[发明专利]一种适用于电力无线专网核心网的安全防护性能测评方法

说明书

本发明公开了一种适用于电力无线专网核心网的安全防护性能测评方法，首先，构建核心网安全防护性能测评系统，包括终端、若干个基站、交换机、一台安全加密网关、核心网、网管服务器、网管客户端、安全接入平台；其次，执行S1接口数据传输安全防护测试；执行HSS鉴权服务器拒绝服务攻击测试；执行核心网安全可控性测试；执行无线专网网管系统安全测试。采用本发明方法可以针对电力无线专网核心网存在的安全风险进行全面评测，有效防止恶意主机对无线专网核心网的攻击行为，强化电力无线专网核心网的安全健壮性。

技术领域

本发明涉及一种适用于电力无线专网核心网的安全防护性能测评方法，属于电力通信网信息安全防护测评技术领域。

背景技术

LTE核心网主要工作是将移动终端以分组方式连接到外部分组数据网络。核心网主要网元包括基站，MME、HSS、S-GW、P-GW(PDN Gateway, PDN网关)以及PCRF(Policy andCharging Rules Function, 策略和计费规则功能)。基站为终端提供了空口连接，MME相当于核心网的管理者，负责所有内部事务(内部切换)和外部事务(跨系统互联)，HSS存储了LTE网络中用户所有与业务相关的签约数据，提供用户签约信息管理和用户位置管理。S-GW和P-GW承担核心网的网关功能。核心网安全关系到无线专网承载业务的核心安全，然而核心网面临多种安全风险。

在LTE中，MME/S-GW(Signaling Gateway，服务网关)通过S1接口与LTE基站（eNB）互连实现LTE控制信令和业务数据的传输，S1信令应确保采用适当的加密算法进行安全防护，NAS信令可依据运营商的选择采用安全防护或不采用。当运营商未在S1接口上采取加密措施时，使得传输的配自、用采等业务数据发生泄露，威胁终端通信接入网的安全性。

HSS鉴权服务器生成身份认证响应需要大量的计算量，HSS服务器可能缺少DoS攻击的防御能力，攻击者能够在UE节点上通过MME向HSS发送大量IMSI请求，HSS根据请求中随机数生成验证响应以回应MME请求，从而造成HSS消耗大量计算量，同时MME消耗大量内存等待HSS的消息回应，造成DoS攻击，造成新节点无法连接。

恶意攻击者通过破坏物理防护措施或利用管理漏洞非法接入核心网，或通过非法控制基站进而向核心网实施网络攻击，利用核心网漏洞获取核心网权限，以便于非法获取、伪造、篡改业务数据，或下行方向攻击业务终端。

恶意攻击者通过破坏物理防护措施或利用管理漏洞，进一步利用软件系统漏洞、弱口令、策略配置不当，导致电力无线专网网管系统被非法获取权限，进而造成敏感信息泄露、配置信息被篡改等风险。

发明内容

本发明所要解决的技术问题是克服现有技术的缺陷，提供一种适用于电力无线专网核心网的安全防护性能测评方法，通过对在电力公司机房内部部署的核心网设备开展安全防护性能测试，可以有效防范来自外部的多种安全威胁，提高电力无线专网的安全防护能力。

为解决上述技术问题，本发明提供一种适用于电力无线专网核心网的安全防护性能测评方法，包括以下步骤：

1）构建核心网安全防护性能测评系统，包括终端、若干个基站、交换机、一台安全加密网关、核心网、网管服务器、网管客户端和安全接入平台；其中，终端与基站相连，基站与交换机相连，交换机与安全加密网关相连，安全加密网关与核心网相连，网管服务器和网管客户端都与交换机连接，交换机与安全接入平台相连，安全接入平台接入信息内网；

所述核心网安全防护性能测评系统的各设备间的通信过程为：

1-1）终端将Uu口数据通过空口发送给与之相连的基站；Uu口控制面已具备加密和完整性保护，Uu口用户面具备加密保护，而Uu口用户面的完整性保护由应用层协议实现；

1-2）基站将从Uu口收到的数据通过S1接口经S5700交换机上传至安全加密网关；采用证书认证的IPSec保护该段链路上的S1接口数据；