执行摘要
电信网络正变得越来越云原生、软件定义、开放和智能化，这对运营商的网络安全挑战产生了影响。本文档重点关注亚太地区运营商的网络安全挑战，但提出的靶标架构和网络安全原则适用于所有市场的电信运营商。传统的网络安全模式已不再足够，而人工智能正加速安全领域的演变。运营商需要将人工智能视为一个独立的安全工具，并应将其视为一种颠覆性技术，它正在重塑网络安全防御和网络安全风险。电信领域的攻击面正在扩大，运营商需要同时兼顾两种环境的统一安全视图，同时仍要认识到它们不同的运营需求。监管压力也在加大，网络安全正从灵活或自我管理的合规活动转变为强制性的业务义务。因此，电信运营商需要关注主动性的网络韧性，而非被动的网络风险管理。这需要一种治理模式，明确网络、IT、安全、采购、风险与合规等团队之间的问责制、风险所有权、决策权及执行监督。网络安全已成为一个技术与管理问题，贯穿整个供应链的共同责任。这意味着，网络安全领导力必须明确界定，网络风险必须让高层管理人员和董事会可见，安全控制必须可衡量、可审计并持续改进。一个实用的起点是以资产为中心的安全治理，其重点在于识别对服务连续性、客户信任和合规性最重要的资产。本文白皮书提出的靶标架构基于原生安全原则，即“安全设计”。安全应从初始阶段就嵌入网络元素、网络层和安全操作中，而不是后期通过孤立的控制措施添加。该架构结合了五个核心原则：原生安全；纵深防御；网络安全协作；网络元素差异化检测与响应；双重安全运营中心（SOC）运作。网络纵深防御是此模型的核心。运营商需要在设备、网络和运维（O&M）层实施分层保护，并依托IT与CT的域级隔离以及用户、控制和管理平面的平面级控制来支撑。智能运维管理与控制为该架构提供运营引擎。通过整合网络元件保护、网络纵深防御、人工智能分析和闭环运营，运营商能够提升可见性、减少人工工作量、加速事件响应并持续更新安全策略。双重SOC（安全运营中心）模式通过分离但协调IT-SOC和CT-SOC能力来支持这一目标。运营商也需要使其技术路线图与不断变化的威胁态势保持一致。本白皮书重点介绍了几个日益重要的工具和技术：网络元素的内生安全；AI增强型防火墙；AI赋能的防御性分布式拒绝服务（DDoS）；多层勒索软件防护；以及量子安全安全技术。这些能力反映了从基于边界和被动式安全向主动式安全的转变。它们也表明，未来的电信安全不仅取决于先进的安全工具，还取决于这些工具如何与网络架构、运营和治理有效集成。为实施目标安全架构，运维人员应遵循分阶段路线图。他们应首先评估其网络安全态势，绘制关键资产并定义目标架构。然后，在头12个月内，他们应加强核心基础，如最小权限、网络隔离、内在安全、监控、合规性以及双SOC协作。最后，在接下来的12至24个月内，他们应转向AI赋能的闭环运营。这项研究的更广泛意义在于，电信网络安全正成为一项核心韧性能力，因为运营商不仅保护自己的网络，也保护着支撑公共服务、企业、金融体系和未来人工智能赋能服务的基础设施。
网络安全风险与挑战
- 人工智能对网络安全的影响：人工智能可通过提升检测、分析和响应能力来强化电信网络安全防御，但同时也为攻击者提供了新的能力，并提升了网络威胁的速度、规模和复杂性。亚太地区80%的受访运营商表示人工智能将重塑其组织的网络安全战略，而40%的人将针对人工智能模型的对抗性攻击列为在电信安全中使用人工智能的主要担忧。
- 攻击面扩展：电信网络正在经历重大转型，从僵化、硬件密集的基础设施转向动态、云原生和人工智能驱动的网络，这增加了需要被保护的用户界面、工作负载、API、云平台、供应商和连接设备数量。IT/CT融合扩大了攻击面，并为攻击的横向移动创造了新的途径。
- 行业合规与监管压力：在全球范围内，电信网络正日益被视为关键基础设施，因此，网络安全正从灵活或自我管理的合规活动转变为强制性的业务义务。亚太地区各监管机构正类似地收紧对运营者的规则，尤其是在关键基础设施保护、端到端安全合规、数据安全、个人信息保护、风险管理和应急响应等方面。
网络安全治理
- 从网络风险到网络韧性：随着电信网络日益互联互通，网络安全已不能再被视为一个纯粹的技术问题。组织内部需要明确的网络安全领导力，并将网络安全融入决策、采购、生命周期管理和内部治理中。
- 从概念到实践：实施以资产为中心的安全治理：电信网络正变得越来越云原生、软件定义和人工智能赋能，这意味着基于碎片化控制、合规性检查和事后响应的传统安全治理模式已不再足够。运营商需要转向一种更集成、更主动的模型，该模型将安全嵌入网络架构、运营、采购、生命周期管理和高管决策中。一个实用的起点是实施以资产为中心的治理。
