防护效果、安全成本、安全性能是困扰客户及运营商的难题。6G网络需要对安全效果做明 确评估，以便在此基础上持续优化安全措施，从而实现6G安全的自免疫。 安全风险难识别、安全需求难统一、安全效果难评估增加了6G安全的不确定性。如1.2章节分析，通过构建基于数字孪生的6G安全能力，可以实现6G安全风险自感知、安全目标自发现、安全策略效果自评价和自优化，推动移动通信网络向安全确定性、安全自治的方向演进。IMT-2030（6G）推进组发布的《6G网络安全愿景技术研究报告》中也将虚拟共生作为6G网络内生安全的重要特征之一。网络数字孪生中的物理实体与虚拟孪生体能够通过实时交互映射，实现安全能力的共生和进化，进而实现物理网络与虚拟孪生网络安全的统一，提升6G网络整体安全水平。下述章节将介绍数字孪生赋能6G网络安全典型场景。 2.2.基于数字孪生的6G安全典型场景 2.2.1.安全推演评估 6G支持多种异构网络及丰富的业务应用，安全事件的影响将更为复杂，需要系统直观的安全推演评估。通过构建网络孪生场景，对网络安全事件进行模拟，观察、记录、分析，全面解析安全事件的运行特点与可能结果。此过程可以预测潜在风险，量化其影响，并提供优化的安全解决方案，帮助优化安全资源配置，增强整体网络防御能力，平衡业务连续性与安全建设的收益，为运营人员提供智能的安全响应辅助决策能力。 在构建6G网络孪生场景时，将动态的资产数字化模型与静态的攻防知识模型进行关联性建模，更有效地表达网络空间特征；通过模拟多种组合的攻击行为，构建多样化的漏洞利用、病毒传播、木马植入和攻击模拟等场景来模拟攻防对抗过程，分析可能存在的攻击路径，全面评估潜在安全风险和攻击事件的影响，包括数据泄露、服务中断和恶意代码执行等多种情况，并考虑业务依赖性来分析攻击可能对当前业务系统和防护系统造成的具体影响，如潜在的业务中断广度和经济损失，利用可视化能力进行呈现，辅助运营人员全面了解安全风险与业务连续性之间的关系，从而制定更加精准安全应对策略。 图2基于数字孪生的网络安全推演评估示意图 2.2.2.差异化安全能力交付 6G与垂直行业深度融合，将通过差异化网络支持丰富的业务场景和客户需求，需要有配套的安全措施保证网络安全运行。网络和业务的多形态需要差异化安全保障，进而需要差异化安全能力交付。利用网络数字孪生的可验证、可预测、高仿真等特性，在孪生网络上进行交付策略（如安全能力组合或安全意图解析结果）的预验证，并可对交付策略做持续优化。可充分发挥专家经验＋实施验证的优点，促进行业需求与网络安全能力及安全意图的精准匹配。 具体的，差异化网络选择的安全措施需要在满足安全要求的前提下达成性能、效率等的平衡，可在数字孪生体上对差异化的网络安全能力进行分类组合，从安全及非安全等维度进行测试验证及迭代优化，进而生成精准满足需求的交付策略。未来网络会引入意图驱动管理的能力，支撑对以安全类型、安全维度、安全能力等形式存在的意图的解析、翻译、分发和执行。在该意图驱动的网络安全配置流程中，可以在孪生网络上对意图解析后的指令进行预验证，将验证通过的指令下发给物理网络，同时也可将验证结果反馈给意图翻译系统供其优化，从而提高意图翻译的准确性。 图3基于数字孪生的差异化安全能力交付示意图 2.2.3.主机威胁防护 6G由于网络容量变化，主机数量巨大，日益增长的复杂配置操作和漏洞修复给网络运维带来了巨大压力。通过跟踪和采集主机运行时行为，基于主机运行时的行为数据构建孪生体，并对孪生实体和相关模型进行学习与训练，结合IOA与IOC识别，可以快速模拟主机的运行时上下文，对用户行为、文件操作、进程跟踪、恶意提权等