YD/T 4694-2024 标准解读

一、标准适用范围与执行边界

• 适用主体：本标准适用于5G独立组网（SA）架构下核心网设备制造商、运营商网络运维单位、第三方安全评估机构及网络安全服务提供商。
• 适用场景：涵盖5G SA核心网控制面（如AMF、SMF、AUSF、UDM等）与用户面（UPF）的安全防护设计、部署实施、运行监控及应急响应全过程。
• 排除条件：非独立组网（NSA）架构、非3GPP标准接口互联环境、仅使用4G EPC扩展的混合组网场景不在本标准强制覆盖范围内；工业私有5G网络若未接入公共核心网，可参照执行但不强制符合全部条款。

二、核心实操技术要求

1. 身份认证与接入控制：所有NF（网络功能）间通信必须启用基于TLS 1.3或以上版本的双向证书认证；NF注册至NRF时需携带有效数字证书并完成身份绑定，验证失败次数超过3次应触发自动隔离机制。
2. 信令面安全加固：AMF、SMF等关键节点须开启SBA（服务化架构）接口的OAuth 2.0授权框架，每个API调用需携带JWT令牌，有效期不得超过300秒；对非法请求源IP实行5分钟动态封禁。
3. 用户面数据保护：UPF应支持GTP-U流量完整性校验（通过启用GTP-U extension header with counter），并在传输敏感业务流时默认启用IPSec ESP隧道模式加密，密钥更新周期不得大于1小时。
4. 日志审计与溯源：所有核心网元须生成标准化安全日志（符合RFC 5424格式），记录登录尝试、配置变更、NF发现/注销事件，并同步至集中式SIEM系统，留存时间不少于180天。
5. 漏洞管理与时效响应：设备厂商应在CVE公布后72小时内发布补丁方案；运营商须在收到补丁后10个工作日内完成测试验证并启动灰度升级，高危漏洞修复窗口不得超过30天。
6. 容灾与冗余配置：关键NF（如AMF、SMF）需部署于至少两个物理隔离的数据中心，实现跨站点N+1冗余；故障切换时间（RTO）应小于30秒，数据丢失量（RPO）控制在10秒以内。

三、典型业务场景应用案例

• 智慧城市视频回传：某市公安专网通过5G SA切片承载高清摄像头实时回传。部署中将UPF下沉至边缘机房，启用IPSec加密GTP-U路径，并在SMF侧配置QoS策略绑定特定切片ID。安全防护上，所有摄像头终端预置eSIM证书，接入时由AUSF完成双向鉴权，未授权设备无法建立PDU会话。日志统一上传至市级安全运营中心，实现行为可追溯。
• 远程医疗手术协同：三甲医院利用5G SA低时延特性开展远程机器人手术。核心网侧为该业务分配专用网络切片，AMF根据SUPI识别用户并触发高级别安全策略：控制面API调用均需二次令牌验证，SMF动态分配带宽保障通道。同时启用NF性能监控探针，一旦检测到AMF-CPU突增或响应延迟超阈值，立即启动DDoS防御模块并告警至运维平台。
• 电力配电网自动化：电网公司采用5G SA承载配电终端遥测信号。在核心网部署轻量化UDM实例，对接内部LDAP完成员工身份映射；所有DTU设备通过PSK预共享密钥接入，UPF启用防火墙规则仅允许IEC 60870-5-104协议通信。每月执行一次渗透测试，重点验证NF间服务调用权限越界风险。

四、实操难点与解决方案

1. 多厂商NF互操作认证难：不同供应商NF在SBA接口实现存在差异，导致TLS握手失败或JWT解析异常。对策：建立统一的NF互通测试清单（IOT List），强制要求厂商在入网前通过由中国信通院组织的SBA安全互认测试，确保协议栈一致性。
2. UPF加密引入时延抖动：启用IPSec后部分UPF出现微秒级转发延迟波动，影响uRLLC业务SLA。对策：选用支持硬件加速的智能网卡（SmartNIC），将加解密运算卸载至专用芯片；同时调整MTU大小至1400字节以避免分片重传。
3. 日志格式不统一难聚合：AMF日志字段命名与SMF不一致，导致SIEM系统解析失败。对策：制定《5G核心网安全日志规范模板》，明确各NF必须输出的关键字段（如nfInstanceId、procedureType、resultCode），并通过日志转换中间件进行标准化处理。
4. 切片间安全隔离失效：某运营商发生切片资源越界访问事件，源于SMF未正确绑定NSSAI与DNN策略。对策：实施“双因子策略绑定”机制——PDU会话建立时同时校验切片类型（S-NSSAI）和数据网络名（DNN），任一不符即拒绝接入。
5. 补丁升级引发兼容性问题：某次AUSF补丁更新导致与外部HSS代理通信中断。对策：推行“三级验证流程”——实验室测试→现网隔离区灰度→全量推送；每次升级前备份NF配置快照，预留回退窗口期不少于72小时。

所有安全策略变更须遵循“申请-审批-执行-验证”闭环流程，变更记录纳入CMDB统一管理。