- 一体化安全治理框架：电信安全治理需要作为一个整体系统来运行，以便安全战略、技术控制和日常运营协同工作。这在人工智能时代尤为重要，因为威胁传播更快、攻击面更广，运营商需要更具协调性的韧性策略。集成安全治理框架由管理层、技术层和运营层三层组成。
重新思考IT与CT安全
- IT与CT：保护数据与保护连接：电信运营商越来越需要在IT和CT领域拥有统一的信息安全观。IT通常包括业务支持系统、面向企业和客户的IT系统以及数据平台，而CT则涵盖提供连接性的基础设施，包括接入网（RAN）、核心网、传输网和信令网。
- 网络安全设计原则：本节提供设计原则，用于在人工智能时代为电信网络构建安全架构。其核心思想是摒弃零散的附加式安全控制，转而将保护直接构建到网络元素、网络层和安全运营中。所提出的架构围绕五个原则构建：原生安全；纵深防御；网络安全协作；差异化检测与响应系统；以及双重安全运营中心（SOC）运营。
人工智能时代的目标安全架构
- 网络安全架构：概述：所提出的靶标安全架构基于网络元素的本地安全（或设计时安全）。其核心在于强调深度网络防御，建立分层防御体系。其管理和运维控制使系统能够执行智能分析、自动处理和常规安全操作。该架构通过“安全即服务”的概念扩展其能力。
- 网络深度防御架构：纵深防御是目标安全架构的核心。它通过多层安全防护来保护电信网络，而非依赖单一防御点。它通过将网络划分为不同层级和域，在各个网络元素的安全基础上构建，这样一来，若某一区域发生攻击，便更难扩散至其他区域，从而有效减少横向移动。
- 智能运维管理与控制：智能运维管理与控制是三层安全架构的操作中心。它将网络元件防护和网络纵深防御整合为一个协同的管理系统。它提供全网范围内的全面可见性，利用人工智能分析风险，支持自动化响应，并助力持续改进安全运营。
- 安全即服务能力扩展：安全即服务（SaaS）将运营商的内部安全能力扩展至外部客户。基于三层安全架构，运营商可将其安全专长、工具和人工智能赋能的防御能力转化为服务，为政府、企业、行业合作伙伴和5G私有网络客户提供。
主要安全工具和技术
- 内在安全性：电信行业正开始出现原生安全解决方案。它涉及为路由器、核心网功能和其他网络元素建立正常行为的可信基线。然后，可以基于此基线监控实时状态，使运营商能够识别出在流程行为、内存状态、系统文件和通信模式等领域出现的异常偏差。
- 人工智能增强型防火墙：近期运营商遭遇的网络攻击表明，传统防火墙在检测零日漏洞方面存在局限。运营商需要持续升级其防火墙，以防范新型和现有攻击类型。来自供应商的最新防火墙解决方案集成了基于人工智能的检测算法，以增强检测能力。
- 人工智能驱动的防御型DDoS攻击：运营商对DDoS攻击的担忧不仅源于其经历的DDoS攻击数量日益增多，还源于攻击者使用人工智能工具导致这些攻击日益复杂。这对运营商的DDoS缓解工具能力提出了更高要求，这些工具必须能够实时吸收和分析更大规模的恶意流量。
- 多层勒索软件防护：有效的勒索软件防御应跨三个层面进行协调。网络安全：勒索软件攻击通常试图通过已遭入侵的设备进入网络，然后横向移动以感染更多系统。主机安全：许多运营商已部署EDR系统来保护其企业IT环境，而先进的运营商则开始将这些解决方案扩展到网络领域。存储安全：运营商需要投资保护数据存储层，以防攻击者绕过网络和主机安全层。
- 量子技术：恶意行为者会窃取并存储加密数据以供日后解密——今天被盗的任何加密数据，如果将来恶意行为者获得了与密码学相关的量子计算机的访问权限，就可能变得容易受到攻击。因此，运营人员需要采用能够抵御未来量子计算机攻击的新型密码算法和网络安全实践。
实施路线图
- 路线图的最佳实践：运营商应采取分阶段方法来加强网络安全，首先需对其现有能力进行明确评估，然后再制定路线图以指导未来的安全投资。该路线图应明确列出为实现更主动、风险导向的安全态势所需的首要行动、时间表和组织变革。
- 关键行动：一项说明性的两年路线图：阶段 0：评估和路线图制定；第一阶段：构建安全基础（0-12个月）；第二阶段：主动安全与闭环运营（12-24个月）。
案例研究：调查中国移动的安全架构
中国移动的安全架构围绕云网融合和内生安全而构建。这一方法尤其适用于电信运营商，因为它将关键基础设施的义务与运营大规模移动、云和企业服务的现实情况相结合。中国移动将安全融入了网络设计、数据治理、运营可靠性和面向客户的服务等各个环节。这使得该案例研究成为了一个安全设计型电信架构的实用范例，其中安全不仅是一种防范攻击的方式，更是可信数字服务、AI赋能网络以及未来5G-Advanced和6G运营的必要条件。
