︿
Top

美國NIST與 CISA合作建立5G安全評估程序五步驟

瀏覽次數:168| 歡迎推文: facebook twitter wechat Linked

科技產業資訊室 (iKnow) - Nathan 發表於 2022年6月23日
facebook twitter wechat twitter
圖、美國NIST與 CISA合作建立5G安全評估程序五步驟
 
CISA與OUSD R&E合作建立美國聯邦機關之5G安全評估程序
美國聯邦政府於今年五月間推出「五步驟5G安全評估程序調查」(5G Security Evaluation Process Investigation),以解決針對5G的新特性與服務而興起的現有安全評估指引與標準的不足之處,美國聯邦政府的「網路安全與基礎設施安全署」(Cybersecurity and Infrastructure Security Agency, CISA)與「國防部研究工程防衛次長」(OUSD R&E)合作,共同開發了此一評估程序。

CISANISTMITRE Corporation合作發掘技術評估之安全與韌性落差
此一共同評估程序的目的在於提供單一的、彈性的途徑,供聯邦機關運用以進行評估、理解及處理他們的技術評估(technology assessment)標準與政策中的安全與韌性評估落差。CISA視此一聯邦機關「風險管理架構準備」(RMF Prepare)步驟中可使用的反覆程序為聯邦機關針對新的5G執行的重要工具。
 
此一程序將確保政府事業系統受到保護,並使網路罪犯無法透過5G技術經由後門進入機關網絡。評估程序的目標是讓聯邦政府更加了解5G網路部署的安全與韌性,更具體地說,聯邦機關試圖在聯邦局處進行安全評估與取得營運授權(authorization to operate, ATO)之前,成為先行者。
 
CISA、NIST與MITRE Corporation共同組成研究小組,以調查5G將為現行安全評估程序與架構所定義的傳統ATO程序,帶來甚麼樣的挑戰,例如:對於NIST的風險管理架構(Risk Management Framework, RMF)所形成的挑戰。

五步驟之5G安全評估調查程序
此一跨機構小組所提出的5G調查程序,包括下列五個步驟:
  • 界定聯邦5G使用個案:尋求使用個案定義以識別系統營運所涉及的5G次系統、組成設定(component configurations)、應用與介面。使用個案實例被提升了行動寬頻、超可靠、低延遲通訊、大規模機器型態通訊。
  • 識別評估邊界:有鑑於 5G技術的複雜性使得聯邦ATO程序難以界定安全評估界線,因而,此一步驟對5G安全評估而言極為重要。此一步驟涵蓋了界定邊界以識別必須要進行評估與授權(assessment and authorization, A&A)的技術與系統,並考量使用構成個案的商品與服務之所有權(ownership)與部署。
  • 識別安全要件:識別安全要件是多階段步驟,包括:針對每個5G次系統執行高階威脅分析,並識別A&A活動將要處理的網路安全要件。此一步驟試圖識別緩解式網路安全能力,如:A&A活動需要處理的身分、認證(credential)、存取管理、網路安全(network security)、溝通與介面安全。
  • 於聯邦指引中擘劃安全要件:此一步驟尋求建立聯邦指引的新目錄,此一指引涵蓋RMF、NIST的網路安全架構、供應鏈風險管理、聯邦風險與授權管理方案(FedRAMP),以及與安全能力與適用產業規格相關的其他NIST與聯邦網路安全指引。
  • 評估安全指引落差與替代方案:第五個步驟必須識別在哪裡的安全要件存在,但缺乏評估指引以引導A&A活動。此外,當我們相信安全要件存在可緩解威脅,但事實上正式要件卻未被建立時,也會存在落差。
 
CISA5G安全評估程序遵循NIST5G Cybersecurity指引
CISA與NIST的5G實務指引融洽地相互協調,CISA的5G安全評估程序遵循NIST的國家網路安全National Cybersecurity Center of Excellence (NCCoE)。

CISA的5G安全評估程序遵循了NIST的國家網路安全卓越中心(NCCoE)所出版的實務指引草案:5G Cybersecurity,NCCoE指出其所提出的解決方案包含組織可用以經由搭配5G安全特性與第三方安全管控的多種途徑,更佳地確保5G網路安全。
 
NIST與產業界夥伴合作檢視各種安全評估途徑
NIST經由與範圍廣泛的各種產業夥伴在研究聯盟(consortium)中合作,此一聯盟成員包括:AT&T, Intel, Nokia, T-Mobile, and Palo Alto Network等主要電信與安全廠商。
 
如同CISA的評估程序調查一樣,NCCoE初版強調5G技術新式、演進特性所固有的挑戰,5G正位於、技術同時地被標準機關指定、被設備廠商所執行網路營運商所部署、被消費者所採用的轉型點上。
 
從NIST的觀點來看,現實的挑戰在於5G標準雖然處理5G組成間的可交互操作介面,但它們並不處理其支持及營運5G系統的基礎的資訊技術組成,這使得組織難以以其安全途徑地有信心地運用5G。因此NCCoE與5G與網路安全技術供應商合作,以開發採用可信任與安全的雲原生(cloud-native)代管基礎環境之範例解決方案。
 
此計畫的第一階段也將顯示5G安全特性如何解決先前世代的行動通訊標準LTE等已知的安全挑戰,聚焦於4G獨立部署。NCCoE計畫聚焦於針對兩個焦點領域的典型安全5G獨立部署:
  • 基礎環境安全焦點領域:這提供完整式5G網路之可信賴平台及整體式安全參考架構。
  • 5G獨立式安全焦點領域:此領域可促成以展現5G SA部署之現有網路安全能力的方式,進行5G Core的安全特性的基礎式設定。
此計畫的未來階段將包括擴大聚焦於5G特定使用個案之安全,這些焦點領域的可能實力為網路切片(network slicing)安全、漫遊安全及5G邊緣運算,CISA和NIST正邀請各界針對提案給予意見。(1700字;圖1)
 
 
參考資料:
U.S. government proposals spell out 5G security advancements. CSO,2022/5/31


相關文章:
1. 5G企業專網在資安迷思與四個關鍵影響因素
2. 歐盟公布5G網路安全指南、未完全排除華為
3. 台積電:資安也是國安議題供應鏈應具韌性
4. 5G企業專網在資安迷思與四個關鍵影響因素
5. 行政院2022年編列5164萬資安預算成立兩大國家級資安實驗室
6. 趨勢科技:2021年度網路資安報告從回顧看出五項趨勢

 
歡迎來粉絲團按讚!
--------------------------------------------------------------------------------------------------------------------------------------------
【聲明】
1.科技產業資訊室刊載此文不代表同意其說法或描述,僅為提供更多訊息,也不構成任何投資建議。
2.著作權所有,非經本網站書面授權同意不得將本文以任何形式修改、複製、儲存、傳播或轉載,本中心保留一切法律追訴權利。